تقنية المعلومات والاستشارات
تطبيق ISO 27001 في المنشآت الصغيرة والمتوسطة: دليل عملي للحصول على الشهادة
الحصول على شهادة ISO/IEC 27001 هدف واقعي للشركات الصغيرة: تبني نظام إدارة أمن معلومات (ISMS) بحجم يناسبك ومبني على مخاطرك الفعلية، وتشغّله عدة أشهر حتى تتكوّن الأدلة، ثم تجتاز تدقيقًا على مرحلتين لدى جهة منح شهادات معتمدة. والجهد الحقيقي في معظم المنشآت لا يكمن في شراء أدوات أمنية، بل في تحديد نطاق منطقي، وتقييم المخاطر، وإعداد عدد محدود من الوثائق المطلوبة، وإثبات أن الفريق يلتزم بها فعلًا. يشرح هذا الدليل خطوات تطبيق ISO 27001، وقائمة الوثائق الإلزامية، والمدة المعتادة، وأهم عوامل التكلفة، والأخطاء التي تؤخّر الشركات الصغيرة.
أبرز النقاط
- الإصدار الحالي هو ISO/IEC 27001:2022، وكان على حاملي شهادات إصدار 2013 الانتقال قبل 31 أكتوبر 2025.
- المتطلبات الإلزامية للشهادة هي البنود من 4 إلى 10، أما الملحق A فيضم 93 ضابطًا مرجعيًا في أربعة محاور تختار منها حسب المخاطر.
- تحديد نطاق دقيق ومدروس هو أكبر عامل يؤثر في الجهد والتكلفة لدى المنشآت الصغيرة.
- بيان قابلية التطبيق (SoA) وخطة معالجة المخاطر هما أول ما يراجعه المدقق.
- الشهادة تعمل بدورة مدتها ثلاث سنوات: تدقيق المرحلة الأولى والثانية، ثم تدقيق متابعة سنوي، ثم إعادة الاعتماد.
- المستشار يساعدك في بناء النظام، لكن جهة منح الشهادات المعتمدة وحدها هي التي تصدر الشهادة.
ما هو معيار ISO/IEC 27001:2022؟
ISO/IEC 27001 هو المعيار الدولي لأنظمة إدارة أمن المعلومات، وتصدره منظمتا ISO وIEC بشكل مشترك. لا يفرض المعيار منتجات بعينها، بل يطلب منك إدارة عملية منظمة ومتكررة لتحديد مخاطر أمن المعلومات ومعالجتها، بهدف حماية سرية المعلومات وسلامتها وتوافرها.
صدر الإصدار الحالي في أكتوبر 2022 ليحل محل إصدار 2013. وفي عام 2024 صدر تعديل أضاف اعتبارات التغير المناخي إلى متطلبات سياق المنشأة والأطراف المعنية، لذا يكفي أن يوضح تحليلك للسياق باختصار هل التغير المناخي قضية ذات صلة بنشاطك أم لا.
للمعيار جزآن مهمّان عمليًا: البنود من 4 إلى 10 وهي متطلبات نظام الإدارة الإلزامية، والملحق A وهو قائمة ضوابط مرجعية متوافقة مع ISO/IEC 27002:2022 تقارن بها قرارات معالجة المخاطر لديك.
| البند | المطلوب باختصار |
|---|---|
| 4 سياق المنشأة | فهم القضايا الداخلية والخارجية، والأطراف المعنية ومتطلباتها، وتحديد نطاق النظام. |
| 5 القيادة | التزام الإدارة العليا، وسياسة أمن المعلومات، وأدوار ومسؤوليات واضحة. |
| 6 التخطيط | تقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، وأهداف الأمن، وتخطيط التغييرات. |
| 7 الدعم | الموارد، والكفاءة، والتوعية، والتواصل، وضبط المعلومات الموثقة. |
| 8 التشغيل | تنفيذ العمليات المخططة، وتقييم المخاطر على فترات محددة، وتطبيق خطة المعالجة. |
| 9 تقييم الأداء | المراقبة والقياس، والتدقيق الداخلي، ومراجعة الإدارة. |
| 10 التحسين | التحسين المستمر، ومعالجة حالات عدم المطابقة والإجراءات التصحيحية. |
الملحق A: 93 ضابطًا في أربعة محاور
أعاد إصدار 2022 تنظيم الملحق A من 114 ضابطًا في 14 مجالًا إلى 93 ضابطًا ضمن أربعة محاور. ومن بينها 11 ضابطًا جديدًا، منها: استخبارات التهديدات، وأمن المعلومات في الخدمات السحابية، وجاهزية تقنية المعلومات لاستمرارية الأعمال، وإخفاء البيانات، ومنع تسرب البيانات، ومراقبة الأنشطة، وتصفية الويب، والبرمجة الآمنة.
