شهادة ISO 27001 في الأردن: لمن هي وكيف تحصل عليها؟
إذا كانت مؤسستك تحتفظ ببيانات العملاء أو الموظفين أو المعلومات المالية أو الأنظمة الإلكترونية أو الأسرار التجارية، فإن الخطر لا يقتصر على اختراق إلكتروني.
قد يحدث فقد للمعلومات بسبب:
دخول غير مصرح به.
خطأ بشري.
تعطل نظام.
فقد جهاز.
سوء إدارة الصلاحيات.
مورد خارجي.
برنامج ضار.
أو عدم وجود نسخ احتياطية مناسبة.
هنا يأتي دور ISO/IEC 27001، وهو المعيار الدولي لمتطلبات Information Security Management System — ISMS.
الإصدار المنشور الحالي هو ISO/IEC 27001:2022، مع Amendment 1:2024 المتعلق بتغير المناخ ضمن سياق أنظمة الإدارة.
ما هي ISO 27001؟
ISO/IEC 27001 لا تركز فقط على أجهزة الكمبيوتر أو برامج الحماية.
هي نظام إداري لإدارة مخاطر أمن المعلومات والمحافظة على ثلاثة مبادئ أساسية:
Confidentiality — السرية
ألا تصل المعلومات إلى أشخاص غير مصرح لهم.
Integrity — سلامة المعلومات
ألا يتم تعديلها أو إتلافها بطريقة غير مصرح بها.
Availability — الإتاحة
أن تكون المعلومات والأنظمة متاحة عند الحاجة إليها.
وتوضح ISO أن المعيار قابل للتطبيق على المؤسسات بمختلف أحجامها وقطاعاتها، ويهدف إلى إنشاء وتنفيذ وصيانة وتحسين ISMS قائم على إدارة المخاطر.
لمن تناسب ISO 27001 في الأردن؟
ليست مخصصة لشركات التكنولوجيا فقط.
قد تكون ذات أهمية خاصة لـ:
شركات البرمجيات وSaaS.
مراكز البيانات والحوسبة السحابية.
البنوك والمؤسسات المالية.
شركات التأمين.
المستشفيات ومقدمي الخدمات الصحية.
شركات الاتصالات.
شركات التعهيد وخدمة العملاء.
الجامعات والمؤسسات التعليمية.
شركات التجارة الإلكترونية.
مكاتب الاستشارات والمحاسبة.
الجهات التي تدير بيانات العملاء أو الموظفين.
والموردين الذين يطلب منهم العملاء إثبات وجود نظام منظم لأمن المعلومات.
حتى شركة صغيرة قد تحتاجها إذا كانت المعلومات التي تديرها حساسة أو إذا اشترطها عميل أو عقد.
هل ISO 27001 شهادة أمن سيبراني فقط؟
لا.
Cybersecurity جزء مهم، لكن نطاق ISO 27001 أوسع.
قد يشمل النظام:
المعلومات الرقمية.
الوثائق الورقية.
بيانات العملاء.
الملفات المالية.
العقود.
بيانات الموظفين.
قواعد البيانات.
الأجهزة.
الخدمات السحابية.
الموردين.
والأشخاص الذين يتعاملون مع المعلومات.
لذلك قد تكون كلمة المرور القوية مهمة، لكن كذلك:
من يملك صلاحية الوصول؟
ماذا يحدث عند مغادرة موظف؟
كيف يتم اختيار المورد السحابي؟
ماذا يحدث عند فقد لابتوب؟
كيف يتم التعامل مع Incident؟
وهل يمكن استعادة المعلومات بعد تعطل النظام؟
ما علاقتها بحماية البيانات في الأردن؟
في الأردن أصبح قانون حماية البيانات الشخصية رقم 24 لسنة 2023 نافذًا منذ 17 مارس 2024، كما صدرت خلال 2025 تعليمات وتدابير تنظيمية وتقنية إضافية مرتبطة بحماية البيانات.
وهذا يجعل إدارة أمن المعلومات أكثر أهمية للمنشآت التي تعالج البيانات الشخصية.
لكن يجب التفريق بين الأمرين:
ISO 27001 ليست بديلًا عن قانون حماية البيانات الشخصية.
الحصول على الشهادة لا يعني تلقائيًا إثبات الامتثال الكامل لكل متطلبات القانون.
المؤسسة تحتاج إلى تحديد القوانين والالتزامات التنظيمية والتعاقدية التي تنطبق عليها ثم إدخالها ضمن إدارة المخاطر والضوابط المناسبة.
كما أن الأردن لديه إطار قانوني مستقل للأمن السيبراني، من ضمنه قانون الأمن السيبراني لسنة 2019 والتشريعات والتعليمات المرتبطة به.
كيف تحصل على ISO 27001؟
الحصول على الشهادة لا يبدأ بالتدقيق.
يبدأ ببناء ISMS فعلي.
