المقارنة
ISO 27001 مقابل CIS Controls: نظام الإدارة يلبي الحد الأساسي التقني
ISO/IEC 27001:2022 · CIS Controls v8.1 · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
تعالج ISO/IEC 27001 و CIS Critical Security Controls مشكلات مختلفة. فـ ISO 27001 نظام إدارة قابل للاعتماد والشهادة، يُلزمك بتحديد المخاطر واختيار الضوابط وإثبات تشغيلها. أما CIS Controls v8.1 فهي خط أساس تقني مرتب حسب الأولوية: 18 ضابطاً و153 ضمانة، مجمّعة في مجموعات تنفيذ (Implementation Groups) حتى تعرف المؤسسات الأصغر من أين تبدأ.
عند الانتقال من ISO 27001 إلى CIS، تُربط كل ضمانة من CIS بشيء ما في ISO وفق بياناتنا، لأن الملحق أ يغطي المجالات نفسها ولكن على مستوى أعلى: جرد الأصول، والوصول، وتسجيل الأحداث، وإدارة الثغرات، والبرمجيات الخبيثة، والنسخ الاحتياطية. ما تضيفه CIS هو التحديد الدقيق، مثل أدوات الاكتشاف الآلي، وتسجيل سطر الأوامر، أو مكافحة البرمجيات الخبيثة القائمة على السلوك، لذا ينبغي لمؤسسة تعتمد ISO أن تعامل CIS كقائمة مرجعية لمدى عمق كل ضابط. ومعظم روابط CIS هي من إعداد ControlMapping التحريري، لأن جدول المطابقة الذي تنشره CIS نفسها يغطي 49 ضمانة فقط.
عند الانتقال من CIS إلى ISO 27001، يتمثل العمل الجديد في نظام الإدارة (النطاق، والأهداف، وتقييم المخاطر ومعالجتها، وبيان قابلية التطبيق، والتدقيق الداخلي، ومراجعة الإدارة)، إضافة إلى مجالات تتركها CIS خارج نطاقها، مثل الأمن المادي، واستخبارات التهديدات، وإدارة التغيير، والالتزامات القانونية كحماية الخصوصية.
نظرة سريعة
| ISO 27001 | CIS v8.1 | |
|---|---|---|
| ما هو | معيار نظام إدارة قابل للاعتماد والشهادة | ضمانات تقنية مرتبة حسب الأولوية |
| الشهادة | نعم | لا |
| البنية | البنود 4–10 و93 ضابطاً في الملحق أ | 18 ضابطاً، و153 ضمانة، و3 مجموعات تنفيذ |
| تكلفة الاستخدام | معيار تبيعه ISO، بالإضافة إلى رسوم التدقيق | مجاني للاستخدام (CC BY-NC-ND) |
أهم النقاط
- استخدم مجموعتي التنفيذ IG1–IG2 من CIS كخطة تنفيذ تقنية ضمن نظام إدارة أمن المعلومات (ISMS) في ISO 27001.
- من CIS إلى ISO: خصص ميزانية لبنود نظام الإدارة والأمن المادي.
- من ISO إلى CIS: لا تتوقع مجالات جديدة كثيرة، لكن توقع إعدادات تقنية أعمق وأكثر تحديداً.
من أصل 153 متطلبًا في CIS Controls v8.1، يُطابق 153 شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا.
يغطي جدول المطابقة المنشور من CIS 49 من أصل 153 ضابطاً وقائياً، وقد ربطت ControlMapping الباقي تحريرياً مع ذكر السبب لكل رابط، لذا تحقّق من تلك الروابط قبل الاعتماد عليها.