لست ملزمًا بتطبيق جميع الضوابط، لكن عليك دراستها كلها، وتضمين ما تحتاجه معالجة المخاطر، وتبرير أي استبعاد في بيان قابلية التطبيق. وفي الشركات الصغيرة التي تعمل من مكتب واحد، قد يغطي المالك أو مزود الخدمة السحابية جزءًا من الضوابط المادية، ومع ذلك يجب أن توضح كيف يتم ذلك.
| المحور | عدد الضوابط | أمثلة شائعة في المنشآت الصغيرة |
|---|---|---|
| الضوابط التنظيمية (A.5) | 37 | السياسات، وسجل الأصول، وقواعد التحكم في الوصول، وأمن الموردين، وإدارة الحوادث، والخدمات السحابية |
| ضوابط الأفراد (A.6) | 8 | التحقق قبل التوظيف، وشروط العمل، والتدريب التوعوي، والعمل عن بُعد، والإبلاغ عن الأحداث |
| الضوابط المادية (A.7) | 14 | المناطق الآمنة، وسياسة المكتب والشاشة النظيفة، وحماية الأجهزة، والإتلاف الآمن |
| الضوابط التقنية (A.8) | 34 | حماية الأجهزة الطرفية، والصلاحيات المميزة، والتحقق متعدد العوامل، والنسخ الاحتياطي، والسجلات، وإدارة الثغرات، والتطوير الآمن |
الانتقال إلى إصدار 2022: ماذا لو كانت لديك شهادة قديمة؟
منحت قواعد الاعتماد المنشآت الحاصلة على الشهادة مهلة ثلاث سنوات للانتقال من إصدار 2013 إلى إصدار 2022، وانتهت هذه المهلة في 31 أكتوبر 2025. وبالتالي فإن أي شهادة على إصدار 2013 لم يتم نقلها قبل هذا التاريخ لم تعد سارية.
إذا قدّم لك مورد أو شريك شهادة على إصدار 2013 اليوم، فاعتبرها منتهية واطلب الشهادة الحالية. وإن انتهت شهادتك أنت، فغالبًا ستحتاج إلى اعتماد أولي جديد على إصدار 2022 بدلًا من تدقيق انتقال، فتأكد من المسار الصحيح مع جهة منح الشهادات.
هل تستحق شهادة ISO 27001 العناء للشركات الصغيرة؟
السبب الأقوى تجاري: كثير من العملاء الكبار والجهات الحكومية وكراسات المنافسات يطلبون من الموردين شهادة ISO 27001 أو ما يعادلها، والشهادة قد تغنيك عن استبيانات أمنية طويلة. إذا كنت تقدم برمجيات أو استضافة أو خدمات مُدارة أو خدمات مالية خارجية أو معالجة بيانات، فالشهادة تختصر دورة البيع غالبًا.
السبب الثاني تقليل المخاطر: حتى بدون شهادة، يجبرك تشغيل النظام على معرفة أين بياناتك ومن يصل إليها وكيف تتعافى من الحوادث وعلى أي موردين تعتمد. في المقابل، ضع في حسابك التكلفة المستمرة؛ فالشهادة ليست مشروعًا لمرة واحدة، بل تحتاج إلى مسؤول دائم ومراجعات دورية وتدقيق سنوي.
- اسعَ للشهادة إذا طلبها العملاء أو المنافسات، أو إذا كنت تتعامل مع بيانات حساسة للعملاء على نطاق واسع.
