أيزو/أي إي سي 27002

ISO/IEC 27002 هو معيار دولي في أمن المعلومات منشور بصورة مشتركة بين المنظمة الدولية للمعايير (ISO) واللجنة الكهروتقنية الدولية (IEC) بعنوان: Information security, cybersecurity and privacy protection — Information security controls. يقدّم المعيار مجموعة مرجعية عامة من ضوابط أمن المعلومات مع إرشادات تطبيق (Implementation guidance)، ويُصمَّم للاستخدام داخل سياق نظام إدارة أمن المعلومات (ISMS) المبني على ISO/IEC 27001، وكذلك لتبنّي أفضل الممارسات أو لتطوير إرشادات داخلية خاصة بالمؤسسة.

يرتبط ISO/IEC 27002 عادةً بمعايير عائلة معايير آيزو / آي إي سي 27000 الأخرى؛ إذ يضع ISO/IEC 27001 متطلبات إنشاء نظام إدارة أمن المعلومات وتشغيله وتحسينه المستمر، بينما يركّز ISO/IEC 27002 على الضوابط وإرشادات تطبيقها بوصفها مرجعًا عمليًا لمعالجة مخاطر أمن المعلومات.

 لمحة تاريخية 
تعود جذور ISO/IEC 27002 إلى «مدونة ممارسات» أقدم ضمن السلسلة هي ISO/IEC 17799، والتي أصبحت لاحقًا جزءًا من مسار المواءمة والتحديث داخل سلسلة ISO/IEC 27000.

صدر ISO/IEC 27002 بإصداره الأول سنة 2005، ثم نُقّح في 2013، ثم أُعيدت مراجعته بصورة جوهرية في 2022 (الإصدار الثالث).

كما أشارت نشرات رسمية مرتبطة بالتقييس/الاعتماد إلى تحديث ISO/IEC 27002:2022 ونشره ضمن مخرجات الجهات المعنية.

 الغرض ونطاق الاستخدام 
يهدف ISO/IEC 27002 إلى مساعدة المؤسسات على:
 اختيار ضوابط أمن المعلومات المناسبة لمعالجة المخاطر (Risk treatment) ضمن ISMS.
 تطبيق ضوابط مبنية على أفضل الممارسات المعترف بها دوليًا.
 تطوير إرشادات وإجراءات داخلية لإدارة الضوابط وقياسها وتحسينها.

 المخطط العام 
 مخطط ISO/IEC 27002:2022 
يتضمن الإصدار 2022 فصولًا تمهيدية (النطاق، المراجع المعيارية، المصطلحات والتعاريف، وبنية الوثيقة)، ثم يُقسّم الضوابط إلى أربع مجموعات رئيسية:
 ضوابط تنظيمية (Organizational controls)
 ضوابط الأفراد (People controls)
 ضوابط مادية (Physical controls)
 ضوابط تقنية (Technological controls)

وتناولت «مجلة SC 27» الإصدار الثالث من ISO/IEC 27002:2022 بوصفه تحديثًا مهمًا في هيكلة الضوابط وتقديمها للاستخدام عبر مختلف القطاعات.

 مخطط ISO/IEC 27002:2013 
كان إصدار 2013 يُنظم الضوابط ضمن مجموعات موضوعية متعددة (14 مجموعة رئيسية) تغطي مجالات شائعة مثل: سياسات أمن المعلومات، تنظيم أمن المعلومات، أمن الموارد البشرية، إدارة الأصول، التحكم بالوصول، التشفير، الأمن المادي والبيئي، أمن العمليات، أمن الاتصالات، تطوير الأنظمة وصيانتها، علاقات الموردين، إدارة الحوادث، استمرارية الأعمال، والامتثال.

 الضوابط وإرشادات التطبيق 
يعرض المعيار ضوابط أمن المعلومات وأهدافها ويقدم إرشادات تطبيق تساعد على التنفيذ العملي. ولا يفرض ISO/IEC 27002 قائمة ضوابط ثابتة على جميع المؤسسات؛ إذ يُتوقع تكييف اختيار الضوابط وفق نطاق النظام وسياق المؤسسة ونتائج تقييم المخاطر والمتطلبات القانونية/التعاقدية والقدرات المتاحة للتطبيق والتشغيل.

 مثال توضيحي للتطبيق 
ملاحظة: الأمثلة الآتية للتوضيح فقط وليست قائمة شاملة.

 الأمن المادي والبيئي 
 تقييد ومراقبة الوصول المادي إلى المباني والمناطق المقيّدة.
 إدارة الزوار وتسجيل الدخول/الخروج ومرافقتهم عند اللزوم.
 حماية أنظمة التحكم بالدخول ضد العبث أو التعطيل.
 التخطيط للطوارئ وإجراء تمارين دورية.

 أمن الموارد البشرية 
 التحقق من الهوية والمراجع قبل التوظيف عند ملاءمته لطبيعة المخاطر.
 اتفاقيات سرية/عدم إفصاح للموظفين والمتعاقدين.
 تحديث صلاحيات الوصول عند الانتقال أو إنهاء الخدمة.
 استرجاع الأصول (بطاقات، مفاتيح، أجهزة، وسائط) عند انتهاء العلاقة الوظيفية.

