على أساس النص المرجعي، قدم قائمة من المراحل الثلاث من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. تم نشر المعيار في الأصل بشكل مشترك من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الإلكترونية الدولية (IEC) في عام 2005، تمت مراجعته في عام 2013، ومرة أخرى في الآونة الأخيرة في 2022. هناك أيضاً العديد من المتغيرات الوطنية المعترف بها للمعيار. يوضح متطلبات إنشاء وتنفيذ وصيانة وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) <unk> والذي يهدف لمساعدة المنظمات على جعل أصول المعلومات التي تحتفظ بها أكثر أمانًا. المنظمات التي تفي بمتطلبات المعيار يمكنها اختيار الحصول على شهادة من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. فعالية عملية شهادة ISO/IEC 27001 والمعيار الكلي تمت معالجتها في دراسة واسعة النطاق أجريت في عام 2020.  كيف يعمل المعيار؟ معظم المنظمات لديها عدد من ضوابط أمن المعلومات. ومع ذلك، بدون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط إلى أن تكون غير منظمة وغير مترابطة إلى حد ما، بعد أن تم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. الضوابط الأمنية في التشغيل عادةً تعالج جوانب معينة من تكنولوجيا المعلومات (IT) أو أمن البيانات على وجه التحديد؛ تاركة أصول المعلومات غير تكنولوجيا المعلومات (مثل الأوراق والمعرفة الملكية) أقل حماية بشكل عام. وعلاوة على ذلك، تخطيط استمرارية العمل والأمن المادي يمكن إدارته بشكل مستقل تماماً عن تكنولوجيا المعلومات أو أمن المعلومات، في حين أن ممارسات الموارد البشرية قد لا تشير إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  المعيار ISO/IEC 27001 يطلب من الإدارة:  فحص بشكل منهجي مخاطر أمن المعلومات للمنظمة، مع مراعاة التهديدات، نقاط الضعف، والتأثيرات. صمم وطبق مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة، و تبني عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات للمنظمة على أساس مستمر. ما هي الضوابط التي سيتم اختبارها كجزء من التصديق على ISO/IEC 27001 يعتمد على مدقق التصديق. هذا يمكن أن يشمل أي ضوابط اعتبرتها المنظمة ضمن نطاق نظام إدارة نظم المعلومات الدولية، ويمكن أن يكون هذا الاختبار في أي عمق أو مدى حسب تقييم المراجع حسب الحاجة لاختبار أن الضوابط تم تنفيذها وتعمل بفعالية.  الإدارة تقرر نطاق نظام إدارة المعلومات المشتركة لأغراض التصديق وقد تحد منه، على سبيل المثال، إلى وحدة أعمال واحدة أو موقع واحد. شهادة ISO/IEC 27001 لا تعني بالضرورة أن بقية المنظمة، خارج المنطقة المشمولة، لديها نهج مناسب لإدارة أمن المعلومات.  معايير أخرى في عائلة المعايير ISO/IEC 27000 توفر توجيهات إضافية حول جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال حول إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ الايزو/ايك 27001 بي اس 7799 كان معيار نشر في البداية من قبل مجموعة بي اس آي في 1995. كتبت من قبل وزارة التجارة والصناعة في حكومة المملكة المتحدة (DTI) وتتكون من عدة أجزاء.  