- فكّر في المواءمة مع المعيار دون شهادة إذا لم يطلبها أحد بعد وتريد أساسًا منظمًا للأمن.
- أجّل إذا لم يكن لديك شخص يتولى النظام ولو بضع ساعات أسبوعيًا؛ فالنظام بلا مسؤول يفشل في تدقيق المتابعة.
تحديد نطاق نظام إدارة أمن المعلومات
النطاق هو الحدود التي سيقيّمها المدقق: أي جزء من المنشأة، وأي مواقع وعمليات وأنظمة ومعلومات. يمكن للشركة الصغيرة اعتماد المنشأة بالكامل، أو جزء محدد منها مثل الخدمة التي تقدمها لعملاء الشركات الكبرى، بشرط توضيح الارتباطات مع الأجزاء خارج النطاق.
لا تضيّق النطاق لدرجة يفقد معها قيمته لدى العملاء، لأنهم سيقرؤون نص النطاق المكتوب على الشهادة. النطاق الجيد لمنشأة صغيرة يسمّي الخدمة، والفرق التي تقدمها، والمنصات السحابية الأساسية، ونمط العمل من المكتب أو عن بُعد.
- حدّد المنتجات أو الخدمات التي يتوقع العملاء أن تشملها الشهادة.
- ارسم خريطة الأفراد والأنظمة والخدمات السحابية والموردين الذين تعتمد عليهم هذه الخدمات.
- وثّق نقاط الارتباط مع الأجزاء المستبعدة وكيف تنتقل المعلومات عبرها.
- اكتب نص نطاق قصيرًا ومحددًا واحصل على موافقة الإدارة عليه.
خطوات تطبيق ISO 27001: خارطة طريق للشركات الصغيرة
الترتيب التالي مناسب لمعظم المنشآت الصغيرة والمتوسطة. قد تتداخل الخطوات عمليًا، لكن تجاوز الخطوات الأولى يعني غالبًا إعادة العمل لاحقًا، خصوصًا إذا كتبت السياسات قبل فهم مخاطرك. وإن أردت صورة أشمل للحوكمة أولًا، فراجع دليل حوكمة تقنية المعلومات والامتثال لتعرف موقع ISO 27001 بين الأطر الأخرى.
- احصل على التزام الإدارة، وعيّن مسؤولًا عن النظام، واتفق على الميزانية والموعد المستهدف.
- أجرِ تقييمًا للفجوات مقابل البنود من 4 إلى 10 والملحق A لمعرفة ما هو قائم فعلًا.
- حدّد النطاق والسياق والأطراف المعنية ومتطلباتها الأمنية.
- اختر منهجية لتقييم المخاطر، وابنِ سجلًا للأصول والمخاطر، وقيّم المخاطر.
- قرّر خيارات معالجة المخاطر واكتب خطة المعالجة مع المسؤولين والمواعيد.
- أعدّ بيان قابلية التطبيق الذي يغطي جميع ضوابط الملحق A الـ93 مع التبرير.
- اكتب سياسة أمن المعلومات والسياسات والإجراءات الداعمة التي تحتاجها فعلًا.
- طبّق الضوابط المختارة وشغّلها، واجمع الأدلة مثل السجلات والتذاكر والموافقات.
- نفّذ التدريب التوعوي ووثّق من أكمله.
- حدّد مؤشرات لقياس أهداف الأمن وابدأ القياس.
- أجرِ تدقيقًا داخليًا كاملًا بواسطة شخص مستقل عن العمل محل التدقيق.
- اعقد مراجعة الإدارة، ووثّق القرارات، وأغلق الإجراءات التصحيحية.
- احجز تدقيق المرحلة الأولى (الوثائق والجاهزية) ثم تدقيق المرحلة الثانية (التطبيق والفاعلية).
- حافظ على النظام عبر تدقيق المتابعة السنوي، وأعد الاعتماد في نهاية كل دورة مدتها ثلاث سنوات.
