المقارنة
ISO 27001 مقابل قاعدة الأمن في HIPAA: نظام إدارة أمن المعلومات لحماية ePHI
ISO/IEC 27001:2022 · HIPAA Security Rule · بيانات 2026-10-27
ISO/IEC 27001 هو نظام إدارة دولي قابل للاعتماد بالشهادة، أما قاعدة الأمن في HIPAA فهي متطلب قانوني أمريكي لحماية المعلومات الصحية المحمية الإلكترونية. وتتجه المؤسسات الصحية ومورّدوها بشكل متزايد إلى استخدام نظام إدارة أمن المعلومات وفق ISO 27001 كوسيلة لتشغيل ضوابط الحماية الخاصة بـ HIPAA، لا سيما عندما تعمل على نطاق دولي.
عند الانتقال من ISO إلى HIPAA، تكون كل معيار ومواصفة تقريبًا في قاعدة الأمن مرتبطة بالمتطلبات المقابلة أو ذات صلة فضفاضة بها. فتحليل المخاطر وإدارتها، وأمن القوى العاملة، والتحكم في الوصول، وضوابط التدقيق، والسلامة، وأمن النقل، وتخطيط الطوارئ، والوصول إلى المرافق، كلها لها نظائر في الملحق A. أما ما يتبقى فهو في معظمه محتوى قانوني خاص بـ HIPAA، مثل شروط عقود شركاء الأعمال وإعادة استخدام الوسائط.
عند الانتقال من HIPAA إلى ISO، هناك المزيد لإضافته. فHIPAA لا يشترط نظام إدارة، لذلك تُعد بنود ISO (النطاق، والقيادة، والأهداف، والمعلومات الموثقة، والتدقيق الداخلي، ومراجعة الإدارة) عناصر جديدة. وكذلك ضوابط التطوير الآمن (دورة حياة التطوير الآمن، والبرمجة الآمنة، واختبار الأمن)، التي لا يتناولها HIPAA بشكل مباشر.
إذا كنت تحصل على شهادة ISO 27001، فاجعل ePHI جزءًا صريحًا من نطاق نظام إدارة أمن المعلومات، واحرص على أن يظل تحليل المخاطر الخاص بـ HIPAA قابلًا للتتبع إلى تقييم المخاطر وفق ISO.
أهم النقاط
- ISO → HIPAA: أضف اتفاقيات شركاء الأعمال والتوثيق الخاص بـ HIPAA.
- HIPAA → ISO: ابنِ نظام إدارة أمن المعلومات حول تحليل المخاطر القائم لديك؛ وأضف ضوابط التطوير الآمن إذا كنت تطوّر البرمجيات.
- شهادة ISO وحدها ليست دليلًا على الامتثال لـ HIPAA.
من أصل 69 متطلبًا في HIPAA Security Rule، يُطابق 38 شيئًا في ISO 27001، وترتبط 29 بشكل فضفاض فقط، ولا يوجد ربط لـ 2 في بياناتنا.
تغطي قاعدة الأمان في HIPAA فقط (وليس قاعدتي الخصوصية وإشعار خرق البيانات).
