إدارة مخاطر المعلومات وحماية السرية والسلامة والتوافر دون وعود بحماية مطلقة.
ماذا يقدم المعيار؟
يحدد ISO/IEC 27001:2022 متطلبات نظام إدارة أمن المعلومات. ويعتمد على تقييم المخاطر ومعالجتها لحماية سرية المعلومات وسلامتها وتوافرها. وهو إطار إدارة يشمل الأشخاص والسياسات والتقنية، وليس منتج حماية واحدًا.
تطبيقات عملية على الملفات المالية
- حصر المعلومات الحساسة وتحديد من يحتاج إلى الوصول إليها.
- اختيار ضوابط وصول ومشاركة وحفظ تتناسب مع المخاطر.
- إعداد إجراءات للاستجابة للحوادث واختبار استعادة البيانات.
- مراجعة فعالية الضوابط وتدريب العاملين وتوثيق التحسينات.
هذه أمثلة تنظيمية؛ وتحدد الضوابط اللازمة بعد تقييم بيئة المنشأة، لا بمجرد نسخ قائمة ثابتة.
التطبيق والشهادة
تطبيق نظام إدارة أمن المعلومات والحصول على شهادة مطابقة أمران مختلفان. ولا تعني الشهادة انعدام المخاطر، ولا تثبت بمفردها الامتثال لجميع الأنظمة. تراجع شهادة أي منشأة من حيث الجهة المانحة والنطاق والصلاحية قبل الاستناد إليها.