مُطابَق (153)
| CIS v8.1 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| 1. Inventory and Control of Enterprise Assets · 5 | ||||
| CIS 1.1 | Establish and Maintain Detailed Enterprise Asset Inventory | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| CIS 1.2 | Address Unauthorized Assets | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 1.3 | Utilize an Active Discovery Tool | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 1.4 | Use Dynamic Host Configuration Protocol (DHCP) Logging to Update Enterprise Asset Inventory | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 1.5 | Use a Passive Asset Discovery Tool | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| 2. Inventory and Control of Software Assets · 7 | ||||
| CIS 2.1 | Establish and Maintain a Software Inventory | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| CIS 2.2 | Ensure Authorized Software is Currently Supported | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الرقع |
| CIS 2.3 | Address Unauthorized Software | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 2.4 | Utilize Automated Software Inventory Tools | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 2.5 | Allowlist Authorized Software | جدول المطابقة | A.8.19A.8.1A.8.7 | الموضوع نفسه: حماية نقاط النهاية |
| CIS 2.6 | Allowlist Authorized Libraries | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 2.7 | Allowlist Authorized Scripts | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| 3. Data Protection · 14 | ||||
| CIS 3.1 | Establish and Maintain a Data Management Process | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CIS 3.2 | Establish and Maintain a Data Inventory | جدول المطابقة | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات |
| CIS 3.3 | Configure Data Access Control Lists | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| CIS 3.4 | Enforce Data Retention | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CIS 3.5 | Securely Dispose of Data | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CIS 3.6 | Encrypt Data on End-User Devices | تحريري | A.8.24 | الموضوع نفسه: التشفير (اختيار المحرر) |
| CIS 3.7 | Establish and Maintain a Data Classification Scheme | جدول المطابقة | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات |
| CIS 3.8 | Document Data Flows | تحريري | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| CIS 3.9 | Encrypt Data on Removable Media | تحريري | A.8.24 | الموضوع نفسه: التشفير (اختيار المحرر) |
| CIS 3.10 | Encrypt Sensitive Data in Transit | جدول المطابقة | A.8.24 | الموضوع نفسه: التشفير |
| CIS 3.11 | Encrypt Sensitive Data at Rest | جدول المطابقة | A.5.14A.8.10A.8.11+1 | الموضوع نفسه: حماية البيانات |
| CIS 3.12 | Segment Data Processing and Storage Based on Sensitivity | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CIS 3.13 | Deploy a Data Loss Prevention Solution | تحريري | A.8.12 | الموضوع نفسه: DLP (اختيار المحرر) |
| CIS 3.14 | Log Sensitive Data Access | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| 4. Secure Configuration of Enterprise Assets and Software · 12 | ||||
| CIS 4.1 | Establish and Maintain a Secure Configuration Process | جدول المطابقة | A.8.9 | الموضوع نفسه: الإعدادات الآمنة |
| CIS 4.2 | Establish and Maintain a Secure Configuration Process for Network Infrastructure | جدول المطابقة | A.8.9 | الموضوع نفسه: الإعدادات الآمنة |
| CIS 4.3 | Configure Automatic Session Locking on Enterprise Assets | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CIS 4.4 | Implement and Manage a Firewall on Servers | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 4.5 | Implement and Manage a Firewall on End-User Devices | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 4.6 | Securely Manage Enterprise Assets and Software | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CIS 4.7 | Manage Default Accounts on Enterprise Assets and Software | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CIS 4.8 | Uninstall or Disable Unnecessary Services on Enterprise Assets and Software | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CIS 4.9 | Configure Trusted DNS Servers on Enterprise Assets | تحريري | A.8.20A.8.21 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| CIS 4.10 | Enforce Automatic Device Lockout on Portable End-User Devices | تحريري | A.6.7A.8.1 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| CIS 4.11 | Enforce Remote Wipe Capability on Portable End-User Devices | تحريري | A.6.7A.8.1 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| CIS 4.12 | Separate Enterprise Workspaces on Mobile End-User Devices | تحريري | A.6.7A.8.1 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| 5. Account Management · 6 | ||||
