ISO 27001 للبنوك وشركات التقنية المالية في الأردن
في البنوك وشركات FinTech، المعلومات ليست مجرد ملفات داخل أنظمة تقنية.
هي قد تشمل:
بيانات العملاء.
المعلومات المالية.
بيانات الدخول والتحقق.
سجلات المعاملات.
بيانات البطاقات والدفع.
واجهات API.
أنظمة التحويل الإلكتروني.
بيانات الموظفين.
وبيانات مقدمي الخدمات الخارجيين.
لذلك فإن أي خلل في Confidentiality أو Integrity أو Availability قد يتحول بسرعة إلى حادث أمني أو توقف خدمة أو خسارة مالية أو إخلال تنظيمي.
لهذا تكتسب ISO/IEC 27001:2022 أهمية خاصة في القطاع المالي باعتبارها معيارًا دوليًا لبناء Information Security Management System — ISMS قائم على إدارة المخاطر.
لماذا القطاع المالي مختلف؟
البنك أو شركة التقنية المالية يعملان في بيئة ترتبط فيها تقنية المعلومات مباشرة بالخدمة المقدمة للعميل.
مثلًا:
تعطل تطبيق مصرفي قد يؤثر في Availability.
تغيير بيانات معاملة دون تصريح يؤثر في Integrity.
تسريب معلومات حساب العميل يؤثر في Confidentiality.
واختراق مقدم خدمة خارجي قد يصل تأثيره إلى المؤسسة نفسها.
لذلك لا يكفي النظر إلى الأمن السيبراني باعتباره مسؤولية قسم IT فقط.
ISO 27001 تنظر إليه كنظام إدارة يشمل:
People + Processes + Technology + Suppliers + Governance + Risk Management
ما علاقة ISO 27001 بالبنك المركزي الأردني؟
البنك المركزي الأردني لديه إطار مستقل للأمن السيبراني للقطاع المالي والمصرفي.
ويشير Cybersecurity Framework for the Financial Sector إلى ارتفاع المخاطر السيبرانية الناتجة عن توسع الخدمات الرقمية، ويهدف إلى بناء بنية مالية أكثر قدرة على التكيف مع المخاطر من خلال ضوابط فعالة ومنهج قائم على تحليل المخاطر والاستجابة للحوادث.
وهذا يتقاطع بصورة واضحة مع فلسفة ISO 27001 القائمة على:
Risk Identification → Risk Assessment → Risk Treatment → Monitoring → Improvement
لكن يجب عدم الخلط بينهما.
ISO 27001 لا تستبدل متطلبات البنك المركزي الأردني.
إذا كان البنك المركزي يفرض تعليمات أو أطرًا أو ضوابط محددة على مؤسسة مالية، فإن حصولها على ISO 27001 لا يعفيها من تنفيذ تلك المتطلبات.
ماذا عن شركات FinTech والدفع الإلكتروني؟
ليس كل نشاط FinTech متطابقًا من الناحية التنظيمية.
لكن بالنسبة لبعض الأنشطة الخاضعة لإشراف البنك المركزي، توجد متطلبات قطاعية واضحة.
وتعرض Jo-FinCERT حاليًا دليل ضوابط الأمن السيبراني للقطاع المالي غير البنكي، إلى جانب تعاميم إلزامية خاصة بفئات تشمل:
شركات الدفع والتحويل الإلكتروني للأموال.
شركات التمويل والمعلومات الائتمانية.
شركات التأمين.
وبعض شركات الصرافة.
كما ينشر البنك المركزي تشريعات وتعليمات خاصة بأنظمة الدفع، تشمل موضوعات مثل:
التكيف مع المخاطر السيبرانية.
الحوسبة السحابية.
التعهيد التقني والتكنولوجي.
والحوكمة لشركات الدفع والتحويل الإلكتروني للأموال.
إذن السؤال بالنسبة لشركة FinTech ليس:
هل نطبق ISO 27001 أم متطلبات البنك المركزي؟
بل غالبًا:
كيف نبني ISMS يتكامل مع جميع المتطلبات التنظيمية والتعاقدية المطبقة علينا؟
ما الذي تضيفه ISO 27001؟
ISO 27001 تساعد المؤسسة على جمع متطلبات أمن المعلومات داخل نظام واحد بدل التعامل معها كمشاريع منفصلة.
وتبدأ من:
Context & Scope
ثم:
Information Security Risks
ثم:
Controls and Risk Treatment
ثم المتابعة والتدقيق والتحسين.
وهذا مهم جدًا في مؤسسة مالية تتعامل في الوقت نفسه مع:
التشريعات.
متطلبات البنك المركزي.
متطلبات العملاء.
مقدمي الخدمات السحابية.
موردين تقنيين.
أنظمة الدفع.
ومتطلبات أمنية دولية أخرى.
1. إدارة صلاحيات الوصول
من أكثر الموضوعات حساسية في البنوك وFinTech:
Access Control.
