بناءً على النص المرجعي، قم بتقديم قائمة من المراجع للمراحل الثلاث من شهادة ISO 27001 وأنشطة كل مرحلة.
Context:SO/IEC 27001 هو معيار دولي لإدارة أمن المعلومات. تم نشر المعيار في الأصل بشكل مشترك من قبل المنظمة الدولية للتوحيد القياسي (ISO) واللجنة الدولية للتكنولوجيا الكهربائية (IEC) في عام 2005 ، وتم مراجعته في عام 2013 ، ومرة أخرى في الآونة الأخيرة في عام 2022. هناك أيضا العديد من المتغيرات الوطنية المعترف بها من المعيار. وهو يحدد متطلبات إنشاء وتنفيذ وصيانة وتحسين مستمر لنظام إدارة أمن المعلومات (ISMS) ، والذي يهدف إلى مساعدة المنظمات على جعل أصول المعلومات التي تحتفظ بها أكثر أمانًا. يمكن للمنظمات التي تفي بمتطلبات المعيار اختيار الحصول على شهادة من قبل هيئة شهادة معتمدة بعد الانتهاء بنجاح من التدقيق. تمت معالجة فعالية عملية شهادة ISO/IEC 27001 والمعيار العام في دراسة واسعة النطاق أجريت في عام 2020.  كيف يعمل المعيار معظم المنظمات لديها عدد من ضوابط أمن المعلومات. ومع ذلك ، بدون نظام إدارة أمن المعلومات (ISMS) ، تميل الضوابط إلى أن تكون غير منظمة وغير مترابطة إلى حد ما ، حيث يتم تنفيذها في كثير من الأحيان كحلول نقطية لحالات محددة أو ببساطة كمسألة اتفاقية. عادةً ما تعالج ضوابط الأمن في التشغيل جوانب معينة من تكنولوجيا المعلومات أو أمن البيانات على وجه التحديد؛ تاركة أصول المعلومات غير تكنولوجية المعلومات (مثل الأوراق والمعرفة الملكية) أقل حماية بشكل عام. وعلاوة على ذلك، قد يتم إدارة تخطيط استمرارية الأعمال والأمن المادي بشكل مستقل تمامًا عن تكنولوجيا المعلومات أو أمن المعلومات بينما قد لا تشير ممارسات الموارد البشرية إلى الحاجة إلى تحديد وتعيين أدوار ومسؤوليات أمن المعلومات في جميع أنحاء المنظمة.  يتطلب ISO/IEC 27001 أن الإدارة:  فحص مخاطر أمن المعلومات في المنظمة بشكل منهجي، مع الأخذ بعين الاعتبار التهديدات والضعف والتأثيرات؛ تصميم وتنفيذ مجموعة متماسكة وشاملة من ضوابط أمن المعلومات و/أو أشكال أخرى من معالجة المخاطر (مثل تجنب المخاطر أو نقل المخاطر) لمعالجة تلك المخاطر التي تعتبر غير مقبولة؛ و تبني عملية إدارة شاملة لضمان استمرار ضوابط أمن المعلومات في تلبية احتياجات أمن المعلومات في المنظمة على أساس مستمر. ما هي الضوابط التي سيتم اختبارها كجزء من شهادة ISO / IEC 27001 يعتمد على مدقق شهادة. ويمكن أن يشمل ذلك أي ضوابط اعتبرتها المنظمة ضمن نطاق نظام إدارة نظم المعلومات الدولية، ويمكن أن يكون هذا الاختبار في أي عمق أو مدى يقيّمه المدقق حسب الحاجة لاختبار أن الضوابط قد تم تنفيذها وتعمل بفعالية.  تحدد الإدارة نطاق ISMS لأغراض التصديق وقد تحد من ذلك ، على سبيل المثال ، إلى وحدة أعمال أو موقع واحد. شهادة ISO/IEC 27001 لا تعني بالضرورة أن بقية المنظمة، خارج المنطقة المشمولة، لديها نهج كاف لإدارة أمن المعلومات.  توفر المعايير الأخرى في عائلة المعايير ISO/IEC 27000 توجيهات إضافية بشأن جوانب معينة من تصميم وتنفيذ وتشغيل نظام إدارة نظم المعلومات المعلوماتية، على سبيل المثال بشأن إدارة مخاطر أمن المعلومات (ISO/IEC 27005).  تاريخ ISO/IEC 27001 كان BS 7799 معيارًا نشرته مجموعة BSI أصلاً في عام 1995. كتبت من قبل وزارة التجارة والصناعة (DTI) في حكومة المملكة المتحدة وتتألف من عدة أجزاء.  الجزء الأول ، الذي يحتوي على أفضل الممارسات لإدارة أمن المعلومات ، تم مراجعته في عام 1998 ؛ بعد مناقشة طويلة في هيئات المعايير العالمية ، تم اعتماده في النهاية من قبل ISO كـ ISO / IEC 17799 ، "تكنولوجيا المعلومات - مدونة الممارسات لإدارة أمن المعلومات" في عام 2000. ثم تم مراجعة ISO/IEC 17799 في يونيو 2005 وتم دمجها أخيراً في سلسلة المعايير ISO 27000 باسم ISO/IEC 27002 في يوليو 2007.  