عمل جديد على الأرجح: متطلبات HIPAA لا يوجد لها ربط بـ ISO 27001 (2)
| HIPAA | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (29)
| HIPAA | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | A.5.1A.5.19A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(3) | Workforce Security | A.5.1A.5.15A.5.19+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | A.5.1A.8.16A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | A.5.1A.5.19A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | A.5.14A.5.3A.5.15+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.AA-05, PR.DS-01, PR.DS-02…: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | A.5.1A.8.16A.5.14+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | A.5.1A.5.15A.5.19+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | A.6.3A.8.15Clause 7.3+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AT-01, PR.AT-02, DE.AE-03, PR.PS-04: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | A.6.3Clause 7.3A.5.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AT-01, PR.AT-02: ذو صلة، وليس ربطًا | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | Clause 6.1.1Clause 6.1.2Clause 6.1.3+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-04, ID.RA-05: ذو صلة، وليس ربطًا | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | A.5.19A.5.22A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A.7.4A.7.12A.8.13+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, PR.AA-06, PR.IR-02, PR.DS-11…: ذو صلة، وليس ربطًا | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | A.5.1A.5.19A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | A.5.15A.8.2Clause 9.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-05, PR.DS-10, DE.CM-03…: ذو صلة، وليس ربطًا | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | A.5.15A.5.16A.5.17+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | A.5.3A.5.10A.5.13+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| §164.312(e)(1) | Transmission Security | A.5.3A.5.10A.5.13+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | A.5.3A.5.10A.5.13+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | A.5.19A.5.22A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(ii) | Required Other Arrangements | A.5.19A.5.22A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | A.5.19A.5.22A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| §164.314(b) | Requirements for Group Health Plans | A.5.19A.5.8A.5.9+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.IM-02: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.IM-02: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | A.5.19A.5.8A.5.9+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.IM-02: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | A.5.19A.5.22A.5.20+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-04, GV.SC-05, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | A.5.26A.5.28Clause 7.4+5 | يشترك فقط في الفئات الفرعية لـ CSF RS.CO-02, RS.CO-03, RS.MA-01, RS.MA-02…: ذو صلة، وليس ربطًا | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | A.5.19A.5.8A.5.9+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.IM-02: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(i) | Required Time Limit | A.5.9A.5.8A.5.11+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(ii) | Required Availability | A.5.1A.6.7A.5.19+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.PO-01, GV.PO-02, GV.SC-03…: ذو صلة، وليس ربطًا | |
مُطابَق (38)
| HIPAA | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | جدول المطابقة | Clause 6.1.2Clause 6.1.3A.8.8+1 | الموضوع نفسه: تقييم المخاطر, إدارة الثغرات |
| §164.308(a)(1)(ii)(B) | Required Risk Management | تحريري | A.8.8Clause 6.1.1Clause 6.1.3+1 | الموضوع نفسه: إدارة الثغرات, إدارة المخاطر (اختيار المحرر) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | تحريري | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | جدول المطابقة | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC, المراقبة المستمرة |
| §164.308(a)(2) | Assigned Security Responsibility | جدول المطابقة | A.5.2A.5.4 | الموضوع نفسه: الأدوار والمسؤوليات |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | جدول المطابقة | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية |
| §164.308(a)(4) | Information Access Management | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| §164.308(a)(5) | Security Awareness and Training | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | تحريري | A.8.1A.8.7A.8.19 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| §164.308(a)(6) | Security Incident Procedures | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| §164.308(a)(6)(ii) | Required Response and Reporting | جدول المطابقة | A.5.5A.5.24A.5.25+2 | الموضوع نفسه: الإبلاغ, الاستجابة للحوادث |
| §164.308(a)(7) | Contingency Plan | جدول المطابقة | A.5.29A.5.30 | الموضوع نفسه: تخطيط الاستعادة |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: استمرارية الأعمال |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | تحريري | A.5.30A.8.14 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| §164.308(a)(8) | Evaluation | جدول المطابقة | A.8.8A.5.31A.5.36+1 | الموضوع نفسه: إدارة الثغرات, الامتثال |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | جدول المطابقة | A.5.19A.5.20A.5.22+1 | الموضوع نفسه: إدارة مخاطر الموردين |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | تحريري | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| §164.310(b) | Workstation Use | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| §164.310(c) | Workstation Security | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| §164.310(d) | Device and Media Controls | جدول المطابقة | A.5.9A.5.11A.7.14+2 | الموضوع نفسه: إدارة الأصول |
