إستناداً إلى النص المرجعي، قدم قائمة من المراحل التلاتة من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. تم نشر المعيار في الأصل بشكل مشترك من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الإلكترونية التقنية الدولية (IEC) في عام 2005 ، وتم مراجعته في عام 2013 ، ومرة أخرى في الآونة الأخيرة في عام 2022. في كمان كتير من المتغيرات الوطنية المعترف بها للمعيار. بتوضح المتطلبات لإقامة وتنفيذ وصيانة وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) <unk> الهدف منه هو مساعدة المنظمات على جعل أصول المعلومات اللي عندها أكتر أمانًا. المنظمات اللي بتلبي متطلبات المعيار ممكن تختار تكون معتمدة من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. تمت معالجة فعالية عملية شهادة ISO/IEC 27001 والمعيار الكلي في دراسة واسعة النطاق اتعملت في سنة 2020.  طريقة عمل المعيار معظم المنظمات عندها عدد من ضوابط أمن المعلومات. ومع كده، من غير نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط لتكون مش منظمة ومتشابهة إلى حد ما، بعد ما تم تنفيذها في الغالب كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. بتتعامل ضوابط الأمن في العملية عادةً مع جوانب معينة من تكنولوجيا المعلومات أو أمن البيانات بشكل محدد؛ وبتترك أصول المعلومات اللي مش بتتعلق بتكنولوجيا المعلومات (زي الأوراق والمعرفة الملكية) أقل حماية بشكل عام. زيادة على كده، ممكن يتم إدارة تخطيط استمرارية العمل والأمن المادي بشكل مستقل تمامًا عن تكنولوجيا المعلومات أو أمن المعلومات في حين إن ممارسات الموارد البشرية ممكن تشتمل على إشارة قليلة للحاجة لتعريف وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  بتطلب المعيار ISO/IEC 27001 أن الإدارة:  بتفحص بشكل منهجي مخاطر أمن المعلومات في المنظمة، مع الأخذ بعين الاعتبار التهديدات والضعف والتأثيرات. بتصمم وتنفذ مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (زي تجنب المخاطر أو نقل المخاطر) لمعالجة المخاطر اللي بتعتبر غير مقبولة. اعتمد عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. بيعتمد على مدقق الشهادات أنه ايه الضوابط اللي هيتم اختبارها كجزء من الشهادة لـ ISO/IEC 27001. ممكن يتضمن ده أي ضوابط اعتبرتها المنظمة إنها بتتأثر بنطاق نظام إدارة نظم المعلومات المتكاملة، ويمكن أن يكون الاختبار ده في أي عمق أو مدى يقيده المراجع حسب الحاجة عشان يختبر إن الضوابط اتعملت وعملت بفعالية.  بتحدد الإدارة نطاق ISMS لأغراض التصديق ويمكن تحديده، مثلاً، لوحدة أعمال واحدة أو موقع واحد. الشهادة ISO/IEC 27001 مش بتعني بالضرورة إن بقية المنظمة، خارج المنطقة المشمولة، عندها نهج مناسب لإدارة أمن المعلومات.  بتوفر المعايير التانية في عائلة المعايير ISO/IEC 27000 توجيهات إضافية حول جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ إيزو/آي إي سي 27001 كان بي اس 7799 هو معيار نشرته مجموعة بي اس آي في سنة 1995. كتبت من قبل وزارة التجارة والصناعة (DTI) في حكومة المملكة المتحدة وتتكون من عدة أجزاء.  