الأمن المعلوماتي
شهادة ISO 27001 لدى مقدّم الخدمة: ما الذي ينبغي التحقق منه قبل أن تأتمنه على معطياتك؟
تثبت شهادة ISO/IEC 27001 أن مقدّم الخدمة أرسى نظامًا لإدارة أمن المعلومات (ISMS)، دقّقته هيئة إشهاد مستقلة، وذلك ضمن نطاق محدّد بدقة. لكنها لا تثبت أن جميع أنشطته مشمولة، ولا أن معطياتك ستُعالَج وفق القانون 09-08. قبل التوقيع، تحقّق من النطاق، ومن مدة الصلاحية، ومن الهيئة المُصدِرة، ومن بيان قابلية التطبيق، ثم اسأله عن طريقة معالجة معطياتك.
باختصار
- يحدّد معيار ISO/IEC 27001:2022 متطلبات نظام إدارة أمن المعلومات، ويضم ملحقه A ما مجموعه 93 تدبيرًا أمنيًا.
- نطاق الشهادة هو العنصر الحاسم: يجب أن يرد فيه النشاط الذي يعنيك بشكل صريح.
- الشهادة قابلة للتحقق: رقمها، وتاريخا صلاحيتها، وهيئة الإشهاد المعتمدة، وبيان قابلية التطبيق.
- شهادة ISO 27001 لا تُعفي من احترام القانون 09-08 ولا من الإجراءات المسبقة لدى اللجنة الوطنية CNDP.
- يغطي ISO 9001 الجودة، ويغطي ISO 27001 أمن المعلومات: والاثنان يكمّل أحدهما الآخر.
ما هو معيار ISO/IEC 27001:2022؟
ISO/IEC 27001 هو المعيار الدولي الذي يحدّد متطلبات نظام إدارة أمن المعلومات (ISMS). وهو لا يفرض أداة بعينها، بل يفرض منهجية: تقيّم المؤسسة المخاطر التي تهدّد سرية معلوماتها وسلامتها وتوافرها، وتختار تدابير لمعالجتها، ثم تدقّق المنظومة وتحسّنها على المدى الطويل.
النسخة المعمول بها حاليًا هي نسخة 2022. تضع بنودها من 4 إلى 10 متطلبات النظام (السياق، والقيادة، والتخطيط، والدعم، والتشغيل، وتقييم الأداء، والتحسين)، ويضم ملحقها A قائمة من 93 تدبيرًا أمنيًا موزّعة على أربعة محاور:
- التدابير التنظيمية: السياسات، ومراقبة الولوج، والعلاقات مع المورّدين، وتدبير الحوادث، واستمرارية النشاط؛
- التدابير المتعلقة بالأشخاص: الانتقاء، والتحسيس، والتزامات السرية، والعمل عن بُعد؛
- التدابير المادية: الولوج إلى المقرات، وحماية التجهيزات؛
- التدابير التكنولوجية: المصادقة، وتقييد صلاحيات الولوج، والتشفير، وتسجيل الأحداث، والنسخ الاحتياطي، والتطوير الآمن.
انتهت المرحلة الانتقالية من نسخة 2013: فكل شهادة معتمدة لا تزال سارية تستهدف نسخة 2022. وإذا قُدّمت لك شهادة «ISO 27001:2013»، فاسأل عن مآل انتقالها إلى النسخة الجديدة. ويتوفر الملخص الرسمي للمعيار على موقع المنظمة الدولية للتقييس ISO.
ما الذي تثبته شهادة ISO 27001، وما الذي لا تثبته؟
تشهد الشهادة بأن مدقّقًا مستقلًا عاين، في تاريخ محدّد، أن نظام إدارة أمن المعلومات يستجيب لمتطلبات المعيار. وتتوقف قيمتها على أربعة عناصر.
النطاق هو كل شيء
تذكر كل شهادة نطاقًا (scope): الأنشطة والمواقع، وأحيانًا الأنظمة المشمولة. فقد تكون مقاولة حاصلة على الشهادة في نشاط الاستضافة دون نشاط تطوير البرمجيات. وإذا لم يظهر النشاط الذي تشتريه ضمن النطاق، فلا تمنحك الشهادة أي ضمانة بشأنه.
هيئة الإشهاد
تُصدر الشهادةَ هيئةُ إشهاد ينبغي أن تكون هي نفسها معتمدة لمعيار ISO/IEC 27001 من طرف هيئة اعتماد عضو في اتفاقيات الاعتراف المتبادل التابعة لـ IAF (المنتدى الدولي للاعتماد، International Accreditation Forum). وفي المغرب كما في غيره، فإن هذا الاعتماد هو ما يُعتدّ به، لا جنسية الهيئة. أما الوثيقة الصادرة عن جهة غير معتمدة فقيمتها أدنى بكثير، حتى لو بدت في شكل شهادة رسمية.
