المقارنة
Essential Eight مقابل ISO 27001: خط أساس تقني مقابل برنامج أمني شامل
ISO/IEC 27001:2022 · ASD Essential Eight · بيانات 2026-10-27
الـEssential Eight الصادر عن مديرية الإشارات الأسترالية (ASD) هو مجموعة مرتبة حسب الأولوية تضم ثماني استراتيجيات للتخفيف من المخاطر (تحديث التطبيقات وأنظمة التشغيل، والمصادقة متعددة العوامل، وتقييد الصلاحيات الإدارية، والتحكم في التطبيقات، وتقييد ماكرو Microsoft Office، وتقوية إعدادات تطبيقات المستخدم، والنسخ الاحتياطي المنتظم)، وتُحدَّد كل منها عند مستويات النضج من الأول إلى الثالث بضوابط محددة في Information Security Manual (ISM). يجب على الجهات الحكومية الأسترالية تطبيقه بموجب Protective Security Policy Framework، ومن المتوقع على نطاق واسع أن يلتزم به مورّدوها.
ISO/IEC 27001 نظام إدارة متكامل، معترف به دوليًا، وقابل للحصول على شهادة اعتماد. الإطاران ليسا بديلين لبعضهما. فـEssential Eight خط أساس تقني يركز على منع الاختراقات والحد من آثارها، بينما ISO 27001 إطار لإدارة أمن المعلومات بكامله.
عند الانتقال من ISO إلى Essential Eight، فإن كل ضابط من ضوابط E8 مرتبط بـISO أو ذو صلة فضفاضة. لكن كثيرًا منها ذو صلة فضفاضة فقط، لأن ضوابط ASD أكثر تحديدًا بكثير من ملحق A. يقول ISO إنه يجب إدارة الثغرات التقنية، بينما يحدد Essential Eight وجوب تحديث الخدمات المتاحة من الإنترنت خلال 48 ساعة عند وجود استغلال معروف، ويحدد كيفية ضبط ماكرو Office والمتصفحات وPowerShell عند كل مستوى نضج. توقع قدرًا حقيقيًا من العمل التقني، خاصة عند ML2 وML3.
عند الانتقال من Essential Eight إلى ISO، يبقى معظم ISO بلا مطابقة: فالحوكمة وإدارة الموردين والضوابط القانونية والامتثالية والأمن المادي وضوابط الأفراد ونظام إدارة أمن المعلومات (ISMS) نفسه خارج نطاق Essential Eight. ولا تنشر ASD جدول مطابقة بين الإطارين، لذلك فإن المطابقات المذكورة هنا لـEssential Eight هي من إعداد الفريق التحريري في ControlMapping.
أهم النقاط
- استخدم Essential Eight لتحديد أهداف تقنية ملموسة ضمن نظام إدارة أمن معلومات ISO 27001.
- حدد مستوى نضج مستهدفًا لكل استراتيجية؛ يُعد ML2 التوقع الشائع في أعمال القطاع الحكومي.
- الامتثال لـEssential Eight لا يمكن الحصول عليه كشهادة اعتماد، وتتبع التقييمات دليل عملية تقييم Essential Eight الصادر عن ASD.
من أصل 126 متطلبًا في ASD Essential Eight، يُطابق 57 شيئًا في ISO 27001، وترتبط 69 بشكل فضفاض فقط، ولا يوجد ربط لـ 0 في بياناتنا.
المقصود بـ Essential Eight هنا ضوابط ISM التي تحددها ASD لمستويات النضج من الأول إلى الثالث، ويعرض كل صف مستوياته (ML1–ML3). لا تنشر ASD جدول مطابقة مع أطر أخرى، لذلك فكل تطابق هو من تحرير ControlMapping.