| §164.310(d)(2)(i) | Required Disposal | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| §164.310(d)(2)(iii) | Addressable Accountability | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| §164.312(a)(2)(i) | Required Unique User Identification | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | جدول المطابقة | A.8.24 | الموضوع نفسه: التشفير |
| §164.312(b) | Audit Controls | جدول المطابقة | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق |
| §164.312(c) | Integrity | جدول المطابقة | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات |
| §164.312(d) | Person or Entity Authentication | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.312(e)(2)(ii) | Addressable Encryption | جدول المطابقة | A.8.24 | الموضوع نفسه: التشفير |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | جدول المطابقة | A.5.1A.5.37Clause 5.2 | الموضوع نفسه: سياسة الحوكمة |
| §164.316(b)(2)(iii) | Required Updates | جدول المطابقة | A.5.1A.5.37Clause 5.2 | الموضوع نفسه: سياسة الحوكمة |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 58 شيئًا في HIPAA، وترتبط 46 بشكل فضفاض فقط، ولا يوجد ربط لـ 19 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ HIPAA (19)
| ISO 27001 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 1 | ||||
| A.5.35 | Independent review of information security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| A.8 Technological controls · 4 | ||||
| A.8.25 | Secure development life cycle | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| A.8.28 | Secure coding | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| A.8.29 | Security testing in development and acceptance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| A.8.31 | Separation of development, test and production environments | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| ISMS clauses 4–10 · 14 | ||||
| Clause 4.1 | Understanding the organization and its context | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 4.4 | Information security management system | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 5.3 | Organizational roles, responsibilities and authorities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 6.2 | Information security objectives and planning to achieve them | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 6.3 | Planning of changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 7.1 | Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 9.2.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 9.2.2 | Internal audit programme | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (46)
| ISO 27001 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 14 | ||||
| A.5.3 | Segregation of duties | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: ذو صلة، وليس ربطًا | |
| A.5.6 | Contact with special interest groups | §164.308(a)(6)§164.308(a)(1)§164.308(a)(3)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, RS.CO-03: ذو صلة، وليس ربطًا | |
| A.5.7 | Threat intelligence | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+1 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-07, ID.RA-03, ID.RA-05: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | §164.308(b)(4)§164.314(a)§164.314(a)(2)(i)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.12 | Classification of information | §164.308(a)(1)(ii)(B)§164.308(b)(4)§164.316(a)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-05, ID.AM-08, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.13 | Labelling of information | §164.308(b)(4)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | §164.310(b)§164.312(a)(2)(i)§164.312(d)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.21 | Managing information security in the ICT supply chain | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-03, GV.SC-09, GV.SC-10: ذو صلة، وليس ربطًا | |
| A.5.27 | Learning from information security incidents | §164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)§164.308(a)(6)+4 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-03, ID.IM-04, RC.RP-06, RS.AN-03…: ذو صلة، وليس ربطًا | |
| A.5.28 | Collection of evidence | §164.308(a)(1)(ii)(D)§164.308(a)(6)(ii)§164.314(a)(2)(i)+4 | يشترك فقط في الفئات الفرعية لـ CSF RC.CO-03, RS.AN-06, RS.AN-07, RS.MA-01…: ذو صلة، وليس ربطًا | |
| A.5.32 | Intellectual property rights | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.5.33 | Protection of records | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.34 | Privacy and protection of PII | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | §164.308(b)(1)§164.312(c)§164.314(a)(2)(ii)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, PR.DS-01, PR.DS-02, PR.DS-10…: ذو صلة، وليس ربطًا | |
| A.6.6 | Confidentiality or non-disclosure agreements | §164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)§164.308(a)(3)(ii)(C)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | §164.308(a)(7)(ii)(B)§164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.7.9 | Security of assets off-premises | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | §164.308(b)(4)§164.308(a)(1)(ii)(B)§164.308(a)(1)(ii)(D)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | §164.310(a)(2)(ii)§164.308(a)(1)(ii)(B)§164.308(a)(7)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 17 | ||||
