المقارنة
ISO 27001 مقابل GDPR: الجانب الأمني من قانون الخصوصية
ISO/IEC 27001:2022 · GDPR · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
اللائحة العامة لحماية البيانات (GDPR) قانون خصوصية، أما ISO 27001 فهو معيار أمني. ويلتقيان في المواد التي تفرض واجبات أمنية: النزاهة والسرية (المادة 5(1)(f))، وحماية البيانات منذ التصميم (المادة 25)، والمعالجون (المادة 28)، وأمن المعالجة (المادة 32)، والإخطار بخرق البيانات (المواد 33–34)، وتقييمات الأثر (المادة 35)، ومسؤولو حماية البيانات (المواد 37–39). تقتصر ControlMapping على ربط هذه المواد فقط، وكل ربط بمواد GDPR هو ربط تحريري لأنه لا يوجد جدول مطابقة رسمي.
عند الانتقال من ISO 27001 إلى المواد الأمنية في GDPR، تُغطى معظم المتطلبات: يوفر نظام إدارة أمن المعلومات (ISMS) تدابير أمنية قائمة على المخاطر، وإدارة للحوادث يمكن أن تغذي الإخطار بخرق البيانات، وضوابط للموردين الذين يعملون معالجين، ومسؤوليات موثقة. والاستثناء هو منصب مسؤول حماية البيانات (المادة 38)، الذي لا يتناوله ISO.
عند الانتقال من GDPR إلى ISO 27001، يكون معظم ملحق A مرتبطًا أو ذا صلة فضفاضة، لكن GDPR لا يشترط نظام إدارة، لذلك تظهر بنود نظام إدارة أمن المعلومات (ISMS) والأمن المادي وبعض الضوابط التقنية (أجهزة الطرفية والسعة والتسجيل) بعبارة لا يوجد ربط في بياناتنا. كما يتطلب GDPR أمورًا كثيرة خارج نطاق هذه الصفحة، مثل الأساس القانوني للمعالجة والشفافية وحقوق أصحاب البيانات؛ ويوسّع ISO/IEC 27701 نظام إدارة أمن المعلومات ليشمل إدارة الخصوصية.
أهم النقاط
- يعد ISO 27001 دليلًا قويًا على الامتثال للمادة 32 من GDPR، لكنه لا يعني الامتثال لـ GDPR بالكامل.
- أضف إجراءات الإخطار بخرق البيانات (خلال 72 ساعة إلى السلطة الإشرافية) إلى عملية إدارة الحوادث لديك.
- لإدارة الخصوصية، انظر إلى ISO/IEC 27701 بالإضافة إلى ISMS.
من أصل 13 متطلبًا في GDPR، يُطابق 12 شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا.
اللائحة العامة لحماية البيانات (GDPR) قانون خصوصية، ولا تُربط هنا إلا المواد المتعلقة بالأمن منها، وكل المطابقات تحريرية.
عمل جديد على الأرجح: متطلبات GDPR لا يوجد لها ربط بـ ISO 27001 (1)
| GDPR | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Requirements · 1 | ||||
| Art.38 | Position of the data protection officer | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
مُطابَق (12)
| GDPR | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Requirements · 12 | ||||
| Art.5 | Principles relating to processing of personal data | تحريري | A.5.14A.8.10A.8.11+3 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| Art.24 | Responsibility of the controller | تحريري | Clause 6.1.1Clause 6.1.3A.5.37+1 | الموضوع نفسه: إدارة المخاطر, سياسة الحوكمة (اختيار المحرر) |
| Art.25 | Data protection by design and by default | تحريري | A.8.25A.8.26A.8.28+5 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| Art.28 | Processor | تحريري | A.5.19A.5.20A.5.21+2 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين (اختيار المحرر) |
| Art.29 | Processing under the authority of the controller or processor | تحريري | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| Art.30 | Records of processing activities | تحريري | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| Art.32 | Security of processing | تحريري | A.8.24A.5.16A.5.18+6 | الموضوع نفسه: التشفير, التحكم في الوصول (اختيار المحرر) |
| Art.33 | Notification of a personal data breach to the supervisory authority | تحريري | A.5.5A.5.24A.5.25+2 | الموضوع نفسه: الإبلاغ, الاستجابة للحوادث (اختيار المحرر) |
| Art.34 | Communication of a personal data breach to the data subject | تحريري | A.5.5A.5.26A.6.8+2 | الموضوع نفسه: الإبلاغ, التواصل والاستعادة (اختيار المحرر) |
| Art.35 | Data protection impact assessment | تحريري | Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| Art.37 | Designation of the data protection officer | تحريري | A.5.2A.5.4 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| Art.39 | Tasks of the data protection officer | تحريري | A.5.2A.5.4A.6.3+1 | الموضوع نفسه: الأدوار والمسؤوليات, التوعية والتدريب (اختيار المحرر) |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 47 شيئًا في GDPR، وترتبط 47 بشكل فضفاض فقط، ولا يوجد ربط لـ 29 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ GDPR (29)
| ISO 27001 | المتطلب | تطابق | GDPR | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 2 | ||||
| A.5.6 | Contact with special interest groups | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.5.35 | Independent review of information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7 Physical controls · 8 | ||||
| A.7.1 | Physical security perimeters | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.2 | Physical entry | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.3 | Securing offices, rooms and facilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.5 | Protecting against physical and environmental threats | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.6 | Working in secure areas | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.8 | Equipment siting and protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.11 | Supporting utilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.7.12 | Cabling security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.8 Technological controls · 3 | ||||
| A.8.1 | User endpoint devices | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.8.6 | Capacity management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| A.8.15 | Logging | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| ISMS clauses 4–10 · 16 | ||||
| Clause 4.1 | Understanding the organization and its context | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 4.4 | Information security management system | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 6.2 | Information security objectives and planning to achieve them | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 6.3 | Planning of changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 8.2 | Information security risk assessment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 8.3 | Information security risk treatment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 9.2.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 9.2.2 | Internal audit programme | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 10.1 | Continual improvement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع GDPR في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (47)
