أيزو/أي إي سي 27005

أيزو/أي إي سي 27005 (بالإنجليزية: ISO/IEC 27005) هو معيار دولي بعنوان: Information technology — Security techniques — Information security risk management، منشور بصورة مشتركة بين المنظمة الدولية للمعايير (ISO) واللجنة الكهروتقنية الدولية (IEC). يقدّم المعيار إرشادات «أفضل الممارسات» لإدارة مخاطر تكنولوجيا المعلومات، ويُعد جزءًا أساسيًا من سلسلة ISO/IEC 27000 المعروفة اختصارًا باسم ISO27K.

يهدف ISO/IEC 27005 إلى دعم تطبيق نظام إدارة أمن المعلومات (ISMS) المبني على ISO/IEC 27001 عبر تنظيم أنشطة إدارة المخاطر (خصوصًا تقييم المخاطر ومعالجتها) بما ينسجم مع النهج القائم على المخاطر في سلسلة ISO27K.

 نظرة عامة 
لا يحدّد ISO/IEC 27005 طريقة واحدة مُلزمة لإدارة المخاطر ولا يوصي بتقنية تفصيلية بعينها، بل يعرض «عملية» إدارة مخاطر أمن المعلومات بصورة عامة ومرنة، بما يسمح للمؤسسات باختيار أو تطوير المنهجيات والأدوات التي تلائم سياقها. ويرتبط ذلك بمبادئ وإرشادات إدارة المخاطر عامةً كما تعرضها معايير مثل ISO 31000.

ضمن هذا الإطار، تُمارَس إدارة مخاطر أمن المعلومات عادةً عبر خطوات مترابطة مثل:
 تحديد المخاطر وتحليلها وتقييمها.
 تقرير كيفية معالجة المخاطر (تجنّب/تخفيف/نقل أو مشاركة/قبول) وتنفيذ المعالجة.
 مراقبة المخاطر ومعالجاتها ومراجعتها دوريًا، والاستجابة للتغيرات المهمة أو فرص التحسين.
 التواصل مع أصحاب المصلحة وإحاطتهم علمًا خلال العملية (وخاصة إدارة المؤسسة).

 أهداف المعيار 
تهدف إرشادات ISO/IEC 27005 إلى مساعدة المؤسسات على تنظيم إدارة مخاطر أمن المعلومات ضمن سياق نظام إدارة، بدل فرض قائمة موحّدة من المخاطر أو الضوابط على جميع المؤسسات. ويُتوقع أن تُصمَّم أنشطة إدارة المخاطر وتُدار وتُراقَب وفق «سياق المؤسسة» ونطاق ISMS ومتطلبات الامتثال والموارد المتاحة، بما يدعم التحسين المستمر عند تغيّر التهديدات أو الثغرات أو آثار الحوادث.

 الإصدارات 
نُشرت «الطبعة الرابعة» الحالية من ISO/IEC 27005 في أكتوبر 2022.
وسبق ذلك إصدار ISO/IEC 27005:2018 (الطبعة الثالثة)، الذي يوضح أنه يدعم المفاهيم العامة المحددة في ISO/IEC 27001 ويستند إلى فهم المصطلحات والنماذج الواردة في وثائق السلسلة ذات الصلة.

 هيكل المعيار ومحتواه 
يتبع ISO/IEC 27005 بنية شائعة في وثائق ISO/IEC، ويعرض محاور عملية إدارة مخاطر أمن المعلومات ضمن أقسام رئيسية (كما يرد في معاينة/عرض ISO لإصدار 2018)، وتشمل عادةً:
 خلفية عامة.
 نظرة عامة على عملية إدارة مخاطر أمن المعلومات.
 تحديد السياق (Context establishment).
 تقييم مخاطر أمن المعلومات (Risk assessment).
 معالجة مخاطر أمن المعلومات (Risk treatment).
 قبول المخاطر (Risk acceptance).
 تواصل المخاطر والتشاور (Risk communication and consultation).
 المراقبة والمراجعة (Risk monitoring and review).

كما يتضمن المعيار ملاحق إرشادية تتناول موضوعات مثل تحديد النطاق والحدود، والأصول وتقييم الأثر، وأمثلة على تهديدات نموذجية، والثغرات وأساليب تقييمها، ومقاربات تقييم المخاطر، وقيود تعديل المخاطر.

