المقارنة

ISO 27001 مقابل PCI DSS: نظام إدارة مقابل قواعد تفصيلية لبيانات البطاقات

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · بيانات 2026-10-27

حسب Paul Gillet · آخر تحديث 2026-10-17

PCI DSS v4.0.1 متطلب تعاقدي تفرضه شركات البطاقات على كل من يخزّن بيانات حاملي البطاقات أو يعالجها أو ينقلها. وهو معيار تفصيلي: نحو 250 متطلباً محدداً مع إجراءات اختبار، ويتم التحقق منه عبر مقيِّم أمن معتمد (QSA) أو استبيان التقييم الذاتي، بحسب مستواك. أما ISO/IEC 27001 فقائم على المخاطر: أنت تختار الضوابط وتبرر اختيارها لنطاق تحدده أنت.

يوفر نظام إدارة أمن المعلومات وفق ISO 27001 قاعدة قوية لعمل PCI. فالحوكمة وتقييم المخاطر والسياسات والتحكم في الوصول والتسجيل وإدارة الحوادث كلها تنتقل إلى هذا العمل، كما يساعد منهج ISO في إدارة المخاطر على تنفيذ تحليلات المخاطر المستهدفة في PCI DSS v4.

عند الانتقال من ISO إلى PCI DSS، توقع عدداً كبيراً من المتطلبات غير المطابقة وأخرى ذات صلة فضفاضة فقط. ولا يعود ذلك إلى ضعف ISO، بل إلى أن PCI يحدد بدقة ما يجب فعله وتواتره: قواعد الضوابط الأمنية للشبكة في بيئة بيانات حاملي البطاقات، وحماية بيانات الحساب المخزنة وأرقام الحسابات الأساسية (PAN)، ومتطلبات المصادقة المحددة والمصادقة متعددة العوامل، والفحوص ربع السنوية واختبارات الاختراق السنوية، ومراقبة سلامة الملفات وضوابط النصوص البرمجية في صفحة الدفع. وجزء من ذلك قيد في البيانات أيضاً: إذ يغطي جدول المطابقة الخاص بـ NIST لمعيار PCI جزءاً فقط من المعيار، لذلك لا يرتبط بعض متطلبات PCI بأي شيء منشور.

عند الانتقال من PCI DSS إلى ISO، تكون تغطية الملحق A جيدة، والفجوة تكمن في نظام الإدارة: نطاق ISMS والأهداف والمعلومات الموثقة والتدقيق الداخلي والمراجعة الإدارية.

نظرة سريعة

	ISO 27001	PCI DSS
ما الذي يحميه	جميع المعلومات ضمن نطاق ISMS	بيانات حسابات الدفع والأنظمة المحيطة بها
مدى التفصيل	قائم على المخاطر: أنت تختار الضوابط	تفصيلي: متطلبات محددة، كثير منها بتواترات ثابتة
من يشترطه	العملاء والمناقصات	شركات البطاقات، عبر عقود المستحوذين
التقييم	جهة الاعتماد	تقرير الامتثال الصادر عن QSA، أو استبيان التقييم الذاتي
التواتر	مراقبة رقابية سنوية، وإعادة اعتماد كل ثلاث سنوات	سنوي، مع فحوص خارجية ربع سنوية

استخدام ISO 27001 في PCI DSS

نظام ISMS يشمل بيئة بيانات حاملي البطاقات ضمن نطاقه يغطي جزءاً كبيراً من أعمال السياسات والمخاطر والحوكمة في PCI DSS، وتتطابق مجالات تقنية كثيرة معه. والعمل الجديد عادةً هو الإعدادات المحددة لـ PCI وتواتراتها: فحوص خارجية ربع سنوية يجريها مورد فحص معتمد (ASV)، والمصادقة متعددة العوامل لكل الدخول إلى بيئة بيانات حاملي البطاقات، وضوابط النصوص البرمجية في صفحة الدفع، وجداول مراجعة السجلات، وتفاصيل إدارة المفاتيح. وقائمة “لا يوجد ربط” أدناه هي المكان الذي يجب النظر فيه.