| CIS 5.1 | Establish and Maintain an Inventory of Accounts | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| CIS 5.2 | Use Unique Passwords | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 5.3 | Disable Dormant Accounts | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 5.4 | Restrict Administrator Privileges to Dedicated Administrator Accounts | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| CIS 5.5 | Establish and Maintain an Inventory of Service Accounts | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 5.6 | Centralize Account Management | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| 6. Access Control Management · 8 | ||||
| CIS 6.1 | Establish an Access Granting Process | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 6.2 | Establish an Access Revoking Process | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 6.3 | Require MFA for Externally-Exposed Applications | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| CIS 6.4 | Require MFA for Remote Network Access | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| CIS 6.5 | Require MFA for Administrative Access | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| CIS 6.6 | Establish and Maintain an Inventory of Authentication and Authorization Systems | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 6.7 | Centralize Access Control | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| CIS 6.8 | Define and Maintain Role-Based Access Control | جدول المطابقة | A.5.15A.5.16A.5.18+3 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| 7. Continuous Vulnerability Management · 7 | ||||
| CIS 7.1 | Establish and Maintain a Vulnerability Management Process | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الثغرات |
| CIS 7.2 | Establish and Maintain a Remediation Process | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الثغرات |
| CIS 7.3 | Perform Automated Operating System Patch Management | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| CIS 7.4 | Perform Automated Application Patch Management | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| CIS 7.5 | Perform Automated Vulnerability Scans of Internal Enterprise Assets | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 7.6 | Perform Automated Vulnerability Scans of Externally-Exposed Enterprise Assets | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 7.7 | Remediate Detected Vulnerabilities | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| 8. Audit Log Management · 12 | ||||
| CIS 8.1 | Establish and Maintain an Audit Log Management Process | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.2 | Collect Audit Logs | جدول المطابقة | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق |
| CIS 8.3 | Ensure Adequate Audit Log Storage | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.4 | Standardize Time Synchronization | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.5 | Collect Detailed Audit Logs | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.6 | Collect DNS Query Audit Logs | تحريري | A.8.20A.8.21 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| CIS 8.7 | Collect URL Request Audit Logs | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.8 | Collect Command-Line Audit Logs | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.9 | Centralize Audit Logs | تحريري | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC (اختيار المحرر) |
| CIS 8.10 | Retain Audit Logs | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| CIS 8.11 | Conduct Audit Log Reviews | جدول المطابقة | A.8.16 | الموضوع نفسه: اكتشاف الشذوذ |
| CIS 8.12 | Collect Service Provider Logs | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| 9. Email and Web Browser Protections · 7 | ||||
| CIS 9.1 | Ensure Use of Only Fully Supported Browsers and Email Clients | تحريري | A.5.14 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| CIS 9.2 | Use DNS Filtering Services | تحريري | A.8.20A.8.21 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| CIS 9.3 | Maintain and Enforce Network-Based URL Filters | تحريري | A.8.26 | الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر) |
| CIS 9.4 | Restrict Unnecessary or Unauthorized Browser and Email Client Extensions | تحريري | A.5.14 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| CIS 9.5 | Implement DMARC | تحريري | A.5.14 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| CIS 9.6 | Block Unnecessary File Types | تحريري | A.5.14 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| CIS 9.7 | Deploy and Maintain Email Server Anti-Malware Protections | تحريري | A.5.14 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| 10. Malware Defenses · 7 | ||||
| CIS 10.1 | Deploy and Maintain Anti-Malware Software | جدول المطابقة | A.8.19A.8.1A.8.7 | الموضوع نفسه: حماية نقاط النهاية |