الجزء الأول، اللي فيه أفضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في سنة ١٩٩٨؛ بعد مناقشة طويلة في هيئات المعايير العالمية، اتبعته في النهاية منظمة الأيزو باسم أيزو/آي إي سي ١٧٧٩٩، "تكنولوجيا المعلومات - مدونة الممارسة لإدارة أمن المعلومات". في سنة ٢٠٠٠. بعد كده تم مراجعة ISO/IEC 17799 في يونيو 2005 وتم دمجها أخيرًا في سلسلة معايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء التاني من BS7799 نشره BSI لأول مرة في سنة 1999، والمعروف باسم BS 7799 الجزء التاني، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع إرشادات للاستخدام". ركزت BS 7799-2 على طريقة تنفيذ نظام إدارة أمن المعلومات (ISMS) ، مشيرة إلى هيكل إدارة أمن المعلومات والضوابط المحددة في BS 7799-2. بعد كده بقى ده ايزو/ايه اي سي 27001:2005. تم اعتماد BS 7799 الجزء 2 من قبل ISO كISO/IEC 27001 في نوفمبر 2005.  تم نشر BS 7799 الجزء 3 في سنة 2005، واللي بتشمل تحليل المخاطر وإدارتها. بيتوافق مع المعيار ISO/IEC 27001:2005.  بتتعمل شوية إشارات أو استخدامات قليلة جداً لأي من معايير BS فيما يتعلق بالمعيار ISO/IEC 27001.  شهادة ممكن يتم اعتماد نظام إدارة إدارة النظام الدولي متوافق مع معيار ISO/IEC 27001 من قبل عدد من مسجلين معتمدين في العالم. بتكون الشهادة بناءً على أي من المتغيرات الوطنية المعترف بها من المعيار ISO/IEC 27001 (زي JIS Q 27001 ، النسخة اليابانية) من قبل هيئة شهادة معتمدة معادلة وظيفياً للشهادة بناءً على المعيار ISO/IEC 27001 نفسه.  في بعض البلدان، بتتسمى الهيئات اللي بتتحقق من توافق أنظمة الإدارة مع المعايير المحددة "هيئات التصديق"، في حين في بلدان تانية بتتسمى عادة "هيئات التسجيل" و "هيئات التقييم والتسجيل" و "هيئات التصديق/التسجيل" وأحياناً "سجلات".  بتتضمن شهادة ISO/IEC 27001، زي شهادات نظم الإدارة الأخرى من ISO، عادةً عملية تدقيق خارجي بتتكون من ثلاث مراحل بتحددها معايير ISO/IEC 17021 و ISO/IEC 27006:  المرحلة 1 هي مراجعة أولية، غير رسمية لإدارة النظام الدولي. على سبيل المثال، هناك عمليات فحص لوجود وكمال الوثائق الأساسية، زي سياسة أمن المعلومات في المنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). المرحلة دي بتعمل على تعريف المدققين بالمنظمة والعكس صحيح. المرحلة التانية هي تدقيق امتثال أكتر تفصيلاً ورسمياً، وبيتم اختبار نظام إدارة نظم الخدمات الإلكترونية بشكل مستقل ضد المتطلبات المحددة في المعيار ISO/IEC 27001. هيبحث المراجعين عن أدلة لتأكيد إن نظام الإدارة تم تصميمه وتنفيذه بشكل صحيح، وبتعمل فعلاً (على سبيل المثال عن طريق تأكيد إن لجنة أمن أو هيئة إدارة مماثلة بتتقابل بشكل منتظم للإشراف على نظام إدارة الأمن المشترك). بتتعمل عمليات تدقيق الشهادات عادةً من قبل مدققي التدقيق الرئيسيين للمعيار ISO/IEC 27001. نتيجة اجتياز المرحلة دي، بيتم إصدار شهادة نظام إدارة النظام الدولي للمعلومات متوافق مع المعيار ISO/IEC 27001. التدقيق المستمر بيحتوي على مراجعات متابعة أو تدقيقات للتأكد من إن المنظمة بتبقى متوافقة مع المعيار. صيانة الشهادات بتحتاج تدقيقات إعادة التقييم الدورية للتأكد من إن نظام إدارة نظم المعلومات الإلكترونية بيبقى بيشتغل زي ما هو محدد ومقصود. المفروض تكون المناقشات دي كل سنة على الأقل، لكن (بموافقة الإدارة) غالباً بتتعمل بشكل متكرر أكتر، خصوصاً في وقت ما بتبقى نظام إدارة النظام الدولي للخدمات منتضجة.
دي هي المراحل التلاتة من شهادة ISO 27001: واحد. المرحلة 1: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. الأنشطة بتشمل التحقق من وجود وثائق أولية وكمالها. ٢. المرحلة 2: تدقيق مفصل و رسمي بيعمله طرف ثالث عشان يثبت التنفيذ الكافي للمتطلبات المحددة في المعيار ISO 27001 ٣. جاري: مراجعات ومراجعات متابعة للتأكيد على استمرار الامتثال لمتطلبات ISO 27001.