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (69)
| Essential Eight | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-0304 | ML3 Applications other than office productivity suites, web browsers and their extensions… | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| ISM-1690 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within two weeks of… | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| ISM-1692 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within 48… | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| ISM-1700 | ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in applications other than office… | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| ISM-1901 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release when… | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| ISM-1905 | ML1, ML2, ML3 Online services that are no longer supported by vendors are removed | A.5.9A.8.7A.8.8 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, ID.RA-01: ذو صلة، وليس ربطًا | |
| Patch operating systems · 10 | ||||
| ISM-1407 | ML3 The latest release, or the previous release, of operating systems are used | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1694 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within two weeks… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1696 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within 48 hours of… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1697 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within one month of release… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1703 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in drivers | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1879 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in drivers are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1900 | ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in firmware | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1902 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1903 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within 48 hours of release… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| ISM-1904 | ML3 Patches, updates or other vendor mitigations for vulnerabilities in firmware are applied within one month of release… | A.5.9A.8.1A.8.7+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| Multi-factor authentication · 9 | ||||
| ISM-1505 | ML3 Multi-factor authentication is used to authenticate human users of data repositories | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1680 | ML1, ML2, ML3 Multi-factor authentication (where available) is used to authenticate human users to… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1681 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate customers to online customer… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1682 | ML2, ML3 Multi-factor authentication used for authenticating human users of systems is… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1873 | ML2 Multi-factor authentication used for authenticating customers of online customer services provides a… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1874 | ML3 Multi-factor authentication used for authenticating customers of online customer services is phishing-resistant | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1892 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online customer services that… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1893 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online customer services that process… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| ISM-1894 | ML3 Multi-factor authentication used for authenticating human users of data repositories is… | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| Restrict administrative privileges · 11 | ||||
| ISM-1649 | ML3 Just-in-time administration is used for the administration of systems and their resources | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1650 | ML2, ML3 Privileged user account and security group management events are centrally logged | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1685 | ML2, ML3 Credentials for break glass accounts, local administrator accounts and service accounts… | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1686 | ML3 Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1687 | ML2, ML3 Privileged operating environments are not virtualised within unprivileged operating… | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1688 | ML1, ML2, ML3 Unprivileged user accounts cannot be used to log on to privileged operating environments | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1689 | ML1, ML2, ML3 Privileged user accounts (excluding local administrator accounts) cannot be used to log… | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1861 | ML3 Local Security Authority protection functionality is enabled | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1883 | ML1, ML2, ML3 Privileged user accounts explicitly authorised to access online services are strictly… | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1897 | ML3 Remote Credential Guard functionality is enabled | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| ISM-1898 | ML3 Secure Admin Workstations are used in the performance of administrative activities | A.5.1A.5.3A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| Application control · 5 | ||||
| ISM-1582 | ML2, ML3 Application control rulesets are validated at least annually | A.8.1A.8.7A.8.19 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1656 | ML3 Application control is implemented on non-internet-facing servers | A.8.1A.8.7A.8.19 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1658 | ML3 Application control restricts the execution of drivers to an organisation-approved set | A.8.1A.8.7A.8.19 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1659 | ML3 Microsoft’s vulnerable driver blocklist is implemented | A.8.1A.8.7A.8.19 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1871 | ML2, ML3 Application control is applied to all locations other than user profiles and temporary… | A.8.1A.8.7A.8.19 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-05: ذو صلة، وليس ربطًا | |
| Restrict Microsoft Office macros · 10 | ||||
