مجموعة ضوابط واحدة لـ SOC 2 وISO 27001: نفّذ الاثنين دون تكرار العمل مرتين
معظم العمل الأمني وراء تقرير SOC 2 وشهادة ISO 27001 هو العمل نفسه. إليك كيفية بنائه مرة واحدة وتوثيقه للإطارين معاً.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
غالباً ما تنتهي الشركات التي تبيع البرمجيات دولياً إلى الحصول على الاثنين معاً: تقرير SOC 2 للعملاء في الولايات المتحدة، وشهادة ISO 27001 لبقية العملاء. فإذا أدرتهما كمشروعين منفصلين، ستكتب مجموعتين من السياسات، وتجمع الأدلة نفسها مرتين، وتخضع لعمليات تدقيق متداخلة. أما إذا أدرتهما من مجموعة ضوابط واحدة، فلن تكلّف الثاني سوى جزء يسير من تكلفة الأول.
إليك كيفية إعداد ذلك.
مقدار التداخل
| الاتجاه | مُطابَق | لا يوجد ربط | ||
|---|---|---|---|---|
| لديك ISO 27001 → تحتاج SOC 2 | 41 من 61 (67%) | 0 | 20 | تقرير → |
| لديك SOC 2 → تحتاج ISO 27001 | 98 من 123 (80%) | 21 | 4 | تقرير → |
عند الانتقال من SOC 2 إلى ISO 27001، يرتبط تقريباً كل ضوابط الملحق A وبنود نظام إدارة أمن المعلومات (ISMS) بمعيار واحد على الأقل من معايير SOC 2. أما القليل الذي لا يرتبط بشيء فهو آليات نظام الإدارة لدى ISO، أي تحديد نظام إدارة أمن المعلومات نفسه والتحكم في المعلومات الموثقة. وفي الاتجاه المعاكس، فإن معايير SOC 2 التي لا يقابلها نظير في ISO هي فئات الخصوصية وسلامة المعالجة الاختيارية، أما معايير الأمن فجميعها مرتبطة.
إذن يكمن التداخل في ضوابط الأمن. أما الاختلافات فهي في البنية: تشترط ISO وجود نظام إدارة يحيط بالضوابط، بينما تشترط SOC 2 إثباتاً بأن الضوابط عملت على مدى فترة زمنية.
الخطوة 1: تحديد المحور الأساسي
تحتاج مجموعة الضوابط المشتركة إلى بنية أساسية واحدة يُربط بها كل شيء. استخدم الملحق A من ISO 27001 محوراً أساسياً إذا كانت لديك الشهادة أو تنوي الحصول عليها، لأن بيان قابلية التطبيق يسرد كل ضابط مع مبرر لوجوده. واستخدم معايير SOC 2 إذا كان التقرير هو المخرج الرئيسي. أيهما تختار مقبول؛ المهم أن يكون لكل ضابط موطن واحد واضح.
الخطوة 2: اكتب كل ضابط مرة واحدة
بالنسبة لكل ضابط، احتفظ بسجل واحد يتضمن:
- بياناً واضحاً لما تفعله («يُمنح الوصول إلى بيئة الإنتاج عبر تذكرة يعتمدها مالك النظام ويراجعها كل ربع سنة»).
- مالكاً له وتواتراً محدداً.
- مراجع الأطر التي يستوفيها، على سبيل المثال ISO A.5.15 وA.5.18، وSOC 2 CC6.1–CC6.3.
- الأدلة التي ينتجها، ومكان حفظ تلك الأدلة.
