لماذا نُصنّف كل ربط بوصفه «جدول مطابقة» أو «تحريري»

كل ربط في ControlMapping يحمل إحدى علامتين. يعني جدول المطابقة أن جدول مطابقة منشوراً يدعم الرابط: فقد أشارت NIST أو ENISA أو CIS أو PCI SSC إلى أن هذه المتطلبات ذات صلة. ويعني التحريري أنه حكمنا، مع تدوين السبب. وهو أهم قرار تصميمي في الموقع، وقد نشأ من ملاحظة بسيطة: معظم عمليات الربط بين الأطر المتداولة لا تتيح طريقة لمعرفة أيها من أيها.

المشكلة التي يحلها

الربط ادعاءٌ مفاده: «هذا المتطلب ذو صلة بذاك». بعض هذه الادعاءات تستند إلى جداول مطابقة رسمية خضعت لتعليق عام، وأخرى هي حكم محلل واحد، وكلاهما قد يكون صحيحاً. لكن حين تبدو متطابقة، يرث كل ربط مصداقية أفضلها، وتختبئ كل الأخطاء بين البقية. وهكذا تنتهي بعض المؤسسات إلى إخبار المدققين بأن ضابطاً ما «يستوفي» متطلباً لأن أداة قالت ذلك.

ما الذي تتيحه العلامات

• يمكنك وزن الأدلة. الرابط المستند إلى جدول مطابقة من NIST نفسها قوي، أما الرابط التحريري فرأي مسبب يجب التحقق منه.
• تصبح الأخطاء قابلة للكشف. عندما ندقق بياناتنا بحثاً عن الأخطاء، تجعل العلامات والأسباب تحديدها وإصلاحها أسرع. فجدول المطابقة غير الموسوم لا يملك المراجع فيه ما يعمل عليه.
• الصدق بشأن الحدود. بعض الأطر لا يوجد لها جدول مطابقة مرخّص بشكل مفتوح على الإطلاق (SOC 2 وGDPR وEssential Eight). إن وسمنا كل روابطها بأنها تحريرية، فإن ذلك يخبرك بذلك صراحة، بدلاً من الإيحاء بسلطة غير موجودة.

وإليك شكل التقسيم اليوم:

الإطار	المطابقات	جدول المطابقة	تحريري	نسبة التطابق
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
الكل	829	475	354	57%

لماذا لا ننشر روابط جداول المطابقة وحدها؟

لأن جداول المطابقة بها فجوات. يغطي تعيين CIS المنشور 49 من أصل 153 ضابط حماية، ويُغفل تعيين PCI SSC بعض المتطلبات الأساسية، ولا يوجد لدى SOC 2 ما يمكننا استخدامه. الموقع الذي يعرض روابط جداول المطابقة وحدها سيُظهر SOC 2 بلا ربط، ومعظم CIS مفقوداً، وهذا أقل فائدة، وهو مضلل بطريقته الخاصة. الروابط التحريرية تسد الفجوات، وهي موسومة حتى تعرف ما تعتمد عليه.

القواعد التي تقوم عليها العلامات

• يملك الرابط التحريري دائماً سبباً.
• لا يُحتسب الرابط جدول مطابقة إلا إذا كان جدول المطابقة يدعمه فعلاً، فالإحالات على مستوى العائلة وسلاسل المرور عبر الروابط التحريرية لا تُحتسب.
• يُتحقق من كل معرّف متطلب مقابل الكتالوج الرسمي في كل بناء.
• يُعرض «ذو صلة فضفاضة» بشكل منفصل، ولا يُحتسب ضمن التغطية أبداً.

كيف يبدو الرابط التحريري

الرابط التحريري ليس مجرد خط بين معرّفين. كل رابط يحمل سبباً قصيراً يستطيع أي شخص التحقق منه. فعلى سبيل المثال، يُربط SOC 2 CC4.1 (التقييمات المستمرة والمنفصلة للرقابة الداخلية) بالبند 9.2 من ISO 27001 (التدقيق الداخلي)، مع ملاحظة مفادها أن كليهما يتطلب تقييماً مستقلاً لمدى فعالية الضوابط، من خلال المراقبة والتدقيق الداخلي والمراجعة المستقلة. يستطيع القارئ الذي يختلف معنا أن يرى بالضبط ما افترضناه ويخبرنا به. اطلع عليه في صفحة المتطلب CC4.1.

أبرز النقاط

• تتيح العلامات وزن أدلة كل ربط.
• تسد الروابط التحريرية فجوات حقيقية في جداول المطابقة المنشورة، مع ذكر الأسباب.
• ينبغي أن يُظهر كل ربط امتثال مصدره.

ما أطلبه من الجميع

صنّف أرباطك. إنه لا يكلّف شيئاً تقريباً، ويغيّر مقدار الثقة التي يمكن لأحد أن يمنحها لها. إن كنت تبني أدوات امتثال فأظهر مصدر كل رابط، وإن كنت تشتريها فاطلب ذلك. يشرح منهجنا كل قاعدة، وتتضمن التنزيلات أساس كل ربط حتى تتحقق من عملنا، وأخبرنا أين نخطئ.

الأسئلة

ماذا يعني رابط جدول المطابقة في ControlMapping؟

يدعم الرابط جدول مطابقة منشور من مصدر موثوق (NIST أو ENISA أو CIS أو PCI SSC)، إما مباشرة أو من خلال ضابط SP 800-53 مرتبط هو نفسه بجدول مطابقة.

ماذا يعني الرابط التحريري؟

لا يوجد جدول مطابقة منشور يصنع هذا الرابط، لكن ControlMapping تحكم بأن المتطلبات ذات صلة؛ ويُعرض السبب دائماً حتى تتمكن من التحقق منه.

هل يمكنني اقتراح تصحيح لربط؟

نعم. تتضمن كل صفحة متطلب رابطاً يشرح كيفية الإبلاغ عن ربط خاطئ أو مفقود. أدرج المعرّفات والإطار الذي توقعته ومصدرك.