باستناداً على النص المرجعي، قدم قائمة بالخطوط الموسومة لتلاتة من المراحل لشهادة ISO 27001 والأنشطة للكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. تم نشر المعيار أصلاً بشكل مشترك من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الدولية للتكنولوجيا الكهربائية (IEC) في عام 2005، ومراجعة في عام 2013، ومجدداً في وقت قريب في عام 2022. وهناك أيضًا العديد من المتغيرات الوطنية المعترف بها للمعيار. كايوضح المتطلبات لإقامة وتنفيذ وصيانة وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) <unk>، والذي الهدف منه هو مساعدة المنظمات على جعل أصول المعلومات التي تمتلكها أكثر أمانًا. يمكن للمنظمات التي تفي بمتطلبات المعيار اختيار الحصول على شهادة من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. تمت معالجة فعالية عملية التصديق على المعيار ISO/IEC 27001 والمعيار العام في دراسة واسعة النطاق أجريت في عام 2020.  كيفاش يعمل المعيار معظم المنظمات لديها عدد من ضوابط أمن المعلومات. ومع ذلك، من دون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط إلى أن تكون غير منظمة وغير مترابطة إلى حد ما، حيث تم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. عادة ما تتعامل الضوابط الأمنية في التشغيل مع جوانب معينة من تكنولوجيا المعلومات أو أمن البيانات على وجه التحديد؛ مما يترك أصول المعلومات غير تكنولوجية المعلومات (مثل الأوراق والمعرفة الملكية) أقل حماية بشكل عام. علاوة على ذلك، يمكن إدارة تخطيط استمرارية الأعمال والأمن المادي بشكل مستقل تماما عن تكنولوجيا المعلومات أو أمن المعلومات بينما قد لا تشير ممارسات الموارد البشرية إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  المعيار ISO/IEC 27001 يطلب من الإدارة:  فحص بشكل منهجي مخاطر أمن المعلومات في المنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات؛ تصميم و تنفيذ مجموعة متماسكة وشاملة من الضوابط على أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) للتعامل مع المخاطر التي تعتبر غير مقبولة، و تبني عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. ويعتمد على مدقق الشهادات على أنواع الضوابط التي سيتم اختبارها كجزء من الشهادة وفقًا لمعيار ISO/IEC 27001. ويمكن لهاد الشي يشتمل على أية ضوابط اعتبرتها المنظمة ضمن نطاق إدارة إدارة الشبكات الإلكترونية، ويمكن لهذا الاختبار أن يكون على أي عمق أو مدى يقيّمه المدقق حسب الحاجة ليتم اختبار ما إذا كانت الضوابط تم تنفيذها وتعمل بفعالية.  الادارة تقرر نطاق ISMS لأغراض الشهادة ويمكن أن تحد من، على سبيل المثال، وحدة تجارية واحدة أو موقع. لا تعني شهادة ISO/IEC 27001 بالضرورة أن بقية المنظمة، خارج المنطقة المشمولة، تمتلك نهجا كافيا لإدارة أمن المعلومات.  ومعايير أخرى في عائلة المعايير ISO/IEC 27000 تقدم توجيهات إضافية حول جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ إيزو/آي إي سي 27001 كان BS 7799 هو معيار نشرته مجموعة BSI في 1995. كتبها وزارة التجارة والصناعة في حكومة المملكة المتحدة (DTI) وتتكون من عدة أجزاء.  