أحكام الأمن في GDPR: الجانب الأمني من قانون الخصوصية
GDPR يتعلق في معظمه بالاستخدام المشروع للبيانات الشخصية، لكن عددًا محدودًا من مواده هي متطلبات أمنية في جوهرها وإن لم تُسمَّ كذلك. إليك كيفية توافقها مع الأطر التي تعتمدها فرق الأمن بالفعل.
GDPR قانون للخصوصية. معظمه يتناول ما إذا كان يجوز لك معالجة البيانات الشخصية أصلًا، وكيف تُبلغ الأفراد بذلك، وما الحقوق التي يتمتعون بها. لكن عددًا من المواد يفرض التزامات أمنية، وهي النقاط التي تلتقي عندها فرق الأمن مع اللائحة. تقتصر ControlMapping على ربط تلك المواد فقط: السلامة والسرية (المادة 5(1)(و))، والمساءلة (24)، وحماية البيانات حسب التصميم (25)، والمعالجون (28)، وسجلات أنشطة المعالجة (30)، وأمن المعالجة (32)، وإخطار الخرق (33 و34)، وتقييمات الأثر (35)، ومسؤولو حماية البيانات (37 إلى 39).
كيف يغطيها ISO 27001
من أصل 13 مقالات متعلقة بالأمن السيبراني في GDPR، يُطابق 12 (92%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا. افتح تقرير الفجوات →
تقريبًا كل مادة أمنية في GDPR تُربط بـ ISO 27001. يوفر نظام إدارة أمن المعلومات (ISMS) تدابير أمنية قائمة على المخاطر (المادة 32)، وإدارة حوادث يمكن أن تغذي إخطار الخرق (المادتان 33 و34)، وضوابط الموردين للمعالجين (المادة 28)، والمسؤوليات الموثقة. المادة الوحيدة التي لا تقابلها أي مادة في ISO هي المادة 38 المتعلقة بمكانة مسؤول حماية البيانات، لأنها تتناول الاستقلالية وخطوط الإبلاغ، وهي أمور لا يعالجها ISO 27001.
مادة بمادة
| GDPR | المتطلب | تطابق | ISO 27001 |
|---|---|---|---|
| Art.5(1)(e) | Principles relating to processing of personal data | تحريري | A.5.14A.8.10A.8.11A.5.31 |
| Art.24(1) | Responsibility of the controller | تحريري | Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2 |
| Art.25(1) | Data protection by design and by default | تحريري | A.8.25A.8.26A.8.28A.8.29 |
| Art.28(1) | Processor | تحريري | A.5.19A.5.20A.5.21A.5.22 |
| Art.29 | Processing under the authority of the controller or processor | تحريري | A.6.1A.6.4A.8.16 |
| Art.30(1) | Records of processing activities | تحريري | A.5.9A.5.11A.7.14 |
| Art.32(1)(a) | Security of processing | تحريري | A.8.24A.5.16A.5.18A.5.29 |
| Art.33(1) | Notification of a personal data breach to the supervisory authority | تحريري | A.5.5A.5.24A.5.25A.5.26 |
| Art.34(1) | Communication of a personal data breach to the data subject | تحريري | A.5.5A.5.26A.6.8Clause 7.4 |
| Art.35(1) | Data protection impact assessment | تحريري | Clause 6.1.2Clause 6.1.3 |
| Art.37(1) | Designation of the data protection officer | تحريري | A.5.2A.5.4 |
| Art.38 | Position of the data protection officer | لا يوجد ربط في بياناتنا | — |
| Art.39(1) | Tasks of the data protection officer | تحريري | A.5.2A.5.4A.6.3Clause 7.3 |
ما الذي يضيفه GDPR ولا يغطيه ISO 27001
على الرغم من وجود المواد الأمنية فيه، فإن GDPR أكثر تحديدًا في بعض النقاط:
- مهل إخطار الخرق. أخطر سلطة الإشراف خلال 72 ساعة من العلم بخرق البيانات الشخصية (المادة 33)، وأخطر الأفراد المتأثرين دون تأخير لا مبرر له عندما تكون المخاطر عليهم مرتفعة (المادة 34). يطلب ISO إدارة الحوادث، لا إخطارًا تنظيميًا ضمن مهلة زمنية محددة.
- الاسم المستعار والتشفير مذكوران في المادة 32 بوصفهما تدابير ينبغي النظر فيها.
- حماية البيانات حسب التصميم وبشكل افتراضي (المادة 25) تمتد إلى طريقة بناء الأنظمة وضبطها، لا إلى تأمينها فقط.
- تقييمات الأثر (المادة 35) للمعالجة عالية المخاطر هي تقييم للخصوصية، وأوسع من تقييم المخاطر الأمنية في ISO.
الاتجاه المعاكس
من أصل 123 ضوابط الملحق A وبنود نظام إدارة أمن المعلومات في ISO 27001، يُطابق 47 (38%) شيئًا في GDPR، وترتبط 47 بشكل فضفاض فقط، ولا يوجد ربط لـ 29 في بياناتنا. افتح تقرير الفجوات →
عند الانتقال من GDPR إلى ISO 27001، يقع معظم ملحق A ضمن الربط أو يكون ذا صلة فضفاضة، لكن بنود نظام الإدارة، والأمن المادي، وعدد من الضوابط التقنية لا يقابلها شيء في GDPR. فاللائحة لا تشترط نظام إدارة ولا تفرض ضوابط تقنية محددة؛ بل تشترط تدابير مناسبة للمخاطر وتترك لك حرية الاختيار.
كيفية الاستفادة من التداخل
- اعتبر المادة 32 متطلبًا من متطلبات نظام إدارة أمن المعلومات (ISMS) الخاص بك: أدرجها ضمن المتطلبات القانونية والتعاقدية (ISO A.5.31) واستند إليها في تقييم المخاطر.
- وسّع عملية الحوادث لتشمل خروقات البيانات الشخصية: قرار بشأن الإخطار، ومهلة الـ 72 ساعة، وسجلات كل خرق، سواء أُخطر به أم لا (المادة 33(5)).
- استخدم ضوابط الموردين للمعالجين، مع شروط المادة 28 في العقود.
- تجاوز الأمن إلى الخصوصية: يوسّع ISO/IEC 27701 نظام إدارة أمن المعلومات ليشمل إدارة الخصوصية.
كل روابط GDPR على هذا الموقع هي تقدير تحريري من ControlMapping، لأنه لا يوجد جدول مطابقة رسمي. تسرد مقارنة ISO 27001 مقابل GDPR وصفحة إطار GDPR كل ربط مع سببه، ويصدّر تحليل الفجوات هذه الروابط.
الأسئلة
ماذا تتطلب المادة 32 من GDPR؟
أمن المعالجة: تدابير تقنية وتنظيمية مناسبة لمستوى أمان يتناسب مع المخاطر، وتشمل عند الاقتضاء الاسم المستعار والتشفير، والسرية والسلامة والتوافر والمرونة المستمرة للأنظمة والخدمات، والاستعادة في الوقت المناسب بعد الحادث، والاختبار والتقييم المنتظمين للتدابير.
هل يجعلك ISO 27001 متوافقًا مع GDPR؟
لا. فهو يدعم الالتزامات الأمنية، ولا سيما المادة 32، لكن GDPR يشترط أيضًا أساسًا قانونيًا، والشفافية، وحقوق أصحاب البيانات، وأمورًا كثيرة أخرى لا يغطيها ISO 27001.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.