من يحتاج إلى أي معيار

ينطبق PCI DSS على أي منظمة تخزّن بيانات بطاقات الدفع أو تعالجها أو تنقلها، أو يمكن أن تؤثر على أمنها، لأن شركات البطاقات تشترطه عبر عقود المستحوذين. ويعتمد طريقة التحقق على مستواك: فأكبر التجار ومزودي الخدمات يحتاجون إلى تقرير امتثال سنوي من مقيِّم أمن معتمد (QSA)، بينما يكمل معظم الآخرين استبيان التقييم الذاتي. أما ISO 27001 فطوعي وأوسع نطاقاً: إذ يغطي كل أمن معلومات المنظمة، لا بيانات البطاقات وحدها، وينتهي بشهادة يعرفها العملاء.

خفّض نطاق PCI قبل بناء الضوابط

أرخص متطلبات PCI DSS هو الذي لا ينطبق عليك. قبل ربط ضوابط ISO بـ PCI، قلّص بيئة بيانات حاملي البطاقات:

استعن بجهة خارجية لصفحة الدفع. موقع التجارة الإلكترونية الذي يحوّل المستخدم إلى صفحة مزود دفع متوافق مع PCI، أو يضمّنها، يُبقي بيانات البطاقات بعيدة عن خوادمه، ويمكن أن يؤهله لأقصر استبيان، وهو SAQ A.
رمّز البيانات. استبدل أرقام البطاقات المخزنة برموز من مزود الدفع، بحيث لا تحتفظ أبداً بأرقام الحسابات الأساسية.
قسّم الشبكة. اعزل الأنظمة التي يجب أن تتعامل مع بيانات البطاقات عن بقية الأنظمة، واختبر فصل الشبكة.

كل نظام يُخرج من النطاق يزيل عشرات المتطلبات دفعة واحدة.

التكلفة والجهد

بالنسبة إلى منظمة حاصلة على شهادة ISO، تعتمد تكلفة PCI DSS تقريباً كلياً على النطاق. فمع صفحة دفع مُسندة بالكامل إلى جهة خارجية، قد يقتصر العمل على استبيان قصير وبضعة ضوابط. أما إذا كانت بيانات البطاقات موجودة في أنظمتك، فتوقع عملاً كبيراً في المتطلبات 3 (البيانات المخزنة) و8 (المصادقة) و10 (التسجيل) و11 (الاختبار)، إضافة إلى فحوص خارجية ربع سنوية يجريها مورد فحص معتمد، وفي المستويات الأعلى تقييم من QSA. أما أعمال الحوكمة فخفيفة، لأن نظام ISMS يغطي معظم المتطلب 12 أصلاً.

الجدول الزمني

ابدأ بتقليص النطاق أولاً، فقد يغيّر ذلك الجدول الزمني تماماً. بالنسبة إلى بيئة داخل النطاق، تحتاج منظمة حاصلة على شهادة ISO عادةً من ثلاثة إلى تسعة أشهر لسد فجوات PCI التقنية المحددة قبل أول تقييم، ويجب أن تكون الفحوص ربع السنوية قيد التشغيل قبل موعد التقييم. ادمج التواترات الثابتة لـ PCI (الفحوص ربع السنوية، والمراجعات كل ستة أشهر، والاختبارات السنوية) ضمن تقويم ISMS، ليتحقق التدقيق الداخلي منها مع بقية البنود.

مثال تطبيقي: متجر تجزئة إلكتروني

متجر تجزئة إلكتروني متوسط الحجم حاصل على شهادة ISO 27001 لمنصته للتجارة الإلكترونية، ويعالج مدفوعات البطاقات على خوادمه الخاصة. ويطلب المستحوذ الخاص به التحقق من PCI DSS. يُظهر تحليل الفجوات تداخلاً كبيراً في الحوكمة والاستجابة للحوادث وإدارة الموردين، لكن توجد فجوات كبيرة في المتطلب 3 (بيانات الحساب المخزنة) و6.4 (أمان صفحة الدفع) و11 (فحوص ASV واختبارات الاختراق).

يعيد المتجر أولاً هيكلة الدفع لاستخدام صفحة دفع مضمّنة من مزود الدفع، ويرمّز البطاقات المخزنة. لم تعد أنظمته الخاصة تتعامل مع أرقام البطاقات، فيختفي معظم الفجوة، ويتحقق من الامتثال عبر استبيان تقييم ذاتي قصير. وتغطي ضوابط ISO الخاصة به ما تبقى، مع كتابة تواترات PCI ضمن الإجراءات القائمة.