| CIS 10.2 | Configure Automatic Anti-Malware Signature Updates | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 10.3 | Disable Autorun and Autoplay for Removable Media | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 10.4 | Configure Automatic Anti-Malware Scanning of Removable Media | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 10.5 | Enable Anti-Exploitation Features | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 10.6 | Centrally Manage Anti-Malware Software | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CIS 10.7 | Use Behavior-Based Anti-Malware Software | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| 11. Data Recovery · 5 | ||||
| CIS 11.1 | Establish and Maintain a Data Recovery Process | تحريري | A.5.29A.5.30A.8.14 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| CIS 11.2 | Perform Automated Backups | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CIS 11.3 | Protect Recovery Data | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CIS 11.4 | Establish and Maintain an Isolated Instance of Recovery Data | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| CIS 11.5 | Test Data Recovery | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| 12. Network Infrastructure Management · 8 | ||||
| CIS 12.1 | Ensure Network Infrastructure is Up-to-Date | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| CIS 12.2 | Establish and Maintain a Secure Network Architecture | جدول المطابقة | A.5.15A.8.5A.8.20+2 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| CIS 12.3 | Securely Manage Network Infrastructure | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 12.4 | Establish and Maintain Architecture Diagram(s) | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 12.5 | Centralize Network Authentication, Authorization, and Auditing (AAA) | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CIS 12.6 | Use of Secure Network Management and Communication Protocols | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 12.7 | Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure | تحريري | A.5.15A.8.5A.8.22 | الموضوع نفسه: الثقة المعدومة (اختيار المحرر) |
| CIS 12.8 | Establish and Maintain Dedicated Computing Resources for All Administrative Work | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| 13. Network Monitoring and Defense · 11 | ||||
| CIS 13.1 | Centralize Security Event Alerting | جدول المطابقة | A.8.16A.5.25 | الموضوع نفسه: المراقبة المستمرة, SIEM / SOC |
| CIS 13.2 | Deploy a Host-Based Intrusion Detection Solution | تحريري | A.8.16 | الموضوع نفسه: كشف التسلل (اختيار المحرر) |
| CIS 13.3 | Deploy a Network Intrusion Detection Solution | تحريري | A.8.16 | الموضوع نفسه: كشف التسلل (اختيار المحرر) |
| CIS 13.4 | Perform Traffic Filtering Between Network Segments | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 13.5 | Manage Access Control for Remote Assets | تحريري | A.5.15A.8.5A.8.22 | الموضوع نفسه: الثقة المعدومة (اختيار المحرر) |
| CIS 13.6 | Collect Network Traffic Flow Logs | تحريري | A.8.16 | الموضوع نفسه: المراقبة المستمرة (اختيار المحرر) |
| CIS 13.7 | Deploy a Host-Based Intrusion Prevention Solution | تحريري | A.8.16 | الموضوع نفسه: كشف التسلل (اختيار المحرر) |
| CIS 13.8 | Deploy a Network Intrusion Prevention Solution | تحريري | A.8.16 | الموضوع نفسه: كشف التسلل (اختيار المحرر) |
| CIS 13.9 | Deploy Port-Level Access Control | تحريري | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CIS 13.10 | Perform Application Layer Filtering | تحريري | A.8.20A.8.26 | الموضوع نفسه: WAF, أمن تطبيقات الويب (اختيار المحرر) |
| CIS 13.11 | Tune Security Event Alerting Thresholds | تحريري | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC (اختيار المحرر) |
| 14. Security Awareness and Skills Training · 9 | ||||
| CIS 14.1 | Establish and Maintain a Security Awareness Program | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| CIS 14.2 | Train Workforce Members to Recognize Social Engineering Attacks | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.3 | Train Workforce Members on Authentication Best Practices | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.4 | Train Workforce on Data Handling Best Practices | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.5 | Train Workforce Members on Causes of Unintentional Data Exposure | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.6 | Train Workforce Members on Recognizing and Reporting Security Incidents | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.7 | Train Workforce on How to Identify and Report if Their Enterprise Assets are Missing Security Updates | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.8 | Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks | تحريري | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CIS 14.9 | Conduct Role-Specific Security Awareness and Skills Training | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| 15. Service Provider Management · 7 | ||||
