# سلسلة آيزو/آي إي سي 27000

**سلسلة آيزو/آي إي سي 27000** (وتُعرف أيضًا باسم **عائلة معايير نظام إدارة أمن المعلومات** أو اختصارًا: **ISO27K** أو **عائلة ISO/IEC 27000**) هي مجموعة من المعايير الدولية المنشورة بصورة مشتركة بين المنظمة الدولية للمعايير (ISO) واللجنة الكهروتقنية الدولية (IEC).

تقدم هذه السلسلة توصيات «أفضل الممارسات» في مجال إدارة أمن المعلومات—أي إدارة مخاطر المعلومات عبر اختيار وتطبيق الضوابط الأمنية—ضمن إطار متكامل يسمى نظام إدارة أمن المعلومات (ISMS). ويشبه هذا الإطار من حيث المنهجية «معايير نظم الإدارة» الأخرى مثل أيزو 9000 لإدارة الجودة وأيزو 14000 للإدارة البيئية، إذ يركز على تحديد السياق والأهداف، وتقييم المخاطر، وتطبيق الضوابط، ثم التحسين المستمر.

تتميز السلسلة باتساع نطاقها؛ فهي لا تقتصر على قضايا الخصوصية أو السرية أو الأمن السيبراني فقط، بل تصلح للتطبيق على المؤسسات باختلاف أحجامها وطبيعة أعمالها. وتوصي منهجية ISMS بتقييم المخاطر أولًا ثم معالجتها وفق احتياجات المؤسسة (عادةً عبر الضوابط الأمنية)، مع اعتماد «التحسين المستمر» للاستجابة لتغير التهديدات والثغرات وآثار الحوادث.

تُطوَّر معايير سلسلة ISO/IEC 27000 ضمن اللجنة الفنية المشتركة ISO/IEC JTC 1، وتحديدًا اللجنة الفرعية **SC 27** المعنية بـ«أمن المعلومات والأمن السيبراني وحماية الخصوصية»، والتي تعقد اجتماعات عمل دورية وتدير مجموعات عمل متخصصة.

تبيع ISO المعايير (غالبًا بالإنجليزية والفرنسية وغيرها)، كما توفر جهات التقييس الوطنية قنوات لشراء ترجمات رسمية في بعض البلدان. وتُعد بعض وثائق السلسلة «متاحة مجانًا» عبر ISO (مثل ISO/IEC 27000:2018).

## لمحة تاريخية

شارك عدد كبير من الأفراد والمؤسسات في تطوير معايير ISO27K وصيانتها. يُشار عادةً إلى أن أول معيار في «العائلة» كان ISO/IEC 17799:2000، وهو نتاج اعتماد سريع (Fast-track) لمعيار بريطاني سابق هو BS 7799-1. ويُذكر أن BS 7799 نُشر لأول مرة في تسعينيات القرن العشرين ضمن جهود بريطانية لتقنين أفضل الممارسات في أمن المعلومات قبل أن تتوسع لاحقًا إلى معايير ISO/IEC وتُعاد تسميته/ترقيمه تدريجيًا ضمن سلسلة 27000 (مثل تحول ISO/IEC 17799 لاحقًا إلى ISO/IEC 27002).

## معايير أساسية ضمن عائلة ISO/IEC 27000

تُطوَّر معايير عائلة ISO/IEC 27000 ضمن ISO/IEC JTC 1/SC 27 المعنية بأمن المعلومات والأمن السيبراني وحماية الخصوصية.

