المدونة
المدونة
تحليل مبني على بيانات المطابقة، وأدلة عملية، وآراء Paul Gillet. خلاصة RSS
التحليل
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.
التحليل · 2026-09-29قاعدة الأمن في HIPAA من منظور إطار NIST CSF 2.0يغطي برنامج NIST CSF 2.0 تقريبًا كل متطلب من متطلبات قاعدة الأمن في HIPAA. ما الذي ينتقل كما هو، والمتطلبان اللذان لا يتطابقان معهما، وما الذي يضيفه CSF فوق HIPAA.
التحليل · 2026-09-15مقارنة متطلبات التشفير: ما تحدده الأطر وما تتركه لتقديرككيف تعالج ISO 27001 وPCI DSS وCMMC وHIPAA وGDPR وNIS2 التشفير أثناء التخزين وأثناء النقل وإدارة المفاتيح، مع معرّفات المتطلبات.
التحليل · 2026-08-18متطلبات الاستجابة للحوادث مقارنة عبر الأطرمقارنة خطط الاستجابة للحوادث واختبارها ومواعيد الإبلاغ عنها عبر ISO 27001 وSOC 2 وPCI DSS وNIS2 وGDPR وCMMC وHIPAA.
التحليل · 2026-08-04الأمن المادي عبر الأطر: الموضوع الذي تنساه الشركات السحابية أولاًمقارنة متطلبات الأمن المادي عبر ISO 27001 وPCI DSS وCMMC وHIPAA وSOC 2، وكيف تستوفيها الشركات التي تعتمد السحابة أولاً.
التحليل · 2026-07-02مقارنة متطلبات تسجيل الأحداث وفترات الاحتفاظ بالسجلاتمقارنة تسجيل التدقيق والاحتفاظ بالسجلات عبر ISO 27001 وPCI DSS وCIS وSOC 2 وHIPAA وCMMC وNIST، بما في ذلك فترات الاحتفاظ الثابتة القليلة.
التحليل · 2026-05-19ما مقدار ما تغطيه ISO 27001 فعلياً من PCI DSS v4.0.1؟تغطي ISO 27001 أقل من ثلث متطلبات PCI DSS v4.0.1. أين يقع التداخل، ولماذا يُعد معظم PCI عملاً جديداً حتى بالنسبة لنظام ISMS، وكيفية التخطيط له.
التحليل · 2026-04-07أحكام الأمن في GDPR: الجانب الأمني من قانون الخصوصيةGDPR قانون للخصوصية، لكنه يفرض مهام أمنية في المواد 5 و25 و28 و32 إلى 35 و37 إلى 39. كيف ترتبط هذه المواد بـ ISO 27001 وNIST، وما الذي يتركه نظام إدارة أمن المعلومات (ISMS) دون تغطية.
التحليل · 2026-02-24مقارنة متطلبات النسخ الاحتياطي والاسترداد عبر الأطرمقارنة تكرار النسخ الاحتياطي وحمايته واختبار الاستعادة عبر ISO 27001 وCIS وPCI DSS وHIPAA وSOC 2 وNIS2 وEssential Eight وNIST.
التحليل · 2026-01-06CMMC Level 2 مُطابَق مع SP 800-53: ما يكشفه الملحق D الصادر عن NISTكل ممارسة من CMMC Level 2 تُتتبَّع إلى NIST SP 800-53 عبر الملحق D من SP 800-171. طريقة عمل الخريطة، والتغييرات في Rev 5، والممارسة الوحيدة المتبقية دون مطابقة.
التحليل · 2025-11-25المواضيع الأمنية التي تشترطها أقل الأطر، ولماذا يهم ذلكتُعد أمن DNS والاستخبارات بالتهديدات وأمن واجهات البرمجة (API) وأمن تطبيقات الويب أقل المواضيع التي تشترطها الأطر. لماذا ذلك، ولماذا لا يُعد ذلك إذنًا بتجاهلها.
التحليل · 2025-10-14ما الذي تغطيه ISO 27001 في NIS2، نقطة بنقطةتربط ISO 27001 كل نقطة في اللائحة التنفيذية لـ NIS2، ومع ذلك فإن الشهادة وحدها لا تعني الامتثال لـ NIS2. ما الذي ينتقل، وما الذي لا ينتقل، ولماذا.
التحليل · 2025-08-27جدول المطابقة أم حكم تحريري؟ ما مدى اعتماد ربط الأطر على أدلة منشورةصنّفنا كل ربط بين الأطر على أنه جدول مطابقة منشور أو حكم تحريري. كيف يختلف هذا التوزيع من إطار إلى آخر، ولماذا يهمّك ذلك.
