شهادة ايزو 27001: قائمة جاهزية للشركات الصغيرة والمتوسطة

تخيّل أن عميلًا كبيرًا أرسل إليك استبيانًا أمنيًا طويلًا. يحوّله مدير المبيعات إلى قسم تقنية المعلومات، فيحوّل نصفه إلى المالية، وبعد ثلاثة أسابيع يملأ أحدهم الإجابات الأخيرة من ذاكرته. ثم يسأل العميل: هل لديكم شهادة ايزو 27001؟ والجواب الصادق: «ليس بعد».

هكذا تدخل ايزو 27001 عادةً إلى الشركة المتوسطة: لا كمشروع مخطط، بل كصفقة مهددة. الخبر الجيد أن معظم ما تطلبه المواصفة أشياء يجب أن تفعلها أي شركة منظمة على كل حال. الجزء الصعب هو إثبات أنك تفعلها، في كل مرة، بسجلات.

معظم الشركات الصغيرة تتعثر في الأدلة، لا في السياسات

كتابة السياسات هي الجزء السهل، ولكل سياسة نموذج جاهز. أما ما يفحصه المدقق فهو هل تُطبَّق السياسات فعلًا: من وافق على هذه الصلاحية، ومتى نُفذ هذا التغيير، وماذا حدث بعد تلك الحادثة. وفي الفريق الصغير، تعيش هذه الإجابات في محادثات واتساب وفي ذاكرة الناس.

لذلك فإن العمل الحقيقي للاستعداد هو جعل عملياتك تترك سجلات كنتيجة طبيعية لسيرها، حتى لا يصبح جمع الأدلة مهمة منفصلة يقوم بها أحدهم قبل كل تدقيق.

كم يكلّف جمع الأدلة يدويًا

الكلفة ليست ساعات فقط. هي أيضًا الاستبيان الذي بقي ثلاثة أسابيع بينما الصفقة تنتظر، والملاحظة التي جاءت من جدول لم يحدّثه أحد.

قائمة الجاهزية لشهادة ايزو 27001

استخدمها قائمة عمل. كل بند سؤال سيطرحه المدقق، بكلمات أبسط.

1. النطاق. أي أجزاء الشركة والمواقع والأنظمة والبيانات تدخل ضمن نظام الإدارة؟ النطاق الضيق الصادق أسهل في التشغيل والاعتماد من شمول كل شيء دفعة واحدة.

2. سجل الأصول. قائمة بالمعلومات والأنظمة والأجهزة والحسابات داخل النطاق، ولكل أصل مالك. الأصل الذي لا مالك له لا يحميه أحد.

3. تقييم المخاطر. منهجية مكتوبة لتحديد المخاطر على هذه الأصول وتقديرها وتقرير ما يُفعل بكل منها. منهجية قابلة للتكرار، لا جدول يُعدّ مرة واحدة.

4. معالجة المخاطر وبيان قابلية التطبيق. لكل ضابط في الملحق A: هل ينطبق، ولماذا، وكيف يُطبَّق. هذا المستند يربط تقييم المخاطر بما تفعله فعلًا.

5. التحكم في الصلاحيات. الموظف الجديد، ومن ينتقل بين الأدوار، ومن يغادر. من طلب الصلاحية، ومن وافق عليها، ومتى أُلغيت. ومراجعة دورية لمن يملك الوصول إلى ماذا.

6. إدارة التغيير. التغييرات على الأنظمة تُطلب وتُعتمد وتُختبر عند الحاجة وتُسجَّل. والتغييرات الطارئة تُراجع بعد تنفيذها.

7. مخاطر الموردين. قائمة بالموردين الذين يصلون إلى بياناتك، مع تقييم لكل منهم وبنود الأمن في عقودهم. ومزودو الخدمات السحابية والبرامج يدخلون ضمنها.

8. السجلات والأدلة. الأنظمة الأساسية تحفظ سجلاتها، وهناك من يراجعها، وتستطيع أن تُثبت الأمرين. والأدلة محفوظة في مكان يمكن العثور عليها فيه بعد سنة.

9. الاستجابة للحوادث. إجراء مكتوب للإبلاغ عن الحوادث الأمنية والتعامل معها والتعلم منها، وسجلات تُثبت أنه استُخدم.

10. التوعية والتدريب. الموظفون يعرفون السياسات التي تخصهم، وتستطيع أن تُظهر من أكمل ماذا.

11. التدقيق الداخلي. شخص مستقل عن العمل يراجع نظام الإدارة مقابل المواصفة، وتُتابع ملاحظاته حتى إغلاقها.

12. مراجعة الإدارة. تراجع القيادة الأداء والمخاطر ونتائج التدقيق والتحسينات وفق جدول محدد، مع محاضر وقرارات مكتوبة.

إن استطعت أن تجيب عن كل بند بمستند وسجل، فأنت قريب من الجاهزية.

المسار بعد الإصلاح: تغييرات تترك دليلها خلفها

أتمتة الامتثال: أدلة ISO تلقائيًا

1. أي تغيير
2. رصد الحدث
3. كتابة سجل الدليل
4. ربطه بالضابط
5. حان موعد المراجعة؟
6. المسؤول يعتمد
7. تحديث ملف التدقيق
8. جاهز للتدقيق دائمًا
9. التحضير للتدقيق: 6 أسابيع → 3 أيام (مثال)

النمط نفسه يغطي الصلاحيات والتغييرات وتعيين الموردين والحوادث. يُقدَّم الطلب في مكان واحد، لا في محادثة. يتبع الاعتماد قواعد مكتوبة، ويُسجَّل اسم من اعتمد. يُسجِّل النظام الذي نفّذ الإجراء ما حدث. ويُحفظ الدليل تلقائيًا، مربوطًا بالضابط الذي يدعمه. وحين يسأل المدقق، تستخرج الدليل بدل أن تعيد بناءه.

