أيزو/أي إي سي 27002

**ISO/IEC 27002** هو معيار دولي في أمن المعلومات منشور بصورة مشتركة بين المنظمة الدولية للمعايير (ISO) واللجنة الكهروتقنية الدولية (IEC) بعنوان: *Information security, cybersecurity and privacy protection — Information security controls*. يقدّم المعيار مجموعة مرجعية عامة من ضوابط أمن المعلومات مع إرشادات تطبيق (Implementation guidance)، ويُصمَّم للاستخدام داخل سياق نظام إدارة أمن المعلومات (ISMS) المبني على ISO/IEC 27001، وكذلك لتبنّي أفضل الممارسات أو لتطوير إرشادات داخلية خاصة بالمؤسسة.

يرتبط ISO/IEC 27002 عادةً بمعايير عائلة معايير آيزو / آي إي سي 27000 الأخرى؛ إذ يضع ISO/IEC 27001 متطلبات إنشاء نظام إدارة أمن المعلومات وتشغيله وتحسينه المستمر، بينما يركّز ISO/IEC 27002 على الضوابط وإرشادات تطبيقها بوصفها مرجعًا عمليًا لمعالجة مخاطر أمن المعلومات.

## لمحة تاريخية
تعود جذور ISO/IEC 27002 إلى «مدونة ممارسات» أقدم ضمن السلسلة هي ISO/IEC 17799، والتي أصبحت لاحقًا جزءًا من مسار المواءمة والتحديث داخل سلسلة ISO/IEC 27000.

صدر ISO/IEC 27002 بإصداره الأول سنة 2005، ثم نُقّح في 2013، ثم أُعيدت مراجعته بصورة جوهرية في 2022 (الإصدار الثالث).

كما أشارت نشرات رسمية مرتبطة بالتقييس/الاعتماد إلى تحديث ISO/IEC 27002:2022 ونشره ضمن مخرجات الجهات المعنية.

## الغرض ونطاق الاستخدام
يهدف ISO/IEC 27002 إلى مساعدة المؤسسات على:
* اختيار ضوابط أمن المعلومات المناسبة لمعالجة المخاطر (Risk treatment) ضمن ISMS.
* تطبيق ضوابط مبنية على أفضل الممارسات المعترف بها دوليًا.
* تطوير إرشادات وإجراءات داخلية لإدارة الضوابط وقياسها وتحسينها.

## المخطط العام
### مخطط ISO/IEC 27002:2022
يتضمن الإصدار 2022 فصولًا تمهيدية (النطاق، المراجع المعيارية، المصطلحات والتعاريف، وبنية الوثيقة)، ثم يُقسّم الضوابط إلى أربع مجموعات رئيسية:
# ضوابط تنظيمية (Organizational controls)
# ضوابط الأفراد (People controls)
# ضوابط مادية (Physical controls)
# ضوابط تقنية (Technological controls)

وتناولت «مجلة SC 27» الإصدار الثالث من ISO/IEC 27002:2022 بوصفه تحديثًا مهمًا في هيكلة الضوابط وتقديمها للاستخدام عبر مختلف القطاعات.

### مخطط ISO/IEC 27002:2013
كان إصدار 2013 يُنظم الضوابط ضمن مجموعات موضوعية متعددة (14 مجموعة رئيسية) تغطي مجالات شائعة مثل: سياسات أمن المعلومات، تنظيم أمن المعلومات، أمن الموارد البشرية، إدارة الأصول، التحكم بالوصول، التشفير، الأمن المادي والبيئي، أمن العمليات، أمن الاتصالات، تطوير الأنظمة وصيانتها، علاقات الموردين، إدارة الحوادث، استمرارية الأعمال، والامتثال.

## الضوابط وإرشادات التطبيق
يعرض المعيار ضوابط أمن المعلومات وأهدافها ويقدم إرشادات تطبيق تساعد على التنفيذ العملي. ولا يفرض ISO/IEC 27002 قائمة ضوابط ثابتة على جميع المؤسسات؛ إذ يُتوقع تكييف اختيار الضوابط وفق نطاق النظام وسياق المؤسسة ونتائج تقييم المخاطر والمتطلبات القانونية/التعاقدية والقدرات المتاحة للتطبيق والتشغيل.

