افز بالعقود والمناقصات التي تطلب إثباتًا لأمن معلوماتك. دليل واضح لما يتطلبه الأيزو 27001، وخطوات الحصول على الشهادة، وما يحدد التكلفة، والمدة اللازمة، وكيف تختار المستشار وجهة منح الشهادات المناسبين في البحرين.
تثبت شهادة الأيزو 27001 في البحرين أن مؤسستك تدير نظامًا لإدارة أمن المعلومات يستوفي متطلبات المعيار الدولي الأيزو 27001 إصدار 2022. وللحصول على الشهادة تحدد النطاق، وتقيّم المخاطر، وتطبق ضوابط الملحق أ ذات الصلة، وتشغّل النظام مع تدقيق داخلي ومراجعة من الإدارة، ثم تجتاز تدقيقًا على مرحلتين تجريه جهة منح شهادات معتمدة. وتكون الشهادة صالحة لثلاث سنوات مع تدقيقات متابعة سنوية. وتعتمد التكلفة على النطاق والحجم ومستوى الأمن الحالي، وتحتاج مؤسسات كثيرة من عدة أشهر إلى نحو سنة للاستعداد.
يصدر الأيزو 27001 عن المنظمة الدولية للتوحيد القياسي واللجنة الكهروتقنية الدولية، وهو أكثر معايير أمن المعلومات استخدامًا. ولا يطلب منك شراء منتج بعينه، بل يطلب أن تدير الأمن كنظام متكامل يقوم على أربعة أجزاء.
السياسات والأفراد والإجراءات والتقنيات التي تستخدمها لحماية سرية المعلومات وسلامتها وتوافرها.
المتطلبات الإلزامية: السياق والنطاق، والقيادة، والتخطيط والمخاطر، والدعم، والتشغيل، وتقييم الأداء، والتحسين.
قائمة مرجعية تضم 93 ضابطًا أمنيًا، تختار منها ما يعالج مخاطرك، من التحكم في الوصول إلى النسخ الاحتياطي والتطوير الآمن.
الوثيقة الأساسية التي تسرد كل ضوابط الملحق أ، وهل تطبق كل ضابط، ولماذا، وكيف يُنفَّذ.
وللاطلاع على النظرة العامة الرسمية، راجع صفحة الأيزو 27001 على موقع المنظمة الدولية للتوحيد القياسي.
جمع إصدار 2022 ضوابط الملحق أ في أربعة محاور. وقد انتهت الفترة الانتقالية للشهادات الصادرة وفق إصدار 2013 الأقدم في أكتوبر 2025، لذلك يجب أن تعتمد المشاريع الجديدة على إصدار 2022.
| محور الضوابط | عدد الضوابط | أمثلة |
|---|---|---|
| تنظيمية | 37 | سياسات الأمن، وجرد الأصول، وأمن الموردين، وإدارة الحوادث، ومعلومات التهديدات، والخدمات السحابية |
| الأفراد | 8 | التحقق من الموظفين، وشروط التوظيف، والتدريب على التوعية، والعمل عن بعد، والإبلاغ عن الأحداث الأمنية |
| مادية | 14 | المناطق الآمنة، وضوابط الدخول، وحماية المعدات، والمكتب والشاشة النظيفين |
| تقنية | 34 | صلاحيات الوصول، والحماية من البرمجيات الخبيثة، والنسخ الاحتياطي، والتسجيل والمراقبة، والبرمجة الآمنة، ومنع تسرب البيانات |
الأيزو 27001 طوعي، لكنه غالبًا أسرع طريقة في البحرين لإثبات أمن معلوماتك أمام العميل، وقد أعلنت جهات عامة مثل مصرف البحرين المركزي حصولها على الشهادة.
اقرأ إعلان المصرف المركزي: حصول مصرف البحرين المركزي على شهادة الأيزو لأمن المعلومات.
هذا هو المسار الذي تتبعه معظم المؤسسات، من الاجتماع الأول حتى الحصول على الشهادة.
