معيار نظام إدارة أمن المعلومات آيزو 27001

المعيار أيزو 27001 هو معيار دولي نشر بواسطة المنظمة الدولية للمعايير ( الايزو)، وهو معيار لوصف كيفية إدارة أمن المعلومات بالمؤسسة. آخر تنقيح لهذا المعيار نشر سنة 2013، والمعنون بـ ISO/IEC 27001:2013 . النسخة الاولى من هذا المعيار نشرت بالعام 2005 , حيث طورت عن المعيار البريطاني BS 7799-2.

قوة المعيار تتمثل في تكيفه بحيث يمكن تطبيقه على جميع انواع المؤسسات , الربحية والغير ربحية، الخاصة أو المملوكة للدولة، المؤسسات الصغيرة والكبيرة. وقد كتب هذا المعيار بواسطة أفضل الخبراء الدوليين بمجال أمن المعلومات مزودا بمنهجية لتطبيق نظم إدارة أمن المعلومات بالمؤسسة.كما يمكن للمؤسسات أن تنال شهادة خاصة بتنفيذ المعيار (الالتزام) من خلال تدقيق طرف خارجي على صحة تنفيذ الالتزام بمتطلبات المعيار ما يعني ان جسم مستقل لمنح الشهادات يقر ان المؤسسة نفدت متطلبات إدارة أمن المعلومات بما يتلائم وهذا المعيار.

يحدد هذا المعيار متطلبات إنشاء، تنفيذ ، صيانة واستمرار تحسين نظام إدارة أمن المعلومات بالمؤسسة.

ويشمل هذا المعيار الدولي أيضا متطلبات تقييم وعلاج مخاطر أمن المعلومات وفقا لاحتياجات المؤسسة. المتطلبات الواردة في هذه المواصفة هي عامة ويقصد بها أن تنطبق على جميع المؤسسات، بغض النظر عن نوع وحجم أو طبيعة تلك المؤسسة. استبعاد أي من المتطلبات المحددة في الفقرات 4-10 غير مقبول عندما تدعي المؤسسة تبنيها لتطبيق المعيار الدولي

يركز المعيار أيزو 27001 على حماية معلومات المؤسسة على مستوى الخصوصية،السلامة والقدرة على الوصول. ينجز هذا العمل من خلال ايجاد المشاكل المحتملة التي يمكن ان تحدث للمعلومات (مايسمى تقييم الخطر )، ومن ثم تحديدالاحتياجات المطلوبة لمنع مثل هذه المشاكل من الحدوث (مايسمى تقليل المخاطر او معالجة المخاطر ). وبناء عليه فإن فلسفة المعيار أيزو 27001 تقوم على أساس ادارة المخاطر: ايجاد مكامن الاخطار، ومن ثم معالجتها بطريقة منهجية.

ستعمل شركة التميز للاستشارات وأمن المعلومات على تقديم المساعدة للمؤسسات الليبية فيما يخص تطبيق نظام ادارة أمن المعلومات من خلال مهندسيها لتغطية جميع المتطلبات الضرورية وتنفيذ ضوابط الحماية حسب ما سيتم سرده ضمن بيان التطابق بحيث يتم وضع أداوات الحماية في مكانها المناسب وضمن افضل ميزانية وتوقيت.

بحيث ستعمل شركة التميز على النقاط التالية:

1. التواصل مع الادارة العلية لدعم تطبيق النظام
2. تحديد نطاق العمل
3. كتابة السياسة العامة لنظام ادارة أمن المعلومات
4. تحديد منهجية إدارة المخاطر
5. إجراء تقييم ومعالجة المخاطر
6. إعداد بيان التطابق
7. كتابة خطة معالجة المخاطر
8. تنفيذ الضوابط والاجراءات الاجبارية
9. تنفيذ برامج التدريب والتوعية
10. تحديد كيفية قياس فاعلية الضوابط
11. تشغيل نظام إدارة أمن المعلومات
12. مراقبة نظام إدارة امن المعلومات
13. المساعدة في إجراءات وتنفيذ التدقيق الداخلي
14. تقديم الادلة للادارة
15. الاجراءات التصحيحية والوقائية