01ما الذي يتطلبه المعيار

يتكون ISO/IEC 27001:2022 من جزأين للتقييم. تحدد البنود من 4 إلى 10 متطلبات نظام الإدارة: النطاق، والقيادة، وتقييم المخاطر ومعالجتها، والدعم، والتشغيل، والرصد، والتحسين. ويسرد الملحق A ‏93 ضابطًا في أربعة محاور: تنظيمية (37)، وبشرية (8)، ومادية (14)، وتقنية (34). وتقرر أنت الضوابط المنطبقة في بيان قابلية التطبيق (SoA).

وأضاف تعديل صدر عام 2024 متطلبًا بالنظر في ما إذا كان تغيّر المناخ قضية ذات صلة في سياق مؤسستك (البند 4.1) ولدى الأطراف المعنية (4.2).

02كيف تجري تحليل الفجوات

• اتفق على نطاق نظام إدارة أمن المعلومات وحدوده.
• افحص كل متطلب في البنود 4–10 وقيّمه مع الأدلة.
• راجع منهجية تقييم المخاطر وهل يوجد سجل مخاطر حديث.
• راجع ضوابط الملحق A وأعدّ بيان قابلية التطبيق أو حدّثه.
• حوّل الفجوات إلى خطة معالجة مرتبة الأولويات لها مسؤولون ومواعيد.

03فجوات شائعة

• 6.1.2–6.1.3: لا يوجد تقييم مخاطر قابل للتكرار، أو المخاطر غير مرتبطة بالضوابط.
• بيان قابلية التطبيق يفتقر إلى مبررات استبعاد الضوابط.
• 7.5: المعلومات الموثقة غير مضبوطة.
• 9.2–9.3: لا يوجد برنامج تدقيق داخلي أو مراجعة للإدارة.
• لم تُعالج ضوابط الملحق A رقم 5.23 (الخدمات السحابية) و8.28 (البرمجة الآمنة)، وكلاهما أُضيف في إصدار 2022.

04لماذا تهم الأداة الخاصة هنا

تحليل الفجوات الأمنية حساس بحد ذاته: فهو يسرد نقاط ضعفك. وتعمل أداة Paperwing لتقييم الفجوات في متصفحك وتحفظ كل شيء محليًا، فلا تُرفع نتائجك أبدًا. ويمكنك تصدير التقرير ونسخة احتياطية مشفّرة.

الأسئلة الشائعة

أدلة تحليل الفجوات ISO

• تحليل الفجوات ISO 9001
• تحليل الفجوات ISO 14001
• تحليل الفجوات ISO 45001