ما مقدار ما تغطيه ISO 27001 فعلياً من PCI DSS v4.0.1؟
تغطي ISO 27001 وPCI DSS كثيراً من المواضيع نفسها، إلا أن نظام ISMS يترك معظم متطلبات PCI دون استيفاء. والسبب ليس غياب المواضيع بل غياب التفاصيل.
تقبل المؤسسات مدفوعات البطاقات ولديها بالفعل نظام إدارة أمن معلومات ISO 27001 (ISMS)، وغالباً ما تتوقع أن يكون PCI DSS امتداداً صغيراً. لكن الأرقام تقول غير ذلك. فيما يلي توضيح لكيفية توافق ISO 27001 مع PCI DSS v4.0.1 بالكامل، متطلباً بمتطلب، ولماذا تكون الفجوة أكبر مما يوحي به تداخل المواضيع.
الرقم الرئيسي
من أصل 260 المتطلبات في PCI DSS، يُطابق 77 (30%) شيئًا في ISO 27001، وترتبط 76 بشكل فضفاض فقط، ولا يوجد ربط لـ 107 في بياناتنا. افتح تقرير الفجوات →
أقل من ثلث متطلبات PCI DSS يقابل أي شيء في ISO 27001، وعدد مماثل منها ذو صلة فضفاضة فقط. تقريباً كل موضوع من مواضيع PCI موجود في مكان ما ضمن الملحق A، لذا فهذه ليست فجوة في المواضيع، بل فجوة في التفاصيل.
أين يقع التداخل
| قسم PCI DSS | مُطابَق | لا يوجد ربط | |
|---|---|---|---|
| Requirement 1: Install and maintain network security controls | 4 من 19 | 3 | 12 |
| Requirement 2: Apply secure configurations to all system components | 2 من 11 | 3 | 6 |
| Requirement 3: Protect stored account data | 8 من 29 | 7 | 14 |
| Requirement 4: Protect cardholder data with strong cryptography during transmission | 2 من 6 | 2 | 2 |
| Requirement 5: Protect all systems and networks from malicious software | 4 من 13 | 5 | 4 |
| Requirement 6: Develop and maintain secure systems and software | 10 من 19 | 3 | 6 |
| Requirement 7: Restrict access to system components and cardholder data by business need to know | 3 من 12 | 3 | 6 |
| Requirement 8: Identify users and authenticate access to system components | 6 من 29 | 15 | 8 |
| Requirement 9: Restrict physical access to cardholder data | 8 من 27 | 9 | 10 |
| Requirement 10: Log and monitor all access to system components and cardholder data | 6 من 27 | 10 | 11 |
| Requirement 11: Test security of systems and networks regularly | 3 من 21 | 6 | 12 |
| Requirement 12: Support information security with organizational policies and programs | 21 من 37 | 10 | 6 |
| Appendix A: additional requirements | 0 من 10 | 0 | 10 |
لديك ISO 27001، وتحتاج PCI DSS. متطلبًا بمتطلب: افتح تقرير الفجوات →
يتجمع التداخل في أجزاء PCI DSS التي تُقرأ كأي معيار أمني: السياسات والأدوار في بداية كل متطلب، والمخاطر والحوكمة في المتطلب 12، ومبادئ التحكم في الوصول في المتطلب 7، والاستجابة للحوادث. ويغطي نظام الإدارة في ISO 27001 والملحق A هذه الأجزاء بصورة جيدة.
لماذا معظم PCI DSS عمل جديد
PCI DSS وصفي حيث ISO 27001 قائم على المخاطر. يقول الملحق A «إدارة الثغرات التقنية»؛ بينما يحدد PCI DSS كيف، وكم مرة، وبأي ماسح. الصفوف التي لا يوجد لها ربط تهيمن عليها متطلبات مثل هذه:
- معالجة بيانات حاملي البطاقات (المتطلب 3): ما لا يجوز تخزينه أبداً بعد التفويض، وإخفاء PAN عند العرض، وجعله غير قابل للقراءة أينما خُزّن، وإجراءات مفصلة لإدارة المفاتيح.