التحليل · 2025-07-15المجموعة الأساسية المشتركة: متطلبات أمنية تشترك فيها كل الأطرتظهر خمسة موضوعات أمنية في جميع الأطر الرئيسية الإحدى عشر، من ISO 27001 وSOC 2 إلى NIS2 وEssential Eight. ما هي هذه الموضوعات، ولماذا ينبغي بناؤها أولًا.
التحليل · 2025-06-03فجوة ضوابط CIS: لماذا لا يُنشر جدول مطابقة إلا لـ 49 من أصل 153 إجراءً وقائيًاجدول المطابقة المنشور من CIS إلى NIST CSF 2.0 يغطي 49 فقط من أصل 153 إجراءً وقائيًا في CIS Controls v8.1. لماذا، وماذا يعني ذلك للمطابقات الخاصة بـ CIS التي تعتمد عليها.
التحليل · 2025-04-17المخاطر المتعلقة بالموردين وسلسلة التوريد: من يفرض ماذامقارنة متطلبات أمن الموردين وسلسلة التوريد عبر ISO 27001 وSOC 2 وPCI DSS وNIS2 وGDPR وHIPAA وNIST CSF 2.0، لتوضيح ما تطلبه كل منها فعلاً من الموردين وكيف تفسره.
التحليل · 2025-04-02معايير SOC 2 التي لا يوجد لها مكافئ في ISO 27001، ولماذا وُجدتتتطابق معظم معايير SOC 2 مع ISO 27001، لكن سلامة المعالجة ومعظم معايير الخصوصية لا تتطابق. ما هي هذه المعايير، ولماذا لا تتطابق، وما الذي يجب فعله إذا كانت ضمن النطاق.
التحليل · 2025-03-04NIST CSF 1.1 إلى 2.0: أين انتقلت الفئات الفرعية المسحوبةأعلن NIST سحب 79 فئة فرعية من CSF 1.1 في CSF 2.0، ونقلها أو دمجها في فئات أخرى. فيما يلي الجدول الكامل لمكان انتقال كل منها، وكيفية تحديث الربط القديم.
التحليل · 2025-01-21وظيفة «يحكم» في NIST CSF 2.0: أي الأطر تغطيها بالفعل؟أضاف CSF 2.0 وظيفة «يحكم» لتغطية استراتيجية المخاطر والأدوار والسياسات والإشراف ومخاطر سلسلة التوريد. ما الأطر التي تغطيها بالفعل، وأين الفجوات؟
التحليل · 2024-12-05أيّ إطار أمني هو أفضل نقطة بداية؟ لقد قمنا بقياس ذلكقمنا بقياس مدى تغطية كل إطار من أصل 11 إطارًا أمنيًا لعشرة أطر أخرى. تتصدّر NIST SP 800-53 وISO 27001 القائمة، لكن من يطرح السؤال هو ما يحسم الأمر.
التحليل · 2024-10-22الثماني الأساسية مقابل ISO 27001: لماذا تكون معظم الروابط «ذات صلة فضفاضة» فقطيغطي ISO 27001 من حيث المبدأ كل استراتيجية من استراتيجيات الثماني الأساسية، لكن معظم ضوابط ASD لا تتصل بملحق A إلا بصلة فضفاضة. إليك ما يعنيه ذلك بالنسبة لك.أدلة عملية
أدلة عملية · 2026-09-01التحضير لتقييم CMMC Level 2 عندما تُشغّل بالفعل SP 800-53 مسبقاًكيف يمكن للمؤسسات التي تُطبّق NIST SP 800-53 بالفعل أن تستعد لتقييم CMMC Level 2: نطاق CUI وخطة أمن النظام (SSP) وإعادة استخدام الأدلة والمزالق الشائعة.
أدلة عملية · 2026-07-21كيفية قراءة جدول المطابقة، ومتى لا ينبغي الوثوق بهما الذي يخبرك به جدول مطابقة الإطار وما لا يخبرك به: أنواع العلاقات والاتجاه والإصدارات والتفصيل وجهة الإعداد، مع عمليات التحقق قبل الاعتماد عليه.
أدلة عملية · 2026-06-03من ISO 27001 إلى NIS2: خطة عملية لسد الفجواتخطة خطوة بخطوة لمنظمة حاصلة على شهادة ISO 27001 وتخضع الآن لـ NIS2: النطاق والتسجيل وواجبات الإدارة والإبلاغ والتدابير الأعمق.
