المخاطر المتعلقة بالموردين وسلسلة التوريد: من يفرض ماذا
تستمر الاختراقات عبر الموردين في الارتفاع في مخططات الحوادث، وقد لحقت الأطر بذلك. معظمها يتطلب الآن أمن الموردين، لكنها تقصد أشياء مختلفة بذلك.
تغطي هذه المقالة الأطر 11 التي ربطها ControlMapping وقت كتابتها. ومنذ ذلك الحين أُضيفت DORA, CPS 234, Cyber Essentials بتاريخ 2026-10-27، وتشمل صفحاتها ومصفوفة التغطية هذه الأطر.
أصبح الموردون من أكثر المسارات شيوعاً للوصول إلى المؤسسات، بدءاً من تحديثات البرمجيات المخترقة وصولاً إلى مزودي الخدمات المُدارة الذين تعرضوا للاختراق. استجابت الأطر لذلك، بعضها أكثر من غيره. تتبع ControlMapping هذا في موضوعين: إدارة مخاطر الموردين (تقييم الموردين الفرديين وإدارتهم) ومخاطر سلسلة التوريد (البرنامج المتكامل المحيط بهم).
إدارة مخاطر الموردين
| الإطار | إدارة مخاطر الموردين | رابط |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | تعريف الموضوع |
| ISO 27001 | A.5.19A.5.20A.5.22 | جدول المطابقة |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | جدول المطابقة |
| SOC 2 | CC9.2 | تحريري |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | جدول المطابقة |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | جدول المطابقة |
| HIPAA | §164.308(b)(1)§164.314(a) | جدول المطابقة |
| GDPR | Art.28(1)Art.28(3) | تحريري |
| NIS2 | 5.15.26.1 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: إدارة مخاطر الموردين عبر الأطر →
مخاطر سلسلة التوريد كبرنامج
| الإطار | مخاطر سلسلة التوريد | رابط |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | تعريف الموضوع |
| ISO 27001 | A.5.19A.5.21 | جدول المطابقة |
| CIS v8.1 | CIS 15.2 | جدول المطابقة |
| SOC 2 | CC9.2 | تحريري |
| PCI DSS | 6.3.212.8.1 | جدول المطابقة |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | جدول المطابقة |
| HIPAA | — | |
| GDPR | Art.28(1) | تحريري |
| NIS2 | 5.16.1 | جدول المطابقة |
| Essential Eight | — | لا يوجد ربط في بياناتنا |
التفاصيل الكاملة وسبب كل رابط: مخاطر سلسلة التوريد عبر الأطر →
نقاط الاتفاق
تتطلب معظم الأطر دورة الحياة نفسها: معرفة من هم موردوك، وتقييمهم قبل التعاقد، ووضع متطلبات الأمن في العقود، ومراقبتهم، وإنهاء العلاقة بشكل آمن. تغطي ISO 27001 ذلك في A.5.19 إلى A.5.22؛ ويتطلب PCI DSS قائمة بمزودي الخدمات، واتفاقيات مكتوبة، والعناية الواجبة، والمراقبة السنوية، وتوزيعاً موثقاً للمسؤوليات (12.8.1 إلى 12.8.5)؛ ويتوقع SOC 2 تقييم مخاطر الموردين وإدارتها (CC9.2)؛ وتتطلب CIS Controls جرداً وتصنيفاً ومتطلبات تعاقدية وتقييماً ومراقبةً وإيقافاً آمناً للخدمة (الضابط 15). ابنِ دورة الحياة هذه مرة واحدة، وستخدم العملية نفسها معظم هذه الأطر.
نقاط الاختلاف
- يركز GDPR على المعالجين: عقود مكتوبة تتضمن الشروط الواردة في المادة 28، والاقتصار على المعالجين الذين يقدمون ضمانات كافية. فهو يتعلق بالبيانات الشخصية، لا بالموردين بشكل عام.
- يتطلب HIPAA اتفاقيات شركاء الأعمال (§164.308(b)(1)، §164.314(a)) مع كل جهة تتعامل مع ePHI نيابةً عنك.
