نظام أمن المعلومات – ISO 27001 Security Information Management System (ISMS) يقوم بتوفير نظام لحماية وتأمين البيانات والمعلومات المتداولة من اختراقها وتخزينها ومن ثم العبث بها أو فقدانها. المعلومات هي واحدة من أهم أصول الشركة، ويرجع ذلك إلى تأثيرها بشكل كبير على أداء الشركة واستدامة تلك المعلومات، ومن أجل الحفاظ على تلك المعلومات تهدف جميع الشركات إلى محاولة حماية تلك المعلومات من المخاطر الخارجية والداخلية التي تحيط بها. تكون الحماية عن طريق توفير جميع الأدوات والوسائل اللازمة للحماية، وقد قامت المنظمة العالمية للمعايير العالمية بوضع نظام إدارة أمن المعلومات ISO 27001.

لنظام أمن المعلومات عدة محاور يجب إنشاءها وتوثيقها وتطبيقها وصيانتها في كل منشأة تريد أن تطبّق نظاما سليما متكاملا لأمن المعلومات لديها؛ ومن هذه المحاور:

– سياسة أمن المعلومات (Policy Security): يجب على الشركة أو المنشأة أن تكون لديها سياسة أمن المعلومات معتمدة من الإدارة وموثقة ومتاحة لكل العاملين المسؤولين عن نظام أمن المعلومات.
– الهيكل التنظيمي لأمن المعلومات (Security Information of Organization): يهدف إلى تحديد التزامات الإدارة العليا لتأمين المعلومات، وتنسيق أمن المعلومات، وتحديد المسؤوليات، وعمليات التفويب لأماكن عمليات المعلومات، واتفاقيات الحفاظ على السرية، والاتصال والتعاون بين الهيئات، والأطراف الخارجية.
– إدارة الأصول (Management Asset): يهدف إلى ضمان تفهم الموظفين والمقاولين ومستخدمي الطرف الثالث لمسؤولياتهم وأنها مناسبة لدورهم، وتقليل مخاطر السرقة والخداع وسوء استخدام الموارد والأماكن.
– أمن الموارد البشرية (Security Resources Human): يهدف إلى ضمان تفهم الموظفين والمقاولين ومستخدمي الطرف الثالث لمسؤولياتهم وأنها مناسبة لدورهم، ولتقليل مخاطر السرقة والخداع وسوء استخدام الموارد والأماكن.
– تأمين المناطق والظروف المناخية (Security Environmental and Physical): يهدف إلى منع الأشخاص الذين ليس لديهم سلطة من اختراق وتدمير المباني التي تحتوي على مراكز معلوماتية للمؤسسة، من خلال تأمين المناطق والتحكم في ع

ملية الدخول، وتأمين المكاتب والغرف والمعدات، والتأمين ضد التهديدات الخارجية والبيئية، والعمل في المناطق الآمنة، ومناطق الدخول العام والتسليم والتحميل، وأمن الأجهزة، واختيار وحماية مواقع الأجهزة، وتأمين الكوابل، وصيانة الأجهزة، وتأمين عملية التخلص من الأجهزة أو إعادة استخدامها، وكيفية إزالة الممتلكات.
– إدارة العمليات والاتصالات (Management Operation and Communication): يهدف إلى التأكد من التشغيل السليم والآمن لوسائل معالجة المعلومات، من خلال وضع إجراءات التشغيل الموثقة، وكيفية إدارة التعديلات على التشغيل، وعمليات الفصل للواجبات ولوسائل التشغيل والتطوير، وإدارة توصيل خدمات الطرف الثالث، وتوصيل الخدمات، وعملية مراقبة ومراجعة خدمات الطرف الثالث، وعمليات تخطيط وقبول النظام، والضوابط الأمنية ضد البرامج والأكواد الضارة، والنسخ الاحتياطي للمعلومات، وإدارة أمن الشبكات، وأمن وثائق النظام، وسياسة وإجراءات تبادل المعلومات.
– مراقبة الدخول (Control Access): يهدف إلى ضبط والتحكم في الدخول إلى المعلومات، وكيفية اعتماد وتسجيل المستخدمين، وإدارة حقوق الوصول وكلمات المرور، ومراجعة الحقوق والمسؤوليات للمستخدمين، ومراقبة الدخول، وخطط العمل عن بعد.
– تطوير وصيانة نظم المعلومات (Maintenance and Development Systems Information): يهدف إلى التأكيد على أن المطالب الأمنية جزء متكامل من نظم المعلومات، وتحليل وتوصيف المتطلبات الأمنية، وتحديد العمليات الصحيحة في التطبيقات، لمنع الأخطاء وفقدان التعديلات غير المصرح بها، وضوابط التشفير، وضبط الأضرار الفنية.
– إدارة حوادث أمن المعلومات (Management Incident Security Information): يهدف إلى ضمان أن أحداث أمن المعلومات ونقاط الضعف المرتبطة بنظم المعلومات تكون متصلة بشكل يسمح باتخاذ الإجراءات التصحيحية في الوقت المناسب.
– إدارة استمرارية العمل (Management Continuity Business): يهدف إلى إبطال العوائق لنشاط المؤسسة وحماية سير العمل الأساسي من تأثير الكو

ارث أو الأعمال الفاشلة الكبيرة لنظام المعلومات لضمان استعادته في الوقت المناسب.
– التطابق مع القوانين والتشريعات (Compliance): يهدف إلى تجنب مخالفة كل من القوانين الجنائية والمدنية والتشريعات والتزامات التعاقدية التي تشمل متطلبات الأمن، والتعرف على التشريعات السارية وحقوق الملكية الفكرية، وغير ذلك.