أهم معايير عائلة ISO/IEC 27000 المرتبطة بإدارة أمن المعلومات والخصوصية| المعيار | الغرض | متى يُستخدم غالبًا |
| --- | --- | --- |
| ISO/IEC 27000 | نظرة عامة ومصطلحات السلسلة (Vocabulary)؛ يعرّف مفاهيم ISMS ومصطلحاتها الأساسية. | عند بدء بناء برنامج نظام إدارة أمن المعلومات، ولتوحيد المصطلحات داخل المؤسسة وعبر الوثائق والسياسات. |
| ISO/IEC 27001 | معيار «المتطلبات» لنظام إدارة أمن المعلومات (ISMS) وهو الأكثر استخدامًا في التدقيق والحصول على الشهادة. | عندما تستهدف المؤسسة تطبيق ISMS رسميًا (تأسيس/تشغيل/تحسين) أو الاستعداد للتدقيق الخارجي ومنح الشهادة. |
| ISO/IEC 27002 | كتالوج الضوابط الأمنية وإرشادات تطبيقها؛ يدعم اختيار الضوابط لمعالجة المخاطر ضمن ISMS. | عند تحديد «الضوابط» ومواءمتها مع المخاطر والمتطلبات (ضمن الملحق A في 27001 أو كمرجع لاختيار الضوابط). |
| ISO/IEC 27003 | إرشادات تطبيق/تنفيذ ISMS بالاستناد إلى 27001 (كيف تبني النظام وتخطط وتنفذ بصورة عملية). | خلال مراحل بناء ISMS الأولى (تصميم، خارطة طريق، أدوار ومسؤوليات، توثيق، تشغيل). |
| ISO/IEC 27004 | القياس والمراقبة والتحليل والتقييم (Metrics/Measurement) لفعالية أمن المعلومات وفعالية ISMS. | عند بناء مؤشرات الأداء/الامتثال، وقياس فعالية الضوابط، ودعم «التحسين المستمر» وقرارات الإدارة. |
| ISO/IEC 27005 | إرشادات إدارة مخاطر أمن المعلومات (تحديد/تحليل/تقييم/معالجة المخاطر) دعمًا لتطبيق 27001. | عند تأسيس منهجية تقييم المخاطر أو تحسينها، وربط المخاطر بخطة المعالجة والضوابط. |
| ISO/IEC 27006-1 | متطلبات وإرشادات جهات تدقيق ومنح شهادة 27001 (مهم لهيئات الشهادات والاعتماد). | عند التعامل مع الاعتماد/جهات منح الشهادات، أو لفهم قواعد التدقيق الخارجي على مستوى «جهة الشهادة». |
| ISO/IEC 27007 | إرشادات إدارة برنامج التدقيق وإجراء التدقيق وكفاءة المدققين (بالإضافة إلى ISO 19011). | عند تصميم برنامج التدقيق الداخلي، أو تحضير المؤسسة للتدقيق الخارجي، أو تدريب/تأهيل المدققين. |
| ISO/IEC TS 27008 | إرشادات تقييم/مراجعة الضوابط الأمنية (بما في ذلك التقييمات التقنية لتطبيق وتشغيل الضوابط). | عند إجراء فحوصات تقنية/توافق (Technical compliance checks) والتحقق من فاعلية الضوابط على أرض الواقع. |
| ISO/IEC 27017 | ضوابط وإرشادات إضافية لأمن المعلومات في سياق الخدمات السحابية مبنية على 27002. | عند تقديم/استخدام خدمات سحابية، لصياغة ضوابط السحابة لدى مزود الخدمة والعميل وتحديد المسؤوليات المشتركة. |
| ISO/IEC 27018 | إرشادات لحماية البيانات الشخصية القابلة للتعريف (PII) في السحابة العامة عندما يعمل مزود الخدمة «معالجًا» للبيانات. | عند تقييم/اختيار مزودي السحابة الذين يعالجون بيانات شخصية، أو وضع ضوابط خصوصية سحابية متخصصة. |
| ISO/IEC 27701 | امتداد لـ27001 و27002 لإنشاء نظام إدارة معلومات الخصوصية (PIMS) ومتطلبات/إرشادات إدارة الخصوصية. | عندما تريد المؤسسة دمج إدارة الخصوصية رسميًا ضمن ISMS أو بناء نظام خصوصية قابل للتدقيق للمتحكمين/المعالجين. |