الصلاحية وتدقيقات المراقبة
لكل شهادة تاريخ إصدار وتاريخ انتهاء. وبينهما تُجري الهيئة تدقيقات مراقبة مرة واحدة في السنة على الأقل، ثم تدقيق تجديد قبل حلول الأجل. ويمكن تعليق الشهادة أو سحبها إذا لم تُصحَّح الانحرافات المرصودة: فشعار منشور على موقع إلكتروني لا يخبرك بشيء عن وضعها الحالي.
بيان قابلية التطبيق
يستعرض بيان قابلية التطبيق (Statement of Applicability, SoA) التدابير الـ 93 الواردة في الملحق A، ويبيّن ما اعتُمد منها وما نُفّذ، ويعلّل كل استثناء. إنه الوثيقة التي تكشف ما يفعله مقدّم الخدمة فعلًا؛ وغالبًا ما يكون سريًا، لكن يمكن الاطلاع عليه بموجب اتفاق سرية.
وأخيرًا، لا يشهد معيار ISO 27001 لا على منتج، ولا على برنامج مُسلَّم، ولا على خلوّه من الثغرات، ولا على المطابقة لقانون ما. فالمعيار يُلزم مقدّم الخدمة بتحديد التزاماته القانونية والتعاقدية، لكنه لا يشهد بأنه يحترمها، فضلًا عن أن يشهد بأنك تحترم التزاماتك أنت.
كيف تتحقق من شهادة ISO 27001 لدى مقدّم الخدمة؟
خمس خطوات للتحقق لا تتطلب أي خبرة تقنية:
- اطلب نسخة من الشهادة، وسجّل رقمها، ونسخة المعيار (2022)، وتاريخي الإصدار والانتهاء.
- اقرأ النطاق كلمةً كلمة، وقارنه بالخدمة التي تشتريها: تطوير، أو استضافة، أو دعم، أو تكوين.
- حدّد هيئة الإشهاد، وتحقّق من اعتمادها، ثم تأكّد من صلاحية الشهادة لديها، عبر سجلها الإلكتروني أو كتابيًا.
- اسأل عن تاريخ آخر تدقيق مراقبة، وعمّا إذا كانت هناك حالات عدم مطابقة كبرى قيد المعالجة.
- اطلب الاطلاع على بيان قابلية التطبيق، على الأقل في ما يخص التدابير التي تمسّ معطياتك: مراقبة الولوج، والتشفير، والمورّدون، والتطوير الآمن.
تُكمّل هذه النقاط شبكة التقييم الواردة في مقالنا حول اختيار وكالة تطوير في الدار البيضاء.
ما الأسئلة التي تطرحها على مقدّم خدمات برمجية أو خدمات الذكاء الاصطناعي؟
الشهادة تفتح باب النقاش، لكنها لا تُغلقه.
لمشروع تطوير برمجي
- من سيتمكن من الولوج إلى معطيات الإنتاج الخاصة بك، بما في ذلك لدى المناولين، وكيف تُسحب صلاحيات الولوج هذه؟
- هل تستعمل بيئات التطوير والاختبار معطيات حقيقية، أم مجهولة الهوية، أم وهمية؟
- أين تُستضاف الشيفرة المصدرية والمعطيات، وفي أي بلدان؟
- كيف سيتم إخبارك بأي حادث أمني، وفي أي أجل؟
- ما مصير معطياتك وصلاحيات الولوج عند نهاية العقد؟
لمشروع ذكاء اصطناعي
- ما مزوّدو النماذج أو واجهات البرمجة (API) المستعملون، وهل تُنقل إليهم معطياتك؟
- هل تُستعمل معطياتك لتدريب نموذج أو تحسينه، لدى مقدّم الخدمة أو لدى طرف ثالث؟
- هل تُسجَّل الطلبات والأجوبة، وكم من الوقت يُحتفظ بها؟
- هل تغادر المعطيات أو الطلبات التراب المغربي؟ إن نقل المعطيات إلى الخارج يخضع لشروط القانون 09-08، تحت مراقبة اللجنة الوطنية CNDP.
اطّلع أيضًا على نقاط اليقظة الواردة في مقالنا حول الذكاء الاصطناعي التوليدي في المقاولة بالمغرب. وبالنسبة إلى منصة SaaS، أضف عزل معطيات الزبناء بعضها عن بعض (انظر دليلنا حول تطوير SaaS حسب الطلب).
ISO 27001 والقانون 09-08 واللجنة الوطنية CNDP: كيف تتكامل؟
في المغرب، تخضع معالجة المعطيات ذات الطابع الشخصي لـ القانون 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، تحت مراقبة CNDP (اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي). ويفرض القانون على الخصوص إجراءات مسبقة لدى اللجنة، وتدابير أمنية ملائمة، وتأطيرًا لنقل المعطيات إلى الخارج.
