استنادا الى النص المرجعي، اعطوا قائمة من المراحل الثلاث من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. اصدر المعيار في البداية من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الدولية للتكنولوجيا الكهربائية (IEC) في عام 2005، تمت مراجعته في عام 2013، ومرة اخرى في عام 2022. فيه ايضا العديد من الاختلافات الوطنية المعترف بها للمعيار. يوضح الاحتياجات لإنشاء وتنفيذ وصيانة وتحسين مستمر لنظام ادارة امن المعلومات (ISMS) <unk> الهدف منه هو مساعدة المنظمات على جعل أصول المعلومات التي تحتفظ بها أكثر أمنا. المنظمات اللي تلبي متطلبات المعيار ممكن تختار ان تكون معتمدة من قبل هيئة الاعتماد المعتمدة بعد الانتهاء بنجاح من التدقيق. فعالية عملية شهادة ISO/IEC 27001 والمعيار العام تمت معالجتها في دراسة واسعة النطاق أجريت في عام 2020.  كيف يعمل المعيار؟ معظم المنظمات عندها عدد من ضوابط أمن المعلومات. ومع ذلك، بدون نظام إدارة أمن المعلومات (ISMS) ، تميل الرقابة لتكون غير منظمة وغير مترابطة إلى حد ما، وقد تم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. ضوابط الامن في التشغيل عادة ما تعالج جوانب معينة من تكنولوجيا المعلومات او امن البيانات تحديداً، تاركة أصول المعلومات غير تكنولوجيا المعلومات (مثل الوثائق والمعرفة الملكية) اقل حماية بشكل عام. علاوة على ذلك، تخطيط استمرارية العمل والأمن المادي يمكن إدارته بشكل مستقل تماماً عن تكنولوجيا المعلومات أو أمن المعلومات بينما ممارسات الموارد البشرية قد لا تشير إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  ISO/IEC 27001 يطلب ان الادارة:  يدرس بشكل منهجي مخاطر أمن المعلومات في المنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات. تصميم وتطبيق مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة؛ و تبني عملية اداري شاملة لضمان ان ضوابط امن المعلومات تستمر في تلبية احتياجات الامن المعلوماتي للمنظمة على اساس مستمر. ايش من ضوابط سيتم اختبارها كجزء من الاعتماد على ISO/IEC 27001 يعتمد على مدقق الاعتماد. هذا يمكن ان يتضمن اي ضوابط اعتبرتها المنظمة ان تكون ضمن نطاق ISMS ويمكن ان يكون هذا الاختبار في اي عمق او مدى حسب تقييم المدقق حسب الحاجة لاختبار ان الضوابط تم تنفيذها وتعمل بفعالية.  الإدارة تحدد نطاق ISMS لأغراض التصديق ويمكن أن تحد منه، على سبيل المثال، لوحدة تجارية واحدة أو موقع. شهادة ISO/IEC 27001 لا تعني بالضرورة ان بقية المنظمة، خارج المنطقة المشمولة، لديها نهج مناسب لإدارة أمن المعلومات.  هناك معايير اخرى في عائلة المعايير ISO/IEC 27000 توفر توجيهات اضافية حول بعض جوانب تصميم وتنفيذ وتشغيل نظام نظم نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ الايزو/ايك 27001 كان بي اس 7799 هو معيار نشرته مجموعة بي اس اي في 1995. كتبها وزارة التجارة والصناعة في حكومة المملكة المتحدة (DTI) و تتكون من عدة اجزاء.  