بناءً على النص المرجعي، عطوا قائمة من المراحل التلاتة من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. المعيار نشر أصلاً بالتعاون من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الدولية للتكنولوجيا الكهربائية (IEC) في عام 2005، تمت مراجعته في عام 2013، وآخر مرة في عام 2022. في كمان كتير من المتغيرات الوطنية المعترف بها للمعيار. بتفصّل المتطلبات لإقامة ونفاذ وصيانة وتحسين مستمر لنظام لإدارة أمن المعلومات (ISMS) <unk>، والهدف منه هو مساعدة المنظمات على جعل أصول المعلومات اللي بحوزتها أكتر أمان. المنظمات اللي بتلبي متطلبات المعيار ممكن تختار تتم شهادتها من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. الفعالية لعملية شهادة ISO/IEC 27001 والمعيار الكلي اتعملت في دراسة واسعة النطاق اتعملت سنة 2020.  كيف بيشتغل المعيار؟ أغلب المنظمات عندها عدد من ضوابط أمن المعلومات. ومع كدا، من دون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط ليكونوا غير منظمين وغير مترابطين إلى حد ما، بعد ما تم تنفيذهم غالبًا كتحلول نقطية لحالات محددة أو ببساطة كموضوع إجماع. الضوابط الأمنية اللي بتعمل عادة بتتعامل مع جوانب معينة من تكنولوجيا المعلومات أو أمن البيانات بشكل خاص، وبتخلي أصول المعلومات اللي مش بتتعلق بتكنولوجيا المعلومات (زي الأوراق والمعرفة المملوكة) أقل حماية بشكل عام. علاوة على كدا، التخطيط للاستمرارية التجارية والأمن المادي ممكن يدار بشكل مستقل عن تكنولوجيا المعلومات أو أمن المعلومات، في حين إن ممارسات الموارد البشرية ممكن تنطوي شوية إشارة لضرورة تعريف وتعيين أدوار ومسؤوليات أمن المعلومات عبر المنظمة.  ISO/IEC 27001 بيحتاج الإدارة:  فحص بشكل منهجي مخاطر أمن المعلومات للمنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات. بتصمم وتنفذ مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (زي تجنب المخاطر أو نقل المخاطر) للتعامل مع المخاطر اللي بتعتبر غير مقبولة، و اعتمادا على عملية إدارة شاملة لضمان إن الضوابط لأمن المعلومات بتستمر في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. أي ضوابط بيتم اختبارهم كجزء من التصديق على ISO/IEC 27001 بيعتمد على مدقق التصديق. وبتشمل هذي أي ضوابط اعتبرتها المنظمة في نطاق نظام إدارة المعلوماتية المتكاملة، وبتكون التجربة هذي بأي عمق أو مدى يقيده المراجع حسب الحاجة عشان يختبر إن كانت الضوابط تم تنفيذها وبتعمل بفعالية.  الإدارة بتحدد نطاق نظام إدارة النظام الدولي للأغراض من أجل الشهادة وبتحدده، مثلاً، بوحدة أعمال أو موقع واحد. شهادة ISO/IEC 27001 مش بالضرورة بتعني إن باقي المنظمة، خارج المنطقة المشمولة، عندها نهج مناسب لإدارة أمن المعلومات.  معايير تانية في عائلة المعايير ISO/IEC 27000 بتوفر توجيهات إضافية عن جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، مثلاً عن إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ إيزو/آي إي سي 27001 بي إس 7799 كان معيار نشرته مجموعة بي إس آي أصلاً سنة 1995. كتبها وزارة التجارة والصناعة (DTI) لحكومة المملكة المتحدة وتتكون من كتير أجزاء.  