Cevroشهادة ISO 27001 للشركات التي تبيع عالميًا
ISO/IEC 27001 هو المعيار الدولي لنظام إدارة أمن المعلومات (ISMS). وعلى خلاف SOC 2 ينتج عنه شهادة تصدرها جهة منح شهادات معتمدة، ما يمنحه وزنًا في المشتريات خارج الولايات المتحدة.
ما الذي يتطلبه المعيار
تحدد نطاق نظام إدارة أمن المعلومات لديك، وتقيّم مخاطر أمن المعلومات، وتختار الضوابط التي تعالجها وتطبقها، وتواصل التحسين عبر التدقيق الداخلي ومراجعة الإدارة. ونظام الإدارة لا يقل أهمية عن الضوابط الفردية.
ضوابط الملحق أ
يسرد الملحق أ في إصدار 2022 ثلاثة وتسعين ضابطًا مجمعة في أربعة محاور. وتوثق في بيان قابلية التطبيق أيها ينطبق عليك ولماذا.
- ضوابط تنظيمية
- ضوابط خاصة بالأفراد
- ضوابط مادية
- ضوابط تقنية
كيف تعمل الشهادة
تدقق جهة منح الشهادات على مرحلتين: مراجعة للوثائق، ثم تقييم للتطبيق. وتسري الشهادة ثلاث سنوات مع تدقيقات مراقبة سنوية. وكان على الجهات الحاصلة على شهادة إصدار 2013 الانتقال إلى إصدار 2022 قبل 31 أكتوبر 2025.
إعداد عملي
- حدّد نطاقًا واقعيًا قبل ربط الضوابط
- أبقِ سجل مخاطر حيًا مرتبطًا بمسؤولين ومواعيد
- اجمع الأدلة باستمرار بدل جمعها قبيل التدقيق
- أجرِ تدقيقًا داخليًا ومراجعة للإدارة قبل تدقيق منح الشهادة
كيف تساعدك Cevro
- تُجري Cevro فحوصات آلية على 11 نظامًا متصلًا (السحابة والشيفرة المصدرية والهوية والأفراد والمدفوعات) وتربط كل نتيجة بـISO 27001 وبالأطر الأخرى التي تتابعها.
- يأتي مع كل ضابط فاشل إصلاح محدد وطريقة لإعادة التحقق منه، فتتحول قائمة الثغرات إلى قائمة مهام.
- تُعاد الاستفادة من الأدلة التي جُمعت لإطار ما في الأطر الأخرى، وما لا يستطيع الفحص إنتاجه يُحفظ في خزنة الأدلة.
- تتيح لك صفحة ثقة مباشرة وأدلة قابلة للتصدير الرد على العملاء والمدققين دون البدء من جدول بيانات فارغ.
الأسئلة الشائعة
هل ISO 27001 مطلوب بحكم القانون؟
لا، إنه طوعي. وقد يشترطه العملاء أو الجهات الرقابية أو المناقصات، لا سيما في أوروبا والشرق الأوسط وآسيا.
هل يمكن أن يتشارك ISO 27001 وSOC 2 الأدلة؟
إلى حد كبير نعم. فأدلة ضبط الوصول والتسجيل وإدارة التغييرات وتقييم المخاطر تتداخل كثيرًا، ولهذا يوفر ربط مجموعة واحدة من الأدلة بالإطارين الوقت.