1. تحديد Scope
يجب أولًا تحديد:
ما الأنشطة التي سيغطيها النظام؟
أي مواقع؟
أي أنظمة؟
أي خدمات؟
وأي فرق أو أقسام؟
مثلًا قد يكون Scope:
Provision of cloud-based software development and technical support services.
النطاق يجب أن يكون دقيقًا وقابلًا للتدقيق، لأن الشهادة ستصدر بناء عليه.
2. تحديد المعلومات والأصول المهمة
بعد ذلك تحدد المؤسسة ما تحتاج إلى حمايته.
قد يشمل:
الخوادم.
قواعد البيانات.
أجهزة الموظفين.
التطبيقات.
المعلومات الورقية.
الخدمات السحابية.
بيانات العملاء.
المعلومات المالية.
أو الملكية الفكرية.
المهم ليس إعداد قائمة معدات فقط، بل فهم ما المعلومات المهمة وأين توجد ومن يستخدمها.
3. تقييم مخاطر أمن المعلومات
هذه هي نقطة مركزية في ISO 27001.
تحتاج المؤسسة إلى تحديد:
ما الذي يمكن أن يحدث؟
ما أسباب الخطر؟
ما المعلومات أو الأنظمة المتأثرة؟
ما احتمال الحدوث؟
ما حجم التأثير؟
وما مستوى الخطر المقبول؟
مثلًا:
Threat: سرقة كلمة مرور.
Asset: نظام العملاء.
Risk: وصول غير مصرح به إلى بيانات العملاء.
بعد ذلك تقرر المؤسسة كيفية معالجة الخطر.
4. اختيار الضوابط المناسبة
ليست الفكرة تركيب كل حل أمني متاح.
يتم اختيار الضوابط بناءً على المخاطر والمتطلبات القانونية والتعاقدية وطبيعة المؤسسة.
قد تشمل مثلًا:
Access Control.
Multi-Factor Authentication.
Backup.
Encryption.
Incident Management.
Supplier Security.
Physical Security.
Security Awareness.
Vulnerability Management.
Business Continuity.
ويجب أن تكون المؤسسة قادرة على تفسير لماذا اختارت ضابطًا ولماذا استبعدت آخر.
5. إعداد Statement of Applicability
من أهم وثائق ISO 27001:
Statement of Applicability — SoA
وهي تربط الضوابط ذات العلاقة بوضع المؤسسة.
تبين بصورة منهجية:
ما الضوابط التي تم اختيارها؟
لماذا؟
هل تم تطبيقها؟
وما الضوابط غير المطبقة ومبرر ذلك؟
لذلك SoA ليست قائمة يتم نسخها من شركة أخرى.
يجب أن ترتبط بنتائج Risk Assessment وRisk Treatment.
6. تشغيل النظام فعليًا
قبل التدقيق يجب أن يظهر أن النظام يعمل.
أي أن المؤسسة لا تكتفي بالسياسات.
يجب أن توجد أدلة على التطبيق، مثل:
إدارة المستخدمين والصلاحيات.
مراجعة Access Rights.
النسخ الاحتياطية واختبار الاستعادة.
التعامل مع Security Incidents.
إدارة الموردين.
التدريب والتوعية.
تقييم المخاطر.
التغيير.
ومراقبة الأداء.
7. التدقيق الداخلي ومراجعة الإدارة
قبل Certification Audit تحتاج المؤسسة عادة إلى إجراء:
Internal Audit
ثم:
Management Review
للتأكد من أن النظام مطبق وأن الإدارة تراجع أداءه ومخاطره وحالات عدم المطابقة وفرص التحسين.
هذه المرحلة تكشف كثيرًا من الفجوات قبل وصول جهة منح الشهادة.
8. Stage 1 Audit
بعد التقديم إلى Certification Body ومراجعة معلومات المنشأة وتحديد برنامج التدقيق، تبدأ عادة المرحلة الأولى.
Stage 1 تركز على جاهزية النظام للتدقيق الكامل، وقد تشمل مراجعة موضوعات مثل:
Scope.
Risk Assessment Methodology.
Risk Treatment.
Statement of Applicability.
السياسات.
Internal Audit.
Management Review.
وسياق المؤسسة.
الهدف هو معرفة ما إذا كان النظام جاهزًا للانتقال إلى Stage 2.
9. Stage 2 Audit
هنا يتم تقييم التطبيق الفعلي وفعالية النظام.
قد يأخذ المدقق عينات من:
حسابات المستخدمين.
عملية منح وإلغاء الصلاحيات.
الحوادث الأمنية.
الموردين.
النسخ الاحتياطية.
الأجهزة.
التوعية.
إدارة التغيير.
الضوابط التقنية والتنظيمية.
وRisk Treatment.
Certification Body الخاص بـISO 27001 يعمل ضمن متطلبات متخصصة تشمل ISO/IEC 27006-1:2024 بالإضافة إلى إطار Certification لأنظمة الإدارة، بما يدعم الكفاءة والاتساق والحياد في عمليات التدقيق والمنح.
