التخطيط الاستراتيجي لأمن المعلومات وفق معايير الآيزو (ISO 27001)

يفشل كثير من برامج أمن المعلومات لأنها تبدأ من شراء الأدوات لا من التخطيط الاستراتيجي لأمن المعلومات وفق معايير الآيزو (ISO 27001) وفهم ما تحميه المنظمة ولماذا. معيار ISO/IEC 27001:2022 يقلب هذا الترتيب: يبدأ من سياق المنظمة وأصولها المعلوماتية وأطرافها المعنية، ثم يشتق الضوابط من مخاطر موثقة وقابلة للمراجعة. تسير الدورة مع دورة حياة نظام إدارة أمن المعلومات كاملة: رسم حدود النطاق وتبريرها، وصياغة سياسة تعكس شهية المخاطر لا العبارات العامة، وتشغيل منهجية تقييم تحدد مالك كل خطر ومستوى قبوله، وبناء بيان القابلية للتطبيق الذي يبرر إدراج أو استبعاد كل ضابط من ضوابط الملحق A في إصداره الحديث بمجموعاته الأربع. يتدرب المشاركون على صياغة المعلومات الموثقة، وبناء مؤشرات تقيس فاعلية الضوابط لا مجرد وجودها، وإدارة حالات عدم المطابقة، وتجهيز حزمة الأدلة التي تطلبها جهة المنح في مرحلتي التدقيق. يخرج المشارك بخريطة تنفيذ لنظامه، ومسودة سياسة وسجل مخاطر وبيان قابلية للتطبيق جاهزة للتكييف مع منظمته.