تقييم مخاطر واحد لـ ISO 27001 وSOC 2 وHIPAA
تبدأ ISO 27001 وSOC 2 وHIPAA جميعها من تقييم للمخاطر. تحتاج إلى تقييم واحد فقط، إذا صُمم ليجيب عن أسئلة المدققين الثلاثة.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
يُعد تقييم المخاطر نقطة البداية لثلاثة من أكثر الأطر شيوعًا. تبني ISO 27001 كل شيء عليه (البند 6.1.2). ويخصص SOC 2 قسمًا من معاييره المشتركة له (CC3.1 إلى CC3.4). وتجعل قاعدة الأمن في HIPAA تحليل المخاطر أول مواصفة تنفيذ مطلوبة لها (§164.308(a)(1)(ii)(A))، وهو أول مستند يطلبه محققو HHS. تُشغّل مؤسسات كثيرة ثلاثة تقييمات. وتكفي واحدة.
ما الذي يتحقق منه كل إطار
- ISO 27001 تطلب منهجية محددة وقابلة للتكرار مع معايير للقبول؛ ومخاطر محددة للسرية والسلامة والتوافر؛ ومالكين للمخاطر؛ وتحليلًا للاحتمالية والعواقب؛ وربطًا بمعالجة المخاطر وبيان قابلية التطبيق.
- SOC 2 تطلب تحديد الأهداف بوضوح كافٍ لتحديد المخاطر (CC3.1)، وتحديد المخاطر وتحليلها عبر الكيان بأكمله (CC3.2)، والنظر في مخاطر الاحتيال (CC3.3)، وتقييم التغييرات (CC3.4).
- HIPAA تطلب تقييمًا دقيقًا وشاملًا للمخاطر والثغرات التي تهدد ePHI أينما أُنشئت أو استُلمت أو حُفظت أو نُقلت، مع إبقائه محدَّثًا ومتابعته بإدارة للمخاطر (§164.308(a)(1)(ii)(B)).
في بياناتنا ترتبط هذه المتطلبات ارتباطًا مباشرًا:
| الإطار | تقييم المخاطر | رابط |
|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | تعريف الموضوع |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | جدول المطابقة |
| CIS v8.1 | — | لا يوجد ربط في بياناتنا |
| SOC 2 | CC3.2CC3.4CC3.3 | تحريري |
| PCI DSS | 12.3.1 | جدول المطابقة |
| CMMC | RA.L2-3.11.1 | جدول المطابقة |
| 800-53 | RA-3RA-7 | جدول المطابقة |
| HIPAA | §164.308(a)(1)(ii)(A) | جدول المطابقة |
| GDPR | Art.35(1)Art.35(7) | تحريري |
| NIS2 | 2.1 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: تقييم المخاطر عبر الأطر →
تصميم تقييم واحد يغطي الثلاثة
- حدِّد نطاقًا يشمل كل شيء: نطاق نظام إدارة أمن المعلومات (ISMS)، ونظام SOC 2، وكل موقع لـ ePHI. سجِّل الأصول التي تندرج تحت كل إطار.
- استخدم منهجية واحدة: قائمة على الأصول أو السيناريوهات، مع مقياس للاحتمالية والأثر، ومعايير للقبول، ومالكين. متطلبات ISO للمنهجية الموثقة والقابلة للتكرار هي الأشد، فاستوفها.
- أضف المحفزات الخاصة بكل إطار: مخاطر الاحتيال (SOC 2 CC3.3)، والتهديدات والثغرات الخاصة بـ ePHI (HIPAA)، والمخاطر القانونية والتعاقدية.
- اربط كل خطر بمعالجته: الضوابط المختارة، والمخاطر المتبقية، وقبول المالك. هذا الجدول الواحد يغذي بيان قابلية التطبيق في ISO، وأنشطة الضوابط في SOC 2، وإدارة المخاطر في HIPAA.
مخرجات تفي بمتطلبات المدققين الثلاثة
- المنهجية، معتمدة.
- سجل مخاطر يتضمن المالكين والدرجات وقرارات المعالجة.
