أمن المعلومات والامتثال لمعايير ISO

مشاريع أمن المعلومات والامتثال لمعايير ISO

أتعامل مع أمن المعلومات بوصفه جزءًا من العملية، لا خطوة منفصلة تأتي بعد التطوير. في عام 2025 أكملتُ تدريبًا مكثفًا في هذا المجال، وأدير مشاريع متوافقة مع مبادئ أنظمة الإدارة وفق ISO.

لمن هذه الخدمة

هي للمؤسسات التي يجب عليها إنشاء نظام إدارة مثل ISO 27001 أو ISO 42001 بسبب متطلب من عميل أو جهة تنظيمية، لكنها لا تعرف كيف تخطط للنطاق والجهد. نبدأ برسم نطاق واقعي، ثم نقسّم العمل إلى خطوات صغيرة.

ماذا أفعل

اختبار الاختراق وتقييم الأمن
تطبيق مبادئ تطوير البرمجيات الآمن
منظور استشاري في أمن المعلومات (ISO/IEC 27001:2022) وأنظمة إدارة الذكاء الاصطناعي (ISO/IEC 42001:2023)
التحقيق الجنائي الرقمي: مراجعة ما بعد الحوادث ومنظور سلامة الأدلة

التدريب المُنجَز: دورات المدقق الرئيسي في ISO/IEC 27001:2022 و42001:2023، والخبرة في الأمن السيبراني، والخبرة في الاختراق الأخلاقي (القبعة البيضاء)، والخبرة في الجرائم الإلكترونية، والخبرة في التحقيق الجنائي الرقمي. التفاصيل في صفحة الشهادات. لا تعني هذه الصفحة أن شهادة مؤسسية قد صدرت؛ بل تصف تدريبي الشخصي وخبرتي العملية.

كيف أدير العمل في هذا المجال

يُظنّ غالبًا أن مشاريع الامتثال أعمال ورقية؛ لكن الصعوبة الحقيقية تكمن في رسم النطاق رسمًا صحيحًا، وتحديد مالكي المخاطر، وجمع الأدلة من العمل اليومي.

الخطوات

النطاق والسياق: تُكتب الوحدة والعملية والأصول التي يشملها نظام الإدارة.
تقييم المخاطر: تُسجَّل الأصول والتهديدات والمخاطر مع مالكيها.
خطة الضوابط والتوثيق: كيف يُطبَّق كل ضابط، وأي السجلات تُحفظ.
التنفيذ وجمع السجلات: تُدمَج الضوابط في العمل اليومي لتنتج الأدلة تلقائيًا.
المراجعة الداخلية والجاهزية للتدقيق: تُكتشف الفجوات وتُسدّ قبل التدقيق.

المخرجات

بيان النطاق
سجل المخاطر وخطة المعالجة
مسودات السياسات والإجراءات
ملخص المراجعة الداخلية وقائمة الجاهزية للتدقيق

الأساليب والأدوات

تربط خطة المشروع سلسلة النطاق والمخاطر والتوثيق والمراجعة بجدول زمني منتظم. وهذا ليس وعدًا بالحصول على شهادة؛ بل خدمة لتنفيذ أعمال الامتثال بصورة منظمة.

المخاطر الشائعة وكيف أتعامل معها

نطاق واسع جدًا أو ضيق جدًا: يُراجَع النطاق مع الأهداف التجارية وجرد الأصول.
وثائق موجودة دون ممارسة فعلية: تُدمَج الضوابط في العمل اليومي؛ وتأتي الأدلة من العملية نفسها.
مخاطر بلا مالكين: يُسند لكل خطر مالك وموعد لإجراء التخفيف.

معايير القبول

اعتمدت الإدارة بيان النطاق.
سجل المخاطر محدَّث؛ ولكل خطر مالك وقرار معالجة.
تعكس السياسات والإجراءات العمل المنفَّذ فعليًا.
نتائج المراجعة الداخلية مغلقة أو مجدولة.

ما سأسألك عنه قبل أن نبدأ

ما المعيار أو متطلب العميل الذي يدفع هذا العمل؟
ما الوحدات والعمليات والأنظمة التي ستدخل في النطاق؟
هل توجد سياسات وسجلات قائمة؟
هل هناك موعد مستهدف للتدقيق وجهة منح الشهادة؟

إيقاع التواصل

ملخص إداري شهري، واجتماعات عمل كل أسبوعين، وقائمة بالبنود المفتوحة لكل منها مالك.

لماذا يهم هذا في قيادة فرق الذكاء الاصطناعي

يساعدني تدريبي كمدقق رئيسي في ISO/IEC 42001 على اختزال حوكمة الذكاء الاصطناعي في أسئلة محددة: ما غاية هذا النظام، ومن المسؤول عنه، وما البيانات التي يستخدمها، وكيف تتم مراقبته؟ وفي دور C-level في الذكاء الاصطناعي تصبح هذه الأسئلة اللغة المشتركة بين الفريق التقني ومجلس الإدارة.

الأسئلة الشائعة

هل تصدر شهادات؟

لا. إصدار الشهادات من عمل الجهات المعتمدة؛ وأنا أساعد في تخطيط أعمال الامتثال وتنفيذها.

هل ISO 27001 مفيد لفريق صغير؟

نعم، متى رُسم النطاق صغيرًا وواقعيًا؛ ونقيّم ذلك في محادثة تحديد الاحتياجات.

للبدء: صِف هدفك في جملتين أو ثلاث عبر تواصل معي أو على WhatsApp (+90 531 679 10 14). وللاطلاع على أسلوبي العام انظر إدارة المشاريع، ولإيقاع عملي طريقة عملي، وللمجالات الأخرى خدماتي. أعمل عن بُعد، بما في ذلك عبر المناطق الزمنية — راجع الأسئلة الشائعة.