استناداً على النص المرجعي، احضر قائمة من المراحل الثلاث من شهادة ISO 27001 والأنشطة لكل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. النموذج نشر في الأصل مشتركًا من قبل المنظمة الدولية للتقييس (ISO) واللجنة الالكترونية التقنية الدولية (IEC) في عام 2005 ، تمت مراجعته في عام 2013 ، ومجددًا في الآونة الأخيرة في 2022. ثمة ايضاً العديد من الاختلافات الوطنية المعترف بها للمعيار. هُوَ يَفصّلُ الاحتياجاتِ لإنشاء، تنفيذ، الحفاظ على وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) <unk> الهدف منه هو مساعدة المنظمات على جعل أصول المعلومات التي يحتفظون بها أكثر أماناً. المنظمات التي تفي بمتطلبات المعيار يمكن ان تختار ان تكون معتمدة من قبل هيئة معتمدة بعد الانتهاء بنجاح من التدقيق. فعالية عملية شهادة ISO/IEC 27001 والمعيار الكلي تمت معالجته في دراسة واسعة النطاق أجريت في 2020.  كيف يعمل المعيار معظم المنظمات عنده عدد من ضوابط امنية المعلومات. لكن بدون نظام ادارة امن المعلومات (ISMS) ، تميل الضوابط الى ان تكون غير منظمة وغير مترابطة الى حد ما، بعد ان تم تنفيذها غالبا كحلول نقطية لحالات محددة او ببساطة كمسألة اتفاقية. الضوابط الامنية في التشغيل عادةً تتعامل مع جوانب معينة من تكنولوجيا المعلومات او امن البيانات تحديداً. تترك أصول المعلومات غير تكنولوجيا المعلومات (مثل الوثائق والمعرفة المملوكة) اقل حماية بشكل عام. علاوة على ذلك، التخطيط لاستمرارية العمل والأمن المادي يمكن ان يدار بشكل مستقل تماماً عن تكنولوجيا المعلومات او أمن المعلومات بينما ممارسات الموارد البشرية يمكن ان تشير قليلاً إلى الحاجة لتعريف وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  ISO/IEC 27001 يطلب ان الادارة:  فحص منظم للمخاطر الامنية للمعلومات بالمنظمة مع مراعاة التهديدات والضعف والتأثيرات صممت وتنفيذ مجموعة متماسكة وشاملة من ضوابط امن المعلومات و/أو اشكال اخرى من معالجة المخاطر (مثل تجنب المخاطر او نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة، و اعملي عملية ادارة شاملة لضمان ان ضوابط امن المعلومات تواصل تلبية احتياجات امن المعلومات للمنظمة على اساس مستمر. ايش من ضوابط سيتم اختبارها كجزء من الاعتماد على ISO/IEC 27001 يعتمد على مدقق الاعتماد. هذا يمكن ان يتضمن اي ضوابط اعتبرتها المنظمة ان تكون ضمن نطاق ISMS ويمكن ان يكون هذا الاختبار في اي عمق او مدى حسب تقييم المدقق حسب الحاجة لاختبار ان الضبط تم تنفيذه ويعمل بفعالية.  الإدارة تحدد نطاق ISMS لأغراض الاعتماد ويمكن تحديده على سبيل المثال لوحدة تجارية او موقع واحد. شهادة ISO/IEC 27001 لا تعني بالضرورة ان بقية المنظمة، خارج المنطقة المشمولة، لديها نهج كاف لإدارة أمن المعلومات.  معايير اخرى في عائلة المعايير ISO/IEC 27000 توفر توجيهات اضافية على جوانب معينة من تصميم وتنفيذ وتشغيل نظام ISMS، مثلًا على إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ الايزو/ايس اي سي 27001 بي اس 7799 كان معيار نشرته مجموعة بي اس آي في الاصلي في 1995. كتبها وزارة التجارة والصناعة في الحكومة البريطانية (DTI) ويتكون من عدة اجزاء.  الجزء الاول، الذي يحتوي على افضل الممارسات لإدارة أمن المعلومات، تم تنقيحه في 1998؛ بعد مناقشة مطولة في الهيئات العالمية المعايرة، اعتمدته في النهاية منظمة الايزو كإيزو/ايك 17799، "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات". في 2000. بعد كده تم مراجعة ISO/IEC 17799 في يونيو 2005 واخيراً تم دمجها في سلسلة المعايير ISO 27000 كISO/IEC 27002 في يوليو 2007.  