تأتي المراجع من جدول ربط مثل جدولنا. وفيما يخص التحكم في الوصول، يبدو الأمر كما يلي:
| الإطار | التحكم في الوصول | رابط |
|---|---|---|
| NIST CSF 2.0 | PR.AA-01PR.AA-05 | تعريف الموضوع |
| ISO 27001 | A.5.15A.5.16A.5.18A.8.3 | جدول المطابقة |
| CIS v8.1 | CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5 | جدول المطابقة |
| SOC 2 | CC6.1CC6.2CC6.3 | تحريري |
| PCI DSS | 7.2.17.2.27.2.48.2.1 | جدول المطابقة |
| CMMC | AC.L2-3.1.1AC.L2-3.1.2 | جدول المطابقة |
| 800-53 | AC-2AC-3 | جدول المطابقة |
| HIPAA | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d) | جدول المطابقة |
| GDPR | Art.25(2)Art.32(1)(b) | تحريري |
| NIS2 | 11.111.211.5 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: التحكم في الوصول عبر الأطر →
الخطوة 3: اجمع الأدلة مرة واحدة وصنّفها مرتين
يأخذ مدققو SOC 2 من النوع الثاني عينات من الأدلة على امتداد فترة المراقبة: التذاكر والمراجعات والفحوص وسجلات التدريب. ويطلب مدققو المراقبة في ISO السجلات من الأنواع نفسها. اجمع كل دليل مرة واحدة في مكان واحد، وصنّفه بكل مرجع إطار يحمله الضابط المرتبط به.
الخطوة 4: نسّق الجداول الزمنية
- ابدأ فترة مراقبة SOC 2 بعد أن تكون ضوابطك قد عملت لبضعة أسابيع، لا في اليوم الذي تُطلق فيه.
- جدوِل عمليات تدقيق ISO الداخلية ومراجعات الإدارة بحيث تنتج سجلات داخل فترة SOC 2، فهي أدلة حوكمة جيدة لمعايير SOC 2 المشتركة أيضاً.
- اسأل ما إذا كان مدققوك يستطيعون تنسيق العمل الميداني. وحتى إن لم يستطيعوا، فإن تقريب موعد التدقيقين يعني جولة واحدة فقط من طلبات الأدلة.
الخطوة 5: سد الفجوات التي يتركها كل جانب
شغّل تقرير الفجوات من SOC 2 → ISO 27001 والعكس. توقع نوعين من العمل الجديد:
- بالنسبة لـ ISO: نظام الإدارة. النطاق والأهداف، وتقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، والتدقيق الداخلي، ومراجعة الإدارة، والإجراءات التصحيحية.
- بالنسبة لـ SOC 2: أي فئات اختيارية تدرجها، والعادة المتمثلة في الاحتفاظ بالأدلة باستمرار طوال فترة كاملة.
يسرد مقارنة ISO 27001 مقابل SOC 2 كل متطلب في الاتجاهين، ويغطي كلٌّ من دليل SOC 2 ودليل ISO 27001 عمليات التدقيق نفسها.
ملاحظة حول عمليات الربط
لا يوجد جدول مطابقة لـ SOC 2 مرخّص بترخيص مفتوح، ولذلك فإن كل رابط لـ SOC 2 على هذا الموقع يمثل الحكم التحريري لـ ControlMapping، مع إظهار المبرر. استخدم الربط لتصميم مجموعة الضوابط، ثم تحقّق من التفاصيل مع مدققيك قبل الاعتماد عليه.
الأسئلة
هل يستطيع مدقق واحد إجراء SOC 2 وISO 27001 معاً؟
لدى بعض الشركات ممارسة محاسبية معتمدة (CPA) وهيئة اعتماد للشهادات، وتنسّق بين عمليات التدقيق، لكنهما يبقيان ارتباطين منفصلين بمخرجين مختلفين: تقرير SOC 2 وشهادة ISO 27001.
أيهما يجب أن يأتي أولاً: SOC 2 أم ISO 27001؟
الإطار الذي يطلبه عملاؤك أولاً. وإذا بنيت مجموعة الضوابط المشتركة الموضحة هنا، فإن الثاني يضيف في الغالب بنود نظام الإدارة (لـ ISO) أو فترة الأدلة والمعايير الاختيارية (لـ SOC 2).
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.
التحليل · 2026-09-15مقارنة متطلبات التشفير: ما تحدده الأطر وما تتركه لتقديرككيف تعالج ISO 27001 وPCI DSS وCMMC وHIPAA وGDPR وNIS2 التشفير أثناء التخزين وأثناء النقل وإدارة المفاتيح، مع معرّفات المتطلبات.