المجموعة الأساسية المشتركة: متطلبات أمنية تشترك فيها كل الأطر
عند مقارنة أحد عشر إطارًا أمنيًا ببعضها، تظهر مجموعة أساسية صغيرة في كل منها. إذا كنت تبدأ برنامجًا، أو توازن بين عدة أطر، فهذه المجموعة هي نقطة البداية.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
نادرًا ما تخضع المؤسسة لإطار أمني واحد. تبيع شركة برمجيات لعملاء في الولايات المتحدة يطلبون تقرير SOC 2، ولعملاء أوروبيين يطلبون ISO 27001؛ ويضيف مزود للمدفوعات PCI DSS؛ ويخضع مزود رقمي أوروبي الآن لـ NIS2. يأتي كل إطار ببنيته وترقيمه ومفرداته الخاصة، ومن السهل أن نستنتج أن كل إطار يتطلب برنامجًا منفصلًا.
لكن الأمر ليس كذلك. فتحت الترقيم المختلف توجد أرضية مشتركة واسعة، ويُشترك في جزء صغير منها بين جميع الأطر التي نربطها. بحثنا عن الموضوعات التي لها متطلب مربوط في الأطر الإحدى عشر: NIST CSF 2.0 وNIST SP 800-53 وISO 27001 وCIS Controls وSOC 2 وPCI DSS وCMMC Level 2 وقاعدة الأمن في HIPAA وGDPR وNIS2 وEssential Eight التابعة لـ ASD.
الموضوعات الخمسة الموجودة في كل إطار
5 من 50 موضوعًا لديها متطلب مربوط في جميع أطر 11. تعرض كل صفحة موضوع معرّفات متطلبات كل إطار والدليل على كل ربط.
هذه هي المجموعة الأساسية المشتركة: إدارة الأصول، وإدارة الثغرات، والنسخ الاحتياطي والاستعادة، والاستجابة للحوادث، والإبلاغ عن الحوادث. لكل إطار من الأطر الإحدى عشر متطلب واحد على الأقل في كل منها، حتى GDPR وهو قانون خصوصية، وEssential Eight وهي قائمة قصيرة من الإجراءات التقنية الوقائية.
وهذه القائمة قصيرة عن قصد. فموضوعات كثيرة أخرى، مثل التحكم في الوصول والتسجيل والتشفير، تغطيها عشرة أطر من أصل أحد عشر، ومعظم الأطر تشترك في أكثر من خمسة موضوعات. لكن هذه الخمسة هي الموضوعات التي لا يغفلها أي إطار.
لماذا هذه الخمسة
تتبع هذه الموضوعات دورة حياة الحادث. لا يمكنك حماية ما لا تعرف أنك تملكه (إدارة الأصول). ولا تزال معظم الهجمات تستغل نقاط ضعف معروفة (إدارة الثغرات). وعندما يحدث خلل ما تحتاج إلى استعادة الأنظمة والبيانات (النسخ الاحتياطي والاستعادة)، ومعالجة الحادث (الاستجابة للحوادث)، وإبلاغ من يجب أن يعلموا: الإدارة والعملاء والجهات التنظيمية (الإبلاغ عن الحوادث).
تختلف الأطر في كل شيء تقريبًا آخر: هل الحوكمة نظام إداري أم مجموعة من النتائج، ومدى تفصيل الضوابط التقنية، وعدد مرات تنفيذ الأمور. أما في هذه الموضوعات الخمسة فهي متفقة، لأن الباقي لا يعمل بدونها.
الموضوع نفسه بعمق مختلف
لا يعني الموضوع المشترك أن المتطلب متطابق. خذ إدارة الثغرات مثالًا:
| الإطار | إدارة الثغرات | رابط |
|---|---|---|
| NIST CSF 2.0 | ID.RA-01ID.RA-08 | تعريف الموضوع |
| ISO 27001 | A.8.8 | جدول المطابقة |
| CIS v8.1 | CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5 | جدول المطابقة |
| SOC 2 | CC7.1 | تحريري |
| PCI DSS | 6.3.111.3.111.3.2 | جدول المطابقة |
| CMMC | RA.L2-3.11.2RA.L2-3.11.3 | جدول المطابقة |
| 800-53 | RA-5CA-8 | جدول المطابقة |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | جدول المطابقة |
| GDPR | Art.32(1)(d) | تحريري |
| NIS2 | 6.56.10 | جدول المطابقة |
| Essential Eight | ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702 | تحريري |
التفاصيل الكاملة وسبب كل رابط: إدارة الثغرات عبر الأطر →
تطلب المادة A.8.8 في ISO 27001 الحصول على معلومات عن الثغرات التقنية، وتقييم مدى تعرضك لها، واتخاذ الإجراءات المناسبة، وتترك التوقيت لتقييم المخاطر لديك. أما PCI DSS فتتطلب فحصًا داخليًا كل ثلاثة أشهر وبعد التغييرات الجوهرية (11.3.1)، وفحصًا خارجيًا من مورد فحص معتمد (11.3.2)، وتصحيح الثغرات الحرجة والعالية الخطورة خلال شهر من إصدارها (6.3.3). وتحدد Essential Eight مواعيد للترقيع تصبح أكثر صرامة مع كل مستوى نضج. أما HIPAA فتصل إلى الموضوع عبر متطلبات تحليل المخاطر وإدارتها، لا عبر متطلب خاص بالثغرات.
