ISO 42001 وقانون الذكاء الاصطناعي للاتحاد الأوروبي: دليل لنظام إدارة ذكاء اصطناعي متوافق مع القانون
سواء تعلّق الأمر بالتواصل الآلي مع العملاء، أو الصيانة التنبؤية، أو الذكاء الاصطناعي التوليدي في عمليات التطوير: لم يعد الذكاء الاصطناعي…
اقرأ المقال
الابتكار وأمن المعلومات والذكاء الاصطناعي
هجمات الفدية، وسلاسل التوريد المخترقة، وموجات التصيّد اليومية: بلغ مشهد التهديد في الفضاء الرقمي مستوى تاريخيًا غير مسبوق. وفي الوقت نفسه يشدّد المشرّع الخناق. فبتوجيه NIS-2 الأوروبي وُسّعت التزامات الأمن السيبراني توسيعًا جذريًا، وأصبحت تشمل الآن عشرات الآلاف من الشركات التي لم تكن تعدّ نفسها حتى الآن «بنية تحتية حيوية».
والأمر الأكثر حساسية: قد يتحمّل المديرون العامون، عند الإخلال بالواجبات، مسؤولية شخصية تمتد في بعض الحالات إلى أموالهم الخاصة.
في هذا السياق تحوّلت المواصفة الدولية ISO/IEC 27001 لدى كثير من المؤسسات من مجرد رمز مكانة في تقنية المعلومات إلى تأمين وجودي. لكن كيف تتكامل ISO 27001 وNIS-2؟ وكيف يمكن إرساء نظام إدارة أمن المعلومات (ISMS) لا يوجد على الورق فحسب، بل يصمد أمام التدقيق وأمام الواقع؟
تُعد ISO/IEC 27001 المواصفة الرائدة عالميًا لنظم إدارة أمن المعلومات. وهدف المواصفة هو حماية القيم الأساسية الثلاث لأمن المعلومات (ما يُسمى ثالوث CIA):
والحاسم هنا: ليست ISO 27001 مواصفة تقنية معلومات خالصة. فهي تنظر إلى أمن المعلومات نظرة شاملة. ويشمل ذلك الأمن المادي (ضوابط الدخول)، والعمليات التنظيمية (أدلة الطوارئ، وإجراءات إنهاء خدمة الموظفين)، والتدابير المتعلقة بالأفراد (تدريب التوعية، وإرشادات الأمن).
يطرح كثير من الشركات السؤال: «إذا كنا حاصلين على شهادة ISO 27001، فهل نكون قد استوفينا NIS-2 تلقائيًا؟»
والإجابة الصريحة هي: نعم بنسبة تتراوح بين 80 و90 في المئة.
يصوغ توجيه NIS-2 حدًا أدنى ملزمًا من المتطلبات في مجالات مثل:
وهذه المجالات نفسها يغطّيها Annex A من ISO/IEC 27001 بصورة منظمة (في صيغته الحالية التي تضم 93 ضابطًا في 4 مجالات موضوعية). ومن يُبرز نظام ISMS معمولًا به وفق ISO 27001 يكون قد وثّق التدابير التقنية والتنظيمية (TOMs) الخاصة بـ NIS-2، وجعلها قيد التشغيل، وأخضعها للتدقيق. ولا يبقى سوى استكمال مسارات الإبلاغ القانونية المحددة إلى السلطات الوطنية على المستوى التشغيلي.
لا ينشأ نظام ISMS ناجح بين ليلة وضحاها، لكن يمكن تنفيذه بكفاءة إذا كان التركيز واضحًا:
حدّدوا بدقة أي مجالات في الشركة، وأي مواقع أو منتجات أو خدمات، ينبغي أن يشملها نظام ISMS. وبالنسبة إلى كثير من مقدّمي خدمات تقنية المعلومات يشمل ذلك في البداية البنية السحابية والتطبيقات الجوهرية.
حدّدوا أهم أصولكم المعلوماتية (Information Assets): بيانات العملاء، والشيفرة المصدرية، وخطط الإنتاج. ما التهديدات ونقاط الضعف القائمة؟ وأي مخاطر تُخفَّض بتدابير تقنية (مثل الاستيثاق متعدد العوامل والتجزئة)، وأيها يُقبل أو يُؤمَّن عليه؟
في بيان SoA توثّقون أيًا من ضوابط Annex A البالغ عددها 93 ينطبق على شركتكم وكيف نُفّذ. وإذا استُبعدت ضوابط، وجب تبرير ذلك تبريرًا متماسكًا.
يفشل الأمن في أغلب الأحيان بسبب العامل البشري. ضعوا سياسات مفهومة (المكتب النظيف، وسياسات كلمات المرور، والتعامل مع الأجهزة المحمولة)، ونفّذوا تدريبًا منتظمًا واختبارات تصيّد محاكاة.
قبل أن يحضر المدقق الخارجي، يفحص المدققون الداخليون النظام فحصًا دقيقًا. وتقيّم الإدارة العليا المؤشرات وتوفّر الموارد اللازمة للتصحيح.
بعيدًا عن الالتزامات القانونية، تمتلك ISO 27001 رافعة تجارية هائلة:
أصبحت ISO 27001 اليوم الأساس لكل شركة تخلق قيمة بالوسائل الرقمية. فهي تحوّل مخاوف الأمن المبهمة إلى عمليات قابلة للقياس، وتحمي إدارة الشركة من مخاطر المسؤولية.
هل تخطّطون لشهادة ISO 27001؟
في cert-authority.com نرافقكم بمدققين متخصصين ذوي خبرة، بشفافية وشراكة، طوال عملية التدقيق. اطّلعوا على الأسعار والباقات لدينا.