- يعامل NIS2 أمن سلسلة التوريد كتدبير قائم بذاته (المادة 21(2)(د))، وتطلب اللائحة التنفيذية سياسة أمن سلسلة التوريد ومعايير اختيار الموردين ومتطلبات الأمن التعاقدية (النقطتان 5.1 و5.2)، مع مراعاة الممارسات الأمنية للموردين وثغراتهم.
- يذهب NIST CSF 2.0 إلى أبعد مدى، بعشر فئات فرعية ضمن وظيفة يحكم تتعلق بإدارة مخاطر سلسلة توريد الأمن السيبراني، من إنشاء البرنامج إلى إدارة الموردين عبر دورة الحياة كاملة.
- لا يتضمن CMMC Level 2 ممارسة خاصة بالموردين؛ ويأتي نقل المتطلبات إلى المقاولين من الباطن من بنود العقود. ولا يتناول Essential Eight الموردين.
ما الذي يميز البرنامج الجيد
- جرد موحد للموردين، يوضح ما يمكن لكل مورد الوصول إليه ومدى أهميته.
- عناية واجبة متدرجة: قدر أكبر للموردين الذين لديهم وصول إلى بيانات أو أنظمة حساسة، وقدر أقل لغيرهم. اقبل تقرير SOC 2 أو شهادة ISO الخاصة بهم متى غطّت الخدمة، واقرأ نطاقها.
- متطلبات تعاقدية: التزامات أمنية، وإشعار بالاختراقات يُرسل إليك، وحقوق التدقيق، وإعادة البيانات أو حذفها عند انتهاء العقد (شروط المادة 28 من GDPR حيثما تكون بيانات شخصية معنية).
- مراقبة تتناسب مع الفئة: مراجعات سنوية للموردين الحرجين، كما يشترط PCI DSS على مزودي الخدمات.
- إنهاء العلاقة: سحب الوصول، واسترجاع البيانات أو حذفها، والتحقق من ذلك.
تسرد صفحتا الموضوع مخاطر الموردين ومخاطر سلسلة التوريد كل متطلب مع مصدره. ويغطي منشورنا لماذا لا يجيب تقرير SOC 2 عن سؤال الموردين بمفرده كيفية قراءة ضمانات الموردين.
الأسئلة
ما الذي يتطلبه NIS2 بشأن أمن سلسلة التوريد؟
تتطلب المادة 21(2)(د) أمن سلسلة التوريد، بما في ذلك الجوانب الأمنية لعلاقات الموردين المباشرين ومقدمي الخدمات. وتحدد اللائحة التنفيذية سياسة أمن سلسلة التوريد ومعايير اختيار الموردين ومتطلبات العقود (النقطتان 5.1 و5.2).
هل يتطلب CMMC Level 2 إدارة مخاطر الموردين؟
ليس كبرنامج مستقل. يرث CMMC Level 2 متطلبات SP 800-171 Rev 2 التي تركز على حماية CUI داخل أنظمتك، أما نقل المتطلبات إلى المقاولين من الباطن فيأتي من بنود العقود.
البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.
مقالات ذات صلة
التحليل · 2026-10-27APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRAيغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة من CPS 234 الصادر عن APRA، ومع ذلك تضيف APRA واجبات على مجلس الإدارة، وتأكيداً من أطراف ثالثة، ومواعيد إخطار صارمة.
التحليل · 2026-10-27مقارنة بين Cyber Essentials وEssential Eight: معياران وطنيان متقابلانتستهدف Cyber Essentials البريطانية وEssential Eight الأسترالية هجمات شائعة مشتركة، لكنهما يغطيان أرضيات مختلفة. ما الذي يتداخل، وما الذي لا يتداخل، ولماذا.
التحليل · 2026-10-27DORA مقابل NIS2: ما الذي يغطيه برنامج NIS2 بالفعليتشارك DORA وNIS2 معظم محتواهما الأمني، لكن DORA يضيف سجلًا وشروطًا تعاقدية واختبارات مدفوعة بالتهديدات. مادةً بمادة، ما الذي ينتقل من جهد إلى آخر.