على أساس النص المرجعي، قدم قائمة من المراحل الثلاثة من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. الستاندرد نشر أصلاً بشكل مشترك من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الكهربائية الدولية (IEC) في عام 2005، تمت مراجعته في عام 2013، وآخر مرة في عام 2022. في كمان كتير من المتغيرات الوطنية المعترف بها للمعيار. بتوضح المتطلبات لإنشاء وتنفيذ وصيانة وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) <unk> والذي يهدف لمساعدة المنظمات على جعل أصول المعلومات التي تحتفظ بها أكثر أمانًا. المنظمات اللي بتلبي متطلبات المعيار ممكن تختار ان تكون معتمدة من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. فعالية عملية شهادة ISO/IEC 27001 والمعيار الشامل تمت معالجته في دراسة واسعة النطاق أجريت في عام 2020.  كيف يعمل المعيار؟ معظم المنظمات عندها عدد من ضوابط أمن المعلومات. ومع ذلك، بدون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط لتكون غير منظمة وغير مترابطة، بعد أن تم تنفيذها في الغالب كحلول نقطية لحالات محددة أو ببساطة كموضوع إجماع. الضوابط الأمنية في التشغيل عادةً بتتعامل مع جوانب معينة من تكنولوجيا المعلومات (IT) أو أمن البيانات على وجه التحديد؛ وبتترك أصول المعلومات غير تكنولوجيا المعلومات (زي الأوراق والمعرفة الملكية) أقل حماية بشكل عام. زيادة على كده، التخطيط للاستمرارية التجارية والأمن المادي ممكن يتم إدارته بشكل مستقل تماماً عن تكنولوجيا المعلومات أو أمن المعلومات بينما ممارسات الموارد البشرية ممكن تشير شوية للحاجة لتعريف وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  ISO/IEC 27001 بيحتاج ان الادارة:  بفحص بشكل منهجي مخاطر أمن المعلومات للمنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات؛ يصمم ويقوم بتنفيذ مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) لمعالجة المخاطر التي تعتبر غير مقبولة، و تبني عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. أي ضوابط بيتم اختبارها كجزء من الاعتماد على ISO/IEC 27001 يعتمد على مدقق الاعتماد. هذا ممكن يشمل أي ضوابط اعتبرتها المنظمة ضمن نطاق نظام إدارة نظم المعلومات الدولية، ويمكن أن يكون هذا الاختبار في أي عمق أو مدى حسب تقييم المراجع حسب الحاجة لاختبار أن الضوابط تم تنفيذها وتعمل بفعالية.  الإدارة بتحدد نطاق نظام إدارة النظام الإلكتروني لأغراض التصديق وقد تحد منه، على سبيل المثال، لوحدة أعمال واحدة أو موقع. شهادة ISO/IEC 27001 مش بالضرورة بتعني ان باقي المنظمة، خارج المنطقة المشمولة، عندها نهج مناسب لإدارة أمن المعلومات.  معايير تانية في عائلة المعايير ISO/IEC 27000 بتوفر توجيهات إضافية حول جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ إيزو/آي إي سي 27001 بي اس 7799 كان معيار نشر أصلاً من قبل مجموعة بي اس آي في عام 1995. كتبها وزارة التجارة والصناعة (DTI) لحكومة المملكة المتحدة ويتكون من عدة أجزاء.  