ISO 27001 مقابل NIS2: أوجه التداخل والاختلاف

ما هو

يحدد معيار ISO/IEC 27001:2022 متطلبات إنشاء نظام إدارة أمن المعلومات (ISMS) وتشغيله وتحسينه: السياق والنطاق، والقيادة، وتقييم المخاطر ومعالجتها، والدعم، والتشغيل، وتقييم الأداء، والتحسين. ويسرد الملحق A منه 93 ضابطًا مرجعيًا مجمّعة في موضوعات تنظيمية وبشرية ومادية وتقنية، تُختار وفقًا لتقييم المخاطر لديك. ويمكن للمؤسسات أن تختار إخضاع نظام ISMS لديها للتدقيق من قِبل جهة إصدار شهادات معتمدة. أما NIS2 فيلزم الكيانات المشمولة بتطبيق تدابير لإدارة المخاطر في مجالات محددة، ويحمّل الهيئات الإدارية المسؤولية، ويضيف إبلاغًا صارمًا عن الحوادث إلى السلطات، ورقابةً، وعقوبات. والتداخل كبير: فتقييم المخاطر، والسياسات، والتحكم في الوصول، والتشفير، وأمن الموردين، وإدارة الحوادث، والاستمرارية، والتدريب، ترد كلها في الاثنين. لكن للاختلافات أهميتها أيضًا. إذ يحدد NIS2 مواعيد قانونية للإبلاغ، ومساءلة وتدريبًا صريحين للإدارة، ورقابة وطنية؛ في حين يتيح لك ISO 27001 تحديد النطاق، الذي قد لا يتطابق مع الخدمات التي يُعنى بها NIS2.

لمن هذا؟

هذه المقارنة مفيدة لـ:

• المؤسسات التي لديها برنامج قائم لـ ISO 27001 وتقيّم الفجوات بالنسبة إلى NIS2
• المؤسسات المشمولة بنطاق NIS2 التي تقرر ما إذا كانت ستبني نظام ISMS إطارًا لها
• الموردين الذين يطلب منهم العملاء إما التوافق مع ISO 27001 أو تأكيدات متعلقة بـ NIS2
• فرق الإدارة التي توزّع الميزانية بين الأطر

ما يساعد على توضيح

تساعد مقارنتهما جنبًا إلى جنب على توضيح:

• الضوابط والسجلات القائمة التي يمكن إعادة استخدامها أدلةً لـ NIS2
• ما إذا كان نطاق نظام ISMS لديك يغطي الخدمات والأنظمة ذات الصلة بموجب NIS2
• التزامات NIS2، مثل الجداول الزمنية للإبلاغ، التي تحتاج إلى إجراءات إضافية
• ما إذا كانت شهادة ISO الرسمية متطلبًا تجاريًا أم مجرد إطار مفيد

ما هو متضمن

• مقارنة نطاق نظام ISMS بالخدمات والأنظمة التي ستكون ذات صلة بموجب NIS2
• ربط ضوابط الملحق A التي طبّقتها بمجالات التدابير الواردة في المادة 21 من NIS2
• إضافة إجراء للحوادث يغطي مراحل الإبلاغ خلال 24 ساعة و72 ساعة وشهر واحد
• توثيق اعتماد الهيئة الإدارية وإشرافها وتدريبها بشكل صريح
• توسيع تقييم الموردين ليشمل موردي ICT الذين تقوم عليهم الخدمات الحرجة
• مراجعة التشريع الوطني الناقل للتوجيه بحثًا عن متطلبات إضافية أو أنظمة مُشار إليها
• استخدام عمليات التدقيق الداخلي ومراجعات الإدارة لإثبات فاعلية التدابير بمرور الوقت
• الاحتفاظ بأدلة على الضوابط التقنية، لا على السياسات فحسب

ما لا يشتمل عليه

• شهادة ISO 27001 أو تدقيق من جهة إصدار شهادات
• إفادة بأن شهادة ISO 27001 تفي بالتزامات NIS2
• تفسير قانوني للقانون الوطني الخاص بـ NIS2
• ألقاب أو اعتمادات رسمية

متى تختارها

استخدم هذه المقارنة عند التخطيط لبرنامجك الأمني للعام أو العامين المقبلين. وإذا كان العملاء يشترطون شهادة ISO 27001، فخطط لتدقيق لدى جهة إصدار شهادات معتمدة بوصفه خطوة منفصلة. وإذا كنت ضمن نطاق NIS2، فاستخدم هيكل نظام ISMS لتنظيم التدابير، لكن أضف العناصر الخاصة بالتوجيه. وإن لم يكن لديك أيٌّ منهما، فإن البدء بمراجعة منظّمة للفجوات مقابل مرجع متفق عليه كثيرًا ما يكون أكثر فائدة من كتابة السياسات أولًا. هذه المقالة معلومات عامة وليست استشارة قانونية.

نهجنا

تعامل مع ISO 27001 بوصفه هيكل الإدارة، ومع NIS2 بوصفه مجموعة من المتطلبات القانونية التي يجب أن يفي بها هذا الهيكل. ابدأ بمجموعة ضوابط واحدة مرتبطة بالاثنين، بحيث يكون لكل ضابط مالك واحد ومجموعة أدلة واحدة. وأولِ النطاق اهتمامًا خاصًا: فنظام ISMS الذي لا يغطي إلا وظيفة المكتب الرئيسي لن يُظهر الكثير عن الأنظمة التي تقوم عليها خدمة حرجة. يمكن لخدمتنا «Security Baseline Review» المساعدة في الجانب التقني: رؤية مكتوبة مصنّفة حسب درجة الخطورة للأصول المتفق عليها، وملاحظات حول فجوات الجاهزية مقابل مرجع متفق عليه حيثما كان ذلك مشمولًا في النطاق المؤكَّد. وهي دعم للجاهزية واتخاذ القرار يهيّئك للعمل مع جهات منح الشهادات المعتمدة والمدققين والمستشارين القانونيين. وإن كان هدفك الحصول على الشهادة، فاختر جهة إصدار شهادات معتمدة للتدقيق وأبقِ أعمال الجاهزية منفصلة عنه.

Security Baseline Review

الأسئلة المتكررة

مقالات ذات صلة