| ISM-1487 | ML3 Only privileged human users responsible for checking that Microsoft Office macros are… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1489 | ML1, ML2, ML3 Microsoft Office macro security settings cannot be changed by human users | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1671 | ML1, ML2, ML3 Microsoft Office macros are disabled for human users that do not have a demonstrated… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1672 | ML1, ML2, ML3 Microsoft Office macro antivirus scanning is enabled | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1673 | ML2, ML3 Microsoft Office macros are blocked from making Win32 API calls | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1674 | ML3 Only Microsoft Office macros running from within a sandboxed environment, a Trusted… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1675 | ML3 Microsoft Office macros digitally signed by an untrusted publisher cannot be enabled… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1676 | ML3 Microsoft Office’s list of trusted publishers is validated at least annually | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1890 | ML3 Microsoft Office macros are checked to ensure they are free of malicious code before… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| ISM-1891 | ML3 Microsoft Office macros digitally signed by signatures other than V3 signatures cannot… | A.6.7A.8.1A.8.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01, PR.PS-05: ذو صلة، وليس ربطًا | |
| User application hardening · 13 | ||||
| ISM-1485 | ML1, ML2, ML3 Web browsers do not process web advertisements from the internet | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1486 | ML1, ML2, ML3 Web browsers do not process Java from the internet | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1542 | ML2, ML3 Microsoft Office is configured to prevent activation of Object Linking and Embedding… | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1622 | ML3 PowerShell is configured to use Constrained Language Mode | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1655 | ML3 .NET Framework 3.5 (includes .NET 2.0 and 3.0) is disabled or removed | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1667 | ML2, ML3 Microsoft Office is blocked from creating child processes | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1668 | ML2, ML3 Microsoft Office is blocked from creating executable content | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1669 | ML2, ML3 Microsoft Office is blocked from injecting code into other processes | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1670 | ML2, ML3 PDF applications are blocked from creating child processes | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1823 | ML2, ML3 Office productivity suite security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1824 | ML2, ML3 PDF application security settings cannot be changed by human users | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1889 | ML2, ML3 Command line process creation events are centrally logged | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| ISM-1896 | ML3 Memory integrity functionality is enabled | A.6.7A.8.8A.8.9+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Regular backups · 5 | ||||
| ISM-1705 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) cannot access… | A.8.13 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03: ذو صلة، وليس ربطًا | |
| ISM-1706 | ML3 Privileged user accounts (excluding backup administrator accounts) cannot access their… | A.8.13 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03: ذو صلة، وليس ربطًا | |
| ISM-1708 | ML3 Backup administrator accounts are prevented from modifying and deleting backups during… | A.8.13 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03: ذو صلة، وليس ربطًا | |
| ISM-1812 | ML1, ML2, ML3 Unprivileged user accounts cannot access backups belonging to other user accounts | A.8.13 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03: ذو صلة، وليس ربطًا | |
| ISM-1813 | ML3 Unprivileged user accounts cannot access their own backups | A.8.13 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03: ذو صلة، وليس ربطًا | |
مُطابَق (57)
| Essential Eight | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Patch applications · 6 | ||||
| ISM-1691 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in office productivity suites, web browsers and their extensions, email clients, PDF applications, and security products are applied within two weeks of release | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| ISM-1693 | ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in applications other… | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| ISM-1698 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in online… | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| ISM-1699 | ML1, ML2, ML3 A vulnerability scanner is used at least weekly to identify missing patches or updates… | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| ISM-1704 | ML1, ML2, ML3 Office productivity suites, web browsers and their extensions, email clients, PDF… | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| ISM-1876 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in online services are applied within 48 hours of… | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| Patch applications & Patch operating systems · 2 | ||||
| ISM-1807 | ML1, ML2, ML3 An automated method of asset discovery is used at least fortnightly to support the… | تحريري | A.5.9A.5.11A.7.14+1 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| ISM-1808 | ML1, ML2, ML3 A vulnerability scanner with an up-to-date vulnerability database is used for… | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| Patch operating systems · 5 | ||||
| ISM-1501 | ML1, ML2, ML3 Operating systems that are no longer supported by vendors are replaced | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| ISM-1695 | ML1, ML2 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of workstations, non-internet-facing servers and non-internet-facing network devices are applied within one month of release | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| ISM-1701 | ML1, ML2, ML3 A vulnerability scanner is used at least daily to identify missing patches or updates for vulnerabilities in… | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| ISM-1702 | ML1, ML2, ML3 A vulnerability scanner is used at least fortnightly to identify missing patches or updates for vulnerabilities in operating systems of… | تحريري | A.8.8 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| ISM-1877 | ML1, ML2, ML3 Patches, updates or other vendor mitigations for vulnerabilities in operating systems of internet-facing servers and internet-facing network devices are applied within 48 hours… | تحريري | A.8.8 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| Multi-factor authentication · 7 | ||||