إذن تحدد المجموعة الأساسية المشتركة ما يتوقعه كل إطار منك، لا مقدار ذلك. وعندما تبني ضابطًا، صممه وفق الإطار الأكثر صرامة الذي تخضع له، وستتبعه الأطر الأخرى عادة.
كيف يبدو ذلك عمليًا
- إدارة الأصول: سجل واحد للأجهزة والبرمجيات وخدمات السحابة ومخازن البيانات، مع تحديد المالكين، ويُحدَّث باستمرار بأدوات الاكتشاف لا بالجداول وحدها.
- إدارة الثغرات: فحص مجدول (داخلي وخارجي)، وتصنيف للخطورة، ومواعيد معالجة حسب الخطورة، وأدلة على الالتزام بهذه المواعيد.
- النسخ الاحتياطي والاستعادة: نسخ احتياطية للبيانات والبرمجيات والإعدادات، محمية من التعديل والحذف، مع اختبار للاستعادة وفق جدول زمني.
- الاستجابة للحوادث: خطة مكتوبة تحدد الأدوار ومستويات الخطورة وآلية التصعيد، وتُجرى لها تمارين مرة واحدة على الأقل سنويًا.
- الإبلاغ عن الحوادث: إجراء يحدد من يجب إبلاغه، وخلال أي مدة، ومن يقوم بالإبلاغ: الإدارة الداخلية، والعملاء بموجب العقود، والجهات التنظيمية (مثلًا الإنذار المبكر خلال 24 ساعة وفق NIS2، أو الإخطار خلال 72 ساعة إلى السلطة الإشرافية وفق GDPR).
لماذا تهم المجموعة الأساسية
إذا كنت تبدأ برنامجًا أمنيًا، فابنِ هذه الموضوعات الخمسة أولًا. فهي المتطلبات التي ستواجهها في كل إطار قد تعتمده لاحقًا، فلن يضيع هذا العمل سدى.
وإذا كنت تتعامل مع عدة أطر بالفعل، فاستخدم المجموعة الأساسية عمودًا فقريًا لمجموعة ضوابط مشتركة: ضابط واحد لكل موضوع من هذه المواضيع، مربوط بكل إطار تخضع له، مع جمع الأدلة مرة واحدة. ويمكن تطبيق الفكرة نفسها على الموضوعات المشتركة بين عشرة أو تسعة أو ثمانية أطر. ويعرض مصفوفة التغطية لدينا جميع الموضوعات الخمسين مقابل الأطر الإحدى عشر، ويوضح تحليل الفجوات متطلبًا بمتطلب ما الذي ينتقل بين أي إطارين.
كيف قسنا ذلك
يُعرَّف كل موضوع في ControlMapping بنتائج NIST CSF 2.0، ويسرد المتطلب في كل إطار الذي يعالجه. ويُوسم الربط بأنه جدول مطابقة عندما يدعمه جدول مطابقة منشور (من NIST أو ENISA أو CIS أو PCI SSC)، ويوسم بأنه تحريري عندما يكون حكمًا من فريقنا، مع توضيح السبب. وروابط SOC 2 وGDPR وEssential Eight تحريرية دائمًا، لأنه لا يوجد جدول مطابقة مرخص بشكل مفتوح لها. ويوجد المنهج الكامل في صفحة المنهجية، وتأتي كل الأرقام أعلاه من البيانات الحية، لذا تتحدث عند تغير الربط.
الأسئلة
ما الضوابط الأمنية التي تتطلبها كل الأطر؟
في بيانات ControlMapping، تملك خمسة موضوعات متطلبًا مربوطًا في جميع الأطر الإحدى عشر: إدارة الأصول، وإدارة الثغرات، والنسخ الاحتياطي والاستعادة، والاستجابة للحوادث، والإبلاغ عن الحوادث. ويختلف النص الدقيق والعمق من إطار إلى آخر.
هل يكفي استيفاء نسخة إطار واحد لتلبية الأطر الأخرى؟
ليس تلقائيًا. يعني الربط أن المتطلبات تعالج الموضوع نفسه، لكن أحدها قد يكون أكثر تحديدًا بكثير (فـ PCI DSS وEssential Eight تحددان مواعيد وتكرارات يتركها ISO 27001 لتقديرك). تحقق من نص كل إطار.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.