أدلة قابلة لإعادة الاستخدام عبر SOC 2 وISO 27001 وPCI DSS
المؤسسات التي تخضع لثلاثة تدقيقات تجمع غالباً اللقطات نفسها ثلاث مرات. يمكن لمعظم الأدلة أن تخدم التدقيقات الثلاثة، إذا جمعتها مع أخذ المدقق الأكثر صرامة في الاعتبار.
مؤسسة تطبق SOC 2 وISO 27001 وPCI DSS قد تقضي وقتاً في الرد على طلبات الأدلة أكثر مما تقضيه في تشغيل الضوابط. يطلب كل مدقق «مراجعة الوصول»، و«فحوص الثغرات»، و«اختبار الحوادث»، بصيغ مختلفة قليلاً ولفترات مختلفة قليلاً. معظم تلك الأدلة متماثلة. الحيلة هي جمعها مرة واحدة، وبشكل يلبي متطلبات الأكثر صرامة بين الثلاثة.
لماذا يكون التداخل كبيراً
تشترك الأطر الثلاثة في معظم موضوعات الأمن. عند الانتقال من ISO 27001 إلى SOC 2 على سبيل المثال:
من أصل 61 المعايير في SOC 2، يُطابق 41 (67%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 20 في بياناتنا. افتح تقرير الفجوات →
أما من ISO 27001 إلى PCI DSS، فالتداخل أصغر لكنه لا يزال كبيراً في الحوكمة والعمليات:
من أصل 260 المتطلبات في PCI DSS، يُطابق 77 (30%) شيئًا في ISO 27001، وترتبط 76 بشكل فضفاض فقط، ولا يوجد ربط لـ 107 في بياناتنا. افتح تقرير الفجوات →
حيثما تتطابق المتطلبات، تتداخل الأدلة عادةً أيضاً.
أدلة تخدم الأطر الثلاثة
| الدليل | SOC 2 | ISO 27001 | PCI DSS |
|---|---|---|---|
| مراجعات وصول المستخدمين (مع الاعتماد والتغييرات المنفذة) | CC6.2, CC6.3 | A.5.18 | 7.2.4 (كل ستة أشهر) |
| تذاكر الانضمام والمغادرة مع الموافقات | CC6.2 | A.5.16, A.5.18, A.6.5 | 8.2.4, 8.2.5 |
| تذاكر التغيير مع المراجعة والاختبار والموافقة | CC8.1 | A.8.32 | 6.5.1, 6.5.2 |
| نتائج فحص الثغرات والمعالجة | CC7.1 | A.8.8 | 11.3.1, 11.3.2, 6.3.3 |
| تقارير اختبار الاختراق وإعادة الاختبار | CC4.1, CC7.1 | A.8.8 | 11.4.1 إلى 11.4.4 |
| سجل الحوادث واختبار الاستجابة | CC7.3 إلى CC7.5 | A.5.24 إلى A.5.27 | 12.10.1, 12.10.2 |
| سجلات التوعية الأمنية والتدريب | CC1.4, CC2.2 | A.6.3 | 12.6.1 إلى 12.6.3 |
| سجلات العناية الواجبة تجاه الموردين | CC9.2 | A.5.19 إلى A.5.22 | 12.8.1 إلى 12.8.5 |
| اختبارات استعادة النسخ الاحتياطي | A1.2, A1.3 | A.8.13 | 9.4.1.1, 12.10.1 |
| تقييم المخاطر ومراجعته | CC3.1 إلى CC3.4 | 6.1.2, 8.2 | 12.3.1 |
اجمع وفق المعيار الأكثر صرامة
- التكرار: غالباً ما يحدد PCI DSS أسرع وتيرة (مراجعات الوصول كل ستة أشهر، والفحوص ربع السنوية). شغّل الضوابط بتكرار PCI وستستوفي الأطر الأخرى أيضاً.
- الفترة: يأخذ SOC 2 Type II عينات عبر فترة الملاحظة بأكملها. احتفظ بالأدلة بشكل مستمر، لا قبل التدقيقات فقط.