- تواترات محددة: فحوص الثغرات الداخلية كل ثلاثة أشهر وبعد التغييرات الجوهرية، والفحوص الخارجية من قبل مورد فحص معتمد (Approved Scanning Vendor)، ومراجعات السجلات، ومراجعات الوصول كل ستة أشهر.
- إعدادات تقنية محددة: المصادقة متعددة العوامل لكل وصول إلى بيئة بيانات حاملي البطاقات، وانتهاء مهلات الجلسات، وأطوال كلمات المرور وعتبات القفل.
- ضوابط خاصة بالدفع: إدارة النصوص البرمجية في صفحات الدفع وكشف العبث بها، وفحص أجهزة قراءة البطاقات بحثاً عن العبث.
- تحليلات مخاطر مستهدفة: قدّم الإصدار 4.0 تحليلات مخاطر تحدد تواتر بعض الأنشطة، والتي يجب بعدها توثيقها.
تتيح لك ISO 27001 اختيار كل ذلك من خلال معالجة المخاطر. أما PCI DSS فيقرر عنك.
ما الذي لا يزال يمنحك إياه نظام ISMS
الثلث المرتبط ليس بالأمر الهيّن. فنظام ISMS الذي يشمل بيئة بيانات حاملي البطاقات ضمن نطاقه يمنحك إطار السياسات، وتقييم المخاطر، والأدوار، وإدارة الموردين، والاستجابة للحوادث، والتدقيق الداخلي، وهي أمور يعتمد عليها امتثال PCI عاماً بعد عام. يشبه المتطلب 12 ملخصاً لبنود ISO من 4 إلى 10، وتجد المؤسسات التي لديها نظام ISMS عادةً أن جانب الحوكمة في PCI DSS سهل المنال.
كيف تخطط
- أدخل بيئة بيانات حاملي البطاقات في نطاق نظام ISMS، وأضف PCI DSS إلى متطلباتك القانونية والتعاقدية (A.5.31).
- شغّل تقرير فجوات ISO 27001 → PCI DSS وتعامل مع كل متطلب غير مربوط كضابط ينبغي تصميمه، لا كربط ينبغي العثور عليه.
- قلّل النطاق قبل بناء الضوابط: إذ يمكن للتجزئة والترميز الرمزي (tokenisation) وصفحات الدفع المستعانة بمصادر خارجية أن تخرج أجزاءً كبيرة من PCI DSS من النطاق.
- استخدم تواترات PCI في ضوابط نظام ISMS بحيث يلبّي ضابط واحد الاثنين: ترضى ISO بأي تواتر مبرر جيداً، لذا اختر تواترات PCI.
يسرد مقارنة ISO 27001 مقابل PCI DSS كل متطلب في الاتجاهين. نص PCI DSS حقوق نشر لدى PCI SSC، لذا فإن عناوين المتطلبات على هذا الموقع ملخصات قصيرة من إعدادنا.
الأسئلة
هل تستوفي شهادة ISO 27001 متطلبات PCI DSS؟
لا. تشترط شركات البطاقات التحقق من PCI DSS (تقرير الامتثال أو استبيان التقييم الذاتي) بغض النظر عن شهادة ISO. يساعد نظام ISMS في تشغيل البرنامج، لكن معظم متطلبات PCI أكثر تحديداً من الملحق A.
أي متطلبات PCI DSS تغطيها ISO 27001 بأفضل صورة؟
تتطابق الحوكمة والسياسات (المتطلب 12) ومبادئ التحكم في الوصول (7) والاستجابة للحوادث بصورة جيدة. وتتركز الفجوات في الإعدادات التقنية المحددة والتواترات ومعالجة بيانات الحسابات.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.