معايير SOC 2 التي لا يوجد لها مكافئ في ISO 27001، ولماذا وُجدت
شهادة ISO 27001 توصلك إلى معظم الطريق نحو تقرير SOC 2، لكن ليس كله. المعايير التي لا تنتقل جميعها تأتي من فئتين اختياريتين.
إذا كانت مؤسستك حاصلة بالفعل على ISO 27001 وطلب منك عميل تقرير SOC 2، فإن معظم العمل قد أُنجز. تتداخل ضوابط الأمن بدرجة كبيرة، ويمنح نظام إدارة أمن المعلومات (ISMS) مدققي SOC 2 أدلة الحوكمة التي يبحثون عنها. لكن هناك مجموعة من معايير SOC 2 لا يقابلها أي مكافئ في ISO 27001 على الإطلاق، وتستحق المعرفة بها قبل الاتفاق على النطاق مع المدقق.
الرقم الرئيسي
من أصل 61 المعايير في SOC 2، يُطابق 41 (67%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 20 في بياناتنا. افتح تقرير الفجوات →
لا يوجد أي معيار من معايير SOC 2 يُعد «ذا صلة فضفاضة» بـ ISO: كل معيار إما يُربط أو لا يُربط. هذا التقسيم الواضح دليل على ما يحدث.
المعايير التي لا يوجد لها ربط في ISO
| SOC 2 | المتطلب | تطابق | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | لا يوجد ربط في بياناتنا | — |
| P2.1 | Choice and consent | لا يوجد ربط في بياناتنا | — |
| P3.1 | Collection limited to privacy objectives | لا يوجد ربط في بياناتنا | — |
| P3.2 | Explicit consent where required | لا يوجد ربط في بياناتنا | — |
| P4.1 | Use limited to privacy objectives | لا يوجد ربط في بياناتنا | — |
| P5.1 | Data subject access | لا يوجد ربط في بياناتنا | — |
| P5.2 | Correction of personal information | لا يوجد ربط في بياناتنا | — |
| P6.1 | Disclosure to third parties with consent | لا يوجد ربط في بياناتنا | — |
| P6.2 | Record of authorized disclosures | لا يوجد ربط في بياناتنا | — |
| P6.3 | Record of unauthorized disclosures | لا يوجد ربط في بياناتنا | — |
| P6.4 | Privacy commitments from third parties | لا يوجد ربط في بياناتنا | — |
| P6.5 | Notification by third parties of unauthorized disclosures | لا يوجد ربط في بياناتنا | — |
| P6.7 | Accounting of disclosures to data subjects | لا يوجد ربط في بياناتنا | — |
| P7.1 | Quality of personal information | لا يوجد ربط في بياناتنا | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | لا يوجد ربط في بياناتنا | — |
| PI1.1 | Information about processing objectives | لا يوجد ربط في بياناتنا | — |
| PI1.2 | Controls over system inputs | لا يوجد ربط في بياناتنا | — |
| PI1.3 | Controls over system processing | لا يوجد ربط في بياناتنا | — |
| PI1.4 | Controls over system outputs | لا يوجد ربط في بياناتنا | — |
| PI1.5 | Storing inputs, items in processing and outputs | لا يوجد ربط في بياناتنا | — |
كل معيار في القائمة يأتي من اثنتين من فئات SOC 2 الخمس: سلامة المعالجة (PI1) والخصوصية (P1 إلى P8). وكلتاهما اختياريتان. أما فئة الأمن، أي المعايير المشتركة CC1 إلى CC9 التي يتضمنها كل تقرير SOC 2، فتُربط بالكامل، وكذلك التوافر والسرية.
لماذا لا يوجد مكافئ في ISO لسلامة المعالجة
تسأل سلامة المعالجة عما إذا كان النظام يعالج البيانات بشكل كامل ودقيق وفي الوقت المحدد وفق ما هو مصرّح به: أي أن المدخلات تُتحقق منها، وأخطاء المعالجة تُرصد، والمخرجات تصل إلى الجهة الصحيحة، وتبقى البيانات المخزنة متسقة. فهي تتعلق بصحة الخدمة نفسها، لا بالأمن المحيط بها.
