ويتطلب برنامج ISO 27001 برنامجا منظما لأمن المعلومات، وتقييما للمخاطر، وضوابط، وملكية، وأدلة، وتحسينا مستمرا. الجزء الصعب ليس كتابة السياسات، بل إثبات أن العمل الأمني يحدث بالفعل.
فريق التحرير: Security Stack Compareتحديث الصفحة:
ويتطلب برنامج ISO 27001 برنامجا منظما لأمن المعلومات، وتقييما للمخاطر، وضوابط، وملكية، وأدلة، وتحسينا مستمرا. الجزء الصعب ليس كتابة السياسات، بل إثبات أن العمل الأمني يحدث بالفعل.
الأدوات + الناس
أبق مالكاً مسؤولاً داخل منظمتك سد أي ثغرات في المهارات أو القدرات عن طريق تعيين داخلي أو خبير استشاري أو مقدم خدمات منظم. لم يتم اختيار أي مزود لك.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تحقق أولاً مما إذا كان الرصاص الداخلي يمكن أن يمتلك البرنامج. تأمل في القيادة الخارجية فقط من أجل وجود فجوة في القدرات أو الخبرات؛ ولا تحتاج إلى خدمة جديدة لمجرد استخدام هذه الخطة.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تكليف شخص ما بالنطاق المطلوب وتقييم الثغرات وتنظيم الأدلة استخدم فريقك أو قارن اختصاصي الإعداد المؤهلين؛ وأشرك المقيِّم المستقل المختص عند الاقتضاء.
تحتاج خدمات الخبراء إلى نطاق وعرض سعر منفصلين؛ ولا تشمل اشتراكات البرامج أو تقديرات الوقت الأسبوعي لاستخدامها هذا العمل. تقرر الجهة المستقلة المختصة نتائج منح الشهادات والتدقيق.
وضع أدوات التخطيط والأشخاص لهذا الهدف(ج) رسم خريطة عملية للاحتياجات لنطاق المنتجات الموثقة. فالتغطية التحريرية هي نقطة انطلاق للتحقق، وليست دليلا على الامتثال. ويحتاج النطاق الذي يصفه البائعون وعمليات التكامل إلى تحقق منفصل.
قارن بين أداتين مقابل كل مطلب.
بيان الانطباق مع ملكية التحكم.
بالنسبة isms scope & soa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
سجل المخاطر مرتبط بالضوابط والعلاج.
بالنسبة risk treatment plan، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
A.5-A.8 تم جمعها باستمرار.
بالنسبة operational evidence per control، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
MFA تم تنفيذ الاستعراضات الفصلية.
بالنسبة access control & mfa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
EDR/EPP تغطية على كل جهاز.
بالنسبة endpoint protection (a.8.7)، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
دورة التدقيق، النتائج، الإجراءات التصحيحية.
بالنسبة internal audit & continual improvement، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
سجل التحقق من المورد وتقييمه.
بالنسبة supplier evaluation، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
| الاشتراط | 🇺🇸 إقتباس شخصي | 🇸🇰 خطة/مقاعد/فترة مُجهّزة | 🇺🇸 من $3/ مستخدم / شهر | 🇬🇧 اقتباس | 🇺🇸 إقتباس شخصي | ملاحظة المحرر |
|---|---|---|---|---|---|---|
نطاق ISMS & سو بيان الانطباق مع ملكية التحكم. | قوي | غير مشمولة | غير مشمولة | غير مشمولة | قوي | ›بالنسبة isms scope & soa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
خطة معالجة المخاطر سجل المخاطر مرتبط بالضوابط والعلاج. | قوي | غير مشمولة | غير مشمولة | غير مشمولة | قوي | ›بالنسبة risk treatment plan، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
الأدلة التشغيلية لكل مراقبة A.5-A.8 تم جمعها باستمرار. | قوي | جزئي | جزئي | جزئي | قوي | ›بالنسبة operational evidence per control، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
مراقبة الدخول & MFA MFA تم تنفيذ الاستعراضات الفصلية. | قوي | جزئي | قوي | جزئي | قوي | ›بالنسبة access control & mfa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
حماية الأجهزة (A.8.7) EDR/EPP تغطية على كل جهاز. | غير مشمولة | قوي | قوي | قوي | غير مشمولة | ›بالنسبة endpoint protection (a.8.7)، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
المراجعة الداخلية للحسابات والتحسين المستمر دورة التدقيق، النتائج، الإجراءات التصحيحية. | نُفذت | غير مشمولة | غير مشمولة | غير مشمولة | نُفذت | ›بالنسبة internal audit & continual improvement، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
تقييم الموردين سجل التحقق من المورد وتقييمه. | قوي | غير مشمولة | غير مشمولة | غير مشمولة | قوي | ›بالنسبة supplier evaluation، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
استنادا إلى القدرات الموثقة وتوصيف البائعين الموصوف. تحقق من نطاق الخطة والتكاملات والأدلة مع كل بائع قبل الشراء.
ويتطلب برنامج ISO 27001 برنامجا منظما لأمن المعلومات، وتقييما للمخاطر، وضوابط، وملكية، وأدلة، وتحسينا مستمرا. الجزء الصعب ليس كتابة السياسات، بل إثبات أن العمل الأمني يحدث بالفعل.
الشركات التي تحتاج إلى شهادة معترف بها في نظام إدارة نظم المعلومات.
سجل المخاطر، SOA، سجلات التدقيق، التدريب، تقييم الموردين.
الأدلة العملية و حلقة التحسين المستمرة.
بالنسبة لـ ISO 27001، وضع خريطة لكل شرط إلى المالك، وتحكم تشغيلي وأدلة مؤرخة. ابدأ بالسجلات من الأنظمة التي تستخدمها بالفعل. التحقق من الصادرات واستعراض التوقعات قبل شراء برامج الجمع أو التنسيق.
مقارنة بدائل Vanta لـ SMBs التي تحتاج إلى أدلة التدقيق، وتدفق العمل الإصلاحي، ومخاطر الموردين، والعمليات الأمنية العملية قبل شراء الشركة GRC.
قارن بدائل Drata لـ SMBs التي تحتاج إلى أدلة الامتثال، وملكية الإصلاح، ووضوح التسعير، والتنسيق في مجال الأمن.
قارن بين Shielda و Vanta من قبل المشتري المناسب، تدفق الأدلة، الإصلاح، وضوح التسعير وحيث كل أداة هي أقوى بأمانة.
قارن Shielda و Drata بتدفق الأدلة، و النضج GRC، والمعالجة، و SMB العملية والمفاضلات النزيهة.