أخطاء شائعة

الربط قبل تحديد النطاق. بناء ضوابط لبيئة بيانات حاملي البطاقات كان يمكن أن يزيلها الترميز أو صفحة دفع مُسندة إلى جهة خارجية.
استخدام تواترات ISO. مراجعة الوصول السنوية تكفي ISO، لكن PCI DSS يشترط كل ستة أشهر. صمّم وفق إيقاع PCI.
نسيان مورد الفحص المعتمد (ASV). يجب أن تُجرى الفحوص الخارجية من مورد فحص معتمد، ربع سنوياً، مع نتائج ناجحة.
اعتبار شهادة ISO دليلاً على PCI. يحتاج المقيّمون إلى أدلة خاصة بـ PCI لكل متطلب.
إغفال صفحة الدفع. إدارة النصوص البرمجية والكشف عن العبث في صفحات الدفع من أكثر متطلبات v4.0.1 إغفالاً.

أهم النقاط

النطاق هو كل شيء في PCI: تقسيم بيئة بيانات حاملي البطاقات قد يقلص العمل بشكل كبير.
ISO → PCI: اربط ضوابط ISO بكل متطلب من PCI بشكل صريح، وتوقع إضافة تفاصيل التواتر والجوانب التقنية.
أصبحت متطلبات PCI DSS v4.0 ذات التواريخ المستقبلية إلزامية في 31 مارس 2025؛ تحقق من أنك تُقيّم وفق v4.0.1.

تنزيل هذه المقارنة (CSV) فتح في تحليل الفجوات →

لديك ISO 27001 → تحتاج PCI DSS

260 متطلبًا

77 مربوط · · 107 دون ربط فتح في عرض الفجوات →

من أصل 260 متطلبًا في PCI DSS v4.0.1، يُطابق 77 شيئًا في ISO 27001، وترتبط 76 بشكل فضفاض فقط، ولا يوجد ربط لـ 107 في بياناتنا.

عمل جديد على الأرجح: متطلبات PCI DSS لا يوجد لها ربط بـ ISO 27001 (107)