تجري جهة منح الشهادات هذه التدقيقات، وليس مستشارك. ومعرفة ما يفحصه كل تدقيق تساعدك على تجنب المفاجآت.
| التدقيق | ما يفحصه المدقق | متى |
|---|---|---|
| المرحلة الأولى | النطاق وتقييم المخاطر وبيان قابلية التطبيق والوثائق الأساسية، ومدى جاهزيتك للمرحلة الثانية | بعد التدقيق الداخلي ومراجعة الإدارة |
| المرحلة الثانية | الأدلة على أن النظام والضوابط تعمل فعليًا، من خلال المقابلات والسجلات وفحص الأنظمة | بعد معالجة ملاحظات المرحلة الأولى |
| تدقيقات المتابعة | عينة من النظام والملاحظات المفتوحة والتحسين المستمر | مرة واحدة على الأقل سنويًا في السنتين الثانية والثالثة |
| إعادة منح الشهادة | النظام بالكامل مرة أخرى لتجديد الشهادة ثلاث سنوات أخرى | قبل انتهاء صلاحية الشهادة ذات السنوات الثلاث |
لا توجد قائمة أسعار ثابتة، وأي عرض سعر يُقدَّم قبل تقييم الفجوات هو مجرد تخمين. وتتكون التكلفة الإجمالية من هذه الأجزاء، ويحدد نطاقك ومستوى الأمن الحالي لديك حجم كل جزء منها:
وللجانب التقني من العمل، اطّلع على خدمات الأمن السيبراني في البحرين.
يكتفي كثير من المستشارين بتسليمك حزمة من نماذج السياسات. أما نحن فشركة تقنية معلومات وأمن، لذلك نعالج الفجوات التقنية أيضًا: نحصّن الخوادم، ونجهز النسخ الاحتياطي والمراقبة، ونختبر أنظمتك، ونمنح المدقق أدلة حقيقية. نحن نجهزك للتدقيق، بينما تصدر الشهادة جهة منح شهادات مستقلة ومعتمدة.
كثيرًا ما تواجه الشركات في البحرين الثلاثة معًا، وهي تتداخل لكن أحدها لا يغني عن الآخر.
| الإطار | ما هو | على من ينطبق | كيف يساعد الأيزو 27001 |
|---|---|---|---|
| الأيزو 27001 | معيار دولي طوعي لإدارة أمن المعلومات | أي مؤسسة تختار الحصول على الشهادة | هو الإطار نفسه |
| قانون حماية البيانات الشخصية في البحرين | القانون المنظم لمعالجة البيانات الشخصية في البحرين | الجهات التي تعالج بيانات شخصية في البحرين | يدعم الالتزامات الأمنية، لكنه لا يغطي الموافقة وحقوق الأفراد |
| دليل أنظمة مصرف البحرين المركزي | قواعد المؤسسات المالية المرخصة من مصرف البحرين المركزي | الجهات المرخصة من المصرف المركزي، ومورّدوها من خلال العقود | يوفر جزءًا كبيرًا من أدلة الحوكمة والضوابط، لكنه لا يغني عن قواعد المصرف المركزي المحددة |
اقرأ المزيد في دليلينا حول الامتثال لقانون حماية البيانات الشخصية في البحرين و متطلبات الأمن السيبراني لمصرف البحرين المركزي.
تحتاج إلى شريكين مختلفين: مستشار أو جهة تطبيق تساعدك على الاستعداد، وجهة منح شهادات تدققك وتصدر الشهادة. تحقق من كليهما بعناية.
يمكنك التحقق من الشهادات المعتمدة عبر قاعدة بيانات المنتدى الدولي للاعتماد.
نخدم البحرين والخليج — بما في ذلك المنامة والمحرق وسترة — منذ 1995.
اجعل نطاقك الأول محدودًا. احصل على الشهادة للخدمة التي يسأل عنها عملاؤك فعلًا، مثل منصتك أو الاستضافة أو عمليات الدعم، بدلًا من المجموعة كلها دفعة واحدة. فالنطاق الأصغر يعني ضوابط أقل تحتاج إلى أدلة، وتدقيقات أقصر، وشهادة أسرع، ويمكنك توسيعه في تدقيق لاحق. وقبل المرحلة الثانية، أجرِ اختبار اختراق حتى تُثبت للمدقق أن ضوابطك التقنية تعمل. وللاختبار والتحصين، اطّلع على اختبار الاختراق في البحرين.
أخبرنا بنشاط شركتك والخدمات التي تريد أن تشملها الشهادة والموعد النهائي لديك. وسنراجع موقعك مقارنةً بالأيزو 27001، ونعرض عليك الفجوات مرتبة بحسب المخاطر، ونرسل خطة واضحة للسياسات والضوابط التقنية والاستعداد للتدقيق.
الأيزو 27001 هو المعيار الدولي لنظام إدارة أمن المعلومات. وتعني الشهادة أن جهة منح شهادات معتمدة دققت نظام إدارة أمن المعلومات لديك وأكدت أنه يستوفي متطلبات المعيار. والإصدار الحالي هو إصدار 2022.