| ISO 27001 | المتطلب | تطابق | GDPR | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 12 | ||||
| A.5.3 | Segregation of duties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.7 | Threat intelligence | Art.35(1)Art.35(7) | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-03, ID.RA-05, ID.RA-06: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | Art.30(1) | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.12 | Classification of information | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.13 | Labelling of information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | Art.25(2)Art.32(1)(b) | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.27 | Learning from information security incidents | Art.33(1)Art.33(5) | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-04, RS.MA-01, RS.MA-02: ذو صلة، وليس ربطًا | |
| A.5.28 | Collection of evidence | Art.33(1)Art.33(5)Art.34(1) | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-01, RS.MA-02, RC.CO-03: ذو صلة، وليس ربطًا | |
| A.5.32 | Intellectual property rights | Art.24(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.5.33 | Protection of records | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.34 | Privacy and protection of PII | Art.24(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.6.6 | Confidentiality or non-disclosure agreements | Art.29Art.32(4)Art.37(1)+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, GV.RR-03: ذو صلة، وليس ربطًا | |
| A.6.7 | Remote working | Art.24(2)Art.25(2)Art.28(1)+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, PR.AA-05, PR.PS-01: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 5 | ||||
| A.7.4 | Physical security monitoring | Art.29Art.32(4) | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| A.7.7 | Clear desk and clear screen | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.9 | Security of assets off-premises | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | Art.5(1)(e)Art.5(1)(f)Art.30(1)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | Art.30(1) | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 19 | ||||
| A.8.2 | Privileged access rights | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-05, PR.DS-01, PR.DS-02…: ذو صلة، وليس ربطًا | |
| A.8.4 | Access to source code | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.5 | Secure authentication | Art.25(2)Art.32(1)(b) | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.7 | Protection against malware | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.9 | Configuration management | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| A.8.12 | Data leakage prevention | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.17 | Clock synchronization | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10, PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.18 | Use of privileged utility programs | Art.25(2)Art.32(1)(b) | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.19 | Installation of software on operational systems | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.20 | Networks security | Art.5(1)(e)Art.5(1)(f)Art.28(1)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.21 | Security of network services | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.22 | Segregation of networks | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b)+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | Art.32(1)(b)Art.32(1)(c) | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.30 | Outsourced development | Art.5(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| A.8.31 | Separation of development, test and production environments | Art.25(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-06: ذو صلة، وليس ربطًا | |
| A.8.32 | Change management | Art.5(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| A.8.33 | Test information | Art.5(1)(e)Art.5(1)(f)Art.32(1)(a)+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.34 | Protection of information systems during audit testing | Art.5(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 7 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | Art.32(1)(b)Art.5(1)(e)Art.5(1)(f)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-04, PR.DS-01, PR.DS-02, PR.DS-10…: ذو صلة، وليس ربطًا | |
| Clause 7.1 | Resources | Art.37(1)Art.39(1) | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03: ذو صلة، وليس ربطًا | |
| Clause 7.2 | Competence | Art.37(1)Art.39(1) | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02, GV.RR-03: ذو صلة، وليس ربطًا | |
| Clause 8.1 | Operational planning and control | Art.28(1)Art.32(1)(b) | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-03, RC.RP-04: ذو صلة، وليس ربطًا | |
| Clause 9.3.1 | General | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.2 | Management review inputs | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.3 | Management review results | Art.28(1) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
مُطابَق (47)
| ISO 27001 | المتطلب | تطابق | GDPR | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 23 | ||||