ISO 27001 معيار لأمن المعلومات. يحمي سرية المعلومات وسلامتها وتوافرها، لكن «السلامة» هنا تعني الحماية من التغيير غير المصرح به، لا التحقق من أن عملية رواتب احتسبت كل راتب بصورة صحيحة. ولا يوجد أي ضابط في الملحق A يطلب منك التحقق من معالجة الأعمال. لذلك إذا كان العميل يعتمد على نظامك للحصول على الأرقام الصحيحة (المدفوعات والفوترة والرواتب والمطالبات ومسارات البيانات)، فإن سلامة المعالجة عمل جديد حتى مع وجود نظام ISMS ناضج: التحقق من المدخلات، والمطابقة، ومعالجة الأخطاء، وضوابط المخرجات، مع توفير الأدلة عليها.
لماذا لا يوجد مكافئ في ISO لمعظم معايير الخصوصية
تتبع معايير الخصوصية في SOC 2 دورة حياة المعلومات الشخصية: الإشعار (P1)، والاختيار والموافقة (P2)، والجمع (P3)، والاستخدام والاحتفاظ والإتلاف (P4)، والوصول والتصحيح (P5)، والإفصاح (P6)، والجودة (P7)، والمراقبة والشكاوى (P8). وهي متطلبات لبرامج الخصوصية أقرب إلى GDPR منها إلى الأمن.
تلامس ISO 27001 بعضها: يتطلب A.5.34 تحديد الالتزامات المتعلقة بحماية البيانات الشخصية والوفاء بها، ويغطي A.5.33 حماية السجلات، وA.8.10 حذف المعلومات. ولهذا تُربط في بياناتنا معايير الاحتفاظ (P4.2) والإتلاف (P4.3) وإشعار الاختراق (P6.6)، عبر روابط تحريرية مع ذكر الأسباب. أما الباقي، مثل إشعارات الخصوصية والموافقة وطلبات الوصول من أصحاب البيانات وسجلات الإفصاح، فلا يقابلها أي ضابط في الملحق A.
إذا احتجت إليها، فإن ISO/IEC 27701 يوسّع نظام ISMS ليصبح نظام إدارة معلومات الخصوصية، وهو المعيار الشريك الطبيعي. وفيما يخص GDPR، راجع مقارنة ISO 27001 مع المواد الأمنية في GDPR.
ما الذي يجب فعله
- اتفق على النطاق أولًا. أدرج سلامة المعالجة أو الخصوصية فقط إذا احتاجها العملاء. كثير من تقارير SOC 2 تغطي الأمن وحده، أو الأمن مع التوافر والسرية.
- إذا أدرجتها، فعاملها كضوابط جديدة، لا كتمرين ربط بـ ISO: صممها وشغّلها واحتفظ بالأدلة طوال فترة الرصد.
- أعد استخدام ISMS لكل ما عداه. يسرد تقرير فجوات ISO 27001 → SOC 2 كل معيار مع ما يقابله في ISO، ويغطي منشورنا عن تشغيل مجموعة ضوابط واحدة للمعيارين الجوانب العملية.
الاتجاه الآخر مختلف: عند الانتقال من SOC 2 إلى ISO 27001، يتمثل العمل الجديد في نظام الإدارة نفسه. تغطي مقارنة ISO 27001 مع SOC 2 الاتجاهين.
ملاحظة حول البيانات
لا يوجد جدول مطابقة لـ SOC 2 مرخّص بشكل مفتوح، لذلك فإن كل رابط لـ SOC 2 هنا هو اجتهاد تحريري من ControlMapping، مع عرض السبب في كل صفحة متطلب. أما الأرقام أعلاه فتُحسب مباشرة من البيانات الحالية.
الأسئلة
هل تغطي ISO 27001 معايير الخصوصية في SOC 2؟
في الغالب لا. تحمي ISO 27001 البيانات الشخصية كمعلومات (A.5.34) لكنها لا تشترط إشعارات الخصوصية أو الموافقة أو الوصول من أصحاب البيانات أو سجلات الإفصاح. ويوسّع ISO/IEC 27701 نظام ISMS ليشمل إدارة الخصوصية، وهو الأقرب في المطابقة.
هل يجب أن أدرج سلامة المعالجة في تقرير SOC 2؟
لا. المطلوب فقط فئة الأمن (المعايير المشتركة). أضف سلامة المعالجة عندما يعتمد العملاء على نظامك لمعالجة بياناتهم بشكل كامل ودقيق، مثل المدفوعات أو الرواتب.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.