- الاكتمال: قد يسأل مدققو ISO عن كيفية التحقق من اكتمال المجتمع الإحصائي. احتفظ بالقائمة الكاملة (كل المغادرين، وكل التغييرات)، لا بالأمثلة التي تختارها أنت.
- المصدر: الأدلة المولّدة آلياً (الصادرات، والسجلات، والتذاكر ذات الطوابع الزمنية) أفضل من لقطات شاشة لواجهة رتّبها شخص ما.
هيكل بسيط
مستودع واحد للأدلة، منظم حسب الضابط لا حسب الإطار. يحتوي كل مجلد ضابط على أدلته لكل فترة، ومسمّاة بشكل متسق، مع فهرس موجز يبيّن متطلبات الأطر التي يخدمها. عندما يطلب المدقق «دليلاً على 7.2.4»، تبحث عن الضابط لا عن الإطار.
أبرز النقاط
- معظم الأدلة (مراجعات الوصول، وتذاكر التغيير، والفحوص، وسجلات الحوادث، والتدريب) تخدم SOC 2 وISO 27001 وPCI DSS في آنٍ واحد.
- اجمع وفق المعيار الأكثر صرامة: تكرارات PCI وفترة SOC 2 المستمرة.
- نظّم الأدلة حسب الضابط لا حسب الإطار، مع فهرس لما يستوفيه كل عنصر.
- بعض العناصر لا تنتقل، وعلى رأسها فحوص ASV وسجلات نظام إدارة ISO.
ما لا ينتقل
- فحوص خاصة بـ PCI: يجب أن تُجرى الفحوص الخارجية بواسطة مورد فحص معتمد (Approved Scanning Vendor).
- تحليلات مخاطر موجَّهة خاصة بـ PCI للمتطلبات ذات التكرار المرن.
- سجلات نظام إدارة ISO: تقارير التدقيق الداخلي، ومحاضر مراجعة الإدارة، وسجلات الإجراءات التصحيحية خاصة بـ ISO (وإن كان مدققو SOC 2 يقدّرونها).
- وصف نظام SOC 2: سردك الخاص للنظام ضمن النطاق.
ينطبق منشورنا مجموعة ضوابط واحدة لـ SOC 2 وISO 27001 على تصميم الضوابط، بينما يسرد تحليل الفجوات الربط بين أي إطارين.
الأسئلة
هل يمكن استخدام الأدلة نفسها لـ SOC 2 وISO 27001؟
غالباً نعم. كلاهما يبحث عن دليل على عمل الضوابط: التذاكر، والمراجعات، ونتائج الفحص، وسجلات التدريب. يحتاج SOC 2 Type II إلى عينات عبر فترة الملاحظة بأكملها، لذا اجمع الأدلة بشكل مستمر.
ما الأدلة التي يحتاجها PCI DSS ولا يحتاجها SOC 2؟
أدلة على التكرارات والإعدادات الخاصة بـ PCI: فحوص ربع سنوية داخلية وخارجية (ASV)، ومراجعات كل ستة أشهر لقواعد الوصول وجدار الحماية، وتحليلات مخاطر موجَّهة، وإعدادات خاصة ببيانات حاملي البطاقات.
كم مدة الاحتفاظ بأدلة التدقيق؟
على الأقل حتى إغلاق دورة التدقيق التالية، ولفترة أطول حيثما يشترط إطار عمل أو قانون ذلك؛ فمثلاً يشترط PCI DSS الاحتفاظ بسجل تدقيق لمدة 12 شهراً.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.
التحليل · 2026-09-15مقارنة متطلبات التشفير: ما تحدده الأطر وما تتركه لتقديرككيف تعالج ISO 27001 وPCI DSS وCMMC وHIPAA وGDPR وNIS2 التشفير أثناء التخزين وأثناء النقل وإدارة المفاتيح، مع معرّفات المتطلبات.