يجب أن تستطيع المؤسسة الإجابة عن أسئلة مثل:
من يستطيع الوصول إلى بيانات العملاء؟
من يستطيع تعديل المعاملات؟
من يوافق على الصلاحيات؟
ماذا يحدث عند انتقال الموظف لوظيفة أخرى؟
وماذا يحدث عند انتهاء خدمته؟
المشكلة ليست فقط في المخترق الخارجي؛ الصلاحيات الزائدة أو غير المحدثة داخليًا يمكن أن تكون خطرًا جوهريًا أيضًا.
2. الخدمات السحابية
تعتمد كثير من الشركات التقنية على:
Cloud Infrastructure.
SaaS.
Hosting Providers.
وThird-Party Platforms.
وهذا لا ينقل المسؤولية بالكامل إلى مزود الخدمة.
يجب تقييم:
نوع البيانات الموجودة في السحابة.
المخاطر.
العقد.
صلاحيات الوصول.
التشفير.
النسخ الاحتياطي.
إدارة الحوادث.
ومسؤوليات كل طرف.
ويكتسب ذلك أهمية إضافية عندما تكون هناك تعليمات قطاعية صادرة عن البنك المركزي بشأن Cloud Computing أو Outsourcing.
3. الموردون والأطراف الخارجية
قد يعتمد البنك أو FinTech على:
Software Developer.
Data Center.
Cloud Provider.
Payment Processor.
Call Center.
Cybersecurity Provider.
أو مزود دعم تقني.
لكن اختراق المورد قد يصبح اختراقًا لمسار معلومات المؤسسة.
لذلك يجب أن تمتد إدارة المخاطر إلى:
اختيار المورد.
تقييمه.
الشروط الأمنية في العقد.
صلاحياته.
مراقبته.
وإنهاء العلاقة معه بصورة آمنة.
4. إدارة الحوادث الأمنية
السؤال ليس فقط:
كيف نمنع Cyberattack؟
بل أيضًا:
ماذا سنفعل عندما يقع Incident؟
يجب أن تحدد المؤسسة:
كيفية اكتشاف الحادث.
من يتم إبلاغه.
من يملك قرار الاستجابة.
كيف تتم المحافظة على الأدلة.
كيف يتم احتواء الأثر.
ومتى يجب إخطار الجهات التنظيمية أو الأطراف الأخرى.
إطار البنك المركزي نفسه يركز على تعزيز قدرة المؤسسات والقطاع على إدارة والاستجابة للحوادث السيبرانية.
5. استمرارية الخدمات المالية
في الخدمات المالية، Availability قد تكون حرجة.
تعطل:
Mobile Banking.
بوابة الدفع.
نظام التحويل.
أو خدمة تحقق العملاء
قد يؤثر في آلاف المستخدمين.
لذلك ترتبط ISO 27001 بموضوعات مثل:
Backup.
Recovery.
Redundancy.
ICT Readiness.
Business Continuity.
لكن يجب أن تكون الضوابط مبنية على أهمية الخدمة والمخاطر، وليس مجرد شراء أنظمة إضافية.
6. حماية البيانات الشخصية
هذه نقطة مهمة جدًا في الأردن.
دخل قانون حماية البيانات الشخصية رقم 24 لسنة 2023 حيز النفاذ في 17 مارس 2024، وينطبق على معالجة البيانات الشخصية وفق نطاقه القانوني.
والأهم بالنسبة للقطاع المالي أن القانون يصنف معلومات تتعلق بـالوضع المالي للشخص ضمن البيانات الشخصية الحساسة.
كما صدرت خلال 2025 تعليمات وتدابير إضافية تشمل:
التدابير الأمنية التقنية والتنظيمية.
سجلات المسؤولين والمعالجين والمراقبين.
اعتماد مراقب حماية البيانات.
وإرشادات تقييم أثر حماية البيانات DPIA.
ISO 27001 يمكن أن تساعد في بناء كثير من الضوابط الأمنية اللازمة لحماية المعلومات، لكنها ليست شهادة امتثال تلقائي بقانون حماية البيانات.
هل ISO 27001 إلزامية لكل بنك أو FinTech؟
لا ينبغي صياغة الأمر بهذه الصورة العامة.
المؤسسات المالية الخاضعة للرقابة مطالبة بالامتثال للتشريعات والتعليمات والأطر التنظيمية التي تنطبق عليها.
أما الحصول على Certification وفق ISO/IEC 27001 فقد يكون:
مطلبًا تعاقديًا.
مطلب عميل.
مطلب شركة أم.
جزءًا من حوكمة المؤسسة.
أو وسيلة لإثبات وجود ISMS خضع لتقييم طرف ثالث.
لذلك يجب التمييز بين:
Regulatory Compliance
و:
ISO Certification
فهما قد يتكاملان، لكن أحدهما لا يستبدل الآخر.
ماذا قد يفحص مدقق ISO 27001؟
في بنك أو شركة FinTech قد يأخذ المدقق عينات من:
Risk Assessment.
Statement of Applicability.
إدارة المستخدمين والصلاحيات.
Privileged Access.
Incident Management.
Cloud Services.
الموردين.
النسخ الاحتياطية والاستعادة.
Secure Development.
Vulnerability Management.