أدلة عملية · 2026-04-21العناية الواجبة بالموردين: عملية واحدة لأطر متعددةعملية واحدة للعناية الواجبة بالموردين تغطي متطلبات ISO 27001 وSOC 2 وPCI DSS وGDPR وHIPAA وNIS2، تشمل التصنيف حسب المستوى وتقارير الضمان والعقود والمراقبة.
أدلة عملية · 2026-03-10من تقرير الفجوات إلى خطة المشروع: المالكون والأدلة والجداول الزمنيةكيفية تحويل تحليل فجوات الإطار إلى خطة مشروع: مسارات العمل، والتسلسل، والتقديرات، والمالكون، والأدلة المتتبَّعة حتى التدقيق.
أدلة عملية · 2026-01-21أدلة إدارة التغيير التي يقبلها المدققونما الأدلة على إدارة التغيير التي تجتاز تدقيق SOC 2 (CC8.1) وISO 27001 (A.8.32) وPCI DSS وNIS2، من طلبات السحب إلى التغييرات الطارئة.
أدلة عملية · 2025-12-09مراجعات صلاحيات المستخدمين التي تُرضي كل مدققكيفية إجراء مراجعات صلاحيات المستخدمين التي تجتاز تدقيق ISO 27001 وSOC 2 وPCI DSS وHIPAA وCMMC: النطاق والتكرار والمراجعون والأدلة.
أدلة عملية · 2025-10-28كيفية إجراء تحليل فجوات بين إطارين، وتحويله إلى جدول متابعةمنهج عملي لتحليل الفجوات بين إطارين أمنيين: تحديد النطاق، ومراجعة كل مطابقة، والتحقق من الروابط، وتحويله إلى جدول متابعة.
أدلة عملية · 2025-09-11تقييم مخاطر واحد لـ ISO 27001 وSOC 2 وHIPAAكيفية إجراء تقييم واحد لمخاطر أمن المعلومات يفي بمتطلبات ISO 27001 وSOC 2 ومتطلبات قاعدة الأمن في HIPAA، وما الذي يتحقق منه كل تدقيق.
أدلة عملية · 2025-07-29اختيار مستوى النضج المستهدف في Essential Eightكيفية اختيار مستوى النضج المستهدف في Essential Eight: ما الذي يحمي منه كل مستوى، ومن يحتاج إلى المستوى الثاني أو الثالث، وكيفية التقدم بينها.
أدلة عملية · 2025-06-17كتابة بيان قابلية التطبيق بما يصمد أمام التدقيقكيفية كتابة بيان قابلية التطبيق لمعيار ISO 27001:2022: ما الذي يجب أن يتضمنه، وتبرير الاستثناءات، ونتائج التدقيق الشائعة.
أدلة عملية · 2025-05-20إعداد التقارير لمجلس الإدارة باستخدام ملفات NIST CSF 2.0كيفية استخدام الملفات الحالية والمستهدفة في NIST CSF 2.0 لرفع تقارير الأمن السيبراني إلى مجلس الإدارة: ما الذي يُعرض، وكيف تربطه بأطرك.
أدلة عملية · 2025-05-01تحديد نطاق أول تقرير SOC 2 دون التزام زائدكيفية تحديد نطاق أول تقرير SOC 2: أي نظام، وأي معايير خدمات الثقة، والاستبعادات وضوابط الكيانات المستخدمة، وأخطاء النطاق المكلفة.
أدلة عملية · 2025-03-18ربط مجموعة سياسات واحدة بعدة أطر دون إعادة كتابتهاكيفية هيكلة مجموعة واحدة من السياسات الأمنية تفي بمتطلبات ISO 27001 وSOC 2 وNIST وPCI DSS وNIS2، وما يشترطه كل إطار كتابيًا.
أدلة عملية · 2025-02-04إجراء الإبلاغ عن الحوادث وفق مهلتي 24 و72 ساعة في NIS2كيفية بناء إجراء للإبلاغ عن الحوادث الجسيمة بموجب NIS2: تحديد الجسامة، والإنذار المبكر خلال 24 ساعة، والإشعار خلال 72 ساعة، والتقرير النهائي خلال شهر واحد.
أدلة عملية · 2024-12-24أدلة قابلة لإعادة الاستخدام عبر SOC 2 وISO 27001 وPCI DSSأي أدلة تدقيق تخدم SOC 2 وISO 27001 وPCI DSS في آنٍ واحد، وما يحتاجه كل مدقق مما لا يحتاجه الآخرون، وكيفية جمعها مرة واحدة.
