دورة ISO 27001 في السعودية: تنفيذ نظام إدارة أمن المعلومات

ISO/IEC 27001:2022 هو المعيار الدولي لنظام إدارة أمن المعلومات، وهو إطار محكوم من السياسات وقرارات المخاطر والضوابط يحمي سرية المعلومات وسلامتها وتوافرها. وله في السعودية أهمية مزدوجة: تجارياً، لأن العملاء والمشترين الحكوميين والشركاء يطلبون بشكل متزايد أدلة على حوكمة أمنية منظمة؛ وتنظيمياً، لأن الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية يتوقعان إدارة مخاطر أمن المعلومات بالطرق التي صُمم نظام ISMS لدعمها. تدرّبك هذه الدورة على بناء هذا النظام وتشغيله في سياق سعودي.

تغطي دورة ISMS الكاملة: بنية المعيار ومفاهيم الاعتماد، والسياق والنطاق والقيادة والأهداف، وتقييم المخاطر ومعالجتها، وبيان السريان، وضوابط الملحق أ في محاورها الأربعة، والتخطيط التشغيلي، وإدارة الحوادث، واستمرارية الأعمال، وتقييم الأداء، والتدقيق الداخلي، ومراجعة الإدارة، والتحسين المستمر. وتضيف الطبقة السعودية: انطباق الضوابط الأساسية للأمن السيبراني، وواجبات أمن البيانات الشخصية بما فيها الإشعار المشروط خلال 72 ساعة، والالتزامات القطاعية والتعاقدية. كل درس بسيناريو سعودي، وكل تمرين بإجابة نموذجية.

هي دورة متوسطة المستوى، تناسب مدراء تقنية المعلومات والمهندسين ومحللي الأمن السيبراني ومسؤولي المخاطر والامتثال والمدققين الداخليين والمستشارين العاملين مع الأنظمة أو الضوابط أو عمليات الامتثال. لا تُشترط خبرة سابقة في ISO 27001؛ فالدورة تعرّف كل مصطلح وتبني من الأساسيات إلى خارطة الـ 90 يوماً. وإن كنت جديداً تماماً على المجال فيمكنك إتمامها، لكن توقع أن تقضي 12 إلى 16 ساعة كاملة في السيناريوهات والتمارين العملية.

الشهادة هي شهادة إتمام من أكاديمية امتثال. تُثبت أنك أكملت الدورة واجتزت التقييم النهائي، ويمكنك إضافتها إلى سيرتك الذاتية أو حسابك على LinkedIn أو سجلات التدريب لدى صاحب العمل. وهي ليست اعتماد ISO ولا شهادة قائد تنفيذ أو مدقق رئيسي ولا اعتماداً حكومياً، ولا تُصدرها أو تصادق عليها أي هيئة اعتماد. وإذا كان هدفك شهادة مهنية معتمدة، فاختبارها منتج منفصل تقدمه هيئات الاعتماد، وتمنحك هذه الدورة المعرفة التنفيذية التي تفترضه تلك الاختبارات.

لا. الدورة تعليمية: تُعلّمك إطار ISO/IEC 27001 وأساليب التنفيذ وعادات التوثيق اللازمة لتشغيل نظام إدارة أمن المعلومات في دورك. ولا تشكل استشارة قانونية ولا تنشئ علاقة مستشار. والقرارات الفعلية تتوقف على الوقائع والنصوص الرسمية الحالية وقطاع منظمتك وتراخيصها، لذا فبالقرارات الخاصة بظروفك استشر وظيفتك القانونية أو وظيفة الامتثال، وتحقق من المتطلبات الحالية من المصادر الرسمية: الهيئة الوطنية للأمن السيبراني وسدايا وISO.

تتعامل الدورة مع ECC كسؤال انطباق لا كشعار. تتعلم غرض الضوابط وبنيتها، ومن يقع ضمن نطاقها الرسمي، والفرق بين الانطباق الإلزامي وتبنّيها طوعاً كمرجع، وكيف تربط متطلبات الهيئة الوطنية بضوابط ISO 27001 دون افتراض تطابق واحد لواحد. ولأن الأطر تتحدث، تدرّب الدورة أيضاً عادة التحقق: تحديد النشر الرسمي الحالي من الهيئة الوطنية للأمن السيبراني، وتسجيل الإصدار وتاريخ الوصول، وإعادة تقييم الانطباق عند تغير أنشطة منظمتك أو الإطار نفسه.

لا، وهذا التمييز من الدروس الجوهرية في الدورة. فبموجب المادة 24 من اللائحة التنفيذية لنظام حماية البيانات الشخصية، ينطبق إشعار سدايا خلال 72 ساعة عند حدوث اختراق للبيانات الشخصية قد يُلحق ضرراً بالبيانات أو بصاحبها أو يتعارض مع حقوقه أو مصالحه. أما الحادث الأمني الذي لا تمس فيه بيانات شخصية فيطرح أسئلة مختلفة، قد تشمل واجبات لدى الهيئة الوطنية للأمن السيبراني أو الجهات القطاعية بحسب نطاق منظمتك. تدرّب الدورة مسار فرز: تصنيف الحدث، وتقييم ما إذا كانت بيانات شخصية معنية، وتحديد الجهات المختصة، وتوثيق القرار.

تنتهي كل وحدة من الوحدات العشر باختبار من 10 أسئلة، أي 100 سؤال إجمالاً، مع عرض الإجابة الصحيحة وشرحها بعد كل سؤال. والتقييم النهائي 40 سؤالاً اختيارياً فريداً مبنياً وفق مخطط منشور يغطي بنية المعيار، والانطباق التنظيمي السعودي، وتقييم المخاطر ومعالجتها، وتنفيذ ضوابط الملحق أ، والاستجابة للحوادث، والتدقيق الداخلي، واتخاذ القرار المتكامل. درجة النجاح 70% (28 من 40) بثلاث محاولات. ومشروع التخرج، خارطة الـ 90 يوماً، تقييمه ذاتي وفق سلم تقييم مع إجابة نموذجية.

لا. تشرح الدورة بنية المعيار ومتطلباته وضوابطه بصياغتها الخاصة، مع توجيه منقّح بدل نقل نص المعيار. ستحتاج لاحقاً في عمل التنفيذ نسخة مرخصة من ISO/IEC 27001:2022 وISO/IEC 27002:2022، وتشرح الدورة كيف تتحقق من عناوين الضوابط الدقيقة مقابل المصادر المرخصة، وهي عادة تحميك أيضاً عند تعديل الإصدارات كما حدث في التعديل الأول 2024.

كل منها يجيب عن سؤال مختلف. فـ ISO 27001 معيار مطابقة طوعي لإدارة أمن المعلومات؛ ونظام حماية البيانات الشخصية نظام ملزم لمعالجة البيانات الشخصية؛ وضوابط الهيئة الوطنية للأمن السيبراني تُلزم الكيانات الواقعة في نطاقها الرسمي. تُعلّمك الدورة بناء قاعدة أدلة واحدة لنظام ISMS تخدم عدة أطر: تقييمات مخاطر وسجلات ضوابط وإجراءات حوادث وأدلة تدقيق مربوطة بكل متطلب ساري. كما تُعلّمك الحد: شهادة ISO 27001 لا تُثبت بذاتها الامتثال لنظام حماية البيانات الشخصية ولا للضوابط الأساسية للأمن السيبراني، والدورة لا تقدمها أبداً على هذا النحو.