PCI DSS	المتطلب	تطابق	ISO 27001	الأدلة
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.2.5	Allowed services, protocols and ports approved	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.2.6	Security features defined for insecure services	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.2.7	Network security control rules reviewed every six months	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.2.8	Network security control configuration files secured	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.3.2	Outbound traffic from the CDE restricted	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.3.3	Network controls between wireless networks and the CDE	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.4.2	Inbound traffic from untrusted networks restricted	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.4.3	Anti-spoofing measures in place	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.4.4	Stored cardholder data not reachable from untrusted networks	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.4.5	Internal IP addresses and routing not disclosed	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
2.2.4	Only necessary services and functions enabled	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
2.2.5	Insecure services justified and secured	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
2.2.6	System security parameters set to prevent misuse	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
2.2.7	Non-console administrative access encrypted	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
2.3.2	Wireless keys changed when key holders leave	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.3.1.2	Card verification code not kept after authorisation	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.3.1.3	PIN and PIN block not kept after authorisation	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.3.2	Sensitive authentication data encrypted before authorisation	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.3.3	Issuer storage of sensitive authentication data limited and protected	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.5.1.2	Disk-level encryption used only where it suffices	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.2	Key management: secure key distribution	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.3	Key management: secure key storage	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.5	Key management: retiring weakened or compromised keys	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.6	Key management: split knowledge and dual control	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.7	Key management: preventing unauthorised key substitution	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.8	Key custodians formally acknowledge their responsibilities	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
3.7.9	Service providers give customers key-handling guidance	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
4.2.2	PAN secured when sent by end-user messaging	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
5.3.3	Removable media scanned or analysed	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
5.3.4	Anti-malware audit logs enabled and retained	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
5.3.5	Users cannot disable or alter anti-malware	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
6.5.2	PCI DSS requirements re-confirmed after significant changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
6.5.3	Pre-production environments separated from production	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
6.5.4	Duties separated between production and pre-production	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
6.5.5	Live PANs not used in pre-production	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
6.5.6	Test data and accounts removed before go-live	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
7.2.5	System and application accounts least privilege	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
7.2.6	Access to cardholder data repositories restricted	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
7.3.1	Access control system restricts access by need	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
7.3.2	Access control system enforces assigned permissions	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
7.3.3	Access control system set to deny by default	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.2.4	User ID changes authorised and controlled	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.2.7	Third-party remote access accounts enabled only when needed	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.3.2	Authentication factors unreadable in transit and storage	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.3.3	Identity verified before changing authentication factors	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.3.4	Account lockout after repeated failed attempts	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.3.11	Tokens, smart cards and certificates assigned to individuals	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
8.6.1	Interactive use of system accounts managed	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.3.3	Visitor badges returned or deactivated	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.3.4	Visitor log maintained and retained	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.4.1	Media with cardholder data physically secured	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.4.3	Media sent off site tracked and secured	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.4.4	Management approves media moved off site	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.4.5	Inventory logs of electronic media kept	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.4.5.1	Electronic media inventories at least annually	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.5.1	Card-reading (POI) devices protected from tampering	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
9.5.1.3	Staff trained to spot POI tampering	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.2	Logs capture administrative actions	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.3	Logs capture access to audit logs	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.4	Logs capture invalid access attempts	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.5	Logs capture credential and privilege changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.6	Logs capture starting, stopping or pausing logging	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.2.1.7	Logs capture system-level object changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.4.2	Other logs reviewed periodically	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.4.3	Exceptions and anomalies addressed	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.6.2	Time configuration correct and consistent	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
10.7.3	Security control failures responded to promptly	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.3.1.2	Internal scans use authenticated scanning	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.3.1.3	Internal scans after significant changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.3.2.1	External scans after significant changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.1	Penetration testing methodology defined	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.2	Internal penetration test at least annually	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.3	External penetration test at least annually	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.5	Segmentation controls tested at least annually	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.6	Service providers test segmentation every six months	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.4.7	Multi-tenant providers support customer penetration tests	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.5.1.1	Service providers detect covert malware communication	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
11.5.2	Change-detection on critical files	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
12.5.2.1	Service providers confirm scope every six months	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
12.6.2	Awareness programme reviewed annually	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
12.6.3.1	Training covers phishing and social engineering	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
12.6.3.2	Training covers acceptable use of technology	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.1.2	Multi-tenant providers: customers confined to their own environment	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.1.3	Multi-tenant providers: customers reach only their own data	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.1.4	Multi-tenant providers: separation tested every six months	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.2.1	Multi-tenant providers: audit logging for each customer	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.2.2	Multi-tenant providers: support customer forensic investigations	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A2.1.1	POI terminals using SSL or early TLS not exploitable	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A2.1.2	Service providers: migration plan off SSL and early TLS	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.
A2.1.3	Service providers offer a secure connection option	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع ISO 27001 في بياناتنا.

راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (76)