| CIS 15.1 | Establish and Maintain an Inventory of Service Providers | جدول المطابقة | A.5.19A.5.20A.5.22+1 | الموضوع نفسه: إدارة مخاطر الموردين |
| CIS 15.2 | Establish and Maintain a Service Provider Management Policy | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| CIS 15.3 | Classify Service Providers | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| CIS 15.4 | Ensure Service Provider Contracts Include Security Requirements | تحريري | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| CIS 15.5 | Assess Service Providers | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| CIS 15.6 | Monitor Service Providers | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| CIS 15.7 | Securely Decommission Service Providers | تحريري | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| 16. Application Software Security · 14 | ||||
| CIS 16.1 | Establish and Maintain a Secure Application Development Process | جدول المطابقة | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن |
| CIS 16.2 | Establish and Maintain a Process to Accept and Address Software Vulnerabilities | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.3 | Perform Root Cause Analysis on Security Vulnerabilities | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.4 | Establish and Manage an Inventory of Third-Party Software Components | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| CIS 16.5 | Use Up-to-Date and Trusted Third-Party Software Components | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.6 | Establish and Maintain a Severity Rating System and Process for Application Vulnerabilities | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 16.7 | Use Standard Hardening Configuration Templates for Application Infrastructure | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CIS 16.8 | Separate Production and Non-Production Systems | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.9 | Train Developers in Application Security Concepts and Secure Coding | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.10 | Apply Secure Design Principles in Application Architectures | تحريري | A.8.5A.8.26 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, أمن تطبيقات الويب (اختيار المحرر) |
| CIS 16.11 | Leverage Vetted Modules or Services for Application Security Components | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.12 | Implement Code-Level Security Checks | تحريري | A.8.5A.8.25A.8.26+2 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, التطوير الآمن (اختيار المحرر) |
| CIS 16.13 | Conduct Application Penetration Testing | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CIS 16.14 | Conduct Threat Modeling | تحريري | A.8.25A.8.26A.8.28+1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| 17. Incident Response Management · 9 | ||||
| CIS 17.1 | Designate Personnel to Manage Incident Handling | تحريري | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| CIS 17.2 | Establish and Maintain Contact Information for Reporting Security Incidents | جدول المطابقة | Clause 7.4A.5.6 | الموضوع نفسه: الاتصالات |
| CIS 17.3 | Establish and Maintain an Enterprise Process for Reporting Incidents | تحريري | A.5.5A.6.8 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| CIS 17.4 | Establish and Maintain an Incident Response Process | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| CIS 17.5 | Assign Key Roles and Responsibilities | تحريري | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| CIS 17.6 | Define Mechanisms for Communicating During Incident Response | جدول المطابقة | A.5.26Clause 7.4A.5.6 | الموضوع نفسه: التواصل والاستعادة, الاتصالات |
| CIS 17.7 | Conduct Routine Incident Response Exercises | تحريري | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| CIS 17.8 | Conduct Post-Incident Reviews | تحريري | A.5.27Clause 10.1 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
| CIS 17.9 | Establish and Maintain Security Incident Thresholds | تحريري | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| 18. Penetration Testing · 5 | ||||
| CIS 18.1 | Establish and Maintain a Penetration Testing Program | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 18.2 | Perform Periodic External Penetration Tests | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 18.3 | Remediate Penetration Test Findings | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 18.4 | Validate Security Measures | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CIS 18.5 | Perform Periodic Internal Penetration Tests | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 53 شيئًا في CIS v8.1، وترتبط 38 بشكل فضفاض فقط، ولا يوجد ربط لـ 32 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ CIS v8.1 (32)
| ISO 27001 | المتطلب | تطابق | CIS v8.1 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 6 | ||||