أدلة عملية · 2024-11-06مجموعة ضوابط واحدة لـ SOC 2 وISO 27001: نفّذ الاثنين دون تكرار العمل مرتينكيفية تشغيل SOC 2 وISO 27001 من مجموعة ضوابط واحدة: ما الذي يتداخل، وما الذي يضيفه كل إطار، وكيفية هيكلة الضوابط والأدلة، وكيفية تنسيق عمليات التدقيق.الرأي
الرأي · 2026-06-17لماذا نُصنّف كل ربط بوصفه «جدول مطابقة» أو «تحريري»لماذا تُصنّف ControlMapping كل ربط بين الأطر بوصفه جدول مطابقة منشوراً أو حكماً تحريرياً، ولماذا يهم إظهار مصدر بيانات الامتثال.
الرأي · 2026-05-05حجة البيانات المفتوحة والمجانية للامتثالتبقى جداول ربط الأطر في معظمها حبيسة الأدوات المدفوعة وجداول البيانات. لماذا ينبغي أن تكون بيانات ربط الامتثال مفتوحة ومُسنَدة إلى مصادرها ومجانية لإعادة الاستخدام.
الرأي · 2026-03-24ما الذي علمتني إياه 20 عامًا في الأمن السيبراني عن التدقيقدروس من عقدين من عمليات تدقيق الأمن: الأدلة تتفوق على السرد، والنطاق يحسم كل شيء، والضوابط تفشل حين لا يتولى أحد ملكيتها.
الرأي · 2026-02-05سياسات أمن معلومات مكتوبة بالذكاء الاصطناعي: اختصار مفيد أم خطر في التدقيق؟يمكن للذكاء الاصطناعي التوليدي صياغة سياسات الأمن في دقائق. ما الذي يفيد فيه، وأين يُنشئ ملاحظات تدقيق، وكيفية استخدامه دون الوقوع في سياسات فارغة.
الرأي · 2025-12-23الامتثال ليس أمنًا، لكن جداول المطابقة تساعد في كليهمالماذا لا يجعل اجتياز التدقيق المؤسسة آمنة، وأين يتوافق الامتثال مع الأمن، وكيف يوفر ربط الأطر وقتًا للأمن.
الرأي · 2025-11-11لا تشترِ أدوات الامتثال قبل أن تكتب السياساتلماذا تنتهي المؤسسات التي تشتري أدوات الامتثال أو الأمن قبل تحديد طريقة عملها غالبًا بأدوات مكدسة دون استخدام، وما ترتيب العمل الذي يتجنب ذلك.
الرأي · 2025-09-25المشكلة في جداول المطابقة لدى الموردين التي لا يمكنك التحقق منهاتربط منصات الامتثال ضبطًا واحدًا بأطر عديدة عبر جداول مطابقة لا يستطيع أحد فحصها. لماذا يمثل ذلك خطرًا، وما الذي يجب أن تطلبه بدلًا منه.
الرأي · 2025-08-12مسؤولية الإدارة بموجب NIS2: هل ستغيّر المجالس سلوكها؟تُلزم NIS2 هيئات الإدارة باعتماد الأمن السيبراني والإشراف عليه والتدريب عليه، مع تحميلها المسؤولية. هل سيغيّر ذلك سلوك المجالس، وماذا ينبغي عليها أن تفعل؟
الرأي · 2025-07-01هل تحتاج شركة صغيرة إلى ISO 27001؟متى يكون ISO 27001 مجدياً لشركة صغيرة، ومتى ينبغي أن يأتي SOC 2 أو خط الأساس التقني أولاً، وكيف تبقي الشهادة متناسبة مع حجم الشركة.
الرأي · 2025-02-18إرهاق الأطر: اختر إطارًا مركزيًا واحدًا واربط به كل ما عداهتواجه المؤسسات التي تستجيب لعدة أطر أمنية الإنهاك من تشغيل كل منها على حدة. لماذا يكون اختيار إطار مركزي واحد وربط بقية الأطر به أفضل.
الرأي · 2025-01-07هل ينبغي للمؤسسات خارج أستراليا استخدام Essential Eight؟Essential Eight من ASD خط أساس أسترالي يتضمن نصائح عامة. لماذا قد تتبناه مؤسسات في أماكن أخرى، وكيف يتكامل مع ISO أو NIST.
الرأي · 2024-11-20لماذا سؤال «هل حصلتم على شهادة SOC 2؟» هو السؤال الخاطئلا توجد شهادة SOC 2. ما الذي يعنيه السؤال فعلًا، وما الذي يكشفه تقرير SOC 2 وما لا يكشفه، وأسئلة أفضل تطرحها على الموردين.