هنا تثبت أتمتة العمليات قيمتها في ايزو 27001. هي لا تكتب سياساتك ولا تجتاز التدقيق نيابة عنك. لكنها تجعل العمل اليومي ينتج سجلات منتظمة، وهذا بالضبط ما يصعب على الفرق الصغيرة فعله يدويًا.

كم يستغرق الاستعداد لشهادة ايزو 27001

يعتمد ذلك على النطاق، وعلى ما هو موجود أصلًا، وعلى عدد الأنظمة، وعلى الوقت الذي يستطيع فريقك تخصيصه. لكن الشكل المعتاد واحد: النطاق وتقييم المخاطر أولًا. ثم فترة تطبيق الضوابط، والأهم تشغيلها مدة كافية لتنتج سجلات. ثم التدقيق الداخلي ومراجعة الإدارة. وبعدها فقط تبدأ جهة الاعتماد تدقيقاتها.

احذر من يعدك بتاريخ قبل أن يرى نطاقك. فالشهادة تمنحها جهات اعتماد معتمدة، لا المستشارون، والمدقق يحتاج أن يرى الضوابط تعمل على مدى زمني.

ما يمكنك فعله هذا الأسبوع بدوننا

• اكتب النطاق في فقرة واحدة: أي نشاط، وأي أنظمة، وأي مواقع.
• ابدأ سجل الأصول في جدول مشترك، مع مالك لكل سطر.
• استخرج آخر ثلاث حالات إلغاء صلاحيات لموظفين غادروا. هل تستطيع أن تُظهر متى ومن؟
• اكتب أهم عشرة موردين يحتفظون ببياناتك، وابحث عن بنود الأمن في عقودهم.
• أجب عن آخر استبيان أمني مرة أخرى، وسجّل الإجابات التي لم يكن خلفها دليل.

متى تتصل بنا

تواصل مع Devvion حين يستهلك جمع الأدلة أسابيع، أو حين تبطئ الاستبيانات الأمنية صفقاتك، أو حين تمر عملياتك عبر أنظمة لا تسجّل شيئًا مفيدًا. يتضمن تقييم العمليات خلال أسبوعين قائمة فجوات ايزو إلى جانب خريطة العمليات، وتُخصم رسومه إن واصلت معنا. ثم ترسم الاستشارات الإدارية والتشغيلية العمليات وتُنضجها لتنتج أدلتها بنفسها، ويؤتمت مهندس يعمل من داخل شركتك ⁨(Forward-Deployed Engineering)⁩ التسجيل، أي أن مهندسنا يعمل من داخل شركتك، لا من قائمة تذاكر. نجهّزك لجهة الاعتماد، وهي التي تمنح الشهادة. والأشخاص الذين تلتقيهم يبقون على عملك من اليوم الأول حتى الأخير. Devvion ليست جهة اعتماد، وليست هي نفسها حاصلة على شهادة ايزو. اطّلع على حالات الاستخدام وعلى الأسئلة الشائعة.

الأسئلة الشائعة

هل تمنح Devvion شهادة ايزو 27001؟

تجهّزك Devvion لشهادة ايزو 27001 ولا تمنحها، فالشهادة نفسها تمنحها جهة اعتماد معتمدة. نحدد الفجوات، ونعيد تصميم العمليات لتنتج أدلتها بنفسها، ونساعدك على الاستعداد لتدقيقات جهة الاعتماد.

كم يستغرق الاستعداد لايزو 27001 في شركة صغيرة أو متوسطة؟

لا تعطي Devvion تاريخًا قبل رؤية نطاقك، لأن المدة تعتمد على عدد الأنظمة وما هو موجود أصلًا. الشكل المعتاد: النطاق والمخاطر أولًا، ثم ضوابط تعمل مدة كافية لتنتج سجلات، ثم التدقيق الداخلي ومراجعة الإدارة.

ما أصعب جزء في ايزو 27001 على الشركات الصغيرة؟

ترى Devvion الجواب نفسه في أغلب الحالات: الأدلة. كتابة السياسات سهلة. أما إثبات أن الصلاحيات والتغييرات والحوادث عولجت كما هو مكتوب، في كل مرة، فصعب حين تعيش السجلات في المحادثات والبريد.

كيف تساعد الأتمتة في ايزو 27001؟

تبني Devvion عمليات تُسجِّل فيها الأنظمة نفسها الطلبات والموافقات والإجراءات. يُحفظ الدليل لحظة حدوثه، مربوطًا بالضابط الذي يدعمه. هذا يختصر وقت التجهيز، ويعطي المدقق سجلات متسقة.

هل نحتاج شهادة ايزو 27001 إن كان العملاء يرسلون استبيانات فقط؟

ترى Devvion أنك تستطيع الإجابة عن الاستبيانات دون شهادة، لكنها تصعب كلما كبر عملاؤك. بناء عادات الأدلة أولًا مفيد في الحالتين: الاستبيانات تصبح أسرع الآن، والشهادة تصبح خطوة أصغر إن طلبها عميل لاحقًا.