- خطة معالجة للمخاطر بتواريخ محددة.
- قبول المالكين للمخاطر المتبقية.
- أدلة على المراجعة مرة سنويًا على الأقل وبعد أي تغيير جوهري.
نموذج بسيط لسجل المخاطر
صف واحد لكل خطر يصلح للأطر الثلاثة:
| الحقل | مثال |
|---|---|
| الخطر | برامج الفدية تشفّر قاعدة بيانات الإنتاج |
| الأصول | قاعدة بيانات الإنتاج، والنسخ الاحتياطية، ومخزن ePHI |
| الأطر | ISO 27001، وSOC 2، وHIPAA |
| الاحتمالية والأثر | محتملة، شديدة |
| الضوابط القائمة | MFA، وEDR، والنسخ الاحتياطية الليلية |
| المعالجة | عزل النسخ الاحتياطية؛ واختبار الاستعادة كل ربع سنة |
| المالك | رئيس البنية التحتية |
| المخاطر المتبقية والقبول | متوسطة، مقبولة من الرئيس التنفيذي للتقنية |
| تاريخ المراجعة | الربع القادم |
عمود الأطر هو الحيلة هنا: يتيح لسجل واحد أن يجيب المدققين الثلاثة دون ثلاث جداول منفصلة.
أهم النقاط
- يمكن لمنهجية واحدة وسجل واحد أن يستوفيا ISO 27001 وSOC 2 وHIPAA.
- أضف المحفزات الخاصة بكل إطار: مخاطر الاحتيال ومواقع ePHI.
- راجعه مرة سنويًا على الأقل وبعد أي تغيير جوهري.
الملاحظات الشائعة
- مخاطر عامة ("المتسللون"، "خرق البيانات") دون ربط بأصول أو ضوابط محددة.
- لا يوجد مالكون، أو أن فريق الأمن يملك كل المخاطر.
- إغفال مواقع ePHI: عمليات التصدير، والنسخ الاحتياطية، والبريد الإلكتروني، وأنظمة الاختبار.
- عدم تحديثه: يُقيَّم مرة واحدة للتدقيق الأول ولا يُعاد تقييمه أبدًا.
لمزيد من المعلومات حول علاقة هذه الأطر ببعضها، راجع مقارنة ISO 27001 بـ HIPAA وموضوع تقييم المخاطر. يعرض تحليل الفجوات كل عملية ربط بين أي إطارين.
الأسئلة
هل تحليل المخاطر في HIPAA هو نفسه تقييم المخاطر في ISO 27001؟
يتداخلان إلى حد كبير. تشترط HIPAA تقييمًا دقيقًا وشاملًا للمخاطر التي تهدد سرية ePHI وسلامته وتوافره؛ ويمكن لتقييم المخاطر في ISO 27001 يشمل ePHI ضمن النطاق ويسجل العناصر الخاصة بـ HIPAA أن يخدم الاثنين.
كم مرة يجب إجراء تقييم المخاطر؟
تشترط ISO 27001 إجراء تقييمات المخاطر على فترات مخططة وبعد أي تغيير جوهري. ويتوقع مدققو SOC 2 عادةً تقييمًا للمخاطر مرة سنويًا على الأقل. وتشترط HIPAA إبقاء تحليل المخاطر محدَّثًا.
هل ينبغي أن يكون تقييم المخاطر نوعيًا أم كميًا؟
يصلح أي منهما للأطر الثلاثة، شريطة أن تكون المنهجية محددة ومطبقة بصورة متسقة وتنتج نتائج قابلة للمقارنة. تبدأ معظم المؤسسات بالطريقة النوعية، ثم تضيف أرقامًا حيث تحتاج القرارات إليها.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.
التحليل · 2026-09-29قاعدة الأمن في HIPAA من منظور إطار NIST CSF 2.0يغطي برنامج NIST CSF 2.0 تقريبًا كل متطلب من متطلبات قاعدة الأمن في HIPAA. ما الذي ينتقل كما هو، والمتطلبان اللذان لا يتطابقان معهما، وما الذي يضيفه CSF فوق HIPAA.