لا يوجد سعر ثابت. فالتكلفة الإجمالية تعتمد على نطاق نظام إدارة أمن المعلومات، وعدد الموظفين والمواقع والأنظمة، ومدى نضج الأمن لديك حاليًا، وهل تستعين بمستشار. ضع في ميزانيتك أعمال التحضير، وتحسينات الأمن، ورسوم تدقيق منح الشهادة، وتدقيقات المتابعة السنوية. ويمنحك تقييم الفجوات عرض سعر واقعيًا.
يعتمد ذلك على نقطة البداية لديك، وتحتاج مؤسسات كثيرة من عدة أشهر إلى نحو سنة. ويجب أن يكون نظام إدارة أمن المعلومات قيد التشغيل وينتج سجلات، ومنها تدقيق داخلي ومراجعة من الإدارة، قبل تدقيق المرحلة الثانية. ويختصر النطاق الواضح وتقييم الفجوات المبكر هذه المدة.
لا يوجد قانون عام في البحرين يجعل شهادة الأيزو 27001 إلزامية لكل الشركات، فهي طوعية. لكن العملاء والبنوك والمناقصات الحكومية والشركاء كثيرًا ما يطلبونها. كما يجب على الجهات الخاضعة للتنظيم الالتزام بقواعدها الخاصة، مثل قانون حماية البيانات الشخصية ودليل أنظمة مصرف البحرين المركزي، ويساعد الأيزو 27001 في دعم هذا الالتزام.
يضم الملحق أ في إصدار 2022 من الأيزو 27001 عدد 93 ضابطًا في أربعة محاور: 37 ضابطًا تنظيميًا، و8 ضوابط تخص الأفراد، و14 ضابطًا ماديًا، و34 ضابطًا تقنيًا. وتختار الضوابط التي تنطبق على مخاطرك وتشرح اختياراتك في بيان قابلية التطبيق.
يحدد الأيزو 27001 متطلبات نظام إدارة أمن المعلومات، وهو المعيار الذي تحصل على الشهادة بموجبه. أما الأيزو 27002 فهو دليل إرشادي يشرح بتفصيل أكبر كيفية تطبيق كل ضابط من ضوابط الملحق أ، ولا يمكن الحصول على شهادة بموجبه.
لا. فالمستشار يساعدك على بناء نظام إدارة أمن المعلومات والاستعداد للتدقيق، أما الشهادة فتصدرها جهة منح شهادات مستقلة، ويُفضَّل أن تكون معتمدة من هيئة اعتماد معترف بها. وحفاظًا على الحياد، لا ينبغي أن تكون جهة منح الشهادات هي نفسها من بنى نظامك. ويمكنك التحقق من الشهادة عبر قاعدة بيانات المنتدى الدولي للاعتماد.
تكون شهادة الأيزو 27001 صالحة عادةً لمدة ثلاث سنوات، وتجري جهة منح الشهادات خلالها تدقيقات متابعة مرة واحدة على الأقل كل سنة، ثم تدقيق إعادة منح الشهادة قبل انتهاء صلاحيتها.
ليس وحدها. فالأيزو 27001 يمنحك ضوابط أمنية قوية وإدارة للمخاطر وسجلات تدعم الالتزامات الأمنية في قانون حماية البيانات الشخصية. لكن القانون يشمل أيضًا الموافقة وحقوق الأفراد والتزامات أخرى لا يغطيها الأيزو 27001. هذه إرشادات عملية وليست استشارة قانونية.
يقارن تقييم الفجوات سياساتك وإجراءاتك وضوابطك التقنية الحالية بمتطلبات الأيزو 27001 والملحق أ. فيوضح ما ينقصك، ويرتّب العمل بحسب المخاطر، ويمنحك خطة وجدولًا زمنيًا وميزانية واقعية قبل أن تبدأ.
نعم، فالمعيار يناسب المؤسسات بكل أحجامها. ويمكن للشركة الصغيرة أن تُبقي النطاق مركّزًا، مثلًا على منتج أو خدمة أو مكتب واحد، وأن تستخدم سياسات بسيطة وأدوات عملية، ثم توسّع نظامها لاحقًا.
راسل إكس فور أرابيا على واتساب على الرقم 97313335333+ وأخبرنا بنشاط شركتك، والأنظمة والمواقع التي تريد أن تشملها الشهادة، والموعد النهائي الذي تعمل عليه. وسنقترح تقييمًا للفجوات ونرسل لك خطة واضحة.