تقييم المخاطر وبيان قابلية التطبيق
تقييم المخاطر هو المكان الذي تبالغ فيه الشركات الصغيرة أو تقصّر غالبًا. اعتمد منهجية بسيطة وقابلة للتكرار: حدّد المخاطر التي تهدد المعلومات ضمن النطاق، وقيّم الاحتمال والأثر وفق مقياس واضح، وضع معايير قبول للمخاطر توقّع عليها الإدارة. ولكل خطر مالك يعتمد المعالجة ويقبل المخاطر المتبقية.
بيان قابلية التطبيق (SoA) يسرد كل ضوابط الملحق A، ويوضح هل الضابط مُدرج ولماذا، وهل طُبّق. يستخدمه المدقق كخريطة، لذا تأكد أن كل ضابط مُدرج يشير إلى دليل حقيقي، وأن كل استبعاد له مبرر منطقي وليس مجرد عبارة "لا ينطبق".
الضوابط التقنية في البيان تتقاطع عادةً مع تحصين الشبكة والأجهزة. ويشرح دليل أمن الشبكات للشركات الصغيرة الجدران النارية وتقسيم الشبكة وVPN والتحقق متعدد العوامل بشكل عملي.
متطلبات الأيزو 27001: قائمة الوثائق والسجلات الإلزامية
يطلب المعيار معلومات موثقة محددة. وستضيف ضوابط الملحق A التي تختارها وثائق أخرى، مثل سياسة التحكم في الوصول أو سجل الأصول أو إجراء الاستجابة للحوادث، لكن القائمة الأساسية أدناه يتوقعها المدقق مهما كان حجم المنشأة.
| البند | الوثيقة أو السجل المطلوب |
|---|---|
| 4.3 | نطاق نظام إدارة أمن المعلومات |
| 5.2 | سياسة أمن المعلومات |
| 6.1.2 | عملية تقييم المخاطر (المنهجية والمعايير) |
| 6.1.3 | عملية معالجة المخاطر وبيان قابلية التطبيق |
| 6.2 | أهداف أمن المعلومات |
| 7.2 | أدلة الكفاءة (التدريب والمؤهلات والخبرة) |
| 8.1 | أدلة تنفيذ العمليات كما خُطط لها |
| 8.2 / 8.3 | نتائج تقييم المخاطر ومعالجتها (خطة معالجة المخاطر) |
| 9.1 | نتائج المراقبة والقياس |
| 9.2 | برنامج التدقيق الداخلي ونتائجه |
| 9.3 | نتائج مراجعة الإدارة |
| 10.2 | حالات عدم المطابقة والإجراءات المتخذة ونتائج الإجراءات التصحيحية |
المدة الواقعية للحصول على الشهادة في شركة صغيرة
يعرض الجدول مسارًا معتادًا لشركة يتراوح عدد موظفيها تقريبًا بين 10 و50، بنطاق محدد وأنظمة سحابية في الغالب. وتختلف المدة كثيرًا حسب النطاق ومستوى النضج الحالي وتفرغ الفريق وجدول جهة منح الشهادات، فاعتبره دليلًا للتخطيط لا وعدًا.
تشترط معظم جهات منح الشهادات أن يعمل النظام فترة قبل المرحلة الثانية، مع إتمام تدقيق داخلي واحد ومراجعة إدارة واحدة على الأقل، لذا خصّص وقتًا لتكوين السجلات بدل الانتقال مباشرة من كتابة الوثائق إلى التدقيق.
| المرحلة | المدة المعتادة | أهم المخرجات |
|---|---|---|
| تقييم الفجوات وتحديد النطاق | من 2 إلى 4 أسابيع | تقرير الفجوات، ونص النطاق، وخطة المشروع |
| تقييم المخاطر ومعالجتها | من 3 إلى 6 أسابيع | سجل المخاطر، وخطة المعالجة، ومسودة بيان قابلية التطبيق |
| السياسات وتطبيق الضوابط | من 6 إلى 16 أسبوعًا | السياسات والإجراءات، والضوابط المطبقة، والأدلة |
| التشغيل والتدريب | من 6 إلى 12 أسبوعًا | سجلات التدريب، والمؤشرات، والسجلات والتذاكر |
| التدقيق الداخلي ومراجعة الإدارة | من 2 إلى 4 أسابيع | تقرير التدقيق، ومحضر المراجعة، والإجراءات التصحيحية |
| تدقيق المرحلتين الأولى والثانية | من 4 إلى 10 أسابيع شاملة الجدولة | تقارير التدقيق، وإغلاق الملاحظات، والشهادة |
ما الذي يحدد تكلفة شهادة ISO 27001؟
لا يوجد سعر ثابت، لأن العوامل الرئيسية تعتمد على نطاقك ونقطة انطلاقك. اطلب عروض أسعار مكتوبة من أكثر من جهة منح شهادات معتمدة، وتأكد أن العرض يغطي دورة السنوات الثلاث كاملة وليس التدقيق الأولي فقط.