 التحكم بالوصول 
 منح الصلاحيات وفق الدور واحتياجات العمل (مبدأ أقل صلاحية).
 تسجيل محاولات الدخول الفاشلة وتوليد تنبيهات عند الحاجة.
 متطلبات قوية لكلمات المرور/بيانات الاعتماد وحمايتها من الإفشاء.
 مراجعات دورية لصلاحيات الامتيازات العالية.

 التاريخ 
 السنة  الوصف 2005  صدور ISO/IEC 27002 (الإصدار الأول). 2013  صدور ISO/IEC 27002 (الإصدار الثاني). 2022  صدور ISO/IEC 27002 (الإصدار الثالث).

 معايير مرتبطة 
تضم سلسلة ISO/IEC 27000 معايير إرشادية وتطبيقية أخرى تتكامل مع ISO/IEC 27002. ومن أمثلتها ISO/IEC 27017 الذي يضيف إرشادات وضوابط مكمّلة لخدمات الحوسبة السحابية مبنية على ضوابط ISO/IEC 27002.

 معايير وطنية مكافئة 
توجد في دول عدة معايير وطنية مكافئة أو متبناة من ISO/IEC 27002. وقد ينتج عن الترجمة والنشر المحلي تأخر زمني بعد صدور النسخة الدولية. (القائمة أدناه أمثلة شائعة وليست حصرًا شاملًا.)

 الدولة  المعيار المكافئ  الأرجنتين  IRAM-ISO-IEC 27002:2008  أستراليا نيوزيلندا  AS/NZS ISO/IEC 27002:2006  البرازيل  ISO/IEC NBR 17799/2007 – 27002  إندونيسيا  SNI ISO/IEC 27002:2014  تشيلي  NCH2777 ISO/IEC 17799/2000  الصين  GB/T 22081-2008  التشيك  ČSN ISO/IEC 27002:2006  كرواتيا  HRN ISO/IEC 27002:2013  الدنمارك  DS/ISO27002:2022 (DK)  إستونيا  EVS-ISO/IEC 17799:2003  فرنسا  NF ISO/CEI 27002:2014  ألمانيا  DIN ISO/IEC 27002:2008  اليابان  JIS Q 27002  ليتوانيا  LST ISO/IEC 27002:2009  المكسيك  NMX-I-27002-NYCE-2015  هولندا  NEN-ISO/IEC 27002:2013  بيرو  NTP-ISO/IEC 17799:2007  بولندا  PN-ISO/IEC 17799:2007  روسيا  ГОСТ Р ИСО/МЭК 27002-2012  سلوفاكيا  STN ISO/IEC 27002:2006  جنوب أفريقيا  SANS 27002:2014 / ISO/IEC 27002:2013  إسبانيا  UNE 71501  السويد  SS-ISO/IEC 27002:2014  تركيا  TS ISO/IEC 27002  تايلاند  UNIT/ISO  أوكرانيا  ДСТУ ISO/IEC 27002:2015  المملكة المتحدة  BS ISO/IEC 27002:2005  أوروغواي  UNIT/ISO 17799:2005

 الشهادة 
يُعد ISO/IEC 27002 معيارًا إرشاديًا ولا تُمنح «شهادة مطابقة» عليه بحد ذاته؛ بينما تمنح الشهادة عادةً على ISO/IEC 27001 الذي يحدد متطلبات نظام إدارة أمن المعلومات. وتوضح وثائق الاعتماد الدولية متطلبات الانتقال والتدقيق المرتبطة بشهادات ISO/IEC 27001:2022.

 التطوير المستمر والحوكمة 
تُطوَّر معايير أمن المعلومات ضمن اللجنة الفنية المشتركة ISO/IEC JTC 1، وتحديدًا اللجنة الفرعية SC 27 المختصة بـ«أمن المعلومات والأمن السيبراني وحماية الخصوصية»، والتي تدير أعمال تطوير ومراجعة المعايير والمواصفات والتقارير ذات الصلة.

 انظر أيضًا 
 سلسلة آيزو/آي إي سي 27000
 ISO/IEC 27001
 نظام إدارة أمن المعلومات
 أمن المعلومات

 المراجع 

 وصلات خارجية 
 ISO/IEC 27002:2022 — صفحة ISO الرسمية
 ISO/IEC 27002:2022 — صفحة IEC الرسمية (Webstore)
 ISO/IEC 27001:2022 — صفحة ISO الرسمية
 ISO/IEC JTC 1/SC 27 — بوابة اللجنة الرسمية
 SC 27 Journal (تحديث ديسمبر 2022) (PDF)
 Publication: ISO/IEC 27002:2022 (SCC)
 IAF MD 26:2022 — متطلبات الانتقال لـ ISO/IEC 27001:2022 (PDF)

تصنيف:معايير أمن الحاسوب
تصنيف:معايير ضمان المعلومات