الأمن المادي عبر الأطر: الموضوع الذي تنساه الشركات السحابية أولاً
تعمل معظم فرق الأمن الآن كل شيء في السحابة، ونادراً ما تفكر في الأقفال والكاميرات. ومع ذلك، ما زالت معظم الأطر تتطلبها، والمدققون ما زالوا يسألون عنها.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
أصبح الأمن المادي الموضوع المنسي في برامج الأمن الحديثة. تعمل أحمال العمل في مراكز بيانات تابعة لجهة أخرى، ويعمل الموظفون من المنزل، ومعظم المكاتب مجرد مكاتب وقهوة. ومع ذلك، ما زالت معظم الأطر تتطلب ضوابط مادية، وعندما دققنا ربط ضوابطنا بالأطر وجدنا أنه غير مربوط بالقدر الكافي، فمنحناه موضوعاً خاصاً به.
من يتطلب ماذا
| الإطار | الأمن المادي | رابط |
|---|---|---|
| NIST CSF 2.0 | PR.AA-06DE.CM-02PR.IR-02 | تعريف الموضوع |
| ISO 27001 | A.7.1A.7.2A.7.3A.7.4A.7.5A.7.8A.7.11A.7.6A.7.12 | جدول المطابقة |
| CIS v8.1 | — | لا يوجد ربط في بياناتنا |
| SOC 2 | CC6.4 | تحريري |
| PCI DSS | 9.2.19.2.39.3.19.2.1.19.3.1.19.3.2 | جدول المطابقة |
| CMMC | PE.L2-3.10.1PE.L2-3.10.2PE.L2-3.10.3PE.L2-3.10.4PE.L2-3.10.5PE.L2-3.10.6 | جدول المطابقة |
| 800-53 | PE-2PE-3PE-6PE-8PE-13PE-14 | جدول المطابقة |
| HIPAA | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)§164.310(b)§164.310(c) | جدول المطابقة |
| GDPR | — | لا يوجد ربط في بياناتنا |
| NIS2 | 13.113.213.3 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: الأمن المادي عبر الأطر →
الأطر الأكثر اهتماماً بالموضوع
PCI DSS هو الأكثر تفصيلاً: ضوابط الدخول للمرافق التي تحتوي على أنظمة بيانات حاملي البطاقات، ومراقبة المناطق الحساسة بالكاميرات أو أنظمة التحكم في الوصول، وتفويض الزوار وسجلاتهم، وتقييد منافذ الشبكة والأجهزة، والتخزين الآمن للوسائط وإتلافها، وفحص أجهزة قراءة البطاقات بحثاً عن العبث (المتطلب 9). CMMC Level 2 يضم مجموعة كاملة: تقييد الوصول المادي ومراقبته، ومرافقة الزوار، والاحتفاظ بسجلات الوصول، وإدارة أجهزة الوصول، وحماية CUI في مواقع العمل البديلة (PE.L2-3.10.1 إلى 3.10.6). ISO 27001 يتضمن أربعة عشر ضابطاً مادياً في الموضوع A.7، من المحيطات وضوابط الدخول إلى سياسة المكتب النظيف وصيانة المعدات والتخلص الآمن. أما HIPAA فيضم مجموعة كاملة من الضمانات المادية في §164.310.
الأطر التي لا تفعل ذلك
أسقطت CIS Controls الأمن المادي في الإصدار 8. ولا تتناول GDPR وEssential Eight هذا الموضوع. ويغطيه SOC 2 في معيار واحد (CC6.4)، وكثيراً ما يقبل المدققون لدى الشركات السحابية فقط تقرير مزود السحابة نفسه بشأنه.
ما الذي يسأل عنه المدققون الشركة التي تعتمد السحابة أولاً
توقع قائمة قصيرة من الأسئلة حتى لو لم تكن تملك أي خوادم:
- ما مزودو السحابة ومرافق الاستضافة المشتركة التي تستضيف أنظمتك، وأين تقرير التأكيد الخاص بهم؟
- كيف تتحكم في الوصول إلى مكاتبك، ومن يحمل المفاتيح أو البطاقات؟
- هل يُسجَّل دخول الزوار ويُرافَقون في الأماكن التي تكون فيها المعلومات الحساسة مرئية؟
- كيف تُحمى أجهزة الحاسوب المحمولة في حال فقدانها أو سرقتها (التشفير، والمسح عن بُعد، وإجراء للإبلاغ)؟
- كيف يُتلف القرص الصلب والحواسيب المحمولة والوثائق الورقية؟
غالباً ما تُنهي الإجابات الواضحة المدعومة بقدر من الأدلة (تصدير نظام البطاقات، وسجل الزوار، وتقرير إدارة الأجهزة المحمولة، وشهادات الإتلاف) الموضوع بسرعة.
أبرز النقاط
- ما زالت معظم الأطر تتطلب ضوابط مادية.
- تورث الشركات التي تعتمد السحابة أولاً ضمانات مراكز البيانات، وتؤمّن مكاتبها وأجهزتها المحمولة ووسائطها.
- المدفوعات بالبطاقة الحاضرة تعيد المتطلبات المادية لـ PCI إلى النطاق.
- PCI DSS هو الأكثر تفصيلاً، حتى سجلات الزوار وفحص أجهزة قراءة البطاقات بحثاً عن العبث.
تحقيق ذلك بدون مركز بيانات
بالنسبة لشركة لا تملك خوادم خاصة بها، يتلخص الأمن المادي في أربعة أمور:
- وراثة مركز البيانات. يغطي تقرير SOC 2 أو شهادة ISO الخاصة بمزود السحابة مرافقه. اقرأ النطاق، وسجّل في وثائقك الخاصة أنك تعتمد عليه.
- تأمين مكتبك بما يتناسب مع حجمه. وصول بالبطاقات، وتسجيل دخول الزوار، وتخزين مقفل لأي شيء حساس، وسياسة مكتب نظيف (ISO A.7.7).
- اعتبر الأجهزة المحمولة محيطك. التشفير الكامل للقرص، وأقفال الشاشة، والمسح عن بُعد، وإجراء للأجهزة المفقودة يغطي معظم ما كانت تفعله الضوابط المادية سابقاً.
- تعامل مع الوسائط والإتلاف. امسح الأقراص والأجهزة أو أتلفها قبل إعادة استخدامها أو التخلص منها (ISO A.7.14، PCI 9.4.7، HIPAA §164.310(d)).
إذا كنت تقبل المدفوعات بالبطاقات حضورياً، فاقرأ المتطلب 9 من PCI DSS بعناية: فأجهزة قراءة البطاقات عند نقطة البيع تعيد الضوابط المادية إلى النطاق مهما كانت شركتك سحابية الطابع.
تسرد صفحة موضوع الأمن المادي كل متطلب مع مصدره، ويوضح تحليل الفجوات ما يضيفه إطار جديد إلى الإطار الذي تملكه.
الأسئلة
هل تغطي CIS Controls الأمن المادي؟
لا. أزالت CIS Controls v8 الأمن المادي، ولهذا لا يوجد ربط لهذا الموضوع فيها.
كيف تستوفي الشركات التي تعتمد السحابة فقط متطلبات الأمن المادي؟
بالاعتماد على ضمانات مزود السحابة لمراكز البيانات (مثل تقرير SOC 2 أو شهادة ISO الخاصة به)، مع تغطية مكاتبها وأجهزتها ووسائطها وزوارها.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.