- رسوم جهة منح الشهادات: تُحدد أيام التدقيق أساسًا بعدد الموظفين ضمن النطاق وعدد المواقع ودرجة التعقيد، وتدفع مقابل المرحلة الأولى والثانية وكل تدقيق متابعة وإعادة الاعتماد.
- الاستشارات: اختيارية، وتتراوح بين تقييم فجوات قصير ومساعدة عملية في كتابة الوثائق والاستعداد للتدقيق.
- الأدوات: منصة لإدارة الحوكمة والمخاطر والامتثال أو لإدارة النظام، أو مجموعة منظمة من الوثائق والجداول، إضافة إلى أي أدوات أمنية تتطلبها معالجة المخاطر.
- سد الفجوات: معالجة نقاط ضعف حقيقية مثل التحقق متعدد العوامل والنسخ الاحتياطي والسجلات وإدارة الأجهزة وعقود الموردين.
- الوقت الداخلي: وقت مسؤول النظام والإدارة والموظفين في التدريب والمقابلات وجمع الأدلة، وهو غالبًا أكبر تكلفة خفية.
- الاعتماد: الشهادات الصادرة عن جهات معتمدة من هيئة اعتماد معترف بها لها وزن أكبر لدى العملاء، وقد تُرفض الشهادات غير المعتمدة في المنافسات.
أخطاء شائعة تقع فيها المنشآت الصغيرة
معظم تجارب الاعتماد المتعثرة أو المرهقة تشترك في الأسباب نفسها، وأغلبها يمكن تجنبه بالتخطيط الجيد.
- شراء حزمة نماذج جاهزة واعتماد وثائق لا يلتزم بها أحد.
- كتابة السياسات قبل تقييم المخاطر، فلا تتوافق الضوابط مع المخاطر الحقيقية.
- اختيار نطاق واسع يصعب إدارته أو ضيق لا يقنع العملاء.
- استبعاد ضوابط من الملحق A دون مبرر مقنع في بيان قابلية التطبيق.
- التعامل مع التدقيق الداخلي كإجراء شكلي، أو تكليف من بنى النظام بتدقيقه.
- إهمال الموردين ومزودي الخدمات السحابية، رغم أن جزءًا كبيرًا من بيانات المنشأة لديهم.
- التوقف بعد الحصول على الشهادة والوصول إلى أول تدقيق متابعة دون سجلات جديدة.
- التعامل مع جهة منح شهادات غير معتمدة، ثم اكتشاف أن الشهادة غير مقبولة.
ISO 27001 مقارنةً بـ SOC 2 وضوابط NCA ECC، وكيف تساعدك ITCM
تقرير SOC 2 هو تقرير تصديق يصدره مكتب محاسبة قانوني مرخص وفق معايير AICPA، ويُقيّم مقابل معايير خدمات الثقة (الأمن، ويمكن إضافة التوافر وسلامة المعالجة والسرية والخصوصية). وهو شائع في مبيعات SaaS في أمريكا الشمالية، بينما ISO 27001 شهادة معترف بها دوليًا. والعمل على الضوابط متقارب جدًا، لذا تبني كثير من الشركات مجموعة ضوابط واحدة وتربطها بالإطارين.
في المملكة العربية السعودية، تحدد الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني الحد الأدنى من متطلبات الأمن السيبراني، وهي إلزامية للجهات الحكومية والشركات والجهات التابعة لها، وجهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، بينما تشجع الهيئة بقية الجهات على تطبيقها. وتُعد ECC إطار ضوابط وطنيًا وليست معيار نظام إدارة قابلًا للاعتماد، ويمكن لنظام إدارة أمن معلومات مبني على ISO 27001 أن يساعد في تنظيم أعمال الحوكمة والمخاطر والأدلة التي تتطلبها ECC أيضًا.