| A.5.7 | Threat intelligence | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.5.32 | Intellectual property rights | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.5.34 | Privacy and protection of PII | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.5.35 | Independent review of information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.5.36 | Compliance with policies, rules and standards for information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.5.37 | Documented operating procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.2 | Physical entry | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.3 | Securing offices, rooms and facilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.5 | Protecting against physical and environmental threats | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.6 | Working in secure areas | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.8 | Equipment siting and protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.11 | Supporting utilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.7.12 | Cabling security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.8 Technological controls · 3 | ||||
| A.8.30 | Outsourced development | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.8.32 | Change management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| A.8.34 | Protection of information systems during audit testing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| ISMS clauses 4–10 · 15 | ||||
| Clause 4.1 | Understanding the organization and its context | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 4.4 | Information security management system | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 6.2 | Information security objectives and planning to achieve them | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 6.3 | Planning of changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 7.1 | Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 8.2 | Information security risk assessment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 8.3 | Information security risk treatment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 9.2.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 9.2.2 | Internal audit programme | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع CIS v8.1 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (38)
| ISO 27001 | المتطلب | تطابق | CIS v8.1 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 10 | ||||
| A.5.1 | Policies for information security | CIS 3.3CIS 3.11CIS 5.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.2 | Information security roles and responsibilities | CIS 14.9CIS 15.4CIS 14.2+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02, PR.AT-02, GV.SC-02: ذو صلة، وليس ربطًا | |
| A.5.3 | Segregation of duties | CIS 3.3CIS 3.10CIS 3.11+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-02, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.4 | Management responsibilities | CIS 14.1CIS 15.4 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.SC-02: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | CIS 1.1CIS 3.5CIS 1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | CIS 3.10CIS 3.11CIS 3.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-01, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | CIS 3.3CIS 5.1CIS 6.8+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.28 | Collection of evidence | CIS 17.4CIS 17.1CIS 17.5+2 | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-01, RS.MA-02: ذو صلة، وليس ربطًا | |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | CIS 15.4CIS 15.5CIS 15.6+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, GV.SC-06, GV.SC-07: ذو صلة، وليس ربطًا | |
| A.5.33 | Protection of records | CIS 3.11CIS 3.1CIS 3.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | CIS 3.10CIS 3.11CIS 6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-01, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.6.2 | Terms and conditions of employment | CIS 3.10CIS 3.11CIS 6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-01, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.6.4 | Disciplinary process | CIS 6.1CIS 6.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | CIS 3.10CIS 3.11CIS 6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-01, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.6.6 | Confidentiality or non-disclosure agreements | CIS 6.1CIS 6.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | CIS 10.7CIS 13.6 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| A.7.7 | Clear desk and clear screen | CIS 3.11CIS 3.1CIS 3.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.9 | Security of assets off-premises | CIS 3.11CIS 3.1CIS 3.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | CIS 3.5CIS 1.1CIS 3.11+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | CIS 1.1CIS 3.5CIS 1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 6 | ||||
