مقارنة متطلبات التشفير: ما تحدده الأطر وما تتركه لتقديرك
تتوقع كل الأطر الرئيسية وجود التشفير. ونادراً ما تحدد أي خوارزمية. تكمن الفروق الحقيقية في وقت كون التشفير إلزامياً، وفي ما إذا كانت الوحدات المعتمدة مطلوبة، وفي مدى تفصيل إدارة المفاتيح.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
التشفير من الضوابط القليلة التي تتوقعها كل أطر الأمن السيبراني بشكل ما. لكن عند قراءة المتطلبات بدقة، تتباين في ثلاث نقاط أهم بكثير من اختيار الخوارزمية: متى يصبح التشفير إلزامياً، وهل يجب استخدام وحدات تشفير معتمدة، ومدى تفصيل إدارة المفاتيح.
من يتطلب ماذا
| الإطار | التشفير | رابط |
|---|---|---|
| NIST CSF 2.0 | PR.DS-01PR.DS-02 | تعريف الموضوع |
| ISO 27001 | A.8.24 | جدول المطابقة |
| CIS v8.1 | CIS 3.10CIS 3.11CIS 3.6CIS 3.9 | جدول المطابقة |
| SOC 2 | CC6.1CC6.7 | تحريري |
| PCI DSS | 3.5.13.6.14.2.13.7.13.7.44.2.1.1 | جدول المطابقة |
| CMMC | SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6 | جدول المطابقة |
| 800-53 | SC-8SC-12SC-13SC-28 | جدول المطابقة |
| HIPAA | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | جدول المطابقة |
| GDPR | Art.32(1)(a)Art.34(3)(a) | تحريري |
| NIS2 | 9.1 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: التشفير عبر الأطر →
متى يكون التشفير إلزامياً
- PCI DSS واضح في هذا. يجب جعل أرقام الحسابات الأساسية المخزنة غير قابلة للقراءة (3.5.1)، ويجب حماية PAN باستخدام تشفير قوي عند إرساله عبر الشبكات المفتوحة والعامة (4.2.1).
- CMMC Level 2 يتطلب الحماية التشفيرية لـ CUI أثناء النقل (SC.L2-3.13.8) والتخزين (SC.L2-3.13.16) وعلى الأجهزة المحمولة (AC.L2-3.1.19) وعلى وسائط التخزين المحمولة (MP.L2-3.8.6).
- HIPAA يجعل التشفير أثناء التخزين والنقل قابلاً للتطبيق بحسب الحاجة: يجب تطبيقه، أو توثيق سبب كون بديل مكافئ معقولاً. عملياً، يصعب الدفاع عن بيانات ePHI غير المشفرة على حاسوب محمول مفقود، وقد اقترحت HHS في يناير 2025 جعل التشفير إلزامياً.
- GDPR يذكر التشفير كإجراء ينبغي النظر فيه (المادة 32(1)(a))، ويمنح فائدة ملموسة: إذا كانت البيانات المخترقة مشفّرة، فقد لا تحتاج إلى إخطار الأشخاص المتأثرين (المادة 34(3)(a)).
- ISO 27001 (A.8.24) وSOC 2 (CC6.1 وCC6.7) وNIS2 (البند 9.1، سياسة التشفير) تتطلب منك تحديد المواضع التي يلزم فيها التشفير وتطبيقه، بدلاً من فرضه في كل مكان.
التشفير المعتمد
المنظومة الفيدرالية الأمريكية وحدها تصر على الوحدات المعتمدة. CMMC Level 2 يتطلب تشفيراً معتمداً وفق FIPS لحماية سرية CUI (SC.L2-3.13.11)، وأنظمة SP 800-53 تستخدم وحدات معتمدة وفق FIPS (SC-13). أما الباقون فيطلبون تشفيراً « قوياً » أو « مناسباً ». وبالنسبة للمتعاقد، يحدد هذا الفرق المكتبات وشبكات VPN ومنتجات تشفير الأقراص التي يمكنك استخدامها.
