فجوة ضوابط CIS: لماذا لا يُنشر جدول مطابقة إلا لـ 49 من أصل 153 إجراءً وقائيًا
تُعد ضوابط CIS من أكثر خطوط الأساس العملية للأمن السيبراني، ومع ذلك لا يظهر في جدول المطابقة الذي نشرته CIS مع NIST CSF 2.0 سوى ثلث إجراءاتها الوقائية تقريبًا. إليك ما يعنيه ذلك إذا كنت تربط CIS بأي إطار آخر.
تحظى ضوابط CIS الحرجة للأمن (CIS Critical Security Controls) بتفضيل كبير لدى الممارسين لأنها تحدد بدقة ما ينبغي فعله: جرد الأصول باستخدام الاكتشاف الآلي، وإدراج البرمجيات في قائمة السماح، وجمع سجلات تدقيق سطر الأوامر. الإصدار 8.1 يضم 18 ضابطًا و153 إجراءً وقائيًا، مرتبة في ثلاث مجموعات تنفيذ. من المفترض أن يكون ربطها بأطر أخرى أمرًا سهلًا، وقد نشرت CIS نفسها جدول مطابقة مع NIST CSF 2.0 في كتالوج OLIR التابع لـ NIST.
يغطي جدول المطابقة هذا 49 إجراءً وقائيًا. أما الـ104 الأخرى فلا يوجد لها ربط منشور فيه.
ما الذي تغطيه الإجراءات الـ49
الإجراءات الوقائية في تقديم CIS إلى OLIR موزعة على الضوابط، مع تركيز على تلك التي تدعم بشكل مباشر نتيجة من نتائج CSF. ولا يتضمن كثيرًا من الإجراءات التقنية المحددة (أنواع السجلات الفردية، وإعدادات مكافحة البرمجيات الخبيثة المعينة، والفحص المنفصل للأصول الداخلية والخارجية)، ويُرجَّح أن ذلك لأن CIS ربطت على المستوى الذي وُجد فيه ربط واضح من واحد إلى واحد. وتوجد مطابقة CIS الأوسع على موقعها الخاص خلف نموذج تنزيل، ويحد ترخيصها (CC BY-NC-ND) من طريقة إعادة استخدام الآخرين لها.
كيف تعاملنا مع الـ104 الأخرى
بدلًا من ترك ثلثي ضوابط CIS دون ربط، وضعت ControlMapping كل إجراء وقائي متبقٍ في الموضوع الذي ينتمي إليه بوضوح (فحوصات الثغرات في إدارة الثغرات، وإجراءات سجلات التدقيق في التسجيل، وتدريب القوى العاملة في التوعية)، وصُنّف كل منها بأنه «تحريري» مع سبب من سطر واحد. والنتيجة:
من أصل 153 الضوابط الوقائية في CIS v8.1، يُطابق 153 (100%) شيئًا في NIST CSF 2.0، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا. افتح تقرير الفجوات →
أصبح كل إجراء وقائي في CIS الآن مرتبطًا بموضوع معرّف في CSF. لكن معظم هذه الروابط هي اجتهاد منا وليس من CIS، وينبغي أن تتعامل معها على هذا الأساس.
لماذا يبدو ربط "المطابقة" سهلًا جدًا مع CIS
إجراءات CIS ضيقة وتقنية، لذلك يمكن لأي إطار واسع تقريبًا أن يلامس كل منها على مستوى الموضوع. يرتبط ضابط التسجيل في ISO 27001 بكل إجراء تسجيل في CIS، وترتبط نتائج الثغرات في NIST بكل إجراء فحص. وهذا يجعل CIS تبدو مغطاة بالكامل تقريبًا بأي إطار آخر، كما وجد تحليلنا لنقطة البداية في اختيار الإطار. في الممارسة العملية، يكون إجراء CIS عادةً المتطلب الأشد: فإطار ISO 27001 يطلب منك التسجيل، بينما تحدد CIS السجلات المطلوبة.
الاتجاه الآخر
من أصل 106 الفئات الفرعية في NIST CSF 2.0، يُطابق 59 (56%) شيئًا في CIS v8.1، وترتبط 9 بشكل فضفاض فقط، ولا يوجد ربط لـ 38 في بياناتنا. افتح تقرير الفجوات →
عند الانتقال من CIS إلى CSF 2.0، تكون الفجوات في معظمها متعلقة بالحوكمة: إذ إن CIS v8.1 خط أساس تشغيلي ولا يقول إلا القليل عن السياق التنظيمي واستراتيجية المخاطر وبرامج سلسلة الإمداد، وهي ما يشكّل وظيفة «يحكم» في CSF.
أبرز النقاط
- جدول المطابقة المتاح علنًا من CIS إلى NIST CSF 2.0 يغطي 49 من أصل 153 إجراءً وقائيًا في CIS Controls v8.1؛ أما البقية فقد رُبطت هنا بالاجتهاد، مع ذكر سبب لكل منها.
- لأن إجراءات CIS ضيقة وتقنية، يبدو أن أي إطار أوسع يغطيها تقريبًا. لكن في الممارسة، يكون إجراء CIS عادةً هو المتطلب الأشد.
- عند الانتقال من CIS إلى أطر أخرى، تتمثل الفجوة الرئيسية في الحوكمة: استراتيجية المخاطر والإشراف وبرامج سلسلة الإمداد.
- استخدم CIS كتفصيل تنفيذي ضمن ISO 27001 أو CSF، واحصل على المطابقة الكاملة من CIS إذا احتاج التدقيق إلى ربط موثوق المصدر.
كيف تستخدم CIS مع إطار آخر
- استخدم CIS كتفصيل تنفيذي ضمن إطار أوسع: يحدد ISO 27001 أو CSF ما يجب تحقيقه، وتحدد CIS IG1 وIG2 كيفية تحقيقه.
- تعامل مع الروابط التحريرية كنقاط بداية. تبيّن صفحات المتطلبات لدينا أي روابط CIS مدعومة بجدول المطابقة وأيها من إعدادنا؛ وCIS Controls v8.1 يعرض الـ153 إجراءً وقائيًا مع الاثنين.
- احصل على المطابقة الكاملة من CIS إذا احتجت إلى ربط موثوق من CIS إلى CSF لأغراض التدقيق.
تغطي مقارنة NIST CSF وCIS ومقارنة ISO 27001 وCIS الاتجاهين.
الأسئلة
هل تنشر CIS مطابقة كاملة مع NIST CSF 2.0؟
تنشر CIS مطابقة أوسع على موقعها الخاص خلف نموذج تنزيل. أما جدول المطابقة المتاح علنًا في كتالوج OLIR التابع لـ NIST فيغطي 49 من أصل 153 إجراءً وقائيًا في CIS Controls v8.1.
هل روابط CIS في ControlMapping موثوقة؟
الروابط الـ49 المدعومة بجدول المطابقة هي من CIS نفسها. أما البقية فهي تحريرية من ControlMapping، موضوعة في مواضيع مع سبب مذكور؛ تحقق منها مقابل المطابقة الكاملة من CIS قبل الاعتماد عليها.
ما هي مجموعات تنفيذ CIS؟
ثلاث فئات من إجراءات CIS: IG1 هي النظافة السيبرانية الأساسية لكل مؤسسة، وIG2 تضيف إجراءات للمؤسسات ذات البيئات الأكثر تعقيدًا، وIG3 تضيف إجراءات للمؤسسات التي تواجه هجمات متطورة.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.