| A.5.1 | Policies for information security | تحريري | Art.24(2) | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| A.5.2 | Information security roles and responsibilities | تحريري | Art.37(1)Art.39(1) | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| A.5.4 | Management responsibilities | تحريري | Art.37(1)Art.39(1) | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| A.5.5 | Contact with authorities | تحريري | Art.33(1)Art.34(1) | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.5.9 | Inventory of information and other associated assets | تحريري | Art.30(1) | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.11 | Return of assets | تحريري | Art.30(1) | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.14 | Information transfer | تحريري | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| A.5.15 | Access control | تحريري | Art.25(2)Art.32(1)(b) | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.16 | Identity management | تحريري | Art.25(2)Art.32(1)(b) | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.18 | Access rights | تحريري | Art.25(2)Art.32(1)(b) | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.19 | Information security in supplier relationships | تحريري | Art.28(1)Art.28(3) | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.20 | Addressing information security within supplier agreements | تحريري | Art.28(1)Art.28(3) | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.21 | Managing information security in the ICT supply chain | تحريري | Art.28(1) | الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر) |
| A.5.22 | Monitoring, review and change management of supplier services | تحريري | Art.28(1)Art.28(3) | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.23 | Information security for use of cloud services | تحريري | Art.28(1) | الموضوع نفسه: أمن السحابة (اختيار المحرر) |
| A.5.24 | Information security incident management planning and preparation | تحريري | Art.33(1)Art.33(5) | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| A.5.25 | Assessment and decision on information security events | تحريري | Art.33(1)Art.33(5) | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| A.5.26 | Response to information security incidents | تحريري | Art.33(1)Art.33(5)Art.34(1) | الموضوع نفسه: الاستجابة للحوادث, التواصل والاستعادة (اختيار المحرر) |
| A.5.29 | Information security during disruption | تحريري | Art.32(1)(b)Art.32(1)(c) | الموضوع نفسه: استمرارية الأعمال, تخطيط الاستعادة (اختيار المحرر) |
| A.5.30 | ICT readiness for business continuity | تحريري | Art.32(1)(b)Art.32(1)(c) | الموضوع نفسه: استمرارية الأعمال, تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | تحريري | Art.5(2) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.36 | Compliance with policies, rules and standards for information security | تحريري | Art.5(2) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.37 | Documented operating procedures | تحريري | Art.24(2) | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | تحريري | Art.29Art.32(4) | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| A.6.3 | Information security awareness, education and training | تحريري | Art.39(1)(b) | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| A.6.4 | Disciplinary process | تحريري | Art.29Art.32(4) | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| A.6.8 | Information security event reporting | تحريري | Art.33(1)Art.34(1) | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.7 Physical controls · 1 | ||||
| A.7.14 | Secure disposal or re-use of equipment | تحريري | Art.30(1) | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.8 Technological controls · 12 | ||||
| A.8.3 | Information access restriction | تحريري | Art.25(2)Art.32(1)(b) | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | تحريري | Art.32(1)(d) | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| A.8.10 | Information deletion | تحريري | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| A.8.11 | Data masking | تحريري | Art.5(1)(e)Art.5(1)(f)Art.32(1)(b) | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| A.8.13 | Information backup | تحريري | Art.32(1)(c) | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| A.8.14 | Redundancy of information processing facilities | تحريري | Art.32(1)(b)Art.32(1)(c) | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث (اختيار المحرر) |
| A.8.16 | Monitoring activities | تحريري | Art.29Art.32(4) | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| A.8.24 | Use of cryptography | تحريري | Art.32(1)(a)Art.34(3)(a) | الموضوع نفسه: التشفير (اختيار المحرر) |
| A.8.25 | Secure development life cycle | تحريري | Art.25(1) | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.26 | Application security requirements | تحريري | Art.25(1) | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.28 | Secure coding | تحريري | Art.25(1) | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.29 | Security testing in development and acceptance | تحريري | Art.25(1) | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| ISMS clauses 4–10 · 7 | ||||
| Clause 5.2 | Policy | تحريري | Art.24(2) | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| Clause 6.1.1 | General | تحريري | Art.24(1)Art.32(2) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| Clause 6.1.2 | Information security risk assessment | تحريري | Art.35(1)Art.35(7) | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| Clause 6.1.3 | Information security risk treatment | تحريري | Art.24(1)Art.32(2)Art.35(1)+1 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر (اختيار المحرر) |
| Clause 7.3 | Awareness | تحريري | Art.39(1)(b) | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| Clause 7.4 | Communication | تحريري | Art.34(1) | الموضوع نفسه: التواصل والاستعادة (اختيار المحرر) |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | تحريري | Art.5(2) | الموضوع نفسه: الامتثال (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (23):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطرإدارة الثغراتالتحكم في الوصولالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالتطوير الآمنأمن السحابةالاستجابة للحوادثالإبلاغتخطيط الاستعادةاستمرارية الأعمالالتواصل والاستعادةالتعافي من الكوارثالتهديدات الداخليةإدارة مخاطر الموردين
ISO 27001 فقط (27):
بيئة الأعمالتصنيف البياناتاستخبارات التهديداتالمصادقة متعددة العناصرالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمان نظام أسماء النطاقات (DNS)WAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالطب الشرعي الرقميالاتصالاتالتخفيفالدروس المستفادةأمن واجهات برمجة التطبيقاتالأمن المادي
الأسئلة
هل يجعلك ISO 27001 متوافقًا مع GDPR؟
لا. يدعم ISO 27001 الالتزامات الأمنية، وبخاصة المادة 32، لكن GDPR يشمل أيضًا المعالجة المشروعة، والشفافية، وحقوق أصحاب البيانات وغيرها.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.