الجزء الثاني من BS7799 نشره اول مرة من قبل BSI في 1999، والمعروف باسم BS7799 الجزء الثاني، بعنوان "أنظمة ادارة أمن المعلومات - المواصفات مع توجيهات للاستخدام". بي اس 7799-2 ركز على كيفية تنفيذ نظام ادارة امن المعلومات (اي اس ام اس) ، مشير الى هيكل ادارة امن المعلومات والضوابط المحددة في بي اس 7799-2. هذا بعدين اصبح ايزو/ايك 27001:2005. بي اس 7799 الجزء الثاني اعتمدته ايزو كايزو/ايك 27001 في نوفمبر 2005.  BS 7799 الجزء الثالث نُشر في 2005، يغطي تحليل المخاطر وإدارتها. هو يتوافق مع الايزو/ايس اي سي 27001:2005.  اشتهار قليل جداً او يستخدم اي من معايير بي اس فيما يخص ايزو ايك 27001.  شهادة نظام ISMS يمكن ان يكون معتمد وفقًا لمعيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين حول العالم. شهادة ضد اي من المتغيرات الوطنية المعترف بها من ISO/IEC 27001 (مثلاً JIS Q 27001 ، النسخة اليابانية) من قبل هيئة شهادة معتمدة تعادل وظيفياً للشهادة ضد ISO/IEC 27001 نفسها.  فِي بَعْضِ الْبُلْدَانِ ، الْمَجَامِعُ الَّتِي تَتَحَقَّقُ مِنْ مُطَابَقَةِ أَنْظَامِ الْإِدَارَةِ لِمَعَايِنَ مُعَيَّنَةٍ تُدْعَى "مَجَامِعَ التَّصْدِيقِ" ، وَفِي بَعْضِ الْبُلْدَانِ الْآخَرِ ، تُدْعَى عَامَّةً "مَجَامِعَ التَّسْجِيلِ" ، "مَجَامِعَ التَّقْيِيمِ وَالتَّسْجِيلِ" ، "مَجَامِعَ التَّصْدِيقِ/التَّسْجِيلِ" ، وَأَحْيَانًا "مَام  شهادة ISO/IEC 27001 ، مثل شهادات نظام الادارة الاخرى من قبل ISO ، عادةً ما تتضمن عملية تدقيق خارجي من ثلاث مراحل محددة بمعايير ISO/IEC 17021 و ISO/IEC 27006:  المرحلة 1 هي مراجعة مبدئية غير رسمية لـ ISMS. مثلًا هناك فحصات لوجود وكمال الوثائق الأساسية، مثل سياسة أمن المعلومات للمنظمة، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). هذه المرحلة تخدم لتعريف المدققين بالمنظمة والعكس. المرحلة الثانيه هي تدقيق امتثال رسمي ومفصل اكثر، يختبر بشكل مستقل نظام إدارة النظام الدولي للمعلومات مقابل المتطلبات المحددة في الـ ISO/IEC 27001. المدققون سيبحثون عن دلائل للتأكد من ان نظام الإدارة صُمِمَ ويتم تنفيذه بشكل صحيح، ويعمل فعلاً (مثلاً عن طريق التأكد من ان لجنة الأمن او هيئة إدارة مماثلة تجتمع بانتظام لمراقبة نظام إدارة الأمن الدولي). التدقيقات على الشهادات عادةً تُجرى من قبل مدققين التدقيقات الرئيسيين للمعيار ISO/IEC 27001. اجتياز هذه المرحلة ينتج عنه شهادة نظام إدارة المعلومات الدولية متوافق مع الايزو/ايس اي سي 27001. التدقيق المستمر يتضمن مراجعات متابعة او تدقيقات للتأكد من ان المنظمة ما زالت تتوافق مع المعيار. صيانة الاعتماد تتطلب مراجعات تقييم دورية للتأكد من ان الايس ام اس مستمر في العمل كما هو محدد ومقصود. هَذَا يَجِبُ أَنْ يَحْدُثَ سنويًا على الأقل لكن (بموافقه مع الإدارة) غالباً يُجْرَى بِكَثْرَةٍ، خصوصاً و ISMS لا يزال في مرحلة النضج.
هذي المراحل الثلاثة من شهادة ISO 27001: واحد. المرحلة 1: مراجعة أولية غير رسمية لنظام ادارة امن المعلومات. النشاطات تشتمل على التحقق من وجود وثائق أولية وكمالها. اثنين. المرحلة الثانية: تدقيق رسمي ومفصل يقوم به طرف ثالث للتحقق من التنفيذ الملائم للاحتياجات المحددة في الايزو 27001 ثالثاً. مستمرة: مراجعات ومراجعات متابعة للتأكد من الامتثال المستمر لمتطلبات الايزو 27001.