| ISM-0974 | ML2, ML3 Multi-factor authentication is used to authenticate unprivileged human users of systems | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| ISM-1173 | ML2, ML3 Multi-factor authentication is used to authenticate privileged human users of systems | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| ISM-1401 | ML1, ML2, ML3 Multi-factor authentication uses either: something people have and something people… | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| ISM-1504 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to their organisation’s online services that process… | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| ISM-1679 | ML1, ML2, ML3 Multi-factor authentication is used to authenticate human users to third-party online services that process, store or… | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| ISM-1683 | ML2, ML3 Successful and unsuccessful multi-factor authentication events are centrally logged | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| ISM-1872 | ML2, ML3 Multi-factor authentication used for authenticating human users of online services is… | تحريري | A.8.5 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| Restrict administrative privileges · 9 | ||||
| ISM-0445 | ML1, ML2, ML3 Privileged human users are assigned a dedicated privileged user account to be used… | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1175 | ML1, ML2, ML3 Privileged user accounts (excluding those explicitly authorised to access online… | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1380 | ML1, ML2, ML3 Privileged human users use separate privileged and unprivileged operating environments | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1387 | ML2, ML3 Administrative activities are conducted through jump servers | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1507 | ML1, ML2, ML3 Requests for privileged access to systems and their resources are validated when first… | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1508 | ML3 Privileged access to systems and their resources is limited to only what is required… | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1509 | ML2, ML3 Privileged access events are centrally logged | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| ISM-1647 | ML2, ML3 Privileged access to systems and their resources are disabled after 12 months unless… | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| ISM-1648 | ML2, ML3 Privileged access to systems and their resources are disabled after 45 days of inactivity | تحريري | A.8.2A.8.18 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| Application control · 6 | ||||
| ISM-0843 | ML1, ML2, ML3 Application control is implemented on workstations | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| ISM-1490 | ML2, ML3 Application control is implemented on internet-facing servers | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| ISM-1544 | ML2, ML3 Microsoft’s recommended application blocklist is implemented | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| ISM-1657 | ML1, ML2, ML3 Application control restricts the execution of executables, libraries, scripts… | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| ISM-1660 | ML2, ML3 Allowed and blocked application control events are centrally logged | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| ISM-1870 | ML1, ML2, ML3 Application control is applied to user profiles and temporary folders used by operating… | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| Restrict Microsoft Office macros · 1 | ||||
| ISM-1488 | ML1, ML2, ML3 Microsoft Office macros in files originating from the internet are blocked | تحريري | A.5.14A.8.1A.8.7+1 | الموضوع نفسه: أمن البريد الإلكتروني, حماية نقاط النهاية (اختيار المحرر) |
| User application hardening · 7 | ||||
| ISM-1412 | ML2, ML3 Web browsers are hardened using ASD and vendor hardening guidance, with the most… | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| ISM-1585 | ML1, ML2, ML3 Web browser security settings cannot be changed by human users | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| ISM-1621 | ML3 Windows PowerShell 2.0 is disabled or removed | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| ISM-1623 | ML2, ML3 PowerShell module logging, script block logging and transcription events are centrally… | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| ISM-1654 | ML1, ML2, ML3 Internet Explorer 11 is disabled or removed | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| ISM-1859 | ML2, ML3 Office productivity suites are hardened using ASD and vendor hardening guidance, with… | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| ISM-1860 | ML2, ML3 PDF applications are hardened using ASD and vendor hardening guidance, with the most… | تحريري | A.8.9 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| Regular backups · 6 | ||||
| ISM-1511 | ML1, ML2, ML3 Backups of data, applications and settings are performed and retained in accordance… | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| ISM-1515 | ML1, ML2, ML3 Restoration of data, applications and settings from backups to a common point in time… | تحريري | A.5.30A.8.13A.8.14 | الموضوع نفسه: التعافي من الكوارث, النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| ISM-1707 | ML2, ML3 Privileged user accounts (excluding backup administrator accounts) are prevented from… | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| ISM-1810 | ML1, ML2, ML3 Backups of data, applications and settings are synchronised to enable restoration to a… | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| ISM-1811 | ML1, ML2, ML3 Backups of data, applications and settings are retained in a secure and resilient manner | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| ISM-1814 | ML1, ML2, ML3 Unprivileged user accounts are prevented from modifying and deleting backups | تحريري | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| Logging and incident response (all strategies) · 8 | ||||
| ISM-0109 | ML3 Event logs from workstations are analysed in a timely manner to detect cyber security… | تحريري | A.8.16 | الموضوع نفسه: المراقبة المستمرة (اختيار المحرر) |
| ISM-0123 | ML2, ML3 Cyber security incidents are reported to the chief information security officer, or one… | تحريري | A.5.5A.6.8 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| ISM-0140 | ML2, ML3 Cyber security incidents are reported to ASD as soon as possible after they occur or… | تحريري | A.5.5A.6.8 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| ISM-1228 | ML2, ML3 Cyber security events are analysed in a timely manner to identify cyber security incidents | تحريري | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC, اكتشاف الشذوذ (اختيار المحرر) |
