العناية الواجبة بالموردين: عملية واحدة لأطر متعددة
يطلب كل إطار تقييم الموردين. إذا أجريت عملية منفصلة لكل إطار، فسيتلقى الموردون ثلاثة استبيانات، وستحتفظ أنت بثلاثة أنظمة للملفات. عملية واحدة مصنفة حسب المستوى تغطيها جميعًا.
توصي كل الأطر الرئيسية بإدارة مخاطر الموردين، كما توضح المقارنة بين متطلبات الموردين وسلسلة الإمداد. تتداخل المتطلبات إلى حد يجعل عملية واحدة مصممة مرة واحدة قادرة على تلبيتها جميعًا. فيما يلي هيكل يحقق ذلك.
الخطوة 1: قائمة جرد واحدة
احصر كل مورد له صلاحية وصول إلى أنظمتك أو بياناتك أو منشآتك، ولكل مورد سجّل: ما الذي يقدمه، وما البيانات التي يتعامل معها، وأي الأطر تنطبق بسبب ذلك (بيانات حاملي البطاقات لـ PCI DSS، والمعلومات الصحية المحمية الإلكترونية ePHI لـ HIPAA، والبيانات الشخصية لـ GDPR، والخدمات التي تدعم خدمة خاضعة لـ NIS2). يبدأ PCI DSS (12.8.1) وISO 27001 (A.5.19) وCIS Controls (15.1) من هذه الخطوة جميعًا.
الخطوة 2: صنّفهم حسب المستوى
- المستوى 1: وصول إلى بيانات حساسة أو أنظمة الإنتاج، أو مورد حيوي لخدمتك.
- المستوى 2: وصول محدود أو أهمية متوسطة.
- المستوى 3: لا وصول إلى بيانات حساسة، وأثر منخفض في حال تعطله.
التصنيف حسب المستوى هو ما يُبقي العملية متناسبة مع المخاطر. وتسميه CIS تصنيف مقدّمي الخدمات (15.3).
الخطوة 3: قيّم حسب المستوى
- المستوى 1: تقرير ضمان مستقل يغطي الخدمة التي تستخدمها (تقرير SOC 2 من النوع Type II أو شهادة ISO 27001 بنطاق ذي صلة)، إضافة إلى استبيان قصير لما لا يغطيه التقرير. اقرأ التقرير: النطاق، والفترة، والاستثناءات، والاستبعادات، والضوابط المتوقع منك تشغيلها.
- المستوى 2: استبيان قياسي، أو التقرير إن توفر لدى المورد.
- المستوى 3: فحص أساسي عند التعاقد.
الخطوة 4: تعاقد مرة واحدة يغطي كل شيء
اكتب بنودًا أمنية تغطي جميع الأطر في آن واحد:
- التزامات أمنية متناسبة مع الخدمة.
- إشعار بالخرق يصلك، بمهلة قصيرة تكفي لوفاء التزاماتك (24 ساعة بحسب NIS2، و72 ساعة بحسب GDPR).
- شروط المادة 28 من GDPR حين يعالجون البيانات الشخصية نيابةً عنك، واتفاقية شريك الأعمال حين ينطبق HIPAA.
- حقوق التدقيق أو التقييم، وإعادة البيانات أو حذفها عند انتهاء العلاقة.
- بالنسبة إلى PCI DSS، إقرار المورد بمسؤولياته عن بيانات حاملي البطاقات (12.8.2)، وتوثيق توزيع المسؤوليات (12.8.5).
الخطوة 5: راقب وأنهِ العلاقة
أعد تقييم موردي المستوى 1 سنويًا (يشترط PCI DSS المراقبة السنوية لامتثال مقدّمي الخدمات، 12.8.4)، وموردي المستوى 2 كل سنة أو سنتين، وتفاعل مع الحوادث والتغييرات. عند الإنهاء، ألغِ الصلاحيات، واسترجع البيانات أو احذفها، وسجّل ذلك (CIS 15.7).
