معايير أمن المعلومات

معايير أمن المعلومات، وتُعرف أيضًا بمعايير الأمن السيبراني، هي مجموعة من التقنيات التي تهدف إلى إلى حماية البيئة السيبرانية للمستخدمين الأفراد أو المؤسسات، بما في ذلك أمان المستخدمين أنفسهم، والأجهزة، والشبكات، وجميع البرامج والتطبيقات والخدمات، والعمليات، والبيانات والمعلومات المخزنة أو المنقولة، والأنظمة التي يمكن ربطها بالشبكات بشكل مباشر أو غير مباشر. يتمثل الهدف الرئيسي لمعايير الأمن السيبراني في الحد من المخاطر، بما في ذلك منع الهجمات السيبرانية أو التخفيف من أضرارها، وتتضمن معايير الأمن السيبراني جميع الأدوات، والتقنيات، والسياسات، والمفاهيم الأمنية، والضمانات، والإرشادات، والإحراءات، والمُمارسات، والمنهجيات المُستخدمة لإدارة المخاطر.

 التاريخ 
تشكل مفهوم معايير الأمن السيبراني منذ تسعينيات القرن العشرين، وأخذ يتطور على مدار عدة العقود القليلة الماضية، حيث تعاون المستخدمون ومقدمو الخدمات في العديد من المحافل المحلية والدولية لوضع القدرات والسياسات والممارسات اللازمة، والتي انبثقت في مجملها من العمل في اتحاد ستانفورد لأبحاث أمن المعلومات والسياسات. كانت عمليات التسلل السيبراني العابرة للحدود، والتي تقوم بها وكالات إنفاذ القانون لمكافحة الأنشطة الإجرامية الدولية على شبكة الإنترنت المظلمة، ولا تزال واحدة من أكثر الممارسات السيبرانية إثارة للجدل والتساؤلات القضائية المتعلقة بمدى شرعيتها، ومن المرجح أن تستمر التوترات بين جهود إنفاذ القانون المحلية لتنفيذ عمليات التسلل السيبراني العابرة للحدود، وبين الجهود القضائية الدولية الرامية لتوفير معايير أفضل للأمن السيبراني. وجدت دراسة أمريكية أجريت عام 2016 حول إطار العمل الأكثر اعتمادًا لأمن المعلومات، أن 70 بالمائة من المؤسسات التي شملها الاستطلاع استخدمت إطار عمل الأمن السيبراني التابع للمعهد الوطني للمعايير والتقنية، كأفضل ممارسة شائعة لأمن المعلومات، على الرغم من أن الكثيرين قد أشاروا إلى أنه لا يزال بحاجة إلى استثمارات كبيرة لتطويره وتحسينه.

 المعايير الدولية لأمن المعلومات 

 سلسلة معايير أيزو/آي إي سي 27000 

كانت سلسلة معايير أيزو/آي إي سي 27000 (ISO/IEC 27000) عبارة عن سلسلة من المعايير الدولية التي نشرتها المنظمة الدولية للمعايير (ISO) بشكل مشترك مع اللجنة الكهروتقنية الدولية (IEC). توفر هذه المعايير إطارًا معترفًا به عالميًا لإنشاء نظام إدارة أمن المعلومات (ISMS) وتنفيذه وصيانته وتحسينه باستمرار. صُممت هذه السلسلة لمساعدة المؤسسات من جميع الأحجام والقطاعات على حماية أصولها المعلوماتية بشكل منهجي وفعال من حيث التكلفة. تتمحور هذه السلسلة من المعايير حول المعيار ISO/IEC 27001، والذي يُحدّد متطلبات إنشاء نظام إدارة أمن المعلومات وصيانته. يؤكد هذا المعيار على نهج قائم على المخاطر لإدارة أمن المعلومات، ويشجع المؤسسات على تحديد المخاطر الخاصة ببيئتها التشغيلية وتقييمها والتخفيف منها. تعتمد سلسلة معايير أيزو/آي إي سي 27000 على دورة التخطيط-التنفيذ-التحقق-التصحيح (PDCA)، وهي منهجية تهدف إلى التحسين المستمر. وبينما يحدد معيار أيزو/أي إي سي 27001 الأساس لمتطلبات نظام إدارة أمن المعلومات (ISMS)، فإن المعايير الأخرى في السلسلة تُقدم إرشادات مُكملة وتوصيات خاصة بكل قطاع. تُشكل هذه المعايير مجتمعةً منظومةً شاملةً تُعالج كل شيء، بدءًا من تقييم المخاطر وإدارة الحوادث، وصولًا إلى ضوابط الخصوصية والأمن السحابي. كذلك يدعم معيار أيزو/أي إي سي 27001 معيار أيزو/أي إي سي 27002، الذي يُعدّ دليلاً عمليًا لتطبيق الضوابط المُوضحة فيه، ويُقدم هذا المعيار توصياتٍ مُفصلة تتضمن أفضل الممارسات لإدارة مخاطر أمن المعلومات في مختلف المجالات، بما في ذلك أمن الموارد البشرية، والأمن المادي، وأمن الشبكات.

بالنسبة للمؤسسات التي تُركز على إدارة المخاطر، يُقدم معيار أيزو/أي إي سي 27005 إطارًا مُخصصًا لتحديد مخاطر أمن المعلومات وتقييمها ومعالجتها، وهو يُكمل معيار أيزو/أي إي سي 27001 من خلال توفير منهجية مُصممة خصيصًا لإدارة ثغرات أمن المعلومات. في السنوات الأخيرة، طرحت الحوسبة السحابية تحديات أمنية فريدة من نوعها، وقد طُوِّر معيار أيزو/أي إي سي 27017 لمعالجة هذه المخاوف. يوفر هذا المعيار إرشادات لتطبيق ضوابط أمن المعلومات الخاصة بالسحابة، مما يضمن الاستخدام الآمن للخدمات السحابية سواء من مزودي الخدمات أو العملاء. كما يُركز معيار أيزو/أي إي سي 27018 على حماية المعلومات الشخصية (PII) في البيئات السحابية العامة، مما يُساعد المؤسسات على الالتزام بلوائح الخصوصية والحفاظ على ثقة العملاء. كذلك يتناول معيار أيزو/أي إي سي 27035 آليات إدارة الحوادث، فيقدم إرشادات حول كيفية الاستعداد الفعال للحوادث الأمنية واكتشافها والاستجابة لها. ويُركِّز على عمليات الاستجابة المُنظَّمة للحوادث لتقليل الأضرار المحتملة وضمان التعافي في الوقت المناسب. ومع ظهور لوائح خصوصية البيانات مثل اللائحة العامة لحماية البيانات (GDPR)، قُدم معيار أيزو/أي إي سي 27701 باعتباره امتدادًا لمعيار أيزو/أي إي سي 27001 ومعيار أيزو/أي إي سي 27002. يوفر هذا المعيار إرشادات لإنشاء وتشغيل نظام إدارة معلومات الخصوصية (PIMS)، ومواءمة إدارة أمن المعلومات مع متطلبات الخصوصية وحماية البيانات.

 مراجع 

تصنيف:أمن الإنترنت
تصنيف:أمن البيانات
تصنيف:أمن الحاسوب
تصنيف:تخزين البيانات
تصنيف:حرب سيبرانية
تصنيف:معايير أمن الحاسوب