ماذا يحدث بعد Stage 2؟
إذا ظهرت حالات عدم مطابقة، يجب التعامل معها وفق تصنيفها ومتطلبات جهة المنح.
بعد إغلاق المتطلبات اللازمة ومراجعة ملف التدقيق، يتم اتخاذ Certification Decision بصورة مستقلة عن فريق التدقيق.
إذا كان القرار إيجابيًا تصدر الشهادة بالنطاق والكيان والمواقع المعتمدة.
ISO نفسها لا تصدر الشهادات؛ Certification يتم بواسطة جهات منح خارجية.
هل الشهادة إلزامية في الأردن؟
ليست متطلبًا عامًا على جميع الشركات الأردنية.
قد تصبح مطلوبة بسبب:
عميل.
عقد.
عطاء.
شركة أم.
سلسلة توريد.
متطلبات سوق دولي.
أو سياسة داخلية للمؤسسة.
أما المتطلبات القانونية لحماية البيانات والأمن السيبراني فتحددها التشريعات التي تنطبق على المؤسسة، ولا تستبدلها ISO 27001.
هل تحتاج الشركة إلى قسم IT كبير؟
لا.
المعيار قابل للتطبيق على المؤسسات الصغيرة والكبيرة.
شركة صغيرة قد تستخدم:
Microsoft 365.
Cloud Services.
مزود IT خارجي.
أجهزة لابتوب محدودة.
لكن ما يزال عليها أن تدير المخاطر والصلاحيات والموردين والنسخ الاحتياطية والحوادث بطريقة تتناسب مع حجمها.
ISO 27001 لا تطلب التعقيد؛ تطلب نظامًا متناسبًا مع المخاطر.
هل ISO 27001 تمنع الاختراقات؟
لا.
لا توجد شهادة تضمن عدم حدوث Cyberattack أو Data Breach.
قيمة ISO 27001 هي أن المؤسسة تبني منهجًا لإدارة المخاطر:
Identify → Assess → Treat → Monitor → Respond → Improve
أي تقليل المخاطر وإدارة الحوادث والاستجابة لها، وليس الادعاء بإلغائها بالكامل.
أسئلة شائعة
ما الإصدار الحالي من ISO 27001؟
الإصدار الحالي هو ISO/IEC 27001:2022 مع Amendment 1:2024.
هل ISO 27001 للشركات التقنية فقط؟
لا. يمكن تطبيقها على أي مؤسسة تحتاج إلى حماية المعلومات وإدارة مخاطرها.
هل ISO 27001 تضمن الامتثال لقانون حماية البيانات الأردني؟
لا. يمكن أن تساعد في إدارة كثير من مخاطر وضوابط حماية المعلومات، لكنها لا تستبدل المتطلبات القانونية.
هل يجب تطبيق جميع الضوابط؟
يجب تقييم الضوابط وفق المخاطر والمتطلبات وتوثيق قرارات التطبيق في Statement of Applicability؛ الفكرة ليست تطبيق كل ضابط آليًا دون تحليل.
هل ISO تصدر الشهادة؟
لا. ISO تضع المعيار، بينما تصدر الشهادات جهات Certification مستقلة.
الخلاصة
شهادة ISO 27001 لا تعني تركيب Firewall والحصول على ورقة.
هي نظام يبدأ من:
Scope → Information Assets → Risk Assessment → Risk Treatment → Controls → Statement of Applicability → Implementation → Internal Audit → Management Review → Stage 1 → Stage 2 → Certification Decision
وتصبح ذات قيمة خاصة عندما تكون المعلومات جزءًا أساسيًا من عمل المؤسسة أو عندما يطلب العملاء والسوق دليل طرف ثالث على وجود نظام منظم لإدارة أمن المعلومات.
وفي الأردن تزداد أهمية هذا الموضوع مع تطور متطلبات حماية البيانات الشخصية والأمن السيبراني، لكن يجب دائمًا الفصل بين Certification الطوعية وبين الالتزامات القانونية والتنظيمية المطبقة على كل منشأة.
ISO 27001 مع URS Jordan
تعمل URS Jordan في الأردن بصفتها Local Office ضمن منظومة URS Holdings UK، وتتعامل مع شهادات أنظمة الإدارة ضمن إطار طرف ثالث قائم على النطاق والحياد والأدلة.
عند طلب ISO/IEC 27001 يتم أولًا تحديد الكيان القانوني والنطاق والمواقع والأنشطة والموظفين والبنية التقنية ذات العلاقة قبل تحديد برنامج التدقيق.
Phone / WhatsApp: 0791238088
Email: info@jo.urscertification.com
Website: https://www.ursjordan.com/
ملاحظة مهنية: شهادة ISO/IEC 27001 لا تضمن عدم وقوع اختراق أمني ولا تستبدل المتطلبات القانونية لحماية البيانات أو الأمن السيبراني؛ هي تقييم مستقل لنظام إدارة أمن المعلومات ضمن النطاق المحدد.