وظيفة «يحكم» في NIST CSF 2.0: أي الأطر تغطيها بالفعل؟
أكبر تغيير في NIST CSF 2.0 هو إضافة وظيفة سادسة جديدة هي «يحكم». إذا كنت تتبع إطاراً آخر، فكم منها لديك بالفعل؟ الإجابة تعتمد بشدة على الإطار الذي تتبعه.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
عندما نشرت NIST الإصدار CSF 2.0 في فبراير 2024، كان التغيير الأبرز هو إضافة وظيفة سادسة. انضمت وظيفة يحكم إلى «يحدد» و«يحمي» و«يكشف» و«يستجيب» و«يتعافى»، ووضعتها NIST في مركز بقية الوظائف: السياق التنظيمي، واستراتيجية إدارة المخاطر، والأدوار والمسؤوليات، والسياسات، والإشراف، وإدارة مخاطر سلسلة توريد الأمن السيبراني. لقد نقلت الحوكمة من فئة ضمن وظيفة «يحدد» إلى الجهة التي توجّه كل ما عداها.
إذا كنت تتبع إطاراً آخر بالفعل، فكم من وظيفة «يحكم» لديك؟
تغطية «يحكم» حسب الإطار
تضم ControlMapping ستة موضوعات مرتبطة بوظيفة «يحكم». إليك عدد الموضوعات التي يربطها كل إطار:
| الإطار | حوكمة موضوعًا تم ربطه | لا يوجد ربط لـ |
|---|---|---|
| ISO 27001 | 6 من 6 | — |
| SOC 2 | 6 من 6 | — |
| PCI DSS | 6 من 6 | — |
| 800-53 | 6 من 6 | — |
| GDPR | 6 من 6 | — |
| NIS2 | 6 من 6 | — |
| HIPAA | 5 من 6 | مخاطر سلسلة التوريد |
| CIS v8.1 | 2 من 6 | سياسة الحوكمة, إدارة المخاطر, الأدوار والمسؤوليات, الامتثال |
| CMMC | 2 من 6 | سياسة الحوكمة, مخاطر سلسلة التوريد, الأدوار والمسؤوليات, إدارة مخاطر الموردين |
| Essential Eight | 0 من 6 | سياسة الحوكمة, إدارة المخاطر, مخاطر سلسلة التوريد, الأدوار والمسؤوليات, الامتثال, إدارة مخاطر الموردين |
المواضيع: سياسة الحوكمة, إدارة المخاطر, مخاطر سلسلة التوريد, الأدوار والمسؤوليات, الامتثال, إدارة مخاطر الموردين.
الأطر التي تغطيها
أطر أنظمة الإدارة وكتالوجات الضوابط تغطي «يحكم» بشكل جيد. البنود 4 إلى 6 و9 من ISO 27001 تمثل حوكمة: السياق، والقيادة، والأدوار، وتقييم المخاطر ومعالجتها، وتقييم الأداء، والمراجعة الإدارية. يضم SP 800-53 مجموعة كاملة لإدارة البرامج (PM). ضوابط بيئة الرقابة في SOC 2 (CC1 إلى CC5) مستمدة من إطار الرقابة الداخلية COSO، وهي حوكمة بحكم تصميمها. ويغطي المتطلب 12 من PCI DSS ومهام الجهة الإدارية في NIS2 المساحة نفسها.
الأطر التي لا تغطيها
الخطوط الأساسية التشغيلية تغطي القليل منها. تتكون Essential Eight من ثماني استراتيجيات تخفيف تقنية ولا تتضمن أي محتوى حوكمي، وهذا خيار تصميمي وليس إغفالاً. تتطرق CIS Controls v8.1 إلى الحوكمة بشكل أساسي من خلال عمليات إدارة مزودي الخدمة وإدارة البيانات. أما CMMC Level 2 فيرث تركيز SP 800-171 على حماية CUI في الأنظمة، وهذا يترك معظم نتائج البرامج المتعلقة باستراتيجية المخاطر وسلسلة التوريد خارج نطاقه.
سلسلة التوريد: الجزء الأصعب في «يحكم»
تتضمن «يحكم» عشر فئات فرعية تتعلق بإدارة مخاطر سلسلة توريد الأمن السيبراني، بدءاً من امتلاك برنامج من الأساس وصولاً إلى إدارة الموردين عبر دورة حياة العلاقة. تتطرق أطر كثيرة إلى أمن الموردين (البنود A.5.19 إلى A.5.23 في ISO 27001، و CC9.2 في SOC 2، و12.8 في PCI DSS)، لكن قليلاً منها يتعامل معه كبرنامج له معايير مخاطر ومستويات وتقييم مستمر. إذا كانت تغطيتك لوظيفة «يحكم» عالية، فتحقق مما إذا كانت عالية في سلسلة التوريد تحديداً.
أبرز النقاط
- «يحكم» هي الوظيفة الجديدة في CSF 2.0 للسياق واستراتيجية المخاطر والأدوار والسياسات والإشراف ومخاطر سلسلة التوريد.
- أطر أنظمة الإدارة والكتالوجات (ISO 27001 وSP 800-53 وSOC 2 وPCI DSS وNIS2) تغطيها بشكل جيد.
- الخطوط الأساسية التشغيلية (Essential Eight وCIS وCMMC) تغطي القليل منها، وذلك بحكم تصميمها.
- مخاطر سلسلة التوريد هي الجزء من «يحكم» الذي يتفاوت عمقه بين الأطر أكثر من غيره.
ما الذي يجب فعله
- إذا كنت تطبق خطاً أساسياً تشغيلياً (CIS أو Essential Eight أو CMMC)، أضف الحوكمة فوقه: توفر وظيفة «يحكم» في CSF، أو نظام الإدارة في ISO 27001، الهيكل اللازم.
- إذا كنت تطبق ISO 27001 أو SOC 2، فاستخدم «يحكم» لتحسين تقارير مجلس الإدارة: صيغت نتائج CSF بلغة يفهمها التنفيذيون.
- راجع موضوعي سلسلة التوريد ومخاطر الموردين، حيث تختلف الأطر أكثر ما تختلف في العمق.
تسرد صفحة إطار CSF 2.0 كل فئة فرعية من «يحكم» مع روابطها، ويعرض تحليل الفجوات تغطية CSF من أي إطار تملكه.
الأسئلة
ما هي وظيفة «يحكم» في NIST CSF 2.0؟
«يحكم» (GV)، التي أُضيفت في CSF 2.0 عام 2024، تغطي السياق التنظيمي، واستراتيجية إدارة المخاطر، والأدوار والمسؤوليات، والسياسات، والإشراف، وإدارة مخاطر سلسلة توريد الأمن السيبراني. وتضعها NIST في مركز الوظائف الخمس الأخرى.
هل يغطي ISO 27001 وظيفة «يحكم» في CSF 2.0؟
إلى حد كبير، نعم: البنود 4 إلى 6 و9 من ISO 27001 (السياق، والقيادة، والمخاطر، وتقييم الأداء) وضوابط الموردين فيه تتطابق مع معظم نتائج «يحكم».
هل تنطبق «يحكم» في CSF 2.0 على المؤسسات الكبيرة فقط؟
لا. تحتاج المؤسسات الصغيرة إلى الأساسيات نفسها بصيغة أخف: من هو المسؤول، وما المخاطر المقبولة، وما السياسات المعتمدة، وكيف يُدار الموردون.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.