| ISM-1815 | ML2, ML3 Event logs are protected from unauthorised modification and deletion | تحريري | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| ISM-1819 | ML2, ML3 Following the identification of a cyber security incident, the cyber security incident… | تحريري | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| ISM-1906 | ML2, ML3 Event logs from internet-facing servers are analysed in a timely manner to detect cyber… | تحريري | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC, المراقبة المستمرة (اختيار المحرر) |
| ISM-1907 | ML3 Event logs from non-internet-facing servers are analysed in a timely manner to detect… | تحريري | A.8.16 | الموضوع نفسه: المراقبة المستمرة (اختيار المحرر) |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 23 شيئًا في Essential Eight، وترتبط 39 بشكل فضفاض فقط، ولا يوجد ربط لـ 61 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ Essential Eight (61)
| ISO 27001 | المتطلب | تطابق | Essential Eight | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.2 | Information security roles and responsibilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.4 | Management responsibilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.6 | Contact with special interest groups | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.7 | Threat intelligence | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.20 | Addressing information security within supplier agreements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.21 | Managing information security in the ICT supply chain | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.23 | Information security for use of cloud services | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.32 | Intellectual property rights | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.33 | Protection of records | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.34 | Privacy and protection of PII | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.35 | Independent review of information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.36 | Compliance with policies, rules and standards for information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.5.37 | Documented operating procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.6 People controls · 3 | ||||
| A.6.3 | Information security awareness, education and training | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.6.4 | Disciplinary process | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.6.6 | Confidentiality or non-disclosure agreements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.2 | Physical entry | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.3 | Securing offices, rooms and facilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.5 | Protecting against physical and environmental threats | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.6 | Working in secure areas | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.7 | Clear desk and clear screen | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.8 | Equipment siting and protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.9 | Security of assets off-premises | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.11 | Supporting utilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.7.12 | Cabling security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8 Technological controls · 13 | ||||
| A.8.10 | Information deletion | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.11 | Data masking | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.12 | Data leakage prevention | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.21 | Security of network services | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.23 | Web filtering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.25 | Secure development life cycle | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.28 | Secure coding | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.29 | Security testing in development and acceptance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.30 | Outsourced development | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.31 | Separation of development, test and production environments | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.32 | Change management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.33 | Test information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| A.8.34 | Protection of information systems during audit testing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| ISMS clauses 4–10 · 21 | ||||
| Clause 4.1 | Understanding the organization and its context | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 4.4 | Information security management system | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 6.1.3 | Information security risk treatment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 6.2 | Information security objectives and planning to achieve them | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 6.3 | Planning of changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.1 | Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.2 | Competence | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.3 | Awareness | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 8.1 | Operational planning and control | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 8.2 | Information security risk assessment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 8.3 | Information security risk treatment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 9.2.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 9.2.2 | Internal audit programme | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 10.1 | Continual improvement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع Essential Eight في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (39)
| ISO 27001 | المتطلب | تطابق | Essential Eight | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 15 | ||||
| A.5.1 | Policies for information security | ISM-0445ISM-1175ISM-1380+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.3 | Segregation of duties | ISM-0445ISM-1175ISM-1380+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.5.12 | Classification of information | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.13 | Labelling of information | ISM-1488ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.15 | Access control | ISM-0445ISM-0974ISM-1173+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.AA-03: ذو صلة، وليس ربطًا | |
| A.5.16 | Identity management | ISM-0445ISM-0974ISM-1173+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.AA-03: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | ISM-0445ISM-0974ISM-1173+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.AA-03: ذو صلة، وليس ربطًا | |