استبيان قصير يعمل فعليًا
للموردين الذين لا يملكون تقرير ضمان مستقلًا، يتفوق الاستبيان القصير على الطويل، لأن الناس يجيبون عن الاستبيانات القصيرة بدقة. تغطي عشرة أسئلة معظم ما تطلبه جميع الأطر:
- ما الذي ستصل إليه من بياناتنا أو تخزنه أو تعالجه، وأين؟
- هل لديك تقرير SOC 2 ساري أو شهادة ISO 27001 تغطي هذه الخدمة؟
- هل المصادقة متعددة العوامل مفعّلة لكل وصول إلى الأنظمة التي تحتوي بياناتنا؟
- ما مدى سرعة معالجة الثغرات الحرجة بالتصحيح؟
- هل بياناتنا مشفّرة أثناء التخزين وأثناء النقل؟
- هل تُجرى النسخ الاحتياطية، وهل هي محمية، ويُختبر استعادتها؟
- كيف وبأي سرعة ستُخطرنا بحادث يؤثر في بياناتنا؟
- من المتعاقدون من الباطن الذين يتعاملون مع بياناتنا؟
- كيف تُعاد بياناتنا أو تُحذف عند انتهاء العقد؟
- من هي جهة الاتصال الأمنية لديكم؟
اربط كل إجابة بمتطلباتك مرة واحدة، وأعد استخدام هذا الربط لكل مورد. يوضح تحليل الفجوات وموضوع مخاطر سلسلة الإمداد كيف تصوغ كل جهة هذه المتطلبات.
أبرز النقاط
- قائمة جرد واحدة للموردين، مصنّفة حسب المخاطر، تخدم جميع الأطر.
- اقبل تقارير الضمان المستقلة حيث يتطابق نطاقها مع احتياجك، واقرأها.
- اكتب بنود العقد مرة واحدة لتغطي كل التزام.
سجل واحد لكل مورد
احفظ كل شيء (المستوى، والتقييمات، والتقارير التي قُرئت، وبنود العقد، والمراجعات) في مكان واحد لكل مورد. يستطيع المدققون لكل إطار عندها العثور على أدلتهم في السجل نفسه.
تسرد صفحة الموضوع مخاطر الموردين كل متطلب مع مصدره، ويتناول منشورنا لماذا يُعد «معتمد وفق SOC 2» السؤال الخاطئ قراءة تقارير الموردين.
الأسئلة
هل يمكنني قبول تقرير SOC 2 الخاص بالمورد بدلًا من الاستبيان؟
غالبًا نعم، إذا كان التقرير من النوع Type II، وحديثًا، ويغطي الخدمة التي تستخدمها، وقرأت الاستثناءات وضوابط كيانات المستخدم المكملة. أما التقرير الذي لا يغطي خدمتك فلا يخبرك بالكثير.
أي الأطر تشترط أن تتضمن عقود الموردين بنودًا أمنية؟
تشترط ISO 27001 (A.5.20) وPCI DSS (12.8.2) وGDPR للمعالجين (المادة 28) واتفاقيات شركاء الأعمال في HIPAA وتدابير سلسلة الإمداد في NIS2 جميعًا وجود بنود أمنية في اتفاقيات الموردين.
ما عدد مرات إعادة تقييم الموردين؟
الموردون الحرجون سنويًا على الأقل (يشترط PCI DSS المراقبة السنوية لامتثال مقدّمي الخدمات)، وغيرهم كل سنة أو سنتين، وأي مورد بعد حادث جوهري أو تغيير في الخدمة.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.
التحليل · 2026-10-13متطلبات MFA مقارنةً عبر 11 إطارًا أمنيًاأي الأطر تتطلب MFA، ولمن، وبأي درجة من الصرامة: مقارنة جنبًا إلى جنب لـ PCI DSS وCMMC وNIS2 وEssential Eight وISO 27001 وSOC 2 وHIPAA.