المشكلة في جداول المطابقة لدى الموردين التي لا يمكنك التحقق منها

جعلت منصات أتمتة الامتثال إدارة البرامج متعددة الأطر أيسر بكثير. وتقدم معظمها وعدًا مركزيًا: طبّق ضبطًا واحدًا مرة واحدة ليفي بمتطلبات SOC 2 وISO 27001 وNIST وHIPAA وغيرها، لأن جدول المطابقة الخاص بالمنصة يقول ذلك. واسأل المنصة من أين جاء ربط محدد، وبأي إصدار من الإطار يرتبط، ولماذا يُعد المتطلبان متكافئين، فغالبًا ما ستكون الإجابة صمتًا.

وهذه مشكلة، وليست مسألة شكلية.

الروابط غير القابلة للتحقق تنقل المخاطر إليك

عندما تخبرك المنصة أن ضبط التحكم في الوصول لديك يستوفي متطلبًا في إطار خضعت له حديثًا، ثم يتبين أنها مخطئة، فإن ملاحظة التدقيق تقع عليك لا على المورد. لقد اعتمدت على ربط لم تكن قادرًا على فحصه. فالمدققون لا يقبلون عبارة «أداة الربط هي من حدّدته» كمسوغ، بل يقرؤون المتطلب ويختبرون ما إذا كان ضبطك يستوفيه.

الروابط تتقادم دون أن يُلاحظ ذلك

تتغير الأطر باستمرار. فقد سحب CSF 2.0 79 فئة فرعية من CSF 1.1 (أين انتقلت)، وأعاد ISO 27001:2022 ترقيم الملحق A، وأضاف PCI DSS v4.0 عشرات المتطلبات. ويتقادم جدول المطابقة الذي لا يحمل رقم إصدار ولا يُتحقق منه مقارنةً بالكتالوجات الحالية. أما جدول المطابقة غير الموسوم فيتقادم دون أن يُرى.

كلمة «مرتبط» تُخفي نوع الربط

قد يعني الخط الواصل بين متطلبين أنهما متكافئان، أو أن أحدهما مجموعة فرعية من الآخر، أو أنهما يتشاركان موضوعًا فحسب. وقد وجد تحليلنا لـمدى اعتماد الربط على أدلة منشورة أن نسبة كبيرة من الروابط في أي مكان هي أحكام تقديرية، لا جداول مطابقة منشورة:

الإطار	المطابقات	جدول المطابقة	تحريري	نسبة التطابق
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
الكل	829	475	354	57%

الأحكام التقديرية ليست سيئة، بل السيئ هو غير الموسوم منها.

ما الذي يجب أن تطلبه من أي جدول مطابقة

1. المصدر لكل رابط: جدول مطابقة رسمي (NIST أو ENISA أو مالك الإطار) أو الحكم التقديري للمورد.
2. سبب لكل حكم تقديري، يكون ظاهرًا لك.
3. إصدارات الإطارين كليهما، وتاريخ آخر تحقق منه.
4. معنى «مرتبط»: متكافئ أو جزئي أو ذو صلة.
5. التصدير: القدرة على استخراج الربط وفحصه بنفسك.

وإذا لم يستطع المورد تقديم هذه العناصر، فاعتبر روابطه إرشادات لا إجابات نهائية.

كيف تختبر جدول مطابقة قُدِّم إليك

لا تحتاج إلى تدقيق جدول المطابقة بأكمله لتقييمه. اختر عينة منه:

1. اختر عشرة روابط عشوائيًا من الإطار الذي تعرفه أفضل من غيره.
2. اقرأ نصي المتطلبين لكل رابط.
3. صنّف كل رابط: متكافئ، أو متداخل جزئيًا، أو ذو صلة فقط، أو خاطئ.
4. تحقق من حالتين حساستين للإصدار، مثلًا معرّف CSF 1.1 أو رقم ضبط في ISO 27001:2013.

إذا صمدت معظم الروابط وكانت الإصدارات حديثة، فمن المرجح أن يكون جدول المطابقة صالحًا للاستئناس به كدليل إرشادي. أما إذا كانت عدة روابط خاطئة أو متقادمة، فعامل الجدول كله على أنه غير موثّق. وبياناتنا خاضعة للاختبار نفسه: فكل صفحة متطلب، مثل ISO 27001 A.8.8، تعرض أساس كل رابط وسببه.

أهم النقاط

• الروابط غير القابلة للتحقق تنقل مخاطر التدقيق إليك.
• اطلب المصدر والإصدار والمعنى والمنطق لكل رابط.
• اختبر عينة من أي جدول مطابقة قبل الاعتماد عليه.

لماذا ننشر جداولنا

وُجدت ControlMapping جزئيًا بسبب هذه المشكلة. فكل رابط موسوم بأنه جدول مطابقة أو تحريري، ولكل رابط تحريري سببه، ويُتحقق من كل معرّف مقابل الكتالوج الرسمي في كل بناء، ويمكن تنزيل مجموعة البيانات كاملةً بموجب ترخيص مفتوح. وهذه ليست الطريقة الوحيدة لفعل ذلك، لكنها المعيار الذي نرى أن على القطاع أن يلتزم به. انظر المنهجية والتنزيلات.

الأسئلة

هل جداول المطابقة في منصات الامتثال دقيقة؟

بعضها يُصان بعناية، وبعضها لا. ومن دون مصادر وإصدارات وأسباب ظاهرة لكل ربط، لا يمكنك التمييز بينهما، والمدققون لن يقبلوا عبارة «الأداة تقول ذلك» كمسوغ.

ما الذي ينبغي أن يُظهره جدول المطابقة الجدير بالثقة؟

لكل رابط: المصدر (جدول مطابقة رسمي أو الحكم التقديري للمورد)، وإصدارات الإطارين، ومعنى الرابط (متكافئ أو ذو صلة فقط)، وسبب الربط عندما يكون حكمًا تقديريًا.

ما هو NIST OLIR؟

برنامج NIST للمراجع المعلوماتية عبر الإنترنت: كتالوج لجداول المطابقة بين أطر NIST ومعايير أخرى. تُفحص الإرسالات الواردة من أطراف ثالثة من حيث الصيغة، لا من حيث الصحة.