PCI DSS	المتطلب	تطابق	ISO 27001	الأدلة
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
1.1.2	Roles for network security controls assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
1.2.4	Accurate account-data flow diagram maintained	ذو صلة فضفاضة	A.5.19 A.5.20 A.5.22+5	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
2.1.2	Roles for secure configuration assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
2.3.1	Wireless vendor defaults changed	ذو صلة فضفاضة	A.5.15 A.5.3 A.5.10+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.DS-02: ذو صلة، وليس ربطًا
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
3.1.2	Roles for protecting stored account data assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
3.5.1.3	Disk encryption access managed separately from OS access	ذو صلة فضفاضة	A.5.15 A.5.1 A.5.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.DS-01: ذو صلة، وليس ربطًا
3.6.1.1	Service providers document their cryptographic architecture	ذو صلة فضفاضة	A.5.15 A.5.16 A.8.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01, PR.AA-04: ذو صلة، وليس ربطًا
3.6.1.2	Secret and private keys stored in approved forms	ذو صلة فضفاضة	A.5.15 A.5.16 A.8.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01, PR.AA-04: ذو صلة، وليس ربطًا
3.6.1.3	Cleartext key components accessible to fewest custodians	ذو صلة فضفاضة	A.5.15 A.5.16 A.8.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01, PR.AA-04: ذو صلة، وليس ربطًا
3.6.1.4	Keys stored in the fewest possible locations	ذو صلة فضفاضة	A.5.15 A.5.16 A.8.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01, PR.AA-04: ذو صلة، وليس ربطًا
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
4.1.2	Roles for protecting data in transit assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
5.1.2	Roles for malware protection assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
5.2.3	Systems without anti-malware periodically re-evaluated	ذو صلة فضفاضة	A.8.20 A.8.21 A.8.22+1	يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	ذو صلة فضفاضة	A.5.1 A.8.20 A.8.21+4	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, PR.IR-01: ذو صلة، وليس ربطًا
5.3.2.1	Scan frequency set by targeted risk analysis	ذو صلة فضفاضة	A.5.1 Clause 6.1.2 Clause 6.1.3	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
6.1.2	Roles for secure systems and software assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
6.2.3.1	Manual code reviews approved by someone else	ذو صلة فضفاضة	A.5.8 A.5.9 A.5.11+5	يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.3 A.5.14+5	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02, PR.AA-05: ذو صلة، وليس ربطًا
7.1.2	Roles for access restriction assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
7.2.5.1	System and application account access periodically reviewed	ذو صلة فضفاضة	A.5.1 A.5.3 A.5.14+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: ذو صلة، وليس ربطًا
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	ذو صلة فضفاضة	A.5.1 A.5.3 A.5.14+5	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02, PR.AA-05: ذو صلة، وليس ربطًا
8.1.2	Roles for identification and authentication assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
8.2.2	Shared or generic accounts only by documented exception	ذو صلة فضفاضة	A.7.4 A.8.2 A.8.3+3	يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03, PR.AA-02: ذو صلة، وليس ربطًا
8.2.5	Access revoked immediately on termination	ذو صلة فضفاضة	A.5.19 A.5.20 A.5.21+5	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-10: ذو صلة، وليس ربطًا
8.2.6	Inactive user accounts disabled within 90 days	ذو صلة فضفاضة	A.5.1 A.5.3 A.5.14+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا
8.2.8	Re-authentication after 15 minutes idle	ذو صلة فضفاضة	A.5.15 A.5.3 A.5.10+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.DS-10: ذو صلة، وليس ربطًا
8.3.5	First-use and reset passwords unique and changed	ذو صلة فضفاضة	A.8.2 A.8.3 A.8.5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-02: ذو صلة، وليس ربطًا
8.3.6	Minimum password length and complexity	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.3.7	Recent passwords cannot be reused	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.3.8	Authentication guidance communicated to users	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.3.9	Password-only access: change every 90 days or analyse risk	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.3.10	Service providers give customers password guidance	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.3.10.1	Service provider customer passwords: rotation or analysis	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
8.6.2	No hard-coded passwords for system accounts	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.18+2	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا
8.6.3	System account passwords protected and changed	ذو صلة فضفاضة	A.5.1 Clause 6.1.3 A.5.15+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: ذو صلة، وليس ربطًا
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+5	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
9.1.2	Roles for physical security assigned	ذو صلة فضفاضة	A.5.2 A.5.3 A.7.5+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02, PR.IR-02: ذو صلة، وليس ربطًا