| A.8.4 | Access to source code | CIS 3.3CIS 3.10CIS 3.11+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-02, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.6 | Capacity management | CIS 10.1CIS 2.6CIS 2.7+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | CIS 3.12CIS 12.2CIS 4.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | CIS 11.1 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.31 | Separation of development, test and production environments | CIS 16.1CIS 9.3CIS 13.10+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-06: ذو صلة، وليس ربطًا | |
| A.8.33 | Test information | CIS 3.11CIS 3.1CIS 3.4+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 12 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | CIS 15.4CIS 3.10CIS 3.11+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, GV.SC-06, PR.DS-02, PR.DS-01: ذو صلة، وليس ربطًا | |
| Clause 5.2 | Policy | CIS 3.10CIS 3.11CIS 3.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-01, PR.DS-10: ذو صلة، وليس ربطًا | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | CIS 15.4 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-02: ذو صلة، وليس ربطًا | |
| Clause 6.1.1 | General | CIS 15.7CIS 15.6CIS 15.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09: ذو صلة، وليس ربطًا | |
| Clause 6.1.2 | Information security risk assessment | CIS 15.7CIS 15.6CIS 7.2+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-07, GV.SC-10, GV.SC-09…: ذو صلة، وليس ربطًا | |
| Clause 6.1.3 | Information security risk treatment | CIS 15.7CIS 15.1CIS 15.3+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-07, GV.SC-10: ذو صلة، وليس ربطًا | |
| Clause 7.2 | Competence | CIS 14.1CIS 14.9 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02: ذو صلة، وليس ربطًا | |
| Clause 8.1 | Operational planning and control | CIS 15.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01: ذو صلة، وليس ربطًا | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | CIS 10.7CIS 13.6 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| Clause 9.3.1 | General | CIS 4.1CIS 4.2CIS 4.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.2 | Management review inputs | CIS 4.1CIS 4.2CIS 4.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.3 | Management review results | CIS 4.1CIS 4.2CIS 4.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
مُطابَق (53)
| ISO 27001 | المتطلب | تطابق | CIS v8.1 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 21 | ||||
| A.5.5 | Contact with authorities | تحريري | CIS 17.3 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.5.6 | Contact with special interest groups | تحريري | CIS 17.2CIS 17.6 | الموضوع نفسه: الاتصالات (اختيار المحرر) |
| A.5.9 | Inventory of information and other associated assets | جدول المطابقة | CIS 1.1CIS 2.1CIS 1.2+6 | الموضوع نفسه: إدارة الأصول |
| A.5.11 | Return of assets | جدول المطابقة | CIS 1.1CIS 2.1CIS 1.2+6 | الموضوع نفسه: إدارة الأصول |
| A.5.12 | Classification of information | جدول المطابقة | CIS 3.2CIS 3.7CIS 3.8 | الموضوع نفسه: تصنيف البيانات |
| A.5.13 | Labelling of information | جدول المطابقة | CIS 3.2CIS 3.7CIS 3.8 | الموضوع نفسه: تصنيف البيانات |
| A.5.14 | Information transfer | جدول المطابقة | CIS 3.11CIS 3.1CIS 3.4+7 | الموضوع نفسه: حماية البيانات |
| A.5.15 | Access control | جدول المطابقة | CIS 3.3CIS 5.1CIS 5.6+12 | الموضوع نفسه: التحكم في الوصول |
| A.5.16 | Identity management | جدول المطابقة | CIS 3.3CIS 5.1CIS 5.6+9 | الموضوع نفسه: التحكم في الوصول |
| A.5.18 | Access rights | جدول المطابقة | CIS 3.3CIS 5.1CIS 5.6+9 | الموضوع نفسه: التحكم في الوصول |
| A.5.19 | Information security in supplier relationships | جدول المطابقة | CIS 15.1CIS 15.2CIS 15.3+4 | الموضوع نفسه: إدارة مخاطر الموردين, مخاطر سلسلة التوريد |
| A.5.20 | Addressing information security within supplier agreements | جدول المطابقة | CIS 15.1CIS 15.3CIS 15.5+3 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.21 | Managing information security in the ICT supply chain | جدول المطابقة | CIS 15.2 | الموضوع نفسه: مخاطر سلسلة التوريد |
| A.5.22 | Monitoring, review and change management of supplier services | جدول المطابقة | CIS 15.1CIS 15.3CIS 15.5+3 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.23 | Information security for use of cloud services | جدول المطابقة | CIS 15.1 | الموضوع نفسه: أمن السحابة |
| A.5.24 | Information security incident management planning and preparation | جدول المطابقة | CIS 17.4CIS 17.1CIS 17.5+2 | الموضوع نفسه: الاستجابة للحوادث |
| A.5.25 | Assessment and decision on information security events | جدول المطابقة | CIS 17.4CIS 8.9CIS 13.1+5 | الموضوع نفسه: الاستجابة للحوادث, SIEM / SOC |
