يتناول ISO/IEC 27001:2022 نظام إدارة مخاطر سرية المعلومات وسلامتها وتوافرها. لا تضمن الشهادة فشل كل هجوم.

01

حدود المعلومات والتشغيل

صف الخدمات والعمليات والمواقع والأشخاص والمعلومات والتقنية الداخلة في النطاق. وضح الواجهات مع مزودي السحابة والعمل عن بعد. لا تلغي منصة خارجية مسؤولية الصلاحيات والعقود ومعالجة البيانات. لا تمتد شهادة خدمة مستضافة واحدة تلقائيًا إلى كل المنتجات أو مواقع الشركة.

02

ربط قرار المخاطر ببيان قابلية التطبيق

قيم المخاطر بمعايير متفق عليها، واختر المعالجة وحدد المسؤولين. يوضح بيان قابلية التطبيق الضوابط اللازمة وحالة تنفيذها وأسباب الإدراج أو الاستبعاد مقارنة بالمجموعة المرجعية. نسخ قائمة مؤسسة أخرى دون النظر إلى مخاطرك يقطع تسلسل القرار. قد تستلزم الالتزامات والنشاط ضوابط إضافية.

03

اختبار الحدود بمثال عملي

في خدمة رواتب افتراضية حدد من يمنح الوصول وأين تحفظ الملفات ومن يدعم النظام ومن يستعيد البيانات. يربط بقاء حساب موظف غادر بالمخاطر وعملية سحب الوصول وأدلة الاختبار. اختبار الاختراق وحده لا يثبت كل الضوابط التنظيمية والبشرية والمادية للنظام.

04

الطلب والصلاحية المستقلة

قدم النطاق والمواقع والعاملين والجهات والموارد التي يعتمد عليها النظام وتقييم المخاطر ومعالجتها وحالة التنفيذ. يضيف ISO/IEC 27006-1 متطلبات كفاءة وحياد جهات شهادة أمن المعلومات. لا تصدر ISO شهادات؛ تحقق من المصدر وأي نطاق اعتماد معلن لهذا المعيار والنشاط. ينفذ صاحب الطلب النظام ويعد الإجراءات الخاصة بنشاطه وسجلات التشغيل. يتعلق طلب منح الشهادة الموجه إلى Kayra بالأنشطة والمواقع الفعلية ومعلومات الطلب والصلاحيات ومخاطر الحياد؛ ولا يشمل هذا الدور تصميم نظام العميل أو تنفيذه. لا يجوز لجهة منح شهادات نظم الإدارة أو الأجزاء الأخرى من الكيان القانوني نفسه أو الكيانات الخاضعة لسيطرتها التنظيمية أن تعرض أو تقدم هذه الاستشارات؛ ولا تلغي العقود المنفصلة هذا القيد.

المصادر وحدود التطبيق

المثال افتراضي. يسجل الكتالوج ISO/IEC 27001:2022 وتعديل 2024؛ تحقق من نسخة الشهادة الفعلية وحالتها بشكل منفصل.