| A.8.2 | Privileged access rights | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(a)(3)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10…: ذو صلة، وليس ربطًا | |
| A.8.4 | Access to source code | §164.308(a)(4)(ii)(A)§164.308(a)(1)(ii)(D)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.5 | Secure authentication | §164.312(a)(2)(i)§164.312(d)§164.308(a)(3)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.6 | Capacity management | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| A.8.9 | Configuration management | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| A.8.12 | Data leakage prevention | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.18 | Use of privileged utility programs | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| A.8.20 | Networks security | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)§164.308(a)(4)(ii)(B)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.IR-01, PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.21 | Security of network services | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.22 | Segregation of networks | §164.308(a)(4)(ii)(A)§164.308(b)(1)§164.308(b)(4)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | §164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.26 | Application security requirements | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | §164.308(a)(7)(ii)(D) | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.30 | Outsourced development | §164.308(a)(8) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| A.8.32 | Change management | §164.308(a)(8)§164.308(a)(1)(ii)(D) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03, ID.RA-07: ذو صلة، وليس ربطًا | |
| A.8.33 | Test information | §164.308(a)(1)(ii)(D)§164.308(a)(4)(ii)(A)§164.308(a)(7)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.34 | Protection of information systems during audit testing | §164.308(a)(8) | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 8 | ||||
| Clause 4.2 | Understanding the needs and expectations of interested parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)(2)(ii)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, GV.SC-06, PR.DS-01, PR.DS-02…: ذو صلة، وليس ربطًا | |
| Clause 7.2 | Competence | §164.308(a)(2) | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02: ذو صلة، وليس ربطًا | |
| Clause 7.4 | Communication | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(1)(ii)(D)+5 | يشترك فقط في الفئات الفرعية لـ CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: ذو صلة، وليس ربطًا | |
| Clause 8.1 | Operational planning and control | §164.308(a)(6)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-03, RC.RP-04: ذو صلة، وليس ربطًا | |
| Clause 9.3.1 | General | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-02, PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.2 | Management review inputs | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-02, PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.3 | Management review results | §164.310(d)§164.316(b)(2)(ii)§164.316(b)(2)(iii)+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-02, PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 10.1 | Continual improvement | §164.308(a)(6)§164.308(a)(6)(ii) | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-01, ID.IM-02, ID.IM-03, RC.RP-06: ذو صلة، وليس ربطًا | |
مُطابَق (58)
| ISO 27001 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 22 | ||||
| A.5.1 | Policies for information security | جدول المطابقة | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة |
| A.5.2 | Information security roles and responsibilities | جدول المطابقة | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.4 | Management responsibilities | جدول المطابقة | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.5 | Contact with authorities | جدول المطابقة | §164.308(a)(6)(ii) | الموضوع نفسه: الإبلاغ |
| A.5.9 | Inventory of information and other associated assets | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| A.5.11 | Return of assets | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| A.5.14 | Information transfer | جدول المطابقة | §164.312(c)§164.310(d)(2)(i) | الموضوع نفسه: حماية البيانات |
| A.5.15 | Access control | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول |
| A.5.16 | Identity management | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول |
| A.5.18 | Access rights | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول |
| A.5.19 | Information security in supplier relationships | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.20 | Addressing information security within supplier agreements | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.22 | Monitoring, review and change management of supplier services | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.23 | Information security for use of cloud services | جدول المطابقة | §164.308(b)(1) | الموضوع نفسه: أمن السحابة |
| A.5.24 | Information security incident management planning and preparation | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث |
| A.5.25 | Assessment and decision on information security events | جدول المطابقة | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث |
| A.5.26 | Response to information security incidents | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث, التخفيف |
| A.5.29 | Information security during disruption | جدول المطابقة | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C) | الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال |
| A.5.30 | ICT readiness for business continuity | جدول المطابقة | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+1 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث, استمرارية الأعمال |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.36 | Compliance with policies, rules and standards for information security | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.37 | Documented operating procedures | جدول المطابقة | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | جدول المطابقة | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | الموضوع نفسه: التهديدات الداخلية |
| A.6.3 | Information security awareness, education and training | جدول المطابقة | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب |
| A.6.4 | Disciplinary process | جدول المطابقة | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | الموضوع نفسه: التهديدات الداخلية |
| A.6.7 | Remote working | تحريري | §164.310(d) | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| A.6.8 | Information security event reporting | جدول المطابقة | §164.308(a)(6)(ii) | الموضوع نفسه: الإبلاغ |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.2 | Physical entry | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.3 | Securing offices, rooms and facilities | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.4 | Physical security monitoring | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.5 | Protecting against physical and environmental threats | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.6 | Working in secure areas | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.8 | Equipment siting and protection | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.11 | Supporting utilities | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.12 | Cabling security | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| A.7.14 | Secure disposal or re-use of equipment | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| A.8 Technological controls · 13 | ||||
| A.8.1 | User endpoint devices | تحريري | §164.308(a)(5)(ii)(B)§164.310(d) | الموضوع نفسه: حماية نقاط النهاية, أمن الأجهزة المحمولة (اختيار المحرر) |
| A.8.3 | Information access restriction | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول |
| A.8.7 | Protection against malware | تحريري | §164.308(a)(5)(ii)(B) | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | جدول المطابقة | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة الثغرات |
| A.8.10 | Information deletion | جدول المطابقة | §164.312(c)§164.310(d)(2)(i) | الموضوع نفسه: حماية البيانات |
| A.8.11 | Data masking | جدول المطابقة | §164.312(c)§164.310(d)(2)(i) | الموضوع نفسه: حماية البيانات |
| A.8.13 | Information backup | جدول المطابقة | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| A.8.14 | Redundancy of information processing facilities | جدول المطابقة | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | الموضوع نفسه: التعافي من الكوارث, استمرارية الأعمال |
| A.8.15 | Logging | جدول المطابقة | §164.312(b) | الموضوع نفسه: التسجيل والتدقيق |
| A.8.16 | Monitoring activities | جدول المطابقة | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | الموضوع نفسه: المراقبة المستمرة, SIEM / SOC, التهديدات الداخلية |
| A.8.17 | Clock synchronization | جدول المطابقة | §164.312(b) | الموضوع نفسه: التسجيل والتدقيق |
| A.8.19 | Installation of software on operational systems | تحريري | §164.308(a)(5)(ii)(B) | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.24 | Use of cryptography | جدول المطابقة | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | الموضوع نفسه: التشفير |
| ISMS clauses 4–10 · 8 | ||||
| Clause 5.2 | Policy | جدول المطابقة | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة |
| Clause 6.1.1 | General | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| Clause 6.1.2 | Information security risk assessment | جدول المطابقة | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر |
| Clause 6.1.3 | Information security risk treatment | جدول المطابقة | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | الموضوع نفسه: تقييم المخاطر, إدارة المخاطر |
| Clause 7.3 | Awareness | جدول المطابقة | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب |
| Clause 8.2 | Information security risk assessment | تحريري | §164.308(a)(1)(ii)(A) | تحرير ControlMapping: HIPAA's risk analysis is the ISO 27001 risk assessment (6.1.2, 8.2); both NIST crosswalks route it through SP 800-53 RA-3. |
| Clause 8.3 | Information security risk treatment | تحريري | §164.308(a)(1)(ii)(B) | تحرير ControlMapping: HIPAA's risk management (reduce risk to a reasonable level) is ISO 27001 risk treatment (6.1.3, 8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (27):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطرإدارة الثغراتالتحكم في الوصولالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةحماية نقاط النهايةأمن الأجهزة المحمولةأمن السحابةالمراقبة المستمرةالتسجيل والتدقيقSIEM / SOCالاستجابة للحوادثالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالتعافي من الكوارثالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
ISO 27001 فقط (23):
مخاطر سلسلة التوريدبيئة الأعمالتصنيف البياناتاستخبارات التهديداتالمصادقة متعددة العناصرالوصول المميزجدار الحماية / تجزئة الشبكةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمان نظام أسماء النطاقات (DNS)WAFDLPكشف التسللاكتشاف الشذوذالطب الشرعي الرقميالاتصالاتالدروس المستفادةالتواصل والاستعادةأمن واجهات برمجة التطبيقات
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.