الجزء الاول، الذي يحتوي على افضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في عام 1998؛ بعد مناقشة طويلة في هيئات المعايير العالمية، اعتمدته في النهاية منظمة ISO باسم ISO/IEC 17799, "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". في عام 2000. بعد كده تم مراجعة ISO/IEC 17799 في يونيو 2005 و أخيراً تم دمجها في سلسلة معايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء الثاني من BS7799 نشر اول مرة من قبل BSI في عام 1999، المعروف باسم BS 7799 الجزء 2، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع توجيهات للاستخدام". بي اس 7799-2 ركز على كيفية تنفيذ نظام ادارة امن المعلومات (اي اس ام اس) ، مشير الى هيكل ادارة امن المعلومات والضوابط المحددة في بي اس 7799-2. هذا بعدين اصبح ISO/IEC 27001:2005. تم تبني BS 7799 الجزء الثاني من قبل ISO كISO/IEC 27001 في نوفمبر 2005.  تم نشر BS 7799 الجزء الثالث في 2005، والذي يشمل تحليل المخاطر وإدارتها. هو متوافق مع المعيار ISO/IEC 27001:2005.  قليل جداً من الاشارة او الاستخدام ل اي من معايير BS فيما يتعلق ب ISO/IEC 27001.  شهادة ممكن يكون نظام إدارة النظام الدولي متوافق مع المعيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين في جميع أنحاء العالم. شهادة عن اي من المتغيرات الوطنية المعترف بها لـ ISO/IEC 27001 (مثلاً JIS Q 27001 النسخة اليابانية) من قبل هيئة شهادة معتمدة تعادل وظيفياً شهادة عن ISO/IEC 27001 نفسها.  في بعض الدول، الهيئات التي تتحقق من توافق نظم الإدارة مع المعايير المحددة تسمى "هيئات الاعتماد"، بينما في دول اخرى عادة ما يشار اليها باسم "هيئات التسجيل"، "هيئات التقييم والتسجيل"، "هيئات الاعتماد/التسجيل"، وأحيانا "سجلات".  شهادة ISO/IEC 27001، مثل شهادات نظم الإدارة الأخرى من قبل ISO، عادةً تتضمن عملية تدقيق خارجي من ثلاث مراحل محددة بمعايير ISO/IEC 17021 و ISO/IEC 27006:  المرحلة الاولى هي مراجعة مبدئية غير رسمية لـ ISMS. مثلاً هناك فحصات لوجود وكمال الوثائق الرئيسية، مثل سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). هذه المرحلة تخدم لتعريف المراجعين بالمنظمة والعكس صحيح. المرحله الثانيه هي مراجعه انطباق رسمي و مفصل اكثر، اختبار مستقل لنظام ادارة النظام الدولي للخدمات مقابل المتطلبات المحدده في الايزو/ايس اي سي 27001. المراجعين سيبحثون عن ادله لتأكيد ان نظام الادارة صمم وطبق بشكل صحيح، ويعمل فعلا (على سبيل المثال بتأكيد ان لجنة الامن او هيئة ادارة مماثلة تجتمع بانتظام لمراقبة ISMS). تدير عمليات تدقيق شهادة الاعتماد عادة مدققي الاعتماد الرئيسيين للمعيار ISO/IEC 27001. اجتياز هذه المرحلة ينتج عنها شهادة نظام إدارة نظم المعلومات الدولية متوافق مع المعيار ISO/IEC 27001. التدقيق المستمر يشمل مراجعات متابعة او تدقيقات للتأكد من ان المنظمة ما تزال تتوافق مع المعيار. صيانة الاعتماد تتطلب تدقيقات دورية لإعادة التقييم للتأكد من ان نظام إدارة النظام الدولي للخدمات سيستمر في العمل كما هو محدد ومقصود. يجب ان يكون هذا كل سنة على الاقل لكن (بموافقة مع الإدارة) غالبا ما يكون اكثر تواترا، خصوصا بينما نظام إدارة المعلومات المشتركة ما زال في مرحلة النضج.
هذا هو المرحلة الثلاثة من شهادة ISO 27001: واحد. المرحله الاولى: مراجعه أوليه غير رسميه لنظام ادارة امن المعلومات. النشاطات تتضمن التحقق من وجود وثائق أولية وكمالها. ثاني. المرحلة الثانية: تدقيق تفصيلي و رسمي يقوم به طرف ثالث للتحقق من صحة التنفيذ الكافي للمتطلبات المحددة في المعيار ISO 27001 3. مستمر: مراجعات ومراجعات متابعة للتأكد من استمرار الامتثال لمتطلبات المعيار ISO 27001.