الجزء الاول، والذي يحتوي على أفضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في عام 1998؛ بعد مناقشة طويلة في هيئات المعايير العالمية، اعتمدته منظمة الأيزو في النهاية باسم ISO/IEC 17799, "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". في عام 2000. ثم تم مراجعة ISO/IEC 17799 في يونيو 2005 وتم دمجها أخيرًا في سلسلة معايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  الجزء الثاني من BS7799 نشر لأول مرة من قبل BSI في عام 1999، والمعروف باسم BS 7799 الجزء الثاني، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع إرشادات للاستخدام". BS 7799-2 ركز على كيفية تنفيذ نظام إدارة أمن المعلومات (ISMS) ، مشيرًا إلى هيكل إدارة أمن المعلومات والضوابط المحددة في BS 7799-2. بعدين اصبح المعيار ISO/IEC 27001:2005. تم اعتماد BS 7799 الجزء الثاني من قبل ISO كISO/IEC 27001 في نوفمبر 2005.  نشر BS 7799 الجزء الثالث في عام 2005، والذي يغطي تحليل المخاطر وإدارتها. يتوافق مع المعيار ISO/IEC 27001:2005.  القليل جداً من الإشارة أو الاستخدام لأي من معايير BS في اتصال مع ISO/IEC 27001.  شهادة نظام إدارة إدارة المعلومات يمكن أن يكون معتمد متوافق مع معيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين في جميع أنحاء العالم. التصديق على أي من المتغيرات الوطنية المعترف بها من ISO/IEC 27001 (مثل JIS Q 27001، النسخة اليابانية) من قبل هيئة التصديق المعتمدة يعادل وظيفياً التصديق على ISO/IEC 27001 نفسه.  في بعض البلدان، الهيئات التي تتحقق من توافق نظم الإدارة مع المعايير المحددة تسمى "هيئات التصديق"، في حين في بلدان أخرى يشار إليها عادة باسم "هيئات التسجيل"، "هيئات التقييم والتسجيل"، "هيئات التصديق/التسجيل"، وأحيانا "سجلات".  شهادة ISO/IEC 27001، مثل شهادات نظم الإدارة الأخرى من قبل ISO، عادةً تتضمن عملية تدقيق خارجي من ثلاث مراحل محددة بمعايير ISO/IEC 17021 و ISO/IEC 27006:  المرحلة الأولى هي مراجعة أولية غير رسمية لإدارة نظم المعلومات الدولية. على سبيل المثال، هناك عمليات فحص لوجود وكمال الوثائق الرئيسية، مثل سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). هذه المرحلة تخدم لتعريف المدققين بالمنظمة والعكس صحيح. المرحلة الثانية هي تدقيق الامتثال الرسمي والأكثر تفصيلاً، حيث يتم اختبار نظام إدارة نظم الخدمات الإلكترونية بشكل مستقل مع متطلبات المعيار ISO/IEC 27001. المراجعين سيبحثون عن أدلة للتأكيد على أن نظام الإدارة تم تصميمه وتنفيذه بشكل صحيح، وهو في الواقع يعمل (على سبيل المثال عن طريق التأكيد على أن لجنة الأمن أو هيئة إدارة مماثلة تجتمع بانتظام للإشراف على نظام إدارة الأمن المشترك). عادةً ما يدير مدققي شهادات المعايير الدولية ISO/IEC 27001 تدقيقات شهادات. اجتياز هذه المرحلة ينتج عنها شهادة نظام إدارة نظم المعلومات المتوافقة مع المعيار ISO/IEC 27001. التدقيق المستمر يشمل مراجعات متابعة أو تدقيقات للتأكد من أن المنظمة ما زالت تتوافق مع المعيار. صيانة الاعتماد تتطلب مراجعات دورية لإعادة التقييم للتأكد من أن نظام إدارة الأمن المشترك يستمر في العمل كما هو محدد ومقصود. يجب ان يحدث هذا مرة كل سنة على الاقل، لكن (بموافقة مع الإدارة) غالبا ما يجري بشكل متكرر، خصوصاً في الوقت الذي مازال فيه نظام إدارة نظم المعلومات المشتركة في مرحلة النضج.
في الاسفل ثلاث مراحل من شهادة ISO 27001: واحد. المرحلة 1: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. الأنشطة تتضمن التحقق من وجود وثائق أولية وكمالها. ثاني. المرحلة 2: تدقيق رسمي ومفصل يقوم به طرف ثالث للتحقق من صحة التنفيذ الكافي للمتطلبات المحددة في المعيار ISO 27001 ثلاثة. مستمر: مراجعات ومراجعات متابعة للتأكد من استمرار الامتثال لمتطلبات ISO 27001.