الجزء الأول، اللي فيه أفضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في عام 1998؛ وبعد مناقشات طويلة في هيئات المعايير العالمية، اعتمدته في النهاية منظمة الأيزو باسم أيزو/آي إي سي 17799، "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". في عام 2000. ثم تم مراجعة ISO/IEC 17799 في يونيو 2005 وأخيراً تم دمجها في سلسلة المعايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء الثاني من BS7799 نشر لأول مرة من قبل BSI في عام 1999، والمعروف باسم BS 7799 الجزء 2، بعنوان "أنظمة إدارة أمن المعلومات - المواصفات مع توجيهات للاستخدام". وتركز BS 7799-2 على كيفية تنفيذ نظام إدارة أمن المعلومات (ISMS) ، مشير إلى هيكل إدارة أمن المعلومات والضوابط المحددة في BS 7799-2. وأصبح هذا فيما بعد المعيار ISO/IEC 27001:2005. تم اعتماد BS 7799 الجزء 2 من قبل ISO كISO/IEC 27001 في نوفمبر 2005.  نشر BS 7799 الجزء 3 في عام 2005، واللي كايشمل تحليل المخاطر وإدارتها. ويتوافق مع المعيار ISO/IEC 27001:2005.  قليل جداً من الإشارة أو الاستخدام لأي من معايير BS فيما يتعلق بالمعيار ISO/IEC 27001.  الشهادة يمكن لـ ISMS أن تكون مصدقة متوافقة مع المعيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين حول العالم. الشهادة على أساس أي من المتغيرات الوطنية المعترف بها من المعيار ISO/IEC 27001 (على سبيل المثال JIS Q 27001، النسخة اليابانية) من قبل هيئة شهادة معتمدة تعادل وظيفياً الشهادة على أساس المعيار ISO/IEC 27001 نفسه.  فبعض البلدان، تسمى الهيئات اللي كايتحقق من امتثال أنظمة الإدارة للمعايير المحددة "هيئات التصديق"، بينما في بلدان أخرى، عادة ما تسمى "هيئات التسجيل"، "هيئات التقييم والتسجيل"، "هيئات التصديق/التسجيل"، وأحيانًا "سجلات".  الشهادة ISO/IEC 27001، مثل الشهادات الأخرى لنظام الإدارة ISO، عادة ما تتضمن عملية تدقيق خارجي بتلاتة مراحل محددة من قبل المعايير ISO/IEC 17021 و ISO/IEC 27006:  المرحلة الأولى هي مراجعة أولية غير رسمية لإدارة إدارة المعلومات. على سبيل المثال، هناك فحصات لوجود وكمال الوثائق الأساسية، مثل سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). هاد المرحلة كايخدم لتعريف المدققين بالمنظمة والعكس. المرحلة 2 هي مراجعة الامتثال الأكثر تفصيلاً والرسمية، والتي تختبر بشكل مستقل نظام إدارة نظم الخدمات الإلكترونية ضد المتطلبات المحددة في المعيار ISO/IEC 27001. المراجعين غادي يطلبو دلائل من أجل التأكيد على أن نظام الإدارة تم تصميمه وتطبيقه بشكل صحيح، وبالواقع هو يعمل (على سبيل المثال من خلال التأكيد على أن لجنة الأمن أو هيئة إدارة مماثلة تقابل بانتظام للإشراف على نظام إدارة الأمن الإلكتروني). عادة ما يدير تدقيقات الشهادات مدققين ISO/IEC 27001. ونتيجة لتمرير هذه المرحلة هي شهادة نظام إدارة إدارة المعلومات المتوافقة مع المعيار ISO/IEC 27001. التدقيق المستمر يشمل مراجعات أو تدقيقات متابعة للتأكد من أن المنظمة ما تزال تتوافق مع المعيار. صيانة الشهادة تتطلب تدقيقات إعادة التقييم الدورية للتأكيد على أن نظام إدارة إدارة الشهادات يواصل التشغيل كما هو محدد ومقصود. و لكن (بالتوافق مع الإدارة) غالبا ما تكون أكثر تواترا، خاصة في وقت ما ما تزال الإدارة الإدارية للخدمات الإلكترونية ناضجة.
وهنا التالي هي المراحل التلاتة لشهادة ISO 27001: 1. المرحلة 1: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. التشغيلات تشمل التحقق من وجود الوثائق الأولية وكمالها. 2. المرحلة 2: تدقيق مفصل و رسمي يقوم به طرف ثالث للتحقق من التنفيذ الكافي للمتطلبات المحددة في المعيار ISO 27001 3. التدابير الجارية: المراجعات والتدقيقات التالية للتأكيد على الامتثال المستمر لمتطلبات ISO 27001.