الإشهاد ISO 27001 في المغرب: دليل للمقاولات والمهنيين

معيار ISO/IEC 27001 هو المعيار الدولي الذي يحدد متطلبات نظام إدارة أمن المعلومات (ISMS). ولا يفرض قائمة أدوات يجب تثبيتها، بل يفرض منهجية لتحديد المخاطر التي تهدد المعلومات، واختيار التدابير الملائمة، وتطبيقها، وقياسها، وتحسينها بشكل مستمر.

وعندما نتحدث عن «الإشهاد ISO 27001»، فإن العبارة نفسها تخفي واقعين مختلفين، والخلط بينهما شائع في طلبات العروض كما في إعلانات التوظيف بالمغرب:

لا يمكن لأي مقاولة أن تعلن نفسها مُشهَدة. فالإشهاد تمنحه هيئة إشهاد مستقلة، يُفضَّل أن تكون معتمدة من طرف هيئة اعتماد معترف بها (عضو في IAF مثلًا)، مما يضمن الاعتراف بالشهادة لدى الزبناء الأجانب. وقبل اختيار هيئة الإشهاد، تحقق من اعتمادها ومن نطاقه.

يجري الافتحاص الأولي على مرحلتين: مراجعة وثائقية وتقييم للجاهزية (المرحلة 1)، ثم افتحاص ميداني للتطبيق الفعلي (المرحلة 2). وتكون الشهادة صالحة لمدة ثلاث سنوات، مع افتحاصات تتبع سنوية، ثم افتحاص للتجديد. وتحدد الشهادة نطاقًا دقيقًا: موقعًا أو نشاطًا أو خدمة. لذلك يمكن للمقاولة أن تبدأ بالنطاق الأكثر عرضة للمخاطر، مثل مركز خدمات الأوفشورينغ أو خدمات الإيواء.

بالنسبة للمهنيين، تقدم هيئات مثل PECB الشهادات الفردية الأكثر انتشارًا. وهي لا تُشهِد مقاولة، بل تُثبت أن الشخص قادر على تطبيق نظام لإدارة أمن المعلومات أو افتحاصه.

الملفان متكاملان، لكنهما لا يُطلبان للمهام نفسها. فالمقاولة التي تبدأ مشروعها تحتاج أولًا إلى Lead Implementer، أما المستشار الذي يستهدف مهام الافتحاص، أو المفتحص الداخلي، فيتجه نحو Lead Auditor.

حلّت نسخة 2022 من المعيار محل نسخة 2013. وقد عُدّلت البنود من 4 إلى 10، التي تصف نظام الإدارة، تعديلًا طفيفًا (خصوصًا ما يتعلق بتخطيط التغييرات وتتبع العمليات). أما التغيير الأبرز فيخص الملحق A الذي أصبح منسجمًا مع ISO/IEC 27002:2022: إذ جُمعت التدابير الـ 114 الموزعة على 14 مجالًا في 93 تدبيرًا منظمة في 4 محاور.

ومن بينها 11 تدبيرًا جديدًا، منها رصد التهديدات (threat intelligence)، وأمن الخدمات السحابية، وجاهزية تكنولوجيا المعلومات لاستمرارية النشاط، وتدبير الإعدادات، وحذف المعلومات، وإخفاء المعطيات، ومنع تسرب المعطيات، ومراقبة الأنشطة، وتصفية الويب، والبرمجة الآمنة. كما أضاف تعديل صدر سنة 2024 أخذ التغير المناخي بعين الاعتبار عند تحليل السياق. وقد انتهت الفترة الانتقالية من نسخة 2013، وأصبحت الشهادات السارية تستند الآن إلى نسخة 2022.

تختلف مدة المشروع حسب حجم المؤسسة ومستوى نضجها والنطاق المختار، غير أن المراحل تبقى هي نفسها، وترتيبها مهم: فإغفال تحليل السياق أو تقييم المخاطر يُضعف كل ما يليه.

أما الأخطاء الأكثر شيوعًا فمعروفة: نطاق واسع جدًا منذ البداية، وتحليل مخاطر منسوخ من نموذج عام، ووثائق تُعَدّ من أجل المفتحص لكن الفرق تتجاهلها، أو إدارة تفقد اهتمامها بعد انطلاق المشروع. فالنظام الناجح نظام حي: يُعاد تقييم المخاطر كلما تغير النشاط، وتُغذّي الحوادث الإجراءات التصحيحية، وتُتابَع المؤشرات فعليًا داخل لجنة مختصة. وفي ما يلي المراحل الأساسية:

في المغرب، نادرًا ما يكون قرار الإشهاد داخليًا محضًا، بل يستجيب في الغالب لطلب السوق أو لمتطلبات الإطار التنظيمي.

وأكثر الدوافع تكرارًا في المشاريع:

إن السعي إلى إشهاد نظام إدارة أمن المعلومات دون وجود شخص قادر على قيادته داخليًا يعني غالبًا الاعتماد الكلي على مستشار خارجي. أما تكوين متعاون أو اثنين في Lead Implementer فيتيح الحفاظ على التحكم في المشروع، والتحاور مع هيئة الإشهاد على قدم المساواة، وضمان استمرارية النظام بعد الافتحاص. وبالنسبة لمسؤول أمن نظم المعلومات الذي يقود البرنامج بشكل أوسع، تشكل CISM أو CISSP تكملة جيدة لهذه الكفاءة.

تقترح GATech في المغرب تكوين PECB ISO/IEC 27001 Lead Implementer على مدى 5 أيام (35 ساعة)، وفق نسخة 2022، مع امتحان PECB، ابتداءً من 17900 درهم، حضوريًا في الدار البيضاء أو الرباط أو عن بُعد. ولا تشمل هذه التكلفة رسوم الصيانة السنوية لشهادة PECB.