## دورة حياة المعايير

تسير معايير ISO/IEC (ومنها معايير عائلة ISO/IEC 27000) ضمن «دورة حياة» واضحة تشمل مرحلتين رئيستين: التطوير والنشر ثم الصيانة والمراجعة الدورية. وتخضع وثائق السلسلة لإجراءات عمل موحّدة منصوص عليها في توجيهات ISO/IEC الخاصة بإجراءات العمل الفني، كما تُطوَّر أعمالها داخل اللجان الفنية (مثل ISO/IEC JTC 1/SC 27) وفق آليات تصويت وإجماع على مستوى الخبراء ثم على مستوى الأعضاء الوطنيين.

### التطوير والنشر (من الفكرة إلى المعيار المنشور)

تُطوَّر معايير ISO عبر مراحل متسلسلة تبدأ عادةً من مرحلة الاقتراح (New Work Item) ثم إعداد المسودات داخل مجموعات العمل، ثم تمر بمراحل «اللجنة» و«الاستقصاء/الاستعلام» والتصويت قبل النشر. وتوضح ISO أن لكل مشروع «مسار تطوير» (Track) بمدة زمنية مستهدفة (مثل 18 أو 24 أو 36 شهرًا) يمر خلالها عبر مراحل محددة إلى حين النشر.
ولهذا قد توجد في الوقت نفسه وثائق في مراحل مختلفة: مسودات عمل (Working Drafts) داخل مجموعة العمل، ومسودة لجنة (CD)، ومسودة استقصاء (DIS)، أو مسودة نهائية (FDIS)، بالتوازي مع إصدار منشور قائم.

### الصيانة والمراجعة الدورية (Systematic review)

بعد نشر المعيار، لا يُعد ثابتًا إلى الأبد؛ إذ تعتمد ISO «المراجعة المنهجية» (Systematic Review) بصورة دورية لتقييم مدى استمرار ملاءمته للاستخدام، ومدى الحاجة إلى تعديله أو استبداله أو سحبه. وتشرح وثيقة ISO الإرشادية الخاصة بالمراجعة المنهجية أن قرار ما بعد المراجعة يكون عادةً أحد ثلاثة: **تأكيد** المعيار كما هو، أو مراجعته/تعديله، أو سحبه (Withdrawal).

وتستخدم ISO «رموز مراحل» موحّدة دوليًا لتتبع وضع الوثيقة، ومنها على سبيل المثال:

* 90.20 (معيار منشور تحت المراجعة المنهجية)، و90.93 (تأكيد المعيار)، و90.92 (قرار بالمراجعة/الإصدار الجديد)، و95.99 (سحب المعيار).

### نتائج المراجعة وآثارها العملية

تترتب على نتائج المراجعة الدورية آثار عملية على المستخدمين:

* عند تأكيد المعيار، تظل النسخة الحالية مرجعًا صالحًا كما هي.
* عند المراجعة/الإصدار الجديد، تبدأ أعمال تحديث قد تنتج إصدارًا أحدث (مثال: الانتقال بين إصدارات 27001/27002 عبر الزمن).
* عند السحب، يُزال المعيار من قائمة المعايير السارية (وقد يُستبدل بمعيار آخر أو تُدمج موضوعاته في وثيقة أحدث).

وبسبب هذه الدورة، قد تظهر على مواقع التقييس الرسمية وداخل وثائق اللجان في أي وقت «مشروعات قيد التطوير» و«مسودات» بالتوازي مع المعايير المنشورة، وهو ما يفسر وجود تحديثات وإصدارات جديدة بصفة مستمرة ضمن العائلة.

## انظر أيضًا

* نظام إدارة أمن المعلومات
* معايير أمن المعلومات
* ISO/IEC 27001
* ISO/IEC 27002
* آيزو 9000

## المراجع