Logging and Monitoring.
Physical Security.
التدريب والتوعية.
Business Continuity.
وإدارة الالتزامات القانونية والتنظيمية.
لكن التدقيق يعتمد على Certification Scope والمخاطر الفعلية للمؤسسة.
ماذا عن PCI DSS؟
إذا كانت المؤسسة تتعامل مع بيانات بطاقات الدفع ضمن نطاق PCI DSS، فإن ISO 27001 لا تحل محل PCI DSS.
الأمر نفسه ينطبق على أي معيار أو تعليمات قطاعية أخرى.
ISO 27001 يمكن أن توفر Management System Framework أوسع، بينما متطلبات مثل PCI DSS تركز على نطاق وأهداف أمنية متخصصة.
ولهذا قد تطبق المؤسسة الاثنين معًا.
مثال: شركة محفظة إلكترونية
قد يشمل Scope للشركة:
Provision and operation of electronic wallet and digital payment services.
ثم تحدد المخاطر المتعلقة بـ:
بيانات العملاء.
Authentication.
Mobile Application.
APIs.
Cloud Infrastructure.
التحويلات.
الموردين.
Fraud.
Availability.
والحوادث الأمنية.
بعدها يتم اختيار الضوابط وبناء Statement of Applicability واختبار النظام داخليًا قبل Certification Audit.
هنا تكون ISO 27001 مرتبطة بنشاط الشركة الفعلي، لا بمجرد قسم تقنية المعلومات.
هل شهادة ISO 27001 تعني أن البنك لن يتعرض للاختراق؟
لا.
الشهادة لا تعني:
Zero Cyber Risk.
ولا تضمن:
عدم تسريب البيانات.
عدم حدوث احتيال.
أو استمرار الخدمة 100% من الوقت.
هي تعني أن ISMS محدد النطاق خضع لتقييم طرف ثالث وفق متطلبات ISO/IEC 27001.
قيمة النظام في قدرة المؤسسة على:
Identify → Protect → Monitor → Respond → Recover → Improve
وليس في ادعاء استحالة وقوع حادث.
أسئلة شائعة
ما الإصدار الحالي من ISO 27001؟
الإصدار المنشور الحالي هو ISO/IEC 27001:2022، بينما إصدار 2013 أصبح Withdrawn.
هل ISO 27001 تستبدل تعليمات البنك المركزي؟
لا. يجب الالتزام بالتعليمات والأطر التنظيمية التي تنطبق على المؤسسة بصورة مستقلة.
هل شركات الدفع الإلكتروني تخضع لمتطلبات سيبرانية خاصة؟
نعم، ينشر البنك المركزي وJo-FinCERT متطلبات وأدلة ذات علاقة بشركات الدفع والتحويل الإلكتروني للأموال والقطاع المالي غير البنكي.
هل ISO 27001 تحقق الامتثال لقانون حماية البيانات؟
لا تلقائيًا. يمكن أن تدعم الجوانب الأمنية والتنظيمية، لكن يجب تقييم المتطلبات القانونية بصورة مستقلة.
هل Scope يمكن أن يغطي خدمة مالية محددة فقط؟
يمكن تحديد النطاق بما يتوافق مع حدود وأنشطة المؤسسة، لكن يجب أن يكون دقيقًا وغير مضلل وأن يشمل الاعتماديات التي لا يمكن استبعادها بصورة غير مبررة.
الخلاصة
بالنسبة للبنوك وشركات التقنية المالية، ISO 27001 ليست مشروعًا خاصًا بقسم IT.
هي إطار لإدارة مخاطر المعلومات عبر:
Customers → Employees → Applications → Infrastructure → Cloud → Suppliers → Transactions → Incidents → Business Continuity
لكن في القطاع المالي الأردني توجد طبقة إضافية مهمة:
ISO 27001 + CBJ Requirements + Cybersecurity Requirements + Personal Data Protection + Contractual Requirements
والمنهج الصحيح هو دمج هذه المتطلبات داخل نظام واحد قابل للإدارة والتدقيق، بدل افتراض أن شهادة ISO وحدها تحقق جميع الالتزامات.
ISO/IEC 27001 مع URS Jordan
تعمل URS Jordan في الأردن بصفتها Local Office ضمن منظومة URS Holdings UK، وتتعامل مع شهادات أنظمة الإدارة ضمن إطار طرف ثالث قائم على النطاق والحياد والأدلة.
عند تقييم بنك أو شركة تقنية مالية، يكون تحديد Certification Scope والمواقع والخدمات والأنظمة والأطراف الخارجية والمتطلبات التنظيمية ذات العلاقة من العناصر الأساسية لتخطيط التدقيق.
Phone / WhatsApp: 0791238088
Email: info@jo.urscertification.com
Website: https://www.ursjordan.com/
ملاحظة مهنية: شهادة ISO/IEC 27001 لا تستبدل إشراف البنك المركزي الأردني أو قانون حماية البيانات الشخصية أو متطلبات الأمن السيبراني والقطاع المالي المطبقة على المؤسسة، ولا تضمن عدم وقوع حادث أمني.