تم نشر الجزء الثاني من BS7799 لأول مرة من قبل BSI في عام 1999 ، والمعروف باسم BS 7799 الجزء 2 ، بعنوان "أنظمة إدارة أمن المعلومات - مواصفات مع إرشادات الاستخدام". ركزت BS 7799-2 على كيفية تنفيذ نظام إدارة أمن المعلومات (ISMS) ، مشيرة إلى هيكل إدارة أمن المعلومات والضوابط المحددة في BS 7799-2. أصبح هذا فيما بعد ISO/IEC 27001:2005. تم اعتماد BS 7799 الجزء 2 من قبل ISO كISO/IEC 27001 في نوفمبر 2005.  تم نشر BS 7799 الجزء الثالث في عام 2005، والذي يغطي تحليل المخاطر وإدارتها. وهو يتماشى مع المعيار ISO/IEC 27001:2005.  هناك القليل جداً من الإشارة أو الاستخدام لأي من معايير BS فيما يتعلق بـ ISO/IEC 27001.  شهادة يمكن أن تكون منظمة إدارة إدارة النظام الدولي متوافقة مع معيار ISO/IEC 27001 من قبل عدد من المسجلين المعتمدين في جميع أنحاء العالم. شهادة بناء على أي من المتغيرات الوطنية المعترف بها من ISO / IEC 27001 (على سبيل المثال JIS Q 27001 ، النسخة اليابانية) من قبل هيئة إصدار الشهادات المعتمدة تعادل وظيفيا شهادة بناء على ISO / IEC 27001 نفسها.  في بعض البلدان ، تسمى الهيئات التي تحقق من امتثال أنظمة الإدارة للمعايير المحددة "هيئات التصديق" ، في حين أن في بلدان أخرى يشار إليها عادة باسم "هيئات التسجيل" ، "هيئات التقييم والتسجيل" ، "هيئات التصديق / التسجيل" ، وأحيانا "سجلات".  تتضمن شهادة ISO/IEC 27001، مثل شهادات ISO الأخرى لنظام الإدارة، عادةً عملية تدقيق خارجي تتكون من ثلاث مراحل محددة بمعايير ISO/IEC 17021 وISO/IEC 27006:  المرحلة الأولى هي مراجعة أولية غير رسمية لإدارة إدارة الشركات. على سبيل المثال هناك عمليات فحص لوجود وكمال الوثائق الرئيسية ، مثل سياسة أمن المعلومات في المنظمة ، بيان التطبيق (SoA) ، وخطة معالجة المخاطر (RTP). هذه المرحلة تخدم لتعريف المدققين مع المنظمة والعكس بالعكس. المرحلة الثانية هي تدقيق الامتثال الأكثر تفصيلاً والرسمي، حيث يتم اختبار نظام إدارة إدارة النظام الإلكتروني بشكل مستقل مقابل المتطلبات المحددة في ISO/IEC 27001. سيسعى المراجعون إلى الحصول على أدلة لتأكيد أن نظام الإدارة قد تم تصميمه وتنفيذه بشكل صحيح، وأنه يعمل بالفعل (على سبيل المثال من خلال التأكيد على أن لجنة الأمن أو هيئة إدارة مماثلة تجتمع بانتظام للإشراف على ISMS). عادة ما يتم إجراء عمليات تدقيق الشهادات من قبل مدققي ISO/IEC 27001. ونتيجة اجتياز هذه المرحلة، تصبح نظام إدارة نظم إدارة المعلومات الدولية متوافقا مع المعيار ISO/IEC 27001. تتضمن المتابعة المستمرة مراجعات متابعة أو عمليات تدقيق للتأكد من أن المنظمة لا تزال تتوافق مع المعيار. تتطلب صيانة الشهادات عمليات تدقيق دورية لإعادة التقييم للتأكيد على استمرار نظام إدارة الأمن الداخلي في العمل كما هو محدد ومقصود. يجب أن تحدث هذه على الأقل سنويًا ولكن (بموافقة الإدارة) غالبًا ما يتم إجراؤها بشكل أكثر تواتراً ، خاصةً بينما لا تزال ISMS ناضجة.
فيما يلي المراحل الثلاث من شهادة ISO 27001: 1. المرحلة 1: مراجعة أولية غير رسمية لنظام إدارة أمن المعلومات. وتشمل الأنشطة التحقق من وجود وثائق أساسية وكمالها. 2. المرحلة 2: تدقيق مفصل و رسمي يقوم به طرف ثالث للتحقق من صحة التنفيذ الكافي للمتطلبات المحددة في ISO 27001 3. مستمرة: المراجعات والتدقيقات المتابعة للتأكيد على استمرار الامتثال لمتطلبات ISO 27001.