أيّ إطار أمني هو أفضل نقطة بداية؟ لقد قمنا بقياس ذلك
إذا لم تستطع تطبيق إطار واحد فقط أولًا، فاختر الإطار الذي يقودك أبعد نحو الأطر الأخرى. قمنا بقياس مدى التقدم الذي يحققه كل إطار.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
"أيّ إطار ينبغي أن نبدأ به؟" من أولى الأسئلة التي تواجه أي برنامج أمني، وغالبًا ما تكون الإجابات عنها آراءً. أردنا رقمًا: إذا طبّقتَ الإطار X، فكم من متطلبات كل إطار آخر تكون قد غطّيتها بالفعل؟
يربط ControlMapping متطلبات أحد عشر إطارًا ببعضها البعض، ولذلك نستطيع قياس ذلك. لكل إطار، أخذنا كل إطار آخر على حدة، وحسبنا عدد متطلباته التي لها ربط واحد على الأقل بالإطار الأول، ثم حسبنا المتوسط عبر الأطر العشرة.
الترتيب
| إذا كان لديك | متوسط نسبة الأطر الأخرى المربوطة | تغطي معظم | الأقل تغطيةً من |
|---|---|---|---|
| 800-53 | 80% | CIS v8.1 (100%) | PCI DSS (30%) |
| ISO 27001 | 69% | CIS v8.1 (100%) | PCI DSS (30%) |
| PCI DSS | 66% | CIS v8.1 (95%) | 800-53 (28%) |
| SOC 2 | 64% | CIS v8.1 (98%) | 800-53 (26%) |
| NIST CSF 2.0 | 62% | CIS v8.1 (100%) | 800-53 (29%) |
| NIS2 | 61% | CIS v8.1 (94%) | 800-53 (25%) |
| CMMC | 58% | CIS v8.1 (93%) | PCI DSS (26%) |
| HIPAA | 50% | GDPR (92%) | PCI DSS (20%) |
| CIS v8.1 | 44% | NIS2 (69%) | 800-53 (21%) |
| GDPR | 37% | NIS2 (59%) | Essential Eight (12%) |
| Essential Eight | 24% | CIS v8.1 (50%) | 800-53 (9%) |
النسبة = متطلبات الإطار الآخر التي لها ربط واحد على الأقل (تقاطع أو تحريري) بهذا الإطار، متوسطةً على 10 من الأطر الأخرى. تُحسب مباشرةً من البيانات نفسها المستخدمة في تحليل الفجوات.
يتميّز إطاران. NIST SP 800-53 يرتبط بأكبر حصة من بقية الأطر، وهذا ليس مفاجئًا: فهو فهرس يضم مئات الضوابط مكتوبة لتغطية شبه كل موضوع أمني وخصوصي، وتنشر NIST ربطًا رسميًا له مع CSF 2.0 وISO 27001. يأتي ISO 27001 في المرتبة التالية، لأن الملحق A يغطي المجال نفسه على مستوى أعلى، كما أن بنود نظام الإدارة تضيف جوانب حوكمة تلامسها معظم الأطر.
وفي الطرف الآخر، ترتبط Essential Eight بأقل قدر، وهذا مقصود بحكم تصميمها. فهي ثماني استراتيجيات تخفيف مستهدفة، وليست برنامجًا متكاملًا، لذا فإن تطبيقها يترك معظم أي إطار آخر دون أن يُمسّ. ويأتي GDPR منخفضًا لسبب مشابه: إذ تدخل مواده الأمنية فقط في النطاق.
اقرأ الأرقام بعناية
هناك ثلاثة أمور ينبغي تذكرها:
- الربط لا يعني الوفاء. يعني الربط أن المتطلبين يتناولان الموضوع نفسه. ضابط الثغرات في ISO 27001 ومتطلب الفحص الفصلي في PCI DSS مرتبطان ببعضهما، لكن الوفاء بالأول لا يُغني عن الثاني.