إدارة المفاتيح
إدارة المفاتيح هي الجانب الذي تختلف فيه الأطر أكثر من حيث العمق. PCI DSS يفصّلها عبر البندين 3.6 و3.7: التوليد والتوزيع والتخزين وتغيير المفاتيح عند انتهاء فترة تشغيلها، وإتلاف المفاتيح المخترقة، والمعرفة المقسّمة والتحكم المزدوج، وإقرارات الأمناء. كما يتطلب جرداً للمفاتيح والشهادات الموثوقة (4.2.1.1). SP 800-53 (SC-12) وCMMC (SC.L2-3.13.10) يتطلبان إنشاء المفاتيح وإدارتها. أما ISO 27001 فيطلب وضع قواعد للاستخدام الفعّال للتشفير، بما في ذلك إدارة المفاتيح، ويترك التفاصيل لك.
أبرز الخلاصات
- نادراً ما تسمي الأطر الخوارزميات؛ وهي تختلف في متى يكون التشفير إلزامياً، والوحدات المعتمدة، وإدارة المفاتيح.
- PCI DSS وCMMC هما الأكثر صرامة؛ ومواصفات التشفير في HIPAA قابلة للتطبيق بحسب الحاجة.
- استخدم تفاصيل إدارة المفاتيح في PCI كقائمة مرجعية، أياً كان الإطار المنطبق عليك.
ما الذي ينبغي فعله
- شفّر افتراضياً أثناء التخزين والنقل للبيانات الحساسة؛ فهو إلزامي في مكان ما ضمن تقريباً كل عائلة من الأطر، والاستثناءات يصعب تبريرها.
- تحقق مما إذا كنت تحتاج إلى وحدات معتمدة قبل شراء المنتجات (CMMC وFedRAMP وغيرها من الأعمال الفيدرالية).
- وثّق إدارة المفاتيح بمستوى تفصيل PCI حتى لو لم ينطبق عليك PCI؛ فهي أكمل قائمة مرجعية متاحة.
- سجّل قرارات التشفير في سياسة تشفير (NIS2 9.1 وISO A.8.24)، وراجع مجموعات التشفير دورياً (يطلب PCI 12.3.3 مراجعات سنوية).
تسرد صفحة موضوع التشفير كل متطلب مع مصدره، ويقارن تحليل الفجوات أي إطارين متطلباً بمتطلب.
الأسئلة
هل يتطلب HIPAA التشفير؟
تشفير ePHI أثناء التخزين (§164.312(a)(2)(iv)) وأثناء النقل (§164.312(e)(2)(ii)) مواصفتان قابلتان للتطبيق بحسب الحاجة وفق قاعدة الأمن الحالية: يجب تطبيقهما، أو توثيق سبب كون إجراء مكافئ معقولاً. وقد اقترحت HHS في يناير 2025 جعل التشفير إلزامياً.
أي الأطر تتطلب تشفيراً معتمداً وفق FIPS؟
يتطلب CMMC Level 2 تشفيراً معتمداً وفق FIPS لحماية سرية CUI (SC.L2-3.13.11)، وتستخدم الأنظمة الفيدرالية الأمريكية وفق SP 800-53 وحدات معتمدة وفق FIPS (SC-13).
أي خوارزميات التشفير تتطلبها الأطر؟
نادراً ما تسمي الأطر خوارزميات محددة. يتطلب PCI DSS تشفيراً قوياً يعتمد على خوارزميات وأطوال مفاتيح مقبولة في الصناعة؛ وتستخدم الأنظمة الفيدرالية الأمريكية وحدات معتمدة وفق FIPS؛ ويدرج ISM الصادر عن ASD الخوارزميات والبروتوكولات المعتمدة. وتترك معظم الأطر الأخرى الاختيار لك، مسترشداً بالمعايير الحالية.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.