شرح بنود ISO 27001

البنود من 4 إلى 10 هي ما يعتمد المدقق مقابله مباشرة. على عكس ضوابط الملحق A (التي تُختار بناءً على قابلية التطبيق)، ينطبق كل متطلب من متطلبات البنود على كل مؤسسة معتمدة.

البند	مجال المتطلب
4. سياق المؤسسة	فهم القضايا الداخلية/الخارجية وأصحاب المصلحة ونطاق نظام إدارة أمن المعلومات
5. القيادة	التزام الإدارة العليا والسياسة والأدوار والمسؤوليات
6. التخطيط	تقييم ومعالجة المخاطر، وأهداف أمن المعلومات
7. الدعم	الموارد والكفاءة والتوعية والاتصال والمعلومات الموثَّقة
8. التشغيل	التخطيط والتحكم التشغيلي، وتنفيذ تقييم/معالجة المخاطر
9. تقييم الأداء	المراقبة والقياس والتدقيق الداخلي ومراجعة الإدارة
10. التحسين	التعامل مع حالات عدم المطابقة، والإجراء التصحيحي، والتحسين المستمر

لماذا تهم بنية البنود في التدقيق

يتتبع المدققون الأدلة مقابل بنود محددة. تقييم مخاطر موثَّق يستوفي البند 6؛ ومحاضر اجتماع مراجعة الإدارة تستوفي البند 9؛ وسجل الإجراءات التصحيحية يستوفي البند 10. المؤسسات التي تعامل ISO 27001 فقط كـ"أي ضوابط ملحق A لدينا" غالباً ما تواجه صعوبة في التدقيق لأن أدلة عملية نظام إدارة أمن المعلومات على مستوى البنود تكون ضئيلة أو غائبة.