مقارنة متطلبات النسخ الاحتياطي والاسترداد عبر الأطر
النسخ الاحتياطية أحد المواضيع الخمسة التي تشترطها كل الأطر. تكمن الاختلافات في وتيرتها، وفي كيفية حمايتها من المهاجمين، وفي ما إذا كان أحد ملزمًا بإثبات أن الاستعادة تعمل.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
النسخ الاحتياطي والاسترداد جزء من المتطلبات المشتركة: تشترطه كل إطار من الأطر الإحدى عشر التي نربطها، بما في ذلك اللائحة العامة لحماية البيانات (GDPR) التي تطلب القدرة على استعادة توافر البيانات الشخصية والوصول إليها في الوقت المناسب. أما المتطلب الأكثر اختلافًا فليس التكرار بل الحماية: منذ أن بدأت برامج الفدية باستهداف النسخ الاحتياطية، تهتم الأطر بشكل متزايد بما إذا كان المهاجم الذي يسيطر على شبكتك قادرًا على تدمير نسخك أيضًا.
من يشترط ماذا
| الإطار | النسخ الاحتياطي والاستعادة | رابط |
|---|---|---|
| NIST CSF 2.0 | PR.DS-11RC.RP-03 | تعريف الموضوع |
| ISO 27001 | A.8.13 | جدول المطابقة |
| CIS v8.1 | CIS 11.2CIS 11.3CIS 11.5CIS 11.4 | جدول المطابقة |
| SOC 2 | A1.2 | تحريري |
| PCI DSS | 9.4.1.1 | جدول المطابقة |
| CMMC | MP.L2-3.8.9 | جدول المطابقة |
| 800-53 | CP-6CP-9 | جدول المطابقة |
| HIPAA | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | جدول المطابقة |
| GDPR | Art.32(1)(c) | تحريري |
| NIS2 | 4.2 | جدول المطابقة |
| Essential Eight | ISM-1511ISM-1810ISM-1811ISM-1814ISM-1707ISM-1515 | تحريري |
التفاصيل الكاملة وسبب كل رابط: النسخ الاحتياطي والاستعادة عبر الأطر →
التكرار
تحدد عدد قليل من الأطر تكرارًا محددًا. تطلب CIS Controls نسخًا احتياطية آلية أسبوعيًا أو أكثر بحسب حساسية البيانات (11.2). ويشترط HIPAA وجود خطة نسخ احتياطي للبيانات لإنشاء نسخ دقيقة قابلة للاسترجاع من ePHI والحفاظ عليها (§164.308(a)(7)(ii)(A)). وتشترط Essential Eight النسخ الاحتياطي بما يتوافق مع متطلبات استمرارية الأعمال. أما ISO 27001 (A.8.13) وSP 800-53 (CP-9) وSOC 2 (A1.2) فتترك التكرار لأهداف الاسترداد لديك، وهذا هو الموقف الصحيح: انسخ احتياطيًا بوتيرة تُبقي ما قد تفقده من البيانات ضمن حدود ما تستطيع تحمله.
الحماية
هنا تختلف الأطر أكثر من غيرها:
- CIS تشترط حماية بيانات الاسترداد (11.3) ووجود نسخة معزولة منها (11.4): غير متصلة بالشبكة، أو معزولة في السحابة، أو بأي شكل آخر بعيد عن متناول مهاجم في الشبكة.
- Essential Eight تدمج الحماية في مستويات نضجها: لا يمكن للحسابات غير المميزة الوصول إلى النسخ الاحتياطية لحسابات أخرى، وفي المستويات الأعلى لا يمكن حتى للحسابات المميزة تعديلها أو حذفها.
- CMMC تشترط حماية سرية CUI في النسخ الاحتياطية (MP.L2-3.8.9)؛ وPCI DSS تشترط تخزين وسائط النسخ غير المتصلة بشكل آمن (9.4.1.1).
- ISO 27001 وSOC 2 تتوقعان حماية النسخ الاحتياطية بشكل مناسب، دون تسمية عدم القابلية للتغيير.
اختبار الاستعادة
تطلب CIS اختبار الاسترداد ربع سنويًا أو أكثر، على عينة (11.5). وتشترط Essential Eight اختبار استعادة البيانات والتطبيقات والإعدادات ضمن تمارين التعافي من الكوارث. ويشترط ISO 27001 اختبار النسخ الاحتياطية دون تحديد تكرار، ويبحث مدققو SOC 2 عن اختبارات الاستعادة ضمن A1.3. النسخة الاحتياطية التي لم تُستعد قط مجرد أمل، لا ضابط.
أبرز النقاط
- النسخ الاحتياطي والاسترداد أحد المواضيع الخمسة التي تشترطها كل الأطر التي نربطها.
- تختلف الأطر في التكرار أقل مما تختلف في الحماية: فـ CIS وEssential Eight تحميان النسخ الاحتياطية من المهاجمين صراحةً.
- اختبار الاستعادة هو الجزء الأكثر إهمالًا؛ وتطلب CIS اختبارات ربع سنوية على عينة.
- خط أساس واحد (نسخ احتياطي منتظم، ونسخة معزولة، والتشفير، واختبارات استعادة ربع سنوية) يلبي جميعها.
- مزودو السحابة يحمون بنيتهم التحتية، لا بياناتك من الحذف أو التلف أو التشفير.
خط أساس يلبي الجميع
- انسخ البيانات والتطبيقات والإعدادات احتياطيًا، بتكرار تحدده أهداف نقطة الاسترداد، وبحد أدنى أسبوعيًا.
- احتفظ بنسخة واحدة معزولة على الأقل، غير متصلة أو غير قابلة للتغيير، لا يستطيع مسؤولو النطاق حذفها.
- شفّر النسخ الاحتياطية التي تحتوي على بيانات حساسة أو خاضعة للتنظيم.
- اختبر الاستعادة ربع سنويًا على عينة، ونفّذ تمرين استرداد كامل مرة واحدة سنويًا على الأقل.
- وثّق النتائج، بما فيها الإخفاقات والإصلاحات: فهذا هو الدليل الذي يطلبه كل مدقق.
يسرد صفحة موضوع النسخ الاحتياطي والاسترداد كل متطلب مع مصدره؛ ويغطي التعافي من الكوارث واستمرارية الأعمال الخطط الأوسع. وللاطلاع على المواضيع الأخرى التي تشترك فيها كل الأطر، راجع المتطلبات المشتركة.
الأسئلة
كم مرة يجب اختبار النسخ الاحتياطية؟
تطلب CIS Controls اختبار الاسترداد ربع سنويًا أو أكثر (11.5)، وتشترط Essential Eight اختبار الاستعادة ضمن تمارين التعافي من الكوارث. وتشترط معظم الأطر الأخرى الاختبار دون تكرار ثابت.
هل تشترط الأطر نسخًا احتياطية غير متصلة أو غير قابلة للتغيير؟
قليل منها يذكر ذلك صراحةً. تشترط CIS Controls نسخة معزولة من بيانات الاسترداد (11.4)، وتمنع المستويات الأعلى من Essential Eight الحسابات، بما فيها المميزة، من تعديل النسخ الاحتياطية أو حذفها.
هل تلغي خدمات السحابة الحاجة إلى النسخ الاحتياطية؟
لا. يحمي مزودو السحابة بنيتهم التحتية، لكن معظمهم لا يحمي بياناتك من الحذف أو التلف أو التشفير. وتظل الأطر تتوقع منك نسخ ما تتحمل مسؤوليته احتياطيًا واختبار استعادته.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.