## مثال توضيحي للتطبيق
**ملاحظة:** الأمثلة الآتية للتوضيح فقط وليست قائمة شاملة.

### الأمن المادي والبيئي
* تقييد ومراقبة الوصول المادي إلى المباني والمناطق المقيّدة.
* إدارة الزوار وتسجيل الدخول/الخروج ومرافقتهم عند اللزوم.
* حماية أنظمة التحكم بالدخول ضد العبث أو التعطيل.
* التخطيط للطوارئ وإجراء تمارين دورية.

### أمن الموارد البشرية
* التحقق من الهوية والمراجع قبل التوظيف عند ملاءمته لطبيعة المخاطر.
* اتفاقيات سرية/عدم إفصاح للموظفين والمتعاقدين.
* تحديث صلاحيات الوصول عند الانتقال أو إنهاء الخدمة.
* استرجاع الأصول (بطاقات، مفاتيح، أجهزة، وسائط) عند انتهاء العلاقة الوظيفية.

### التحكم بالوصول
* منح الصلاحيات وفق الدور واحتياجات العمل (مبدأ أقل صلاحية).
* تسجيل محاولات الدخول الفاشلة وتوليد تنبيهات عند الحاجة.
* متطلبات قوية لكلمات المرور/بيانات الاعتماد وحمايتها من الإفشاء.
* مراجعات دورية لصلاحيات الامتيازات العالية.

## التاريخ

## معايير مرتبطة
تضم سلسلة ISO/IEC 27000 معايير إرشادية وتطبيقية أخرى تتكامل مع ISO/IEC 27002. ومن أمثلتها ISO/IEC 27017 الذي يضيف إرشادات وضوابط مكمّلة لخدمات الحوسبة السحابية مبنية على ضوابط ISO/IEC 27002.

## معايير وطنية مكافئة
توجد في دول عدة معايير وطنية مكافئة أو متبناة من ISO/IEC 27002. وقد ينتج عن الترجمة والنشر المحلي تأخر زمني بعد صدور النسخة الدولية. (القائمة أدناه أمثلة شائعة وليست حصرًا شاملًا.)

## الشهادة
يُعد ISO/IEC 27002 معيارًا إرشاديًا ولا تُمنح «شهادة مطابقة» عليه بحد ذاته؛ بينما تمنح الشهادة عادةً على ISO/IEC 27001 الذي يحدد متطلبات نظام إدارة أمن المعلومات. وتوضح وثائق الاعتماد الدولية متطلبات الانتقال والتدقيق المرتبطة بشهادات ISO/IEC 27001:2022.

## التطوير المستمر والحوكمة
تُطوَّر معايير أمن المعلومات ضمن اللجنة الفنية المشتركة ISO/IEC JTC 1، وتحديدًا اللجنة الفرعية SC 27 المختصة بـ«أمن المعلومات والأمن السيبراني وحماية الخصوصية»، والتي تدير أعمال تطوير ومراجعة المعايير والمواصفات والتقارير ذات الصلة.

## انظر أيضًا
* سلسلة آيزو/آي إي سي 27000
* ISO/IEC 27001
* نظام إدارة أمن المعلومات
* أمن المعلومات

## المراجع

## وصلات خارجية
* ISO/IEC 27002:2022 — صفحة ISO الرسمية
* ISO/IEC 27002:2022 — صفحة IEC الرسمية (Webstore)
* ISO/IEC 27001:2022 — صفحة ISO الرسمية
* ISO/IEC JTC 1/SC 27 — بوابة اللجنة الرسمية
* SC 27 Journal (تحديث ديسمبر 2022) (PDF)
* Publication: ISO/IEC 27002:2022 (SCC)
* IAF MD 26:2022 — متطلبات الانتقال لـ ISO/IEC 27001:2022 (PDF)

تصنيف:معايير أمن الحاسوب
تصنيف:معايير ضمان المعلومات