| A.5.18 | Access rights | ISM-0445ISM-0974ISM-1173+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.AA-03: ذو صلة، وليس ربطًا | |
| A.5.19 | Information security in supplier relationships | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.22 | Monitoring, review and change management of supplier services | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-04, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.27 | Learning from information security incidents | ISM-1819 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-04, RS.MA-01, RS.MA-02: ذو صلة، وليس ربطًا | |
| A.5.28 | Collection of evidence | ISM-1819 | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-01, RS.MA-02: ذو صلة، وليس ربطًا | |
| A.5.29 | Information security during disruption | ISM-1515 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.6.2 | Terms and conditions of employment | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.6.7 | Remote working | ISM-0445ISM-1175ISM-1380+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 3 | ||||
| A.7.4 | Physical security monitoring | ISM-0109ISM-1906ISM-1907 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | ISM-1807 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 8 | ||||
| A.8.3 | Information access restriction | ISM-0445ISM-1175ISM-1380+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.4 | Access to source code | ISM-0445ISM-1175ISM-1380+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.6 | Capacity management | ISM-0109ISM-0843ISM-1228+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| A.8.20 | Networks security | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.22 | Segregation of networks | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.24 | Use of cryptography | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.26 | Application security requirements | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | ISM-1515 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | ISM-1488ISM-1515 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.IR-03: ذو صلة، وليس ربطًا | |
| Clause 5.2 | Policy | ISM-1488 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| Clause 6.1.1 | General | ISM-1515 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| Clause 6.1.2 | Information security risk assessment | ISM-1698ISM-1699ISM-1701+3 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-08: ذو صلة، وليس ربطًا | |
| Clause 7.4 | Communication | ISM-0123ISM-0140 | يشترك فقط في الفئات الفرعية لـ CSF RS.CO-02: ذو صلة، وليس ربطًا | |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | ISM-0109ISM-1906ISM-1907 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| Clause 9.3.1 | General | ISM-1412ISM-1485ISM-1486+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.2 | Management review inputs | ISM-1412ISM-1485ISM-1486+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.3 | Management review results | ISM-1412ISM-1485ISM-1486+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
مُطابَق (23)
| ISO 27001 | المتطلب | تطابق | Essential Eight | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.5 | Contact with authorities | تحريري | ISM-0123ISM-0140 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.5.9 | Inventory of information and other associated assets | تحريري | ISM-1807 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.11 | Return of assets | تحريري | ISM-1807 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.14 | Information transfer | تحريري | ISM-1488 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| A.5.24 | Information security incident management planning and preparation | تحريري | ISM-1819 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| A.5.25 | Assessment and decision on information security events | تحريري | ISM-1228ISM-1819ISM-1906 | الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث (اختيار المحرر) |
| A.5.26 | Response to information security incidents | تحريري | ISM-1819 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| A.5.30 | ICT readiness for business continuity | تحريري | ISM-1515 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| A.6 People controls · 1 | ||||
| A.6.8 | Information security event reporting | تحريري | ISM-0123ISM-0140 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | تحريري | ISM-1807 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | تحريري | ISM-0843ISM-1488ISM-1490+3 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.2 | Privileged access rights | تحريري | ISM-0445ISM-1175ISM-1380+5 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.5 | Secure authentication | تحريري | ISM-0974ISM-1173ISM-1401+3 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| A.8.7 | Protection against malware | تحريري | ISM-0843ISM-1488ISM-1490+3 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | تحريري | ISM-1501ISM-1691ISM-1693+10 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| A.8.9 | Configuration management | تحريري | ISM-1412ISM-1585ISM-1621+3 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| A.8.13 | Information backup | تحريري | ISM-1511ISM-1515ISM-1707+3 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| A.8.14 | Redundancy of information processing facilities | تحريري | ISM-1515 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| A.8.15 | Logging | تحريري | ISM-1509ISM-1623ISM-1660+2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| A.8.16 | Monitoring activities | تحريري | ISM-0109ISM-1228ISM-1906+1 | الموضوع نفسه: المراقبة المستمرة, اكتشاف الشذوذ, SIEM / SOC (اختيار المحرر) |
| A.8.17 | Clock synchronization | تحريري | ISM-1509ISM-1623ISM-1660+2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| A.8.18 | Use of privileged utility programs | تحريري | ISM-0445ISM-1175ISM-1380+5 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.19 | Installation of software on operational systems | تحريري | ISM-0843ISM-1488ISM-1490+3 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (16):
إدارة الأصولإدارة الثغراتالمصادقة متعددة العناصرالنسخ الاحتياطي والاستعادةالوصول المميزحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةأمن البريد الإلكترونيالمراقبة المستمرةالتسجيل والتدقيقاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالإبلاغالتعافي من الكوارث
ISO 27001 فقط (34):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالتقييم المخاطربيئة الأعمالتصنيف البياناتاستخبارات التهديداتالتحكم في الوصولالتشفيرحماية البياناتجدار الحماية / تجزئة الشبكةالتطوير الآمنأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةأمان نظام أسماء النطاقات (DNS)WAFDLPكشف التسللالطب الشرعي الرقميالاتصالاتالتخفيفتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتواصل والاستعادةأمن واجهات برمجة التطبيقاتالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.