- الأطر التفصيلية تبدو سهلة التغطية. تقريبًا كل إطار يبدو أنه يغطي معظم ضوابط CIS. لدى CIS 153 ضمانة محددة، ولذلك يلامس معظم الأطر كلًّا منها على مستوى الموضوع، وأغلب روابط CIS تعكس تقديرنا التحريري، لأن جدول المطابقة المنشور من CIS يغطي 49 ضمانة فقط. تعامل مع عمود CIS على أنه "ملامَس" وليس "مُنجَز".
- الأطر المحددة تبدو صعبة التغطية. PCI DSS وSP 800-53 هما الأصعب على الأطر الأخرى في التغطية، لأنهما تحتويان على متطلبات كثيرة مفصّلة لا تفصّلها الأطر الأوسع.
من يسأل هو من يحسم الأمر
يخبرك القياس بالإطار الذي يوفّر أوسع أساس، لكنه لا يخبرك بالإطار الذي تحتاجه، وهذا غالبًا ما يحسم المسألة:
- عملاء المؤسسات في الولايات المتحدة يطلبون تقرير SOC 2. إذا كانت صفقة ما تعتمد عليه، فابدأ به.
- العملاء الدوليون والمناقصات والجهات التنظيمية يطلبون شهادة ISO 27001.
- الأعمال الفيدرالية الأمريكية تعني SP 800-53 (وFedRAMP للسحابة)؛ عقود الدفاع تعني CMMC Level 2.
- مدفوعات البطاقات تعني PCI DSS، بغض النظر عن أي شيء آخر تقوم به.
- مزودو الخدمات الرقمية في الاتحاد الأوروبي والقطاعات الحرجة يحتاجون إلى NIS2.
- لا يسأل أحد بعد؟ يوفّر ISO 27001 أو NIST CSF 2.0 أوسع قاعدة. CSF مجاني وأخف في البدء؛ وISO يضيف شهادة عند الحاجة إليها. يغطي SP 800-53 أكبر قدر، لكن حجمه يجعله خطوة أولى ثقيلة لمعظم الشركات الخاصة.
ثم وسّع، لا تبدأ من جديد
أيًّا كان الإطار الذي تبدأ به، فإن الإطار الثاني أقل كلفة من الأول. شغّل تحليل الفجوات من الإطار الذي لديك إلى الإطار الذي تحتاجه، وستحصل على قائمة متطلب بمتطلب بما يُنقل وما هو جديد، مع الدليل لكل رابط. وتغطي المقارنات أشيع الأزواج بعمق أكبر، مثل ISO 27001 مقابل SOC 2 وNIST CSF مقابل ISO 27001.
كيف قمنا بالقياس
لكل زوج مرتّب من الأطر استخدمنا الحساب نفسه المستخدم في تحليل الفجوات: يُعدّ المتطلب مرتبطًا عندما يُدرج في موضوع ControlMapping نفسه مع متطلب من الإطار الآخر، أو عندما يُربط بمتطلب منه مباشرة عبر جدول مطابقة منشور أو رابط تحريري مع سبب مذكور. المتطلبات التي تشترك فقط في نتيجة NIST CSF 2.0 ("ذو صلة فضفاضة") لا تُحتسب. الأرقام أعلاه تُحسب مباشرة من البيانات الحالية؛ راجع المنهجية.
الأسئلة
أيّ إطار أمني يغطي أكبر قدر من الأطر الأخرى؟
في بيانات ControlMapping، تغطي NIST SP 800-53 أكبر حصة من متطلبات الأطر الأخرى في المتوسط، يليها ISO 27001. ويعني الربط أن المتطلبات تتناول نتائج ذات صلة، وليس أن أحدهما يُغني عن الآخر.
هل ينبغي لشركة صغيرة أن تبدأ بـ ISO 27001 أم SOC 2؟
ابدأ بما يطلبه عملاؤك. إذا لم يطلب أحد ذلك بعد، فإن ISO 27001 أو NIST CSF يوفران أوسع أساس؛ أما SOC 2 فهو أسرع طريق إلى تقرير إذا كانت صفقة في الولايات المتحدة تعتمد عليه.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.