الجزء الأول، اللي فيه أفضل الممارسات لإدارة أمن المعلومات، تم تنقيحه سنة 1998؛ بعد مناقشة طويلة في هيئات المعايير العالمية، اعتمده أخيرًا منظمة الأيزو باسم أيزو/آي إي سي 17799, "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". سنة 2000. بعدين، تم تنقيح ISO/IEC 17799 في يونيو 2005 وأخيرًا تم تضمينها في سلسلة المعايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء التاني من BS7799 نشر لأول مرة من قبل BSI سنة 1999، معروف باسم BS 7799 الجزء التاني، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع إرشادات للاستخدام". بي إس 7799-2 ركز على كيفية تنفيذ نظام إدارة أمن المعلومات (إس إم إس) ، بالرجوع لهيكل إدارة أمن المعلومات والضوابط المحددة في بي إس 7799-2. بعدين بقى هوي ISO/IEC 27001:2005. بي إس 7799 الجزء التاني اعتمده إيزو بوصفه إيزو/آي إي سي 27001 في نوفمبر 2005.  بي اس 7799 الجزء التالت نشر سنة 2005، بتتعلق بتحليل المخاطر وإدارتها. بيوافق مع إيزو/آي إي سي 27001:2005.  في شوية إشارات أو استخدامات لأي من معايير BS فيما يتعلق بالأيزو/آي إي سي 27001.  شهادة في إمكان إصدار شهادة نظام إدارة نظم المعلومات المشتركة ليتوافق مع معيار ISO/IEC 27001 من قبل عدد من مسجلين معتمدين عالمياً. الشهادة بناءً على أي من المتغيرات الوطنية المعترف بها من ISO/IEC 27001 (زي JIS Q 27001، النسخة اليابانية) من قبل هيئة شهادة معتمدة بتعادل وظيفياً الشهادة بناءً على ISO/IEC 27001 نفسها.  ببعض البلدان، الهيئات اللي بتتحقق من امتثال نظم الإدارة للمعايير المحددة بتتسمى "هيئات التصديق"، وبالاخرى بتتسمى عادة "هيئات التسجيل"، "هيئات التقييم والتسجيل"، "هيئات التصديق/التسجيل"، وأحيانًا "مسجلين".  شهادة ISO/IEC 27001, زي شهادات نظم الإدارة الأخرى من ISO، عادةً بتتضمن عملية تدقيق خارجي بتتكون من تلات مراحل بتحددها المعايير ISO/IEC 17021 وISO/IEC 27006:  المرحلة الأولى هيج مراجعة أولية غير رسمية لإدارة النظام الدولي للخدمات. مثلاً، في فحص لوجود وكمال الوثائق الأساسية، زي سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). المرحلة هيدي بتعمل علشان يطلعوا المراجعين على المنظمة وبالعكس. المرحلة التانية هيي تدقيق امتثال أكتر تفصيل ورسمي، ويختبر بشكل مستقل نظام إدارة نظم الخدمات الدولية عشان يتوافق مع المتطلبات المحددة في ISO/IEC 27001. المراجعين رح يطلبوا دلائل عشان يأكدوا إن نظام الإدارة صممت وطبقت بشكل صحيح، وبتعمل فعلياً (مثلاً عن طريق التأكد إن لجنة الأمن أو هيئة إدارة مماثلة بتتقابل بشكل منتظم للإشراف على نظام إدارة الأمن المشترك). عادةً بيجري تدقيقات شهادة المدققين الرئيسيين للمعايير ISO/IEC 27001. نجح في المرحلة دي بيجعل نظام إدارة نظم المعلومات الإلكترونية يتوافق مع المعيار ISO/IEC 27001. التدقيق المستمر بيحتوي على مراجعات متابعة أو تدقيقات للتأكد من إن المنظمة بتبقى تتوافق مع المعيار. صيانة الشهادات بتتطلب تدقيقات إعادة تقييم دورية لتأكيد إن نظام إدارة النظام الإلكتروني بتستمر في العمل حسب المحدد والمقصود. لازم يكونوا موجودين مرة سنوية على الأقل، بس (بالاتفاق مع الإدارة) غالبًا ما بيتم إجراؤهم بأكثر تواتر، خصوصًا ودي ما زال نظام إدارة المعلوماتية المتناهية في مرحلة النضج.
هيدي المراحل التلاتة من شهادة ISO 27001: 1. المرحلة الأولى: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. الأنشطة بتشمل التحقق من وجود الوثائق الأساسية وكمالها. 2. المرحلة 2: تدقيق مفصل ورسمي بيجريه طرف ثالث عشان يثبت التنفيذ المناسب للمتطلبات المحددة في ISO 27001 3. مستمر: مراجعات ومراجعات متابعة للتأكيد على التوافق المستمر مع متطلبات ISO 27001.