شركة ITCM ليست جهة منح شهادات ولا تصدر الشهادات. دورنا استشاري: تقييم الفجوات، وتحديد النطاق، وتقييم المخاطر، وإعداد بيان قابلية التطبيق والسياسات، وتطبيق الضوابط التقنية، والاستعداد للتدقيق، وكل ذلك عن بُعد بالعربية والإنجليزية. تبدأ خدمة استشارات تقنية المعلومات من 100 دولار (375 ريالًا)، ونتفق على السعر أولًا، وتدفع بعد مراجعة العمل دون أي دفعة مقدمة.
الأسئلة الشائعة
- كم تستغرق شهادة ISO 27001 في شركة صغيرة؟
- تحتاج الشركة الصغيرة ذات النطاق المحدد عادةً من ستة إلى اثني عشر شهرًا من بدء المشروع حتى الحصول على الشهادة، حسب مستوى النضج الحالي وتفرغ الفريق وجدولة التدقيق. خصص وقتًا لتشغيل النظام وإتمام التدقيق الداخلي ومراجعة الإدارة قبل المرحلة الثانية.
- كم عدد ضوابط ISO 27001:2022؟
- يضم الملحق A في ISO/IEC 27001:2022 عدد 93 ضابطًا في أربعة محاور: 37 تنظيميًا، و8 للأفراد، و14 ماديًا، و34 تقنيًا. وتختار الضوابط بناءً على تقييم المخاطر وتبرر أي استبعاد في بيان قابلية التطبيق.
- هل ما زالت شهادات ISO 27001:2013 سارية؟
- لا. انتهت فترة الانتقال إلى إصدار 2022 في 31 أكتوبر 2025، لذا لم تعد شهادات إصدار 2013 التي لم يتم نقلها سارية.
- ما الوثائق الإلزامية في ISO 27001؟
- تشمل المعلومات الموثقة الأساسية: نطاق النظام، وسياسة أمن المعلومات، وعمليتي تقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، وأهداف الأمن، وأدلة الكفاءة، ونتائج تقييم المخاطر ومعالجتها، ونتائج المراقبة، وبرنامج التدقيق الداخلي ونتائجه، ونتائج مراجعة الإدارة، وسجلات عدم المطابقة والإجراءات التصحيحية.
- هل يمكن لشركة صغيرة تطبيق ISO 27001 دون مستشار؟
- نعم، إذا توفر لديها شخص لديه الوقت وفهم جيد لإدارة المخاطر وللمعيار. وتستعين كثير من المنشآت الصغيرة بالمستشار فقط في تقييم الفجوات ومنهجية المخاطر ومراجعة ما قبل التدقيق لتجنب إعادة العمل.
- ما مدة صلاحية شهادة ISO 27001؟
- الشهادة صالحة ثلاث سنوات بشرط اجتياز تدقيق المتابعة الذي يُجرى عادةً سنويًا، ويلزم تدقيق إعادة اعتماد قبل نهاية الدورة.
- هل شهادة ISO 27001 إلزامية في السعودية؟
- شهادة ISO 27001 بحد ذاتها اختيارية، لكن قد يطلبها العملاء أو المنافسات. أما الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني فهي إلزامية للجهات الحكومية والجهات التابعة لها، وجهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة.
مقالات وخدمات ذات صلة
- خدمة استشارات تقنية المعلومات
- دليل حوكمة تقنية المعلومات والامتثال
- أمن الشبكات للشركات الصغيرة
- قائمة تدقيق ضوابط تقنية المعلومات العامة ITGC
- تطوير سياسات تقنية المعلومات
- ما هو الأمن السيبراني؟
تريد أن نتولى ذلك عنك؟
ننفّذ كل ذلك عن بُعد — اطلب عرض سعر أو ابدأ بتدقيق مجاني لموقعك.
اطلب عرض سعر تدقيق مجاني