 التطوير والمعيارية 
تُطوَّر معايير سلسلة ISO/IEC 27000، بما فيها ISO/IEC 27005، ضمن اللجنة الفنية المشتركة ISO/IEC JTC 1، وتحديدًا اللجنة الفرعية SC 27 المعنية بـ«أمن المعلومات والأمن السيبراني وحماية الخصوصية».

 معايير ومنهجيات وطنية أو قطاعية ذات صلة 
على الرغم من أن ISO/IEC 27005 يقدّم «إرشادات» عامة ولا يفرض منهجية تنفيذ واحدة، فقد طُوّرت في عدة دول ومنظمات مهنية أساليب عملية تُستخدم لتنفيذ إدارة مخاطر أمن المعلومات بما ينسجم مع مبادئ ISO/IEC 27005 وضمن سياق نظام إدارة أمن المعلومات (ISMS). ومن الأمثلة الشائعة:

 EBIOS Risk Manager (فرنسا) 
EBIOS Risk Manager هي منهجية فرنسية لتقييم ومعالجة المخاطر الرقمية تنشرها الوكالة الوطنية للأمن السيبراني (ANSSI). وقد أشارت ANSSI إلى أن EBIOS Risk Manager أصبحت «متوافقة بالكامل» مع ISO/IEC 27005:2022 بعد تحديثات شملت مواءمة المصطلحات وإغناء ورش العمل الخاصة بالتحليل.
وتعرض أدلة ANSSI أن EBIOS RM «منهجية قابلة للتكييف» ويمكن استخدامها لأغراض متعددة مثل بناء/تعزيز عملية إدارة المخاطر داخل المنظمة أو دعم اعتماد/ترخيص أمني لمشروع رقمي.

 MEHARI (فرنسا) 
MEHARI (اختصار: MEthod for Harmonized Analysis of RIsk) منهجية تحليل وإدارة مخاطر طوّرها CLUSIF، وتُستخدم عمليًا كإطار تشغيلي/أدواتي لإجراء تحليل المخاطر وتحديد الضوابط. وقد قدّم CLUSIF وثائق تُظهر استخدام MEHARI «متوافقًا مع ISO 27005» عبر نماذج للمخاطر وقواعد معرفة ودعم للتقييم والتدقيق.
كما توضّح وثائق CLUSIF (بالإنجليزية) آليات الربط بين متطلبات ISO 27005 وخطوات MEHARI في تعريف الأصول والتهديدات والثغرات والضوابط القائمة وتقدير المخاطر.

 BSI-Standard 200-3 / IT-Grundschutz (ألمانيا) 
BSI-Standard 200-3 هو معيار ألماني لتحليل المخاطر ضمن إطار IT-Grundschutz، تنشره الهيئة الاتحادية الألمانية لأمن المعلومات (BSI). يُستخدم غالبًا عندما لا تكفي «الضوابط الأساسية» وحدها ويستلزم الأمر تحليلًا أعمق للمخاطر، وقد أدرجته مراجع أوروبية إلى جانب معايير/مقاربات أخرى لإدارة مخاطر أمن المعلومات (ومنها ISO/IEC 27005) بوصفه معيارًا وطنيًا شائع الاستخدام.

ملاحظة: تُستخدم هذه المنهجيات عادةً بوصفها «وسائل تنفيذ» عملية لإدارة مخاطر أمن المعلومات بما يتوافق مع متطلبات المنظمة وسياقها، بينما يبقى ISO/IEC 27005 إطارًا إرشاديًا عامًا لا يفرض تقنية تقييم واحدة بعينها.

 انظر أيضًا 
 سلسلة ISO/IEC 27000
 ISO/IEC 27001
 نظام إدارة أمن المعلومات
 إدارة المخاطر
 ISO 31000

 المراجع 

 وصلات خارجية 
 ISO/IEC 27005:2022 — صفحة ISO الرسمية
 ISO/IEC 27005:2022 — صفحة IEC الرسمية (Webstore)
 ISO/IEC 27005:2018 — صفحة ISO الرسمية
 ISO/IEC JTC 1/SC 27 — صفحة اللجنة على موقع ISO

تصنيف:معايير الأيزو
تصنيف:معايير دولية
تصنيف:معايير ضمان المعلومات