طلب منا أحد العملاء شهادة ISO 27001. حالياً ليس لدينا أي شهادات. كم تكلفة الشهادة؟ كم تستغرق من الوقت (أشهر/سنوات)؟ هل هناك فائدة فعلية للشركة أم أنها مجرد أوراق؟
الـ ISO 27001 بتراجع على إيه بالظبط؟ لازم نعمل إيه في شركتنا الحالية؟ فيه تغيير في نظام الإدارة؟
مين اللي بيتأكد إن إعدادات الشبكة/النظام الحالية بتاعتنا متوافقة مع معايير الشهادة؟
اعتماد نظام إدارة أمن المعلومات (ISMS) ISO/IEC 27001. التكلفة: رسوم التدقيق 10-30 ألف دولار (للأول مرة)، المراقبة السنوية 3-10 آلاف دولار. الجدول الزمني: 6-12 شهراً (توثيق، تنفيذ، دورة تدقيق). الفوائد: ثقة العملاء، ميزة تنافسية، الامتثال التنظيمي (التوافق مع GDPR)، تقليل المخاطر. أنواع التدقيق: تحليل الفجوات (0-1 شهر، تقدير النطاق)، التنفيذ (3-6 أشهر، توثيق السياسات/الإجراءات، نشر ضوابط الأمان)، التدقيق المسبق (2-4 أسابيع)، تدقيق الاعتماد (1-2 أسبوع، فحص ميداني من قبل مدقق معتمد). مجالات الرقابة (14 مجالاً رئيسياً): إدارة الأصول، التحكم في الوصول، التشفير، الأمن المادي/البيئي، أمن العمليات، أمن الاتصالات، اقتناء/تطوير الأنظمة، علاقات الموردين، إدارة حوادث أمن المعلومات، استمرارية الأعمال، الامتثال. التنفيذ: تعيين مسؤول ISMS، تشكيل لجنة أمن، توثيق الوضع الحالي (الأساس)، الربط بمتطلبات ISO 27001، معالجة الفجوات (أدوات جديدة، تحديثات السياسات)، تدريب الموظفين، تدقيق داخلي، مراجعة الإدارة، تدقيق خارجي. التوافق مع KVKK: التدابير التقنية والتنظيمية في ISO 27001 تفي بمتطلبات المادة 32 من KVKK.
الـ iso 27001 بتاخد 6-12 شهر، وتكلف 15k-30k ليرة. لو العميل عايزها، روح لمستشار، هيمشي معاك. اكتب سياسات في الشركة، ركّب تحكم في الوصول، عمل تدريب، وعدّي التدقيق... ميزة الامتثال كبيرة...
خارطة طريق تنفيذ ISO 27001: الشهر 1-2 (التوعية + التخطيط: تشكيل لجنة أمنية، تحديد نطاق ISMS، اختيار هيئة تقييم المطابقة CAB)، الشهر 3-4 (تقييم الأساس + تحليل الفجوات)، الشهر 5-8 (التوثيق: سياسة أمن المعلومات، سجل الأصول، نموذج تقييم المخاطر، خطة الاستجابة للحوادث، إجراءات التحكم في الوصول)، الشهر 9-10 (الضوابط التقنية: المصادقة الثنائية 2FA، التشفير، تقسيم الشبكة، السجلات)، الشهر 11 (تدقيق داخلي + مراجعة الإدارة)، الشهر 12 (تدقيق خارجي + الاعتماد). اختيار المدقق: معتمد من هيئة الاعتماد الوطنية (تركيا: TÜRKAK). أدلة التحكم: التوثيق (السياسات)، السجلات التقنية (جدار الحماية، أحداث الوصول)، سجلات المقابلات (إقرار الموظفين).
لو العميل عايز ISO 27001، اعملها يا عم، ميزة تنافسية. دور على مستشار، خلصها في 6-12 شهر. بـ 20k ليرة تقدر تقيم نظام قوي. وبعدين تدقيق مراقبة سنوي بـ 3k-5k. طيب كمان بتحقق التوافق مع KVKK...
إطار عمل تطبيق نظام إدارة أمن المعلومات (ISMS): التخطيط (النطاق، أصحاب المصلحة، الجدول الزمني)، التنفيذ (التوثيق، الضوابط، التدريب)، المراقبة (التدقيق الداخلي، مراجعة الإدارة)، التحسين (الإجراءات التصحيحية، التحسين المستمر). متطلبات التوثيق: 12 سياسة إلزامية (نظام إدارة أمن المعلومات، الوصول، التشفير، الاستجابة للحوادث، إلخ) والإجراءات الداعمة لها. جمع الأدلة: السجلات (شهرياً)، مسارات التدقيق (كل ثلاثة أشهر)، تقارير الحوادث (حسب الحاجة). كفاءة المدقق: اعتماد من هيئة وطنية (TÜRKAK في تركيا)، وشهادة مدقق رئيسي ISO 27001 شرط أساسي. التكلفة مقابل الفائدة: الاستثمار الأولي (20 ألف دولار) + التكاليف المستمرة (6 آلاف سنوياً) مقابل قيمة العميل (العقود المكتسبة، انخفاض خطر الاختراق).
لدي سؤال، ولا أريد الخروج عن صلب الموضوع. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.
دعني أتركها كملاحظة، قد تكون مفيدة.
دعني أشارك تجربتي. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.
الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً. مثبت بالتجربة.
Doki · استشارات تحسين محركات البحث · 2023
مررت بهذا الطريق، دعني أشرح. يعني كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.
مثبت بالتجربة.
بعد تجربة ذلك، تغيرت نظرتي للأمور. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.
دعني أتركها كملاحظة، قد تكون مفيدة.
بعد تجربة ذلك، تغيرت نظرتي للأمور. فعل الجميع لشيء ما لا يعني أنه صحيح.
الخطأ المرتكب من جانب تكلفة شهادة الأمان iso 27001 قابل للإصلاح عادةً، لكنه مكلف. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.
أود طرح سؤال. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.
القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.
هناك شيء يجب الانتباه إليه. المسألة ليست الرقم، بل الأساس الذي بُني عليه.
إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.
أنا مشروع صغير، دعوني أشرح من منظوري. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.
أتمنى أن يفيدك هذا.
دعني أشرح كيف يتم التطبيق عملياً. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.
انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.
الإجابة أعلاه لخصت جوهر الأمر لكن الناس يدافعون عن العادات وليس العمليات. على كل حال المقاومة تأتي من هناك.
إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى. هذا كل شيء، أرجو المعذرة إذا أطالت.
Doki · تدريب الوعي بالتصيّد الاحتيالي · 2024
سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.
إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.