| A.5.26 | Response to information security incidents | جدول المطابقة | CIS 17.4CIS 17.6CIS 17.1+3 | الموضوع نفسه: الاستجابة للحوادث, التواصل والاستعادة |
| A.5.27 | Learning from information security incidents | تحريري | CIS 17.8 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
| A.5.29 | Information security during disruption | تحريري | CIS 11.1 | الموضوع نفسه: تخطيط الاستعادة (اختيار المحرر) |
| A.5.30 | ICT readiness for business continuity | تحريري | CIS 11.1 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | جدول المطابقة | CIS 14.1CIS 14.9CIS 14.2+6 | الموضوع نفسه: التوعية والتدريب |
| A.6.7 | Remote working | تحريري | CIS 4.10CIS 4.11CIS 4.12 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| A.6.8 | Information security event reporting | تحريري | CIS 17.3 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | جدول المطابقة | CIS 1.1CIS 2.1CIS 1.2+6 | الموضوع نفسه: إدارة الأصول |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | تحريري | CIS 2.5CIS 2.6CIS 2.7+10 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.2 | Privileged access rights | تحريري | CIS 5.4CIS 12.8 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.3 | Information access restriction | جدول المطابقة | CIS 3.3CIS 5.1CIS 5.6+9 | الموضوع نفسه: التحكم في الوصول |
| A.8.5 | Secure authentication | جدول المطابقة | CIS 6.8CIS 12.2CIS 6.3+6 | الموضوع نفسه: الثقة المعدومة, المصادقة متعددة العناصر |
| A.8.7 | Protection against malware | تحريري | CIS 2.5CIS 2.6CIS 2.7+7 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | جدول المطابقة | CIS 2.2CIS 7.1CIS 7.2+12 | الموضوع نفسه: إدارة الرقع, إدارة الثغرات |
| A.8.9 | Configuration management | جدول المطابقة | CIS 4.1CIS 4.2CIS 4.3+4 | الموضوع نفسه: الإعدادات الآمنة |
| A.8.10 | Information deletion | جدول المطابقة | CIS 3.11CIS 3.1CIS 3.4+2 | الموضوع نفسه: حماية البيانات |
| A.8.11 | Data masking | جدول المطابقة | CIS 3.11CIS 3.1CIS 3.4+2 | الموضوع نفسه: حماية البيانات |
| A.8.12 | Data leakage prevention | تحريري | CIS 3.13 | الموضوع نفسه: DLP (اختيار المحرر) |
| A.8.13 | Information backup | جدول المطابقة | CIS 11.2CIS 11.3CIS 11.5+1 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| A.8.14 | Redundancy of information processing facilities | تحريري | CIS 11.1 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| A.8.15 | Logging | جدول المطابقة | CIS 8.2CIS 3.14CIS 8.1+7 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.16 | Monitoring activities | جدول المطابقة | CIS 8.11CIS 13.1CIS 8.9+6 | الموضوع نفسه: اكتشاف الشذوذ, المراقبة المستمرة, SIEM / SOC |
| A.8.17 | Clock synchronization | جدول المطابقة | CIS 8.2CIS 3.14CIS 8.1+7 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.18 | Use of privileged utility programs | تحريري | CIS 5.4CIS 12.8 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.19 | Installation of software on operational systems | جدول المطابقة | CIS 2.5CIS 10.1CIS 2.6+7 | الموضوع نفسه: حماية نقاط النهاية |
| A.8.20 | Networks security | جدول المطابقة | CIS 12.2CIS 4.4CIS 4.5+9 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| A.8.21 | Security of network services | جدول المطابقة | CIS 12.2CIS 4.4CIS 4.5+8 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| A.8.22 | Segregation of networks | جدول المطابقة | CIS 6.8CIS 12.2CIS 4.4+8 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| A.8.24 | Use of cryptography | جدول المطابقة | CIS 3.10CIS 3.11CIS 3.6+1 | الموضوع نفسه: التشفير |
| A.8.25 | Secure development life cycle | جدول المطابقة | CIS 16.1CIS 16.2CIS 16.3+7 | الموضوع نفسه: التطوير الآمن |
| A.8.26 | Application security requirements | جدول المطابقة | CIS 16.1CIS 9.3CIS 13.10+10 | الموضوع نفسه: التطوير الآمن, أمن تطبيقات الويب |
| A.8.28 | Secure coding | جدول المطابقة | CIS 16.1CIS 16.2CIS 16.3+7 | الموضوع نفسه: التطوير الآمن |
| A.8.29 | Security testing in development and acceptance | جدول المطابقة | CIS 16.1CIS 16.2CIS 16.3+7 | الموضوع نفسه: التطوير الآمن |
| ISMS clauses 4–10 · 3 | ||||
| Clause 7.3 | Awareness | جدول المطابقة | CIS 14.1CIS 14.9CIS 14.2+6 | الموضوع نفسه: التوعية والتدريب |
| Clause 7.4 | Communication | جدول المطابقة | CIS 17.2CIS 17.6 | الموضوع نفسه: الاتصالات, التواصل والاستعادة |
| Clause 10.1 | Continual improvement | تحريري | CIS 17.8 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (38):
التوعية والتدريبمخاطر سلسلة التوريدإدارة الأصولتصنيف البياناتإدارة الثغراتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةأمان نظام أسماء النطاقات (DNS)WAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالاتصالاتالإبلاغتخطيط الاستعادةالدروس المستفادةالتواصل والاستعادةالتعافي من الكوارثأمن واجهات برمجة التطبيقاتإدارة مخاطر الموردين
ISO 27001 فقط (12):
الأسئلة
هل يمكن أن تحل CIS Controls محل ISO 27001؟
فقط إذا لم يكن أحد بحاجة إلى شهادة. تقدم CIS إرشادات تقنية قوية، لكنها لا تقدم نظام إدارة ولا شهادة.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.