كيفية إجراء تحليل فجوات بين إطارين، وتحويله إلى جدول متابعة
يجيب تحليل الفجوات عن سؤال واحد: إذا كنا نستوفي الإطار A، فما الذي ما زلنا نحتاجه للإطار B؟ إليك منهجاً يحوّل الإجابة إلى خطة بدلاً من جدول بيانات لا يفتحه أحد.
كل إطار تالٍ يبدأ بالسؤال نفسه: ما مقدار ما نملكه بالفعل من هذا؟ ويجيب عنه تحليل الفجوات. ولكن إذا أُنجز بشكل سيئ، فإنه ينتج جدول بيانات يصف كل شيء بأنه «ممتثل جزئياً» ولا يُفتح مرة أخرى. أما إذا أُنجز بشكل جيد، فإنه ينتج قائمة بمهام ذات تكلفة مقدّرة ومالكين محددين. إليك المنهجية التي نوصي بها.
الخطوة 1: تحديد النطاق والاتجاه
يتخذ تحليل الفجوات اتجاهاً محدداً: ما تملكه إطاراً (أو ضوابطك الحالية)، وما تحتاجه إطاراً آخر. دوّن الاثنين مع إصداراتهما، ونطاق المؤسسة: أي كيان، وأي خدمات، وأي مواقع. وغالباً ما تفشل تحليلات الفجوات لأن النطاقين لا يتطابقان، كأن تُقارن شهادة ISO تغطي خط منتجات واحداً بالتزام NIS2 يشمل الكيان بأكمله.
الخطوة 2: إنشاء المقارنة متطلباً بمتطلب
ابدأ من جدول مطابقة، لا من ورقة فارغة. يسرد تحليل الفجوات في ControlMapping كل متطلب من الإطار الذي تحتاجه، مع ما يقابله في الإطار الذي تملكه:
- مرتبط: جدول مطابقة منشور أو حكمنا التحريري يربطه بشيء تملكه.
- ذو صلة فضفاضة: يشترك فقط في نتيجة مع شيء تملكه. اعتبره عملاً جديداً على الأرجح.
- لا يوجد ربط في بياناتنا: عمل جديد على الأرجح، ما لم تكن تغطية ذلك الإطار جزئية.
على سبيل المثال، عند الانتقال من ISO 27001 إلى NIS2:
من أصل 49 نقاط المتطلبات في NIS2، يُطابق 49 (100%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا. افتح تقرير الفجوات →
الخطوة 3: التحقق من المطابقات على أرض الواقع
يشير الربط إلى أن متطلبين مرتبطان، لكنه لا يؤكد أن تطبيقك يستوفي كليهما. لكل صف مرتبط، اطرح:
- هل نطبّق فعلاً ما ربطناه به؟ لا يفيد الربط بـ ISO A.8.8 إلا إذا كانت إدارة الثغرات لديك تعمل فعلاً.
- هل المتطلب الجديد أكثر تحديداً؟ غالباً ما تختلف المواعيد النهائية والتكرارات والتقنيات المسمّاة والنطاق.
- هل الربط تحريري؟ تحقّق من السبب المعروض وقرّر ما إذا كنت توافق عليه.
ضع علامة على كل صف: مستوفى أو مستوفى جزئياً أو غير مستوفى. وكن صريحاً، فتحليل الفجوات المتساهل يؤجل اكتشاف المشكلات إلى وقت التدقيق فقط.
الخطوة 4: تصديره كجدول متابعة
اضغط e في عرض الفجوات (أو زر تصدير CSV) لتنزيل النتيجة. يأتي كل صف مع المتطلب وقسمه والمطابقة والأساس والسبب، إضافةً إلى أربعة أعمدة فارغة جاهزة للعمل: المالك وحالة التنفيذ ومرجع الدليل وملاحظات. افتحه في جدول البيانات لديك، أو استورده إلى أداة GRC.
الخطوة 5: تحويل الصفوف إلى أعمال
- التجميع حسب المالك والموضوع لا حسب رقم المتطلب: فـ«عقود الموردين» مهمة واحدة قد تغلق ستة صفوف.
- قدّر كل مجموعة ورتّبها تسلسلياً: عادةً ما تفتح تغييرات الحوكمة والسياسات الباب أمام العمل التقني.
- املأ عمود الدليل أثناء العمل، ليصبح جدول المتابعة ملف التدقيق لديك.
- أعد تشغيل التحليل عند تغيّر أي من الإطارين؛ يتحدّث تحليلنا عندما تتحدّث البيانات.
أبرز النقاط
- حدّد النطاق والاتجاه أولاً: ما تملكه A، وما تحتاجه B، مع الإصدارات.
- ابدأ من جدول مطابقة، ثم تحقّق من كل مطابقة مقابل ما تفعله فعلياً.
- صدّر النتيجة كجدول متابعة بأعمدة للمالك والحالة والدليل، وحوّل الصفوف إلى أعمال مجمّعة.
الأخطاء الشائعة
- المقارنة مع إصدار مُلغى (CSF 1.1 أو ISO 27001:2013 أو PCI DSS v3.2.1).
- اعتبار «ذو صلة فضفاضة» تغطيةً.
- تجاهل المتطلبات الواقعة خارج المطابقة تماماً: فالالتزامات القانونية، مثل مواعيد الإبلاغ عن الحوادث، غالباً ما تقع خارج أي كتالوج ضوابط.
للاطلاع على أمثلة مفصّلة، راجع ISO 27001 مقابل NIS2 بنداً بنداً والمقارنات، وكل منها تحليل فجوات ثنائي الاتجاه جاهز.
الأسئلة
ما هو تحليل فجوات الامتثال؟
مقارنة متطلب بمتطلب بين ما تقوم به بالفعل (أو الإطار الذي تستوفيه أصلاً) ومتطلبات إطار تحتاجه، لتحديد ما هو مغطى وما هو مغطى جزئياً وما هو مفقود.
كم يستغرق تحليل الفجوات؟
يمكن إنتاج المطابقة في دقائق باستخدام أداة مثل تحليل الفجوات في ControlMapping. أما التحقق منها مقابل ضوابطك وأدلتك الفعلية فهو العمل الحقيقي، ويستغرق عادةً من أيام إلى بضعة أسابيع حسب النطاق.
ماذا يعني «ذو صلة فضفاضة» في تحليل الفجوات؟
يشترك المتطلبان فقط في نتيجة واحدة من NIST CSF 2.0، ولم يربط أحد بينهما. اعتبرهما نقطة متابعة يجب التحقق منها، وغالباً عملاً جديداً، لا تغطية قائمة.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.