الجزء الأول، اللي فيه أفضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في سنة 1998؛ بعد مناقشات طويلة في هيئات المعايير العالمية، اعتمدته في النهاية منظمة الأيزو باسم أيزو/آي إي سي 17799, "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". في سنة 2000. بعدين، تم مراجعة ISO/IEC 17799 في يونيو 2005 وأخيراً تم دمجها في سلسلة معايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء الثاني من BS7799 نشر لأول مرة من قبل BSI في عام 1999، والمعروف باسم BS 7799 الجزء الثاني، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع إرشادات للاستخدام". BS 7799-2 ركز على كيفية تنفيذ نظام إدارة أمن المعلومات (ISMS) ، ويشير لهيكل إدارة أمن المعلومات والضوابط المحددة في BS 7799-2. بعدين بقى هادي ISO/IEC 27001:2005. الجزء الثاني من BS 7799 اعتمدته منظمة الأيزو باسم ISO/IEC 27001 في نوفمبر 2005.  الجزء الثالث من البروتوكول BS 7799 نشر سنة 2005، واللي يشمل تحليل المخاطر وإدارتها. هو يتوافق مع المعيار ISO/IEC 27001:2005.  في شوية إشارات أو استخدامات لأي من معايير BS فيما يتعلق بالمعيار ISO/IEC 27001.  شهادة نظام إدارة إدارة المعلومات المشتركة ممكن يكون معتمد بموافقة مع معيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين في العالم. الشهادة بناء على أي من المتغيرات الوطنية المعترف بها من المعيار ISO/IEC 27001 (مثلاً، JIS Q 27001، النسخة اليابانية) من قبل هيئة شهادة معتمدة تعادل وظيفياً الشهادة بناء على المعيار ISO/IEC 27001 نفسه.  في بعض الدول، الهيئات اللي بتتحقق من توافق نظم الإدارة مع المعايير المحددة تسمى "هيئات التصديق"، في حين في دول تانية، عادةً ما تسمى "هيئات التسجيل"، "هيئات التقييم والتسجيل"، "هيئات التصديق/التسجيل"، وأحياناً "مسجلين".  شهادة ISO/IEC 27001، زي شهادات نظام الإدارة الأخرى من قبل ISO، عادةً بتتضمن عملية تدقيق خارجي بتتكون من ثلاث مراحل، المحددة بمعايير ISO/IEC 17021 وISO/IEC 27006:  المرحلة الأولى هي مراجعة أولية غير رسمية لإدارة إدارة المعلومات. على سبيل المثال، هناك عمليات فحص لوجود وكمال الوثائق الأساسية، مثل سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). المرحلة دي بتعمل على تعريف المراجعين بالمنظمة والعكس صحيح. المرحلة الثانية هي تدقيق الامتثال الأكثر تفصيلاً والرسمي، والتي تختبر بشكل مستقل نظام إدارة نظم الخدمات الدولية بمقارنة مع المتطلبات المحددة في ISO/IEC 27001. المراجعين بيحصلوا على أدلة للتأكد من ان نظام الإدارة صمم ووضع بشكل صحيح، ويحصلوا على تأكيد انه عملياً يعمل (على سبيل المثال عن طريق التأكد من ان لجنة أمن أو هيئة إدارة مماثلة تجتمع بانتظام للإشراف على نظام إدارة الأمن الإلكتروني). تدقيقات شهادة الشهادات عادةً بتتعمل من قبل المدققين الرئيسيين للمعيار ISO/IEC 27001. النجاح في هذه المرحلة بيجعل نظام إدارة نظم المعلومات الإلكترونية يتوافق مع المعيار ISO/IEC 27001. التدقيق المستمر يشمل مراجعات متابعة أو عمليات تدقيق للتأكد من أن المنظمة ما تزال تتوافق مع المعيار. صيانة الاعتماد بتتطلب تدقيقات تقييم دورية للتأكد من ان نظام إدارة النظام الإلكتروني يواصل العمل كما هو محدد ومقصود. هاد لازم يكون كل سنة على الأقل، لكن (بالتوافق مع الإدارة) غالبًا ما يكون أكثر تواترًا، خصوصًا في الوقت اللي بقي فيه نظام إدارة المعلومات المشتركة في مرحلة النضج.
هاي هي المراحل التلاتة من شهادة ISO 27001: 1. المرحلة 1: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. الأنشطة بتشمل التحقق من وجود الوثائق الأولية وكمالها. 2. المرحلة 2: تدقيق تفصيلي ورسمي يقوم به طرف ثالث للتحقق من التنفيذ الكافي للمتطلبات المحددة في المعيار ISO 27001 3. مستمر: مراجعات ومراجعات متابعة لتأكيد الامتثال المستمر لمتطلبات ISO 27001.