متطلبات الاستجابة للحوادث مقارنة عبر الأطر
الاستجابة للحوادث أحد المواضيع الخمسة التي تشترطها كل الأطر. الخطط متشابهة، أما مواعيد الإبلاغ فليست كذلك. إليك المقارنة.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
الاستجابة للحوادث جزء من الجوهر المشترك: كل إطار نربطه يشترطها. المتطلب الأساسي واحد في كل مكان: خطة موثقة، وأشخاص يعرفون أدوارهم، وطريقة للكشف عن الحوادث واحتوائها والتعافي منها والاستفادة من دروسها. الفروق تكمن في الاختبار، والأهم من ذلك في من يجب إبلاغه، وبأي سرعة.
من يشترط ماذا
| الإطار | الاستجابة للحوادث | رابط |
|---|---|---|
| NIST CSF 2.0 | RS.MA-01RS.MA-02RS.MA-03RS.MA-04ID.IM-04 | تعريف الموضوع |
| ISO 27001 | A.5.24A.5.25A.5.26 | جدول المطابقة |
| CIS v8.1 | CIS 17.1CIS 17.4CIS 17.5CIS 17.7CIS 17.9 | جدول المطابقة |
| SOC 2 | CC7.4CC7.3 | تحريري |
| PCI DSS | 12.10.112.10.312.10.212.10.4 | جدول المطابقة |
| CMMC | IR.L2-3.6.1IR.L2-3.6.3 | جدول المطابقة |
| 800-53 | IR-4IR-8IR-2IR-3 | جدول المطابقة |
| HIPAA | §164.308(a)(6)§164.308(a)(6)(ii) | جدول المطابقة |
| GDPR | Art.33(1)Art.33(5) | تحريري |
| NIS2 | 3.13.5 | جدول المطابقة |
| Essential Eight | ISM-1819 | تحريري |
التفاصيل الكاملة وسبب كل رابط: الاستجابة للحوادث عبر الأطر →
الخطة
تتوقع كل الأطر وجود قدرة موثقة للاستجابة للحوادث: ضوابط تخطيط إدارة الحوادث وتقييمها والاستجابة لها في ISO 27001 (A.5.24 إلى A.5.26)، وتقييم الحوادث والاستجابة لها في SOC 2 (CC7.3 وCC7.4)، وخطة الاستجابة للحوادث في PCI DSS (12.10.1)، ومعالجة الحوادث في CMMC (IR.L2-3.6.1)، وإجراءات الحوادث الأمنية في HIPAA (§164.308(a)(6))، وسياسة معالجة الحوادث والاستجابة لها في NIS2 (النقطتان 3.1 و3.5). المحتوى متسق: الأدوار، ومستويات الشدة، والتصعيد، والاحتواء، والاستئصال، والتعافي، والدروس المستفادة.
الاختبار
PCI DSS هو الإطار الوحيد الذي يحدد تكراراً ثابتاً: مراجعة الخطة واختبارها مرة واحدة على الأقل سنوياً (12.10.2)، وتدريب الأشخاص الذين ينفذونها (12.10.4). يشترط CMMC وSP 800-53 اختبار القدرة (IR.L2-3.6.3، IR-3) بتكرار تحدده أنت. يطلب CIS تمارين منتظمة (17.7). تتوقع ISO 27001 وSOC 2 دليلاً على أن الخطة تعمل دون تحديد جدول زمني، والإجابة المعتادة هي تمرين طاولة سنوي.
مواعيد الإبلاغ
هنا تختلف الأطر فعلياً:
| الإطار | من تُبلغ | الموعد |
|---|---|---|
| NIS2 | فريق CSIRT أو الجهة المختصة | إنذار مبكر خلال 24 ساعة؛ إشعار خلال 72 ساعة؛ تقرير نهائي خلال شهر |
| GDPR | السلطة الإشرافية (خروقات البيانات الشخصية) | خلال 72 ساعة من العلم بالخرق (المادة 33) |
| GDPR | الأشخاص المتأثرون، عندما تكون المخاطر عليهم مرتفعة | دون تأخير لا مسوغ له (المادة 34) |
| CMMC / DFARS | وزارة الدفاع الأمريكية | خلال 72 ساعة، وفق البند 252.204-7012 من DFARS |
| HIPAA | الأفراد المتأثرون (قاعدة إشعار الخرق) | دون تأخير غير معقول، وبحد أقصى 60 يوماً |
| PCI DSS | علامات الدفع والجهة المستحوذة | وفق إجراءات كل علامة دفع (12.10.1) |
| ISO 27001، SOC 2 | لا يوجد موعد تنظيمي | تحدده خطتك والعقود |
قد تُطلق حادثة واحدة عدة مهل زمنية في آن واحد. فهجوم برمجيات الفدية على مزود سحابي أوروبي يخزن بيانات شخصية ويعالج مدفوعات البطاقات قد يبدأ في الساعة نفسها مسارات NIS2 وGDPR وإجراءات علامات الدفع.
خلاصات رئيسية
- كل إطار يشترط خطة للاستجابة للحوادث، والمحتوى متسق.
- تختلف مواعيد الإبلاغ بشدة، من 24 ساعة في NIS2 إلى 60 يوماً في HIPAA.
- قد تُطلق حادثة واحدة عدة مهل، لذا ينبغي أن يتولى منسق واحد إدارتها جميعاً.
ما الذي ينبغي فعله
- اكتب خطة واحدة تستوفي أشد متطلبات المحتوى صرامة، واذكر كل التزام بالإشعار ينطبق عليك مع موعده والجهة المستلمة ومالكه.
- حدد من يقرر الأهمية. تبدأ مهلة NIS2 البالغة 24 ساعة من لحظة علمك بالحادثة الجسيمة، ولا يمكن أن ينتظر القرار يوم الاثنين.
- اختبرها مرة واحدة على الأقل سنوياً (قاعدة PCI معيار جيد)، بما يشمل سيناريو خارج ساعات الدوام.
- احتفظ بسجلات لكل حادثة وخرق، سواء أُبلغ عنها أم لم يُبلغ: يشترط GDPR ذلك (المادة 33(5))، وكل مدقق سيسأل عنها.
يسرد صفحة موضوع الاستجابة للحوادث كل متطلب مع مصدره، ويغطي موضوع الإبلاغ الإشعار. ويشرح دليل NIS2 لدينا إجراء الإبلاغ بتفصيل أكبر.
الأسئلة
ما مواعيد الإبلاغ عن الحوادث بموجب NIS2؟
إنذار مبكر خلال 24 ساعة من العلم بحادثة جسيمة، وإشعار بالحادثة خلال 72 ساعة، وتقرير نهائي خلال شهر.
كم مرة يجب اختبار خطة الاستجابة للحوادث؟
تشترط PCI DSS المراجعة والاختبار مرة واحدة على الأقل سنوياً (12.10.2). وتشترط CMMC وSP 800-53 اختبار قدرة الاستجابة للحوادث (IR.L2-3.6.3، IR-3). وتتوقع ISO 27001 وSOC 2 الاختبار، لكنهما تتركان التكرار لتقديرك.
هل تحدد ISO 27001 موعداً للإبلاغ عن الحوادث؟
لا. تشترط ISO 27001 إدارة الحوادث، بما في ذلك الإبلاغ الداخلي عن الأحداث والاستجابة لها، لكنها لا تحدد موعداً تنظيمياً للإشعار. وتأتي المواعيد من القانون (NIS2 وGDPR) ومن العقود ومن قواعد القطاع.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.