ISO 27001 والقانون 09-08 متكاملان، لا يُغني أحدهما عن الآخر:
- القانون يحدّد ما يجب عليك احترامه بصفتك مسؤولًا عن المعالجة، وما يجب أن يضمنه المناول الذي تتعامل معه؛
- ISO 27001 يوفّر منهجية لقيادة التدابير الأمنية التي تتيح الوفاء بهذه الالتزامات؛
- الشهادة لا تحلّ محل الإجراءات لدى اللجنة الوطنية CNDP، ولا محل عقد المناولة.
مقدّم الخدمة الحاصل على الشهادة يسهّل عليك إثبات المطابقة، لكن المسؤولية عن المعالجة تظل مسؤوليتك أنت. وللاطلاع على الإجراءات والنصوص المحيّنة: موقع اللجنة الوطنية CNDP.
ISO 9001 أم ISO 27001: ما الفرق بالنسبة إلى الزبون؟
يشهد ISO 9001 على نظام لإدارة الجودة: عمليات متحكَّم فيها، موجّهة نحو الزبون والتحسين المستمر. ويشهد ISO 27001 على نظام لإدارة أمن المعلومات: تدبير منظَّم للمخاطر التي تتهدد المعلومات. ففي مشروع برمجي أو مشروع ذكاء اصطناعي يتعامل مع معطياتك، يُخبرك ISO 9001 بالطريقة التي يُنجَز بها العمل، ويُخبرك ISO 27001 بالطريقة التي تُحمى بها معلوماتك. لذا فإن شهادة ISO 9001 وحدها لا تقول شيئًا عن سرية معطياتك؛ أما الشهادتان معًا فتغطيان طريقة التسليم وطريقة الحماية في آن واحد.
كيف تُدرج أمن المعطيات في دفتر التحملات؟
الوقت المناسب لطرح هذه المتطلبات هو قبل استشارة مقدّمي الخدمات، لا عند التوقيع. ضمّن دفتر التحملات انتظاراتك في مجال الأمن: الشهادة المطلوبة ونطاقها، وموقع الاستضافة، وتدبير صلاحيات الولوج، والإخطار بالحوادث، وقابلية الاسترجاع عند نهاية العقد. ثم اطلب أجوبة نقطةً بنقطة، مدعومة بالوثائق، بدل خانة «حاصل على شهادة ISO 27001» مؤشَّر عليها.
Codevista Innovations حاصلة على شهادة ISO 27001:2022 (الشهادة رقم CTX-2026-540336، سارية إلى غاية 31 دجنبر 2029) وشهادة DIN EN ISO 9001:2015 (الشهادة رقم CTX-2026-488547، سارية إلى غاية 19 يونيو 2028). ولفحص هاتين الشهادتين ونطاقهما قبل أي مشروع برمجي أو مشروع ذكاء اصطناعي، تواصل مع فريقنا في الدار البيضاء.
أسئلة شائعة
هل يكون مقدّم الخدمة الحاصل على شهادة ISO 27001 مطابقًا تلقائيًا للقانون 09-08؟
لا. يفرض ISO 27001 تحديد الالتزامات القانونية المطبَّقة وتدبير المخاطر الأمنية، لكنه لا يُنجز نيابةً عنك الإجراءات لدى اللجنة الوطنية CNDP، ولا يحلّ محل عقد المناولة. ويُتحقَّق من المطابقة للقانون 09-08 بشكل منفصل، تحت مسؤولية المسؤول عن المعالجة.
كم عدد التدابير الأمنية التي يتضمنها الملحق A من ISO 27001:2022؟
يتضمن الملحق A من نسخة 2022 ما مجموعه 93 تدبيرًا، موزّعة على أربعة محاور: تنظيمية، ومتعلقة بالأشخاص، ومادية، وتكنولوجية. ولا تُلزَم المقاولة الحاصلة على الشهادة بتطبيقها كلها: فهي تختار منها ما يعالج مخاطرها، وتعلّل كل استثناء في بيان قابلية التطبيق الذي يفحصه المدقّق.
كيف أعرف ما إذا كانت شهادة ISO 27001 لدى مقدّم الخدمة لا تزال سارية؟
سجّل رقم الشهادة، وتاريخي إصدارها وانتهائها، واسم هيئة الإشهاد، ثم تحقّق منها مباشرةً لدى هذه الهيئة. واسأل أيضًا عن تاريخ آخر تدقيق مراقبة: إذ يمكن تعليق الشهادة أو سحبها قبل حلول أجلها إذا لم تُصحَّح الانحرافات المرصودة.
هل ينبغي اشتراط ISO 27001 في مشروع ذكاء اصطناعي؟
إنه معيار اختيار وجيه متى تعامل المشروع مع معطيات حساسة أو شخصية، لأنه يُظهر أن مقدّم الخدمة يدبّر مخاطره الأمنية بطريقة منظَّمة. واسأل أيضًا عن مزوّدي النماذج المستعملين، وعمّا إذا كانت معطياتك تُستعمل في التدريب، وأين تُستضاف، وكم من الوقت يُحتفظ بالمبادلات.