9.2.4	Consoles in sensitive areas locked when unattended	ذو صلة فضفاضة	A.5.15 A.5.16 A.5.17+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
9.4.1.2	Security of offline backup location reviewed annually	ذو صلة فضفاضة	A.8.13 A.7.4	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03, DE.CM-02: ذو صلة، وليس ربطًا
9.4.6	Hard-copy media destroyed when no longer needed	ذو صلة فضفاضة	A.5.20 Clause 4.2 A.5.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.SC-10, PR.DS-01: ذو صلة، وليس ربطًا
9.4.7	Electronic media destroyed or made unrecoverable	ذو صلة فضفاضة	A.5.20 A.8.13 Clause 4.2+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: ذو صلة، وليس ربطًا
9.5.1.1	Inventory of POI devices kept	ذو صلة فضفاضة	A.5.9 A.5.19 A.5.20+5	يشترك فقط في الفئات الفرعية لـ CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: ذو صلة، وليس ربطًا
9.5.1.2	POI devices inspected for tampering	ذو صلة فضفاضة	A.7.4 A.5.9 A.5.19+5	يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: ذو صلة، وليس ربطًا
9.5.1.2.1	Inspection frequency set by targeted risk analysis	ذو صلة فضفاضة	A.5.1 Clause 6.1.2 Clause 6.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: ذو صلة، وليس ربطًا
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
10.1.2	Roles for logging and monitoring assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
10.2.2	Log entries record who, what, when, where and outcome	ذو صلة فضفاضة	A.5.25 A.5.27 A.5.28	يشترك فقط في الفئات الفرعية لـ CSF RS.AN-03, RS.AN-07: ذو صلة، وليس ربطًا
10.3.1	Read access to logs limited to need	ذو صلة فضفاضة	A.5.26 A.5.28 A.8.15+1	يشترك فقط في الفئات الفرعية لـ CSF DE.AE-06, RS.AN-06, PR.PS-04: ذو صلة، وليس ربطًا
10.3.3	Logs promptly backed up to a central server	ذو صلة فضفاضة	A.5.28 A.8.15 A.5.24+4	يشترك فقط في الفئات الفرعية لـ CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: ذو صلة، وليس ربطًا
10.3.4	File-integrity monitoring on logs	ذو صلة فضفاضة	A.5.24 A.5.25 A.5.28+5	يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02, RS.AN-06: ذو صلة، وليس ربطًا
10.4.2.1	Review frequency set by targeted risk analysis	ذو صلة فضفاضة	A.5.1 Clause 6.1.3 A.5.9+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: ذو صلة، وليس ربطًا
10.6.3	Time settings protected from change	ذو صلة فضفاضة	A.8.15 A.8.17	يشترك فقط في الفئات الفرعية لـ CSF PR.PS-04: ذو صلة، وليس ربطًا
10.7.1	Service providers detect security control failures	ذو صلة فضفاضة	A.5.1 A.5.19 Clause 9.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: ذو صلة، وليس ربطًا
10.7.2	Critical security control failures detected and reported	ذو صلة فضفاضة	A.5.1 A.5.19 Clause 9.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: ذو صلة، وليس ربطًا
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	ذو صلة فضفاضة	A.5.1 A.5.31 A.5.32+2	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
11.1.2	Roles for security testing assigned	ذو صلة فضفاضة	A.5.2 A.5.3 Clause 7.2	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا
11.2.1	Wireless access points detected and unauthorised ones handled	ذو صلة فضفاضة	A.8.15 A.8.16 A.8.20+3	يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	ذو صلة فضفاضة	A.5.1 Clause 6.1.2 Clause 6.1.3+2	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, ID.RA-05: ذو صلة، وليس ربطًا
11.4.4	Penetration test findings corrected and retested	ذو صلة فضفاضة	A.5.19 A.5.1 A.5.35+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, GV.OV-03, ID.IM-02: ذو صلة، وليس ربطًا
11.6.1	Payment page changes and tampering detected	ذو صلة فضفاضة	A.5.19 A.5.1 A.5.20+5	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: ذو صلة، وليس ربطًا
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	ذو صلة فضفاضة	A.5.1 A.8.32 Clause 6.1.2+1	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-06, ID.RA-07: ذو صلة، وليس ربطًا
12.3.3	Cipher suites and protocols reviewed annually	ذو صلة فضفاضة	A.5.1 A.5.3 A.5.10+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, PR.DS-02: ذو صلة، وليس ربطًا
12.3.4	Hardware and software technologies reviewed annually	ذو صلة فضفاضة	A.5.19 A.5.1 A.5.20+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: ذو صلة، وليس ربطًا
12.4.2.1	Service providers: quarterly review results documented	ذو صلة فضفاضة	A.5.1 A.5.19 A.5.35+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.OV-02, ID.IM-01: ذو صلة، وليس ربطًا
12.5.3	Service providers review scope after organisational change	ذو صلة فضفاضة	A.5.1 A.5.19 Clause 6.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, GV.RM-03, GV.RM-05: ذو صلة، وليس ربطًا
12.9.1	Service providers acknowledge responsibilities to customers	ذو صلة فضفاضة	A.5.19 A.5.20 A.5.31+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: ذو صلة، وليس ربطًا
12.9.2	Service providers support customer compliance requests	ذو صلة فضفاضة	A.5.19 A.5.20 A.5.31+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: ذو صلة، وليس ربطًا
12.10.4.1	Training frequency set by targeted risk analysis	ذو صلة فضفاضة	A.5.1 A.5.2 A.6.3+3	يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, PR.AT-02: ذو صلة، وليس ربطًا
12.10.5	Plan covers alerts from security monitoring	ذو صلة فضفاضة	A.5.26	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-08: ذو صلة، وليس ربطًا
12.10.7	Procedures for PAN found where it shouldn't be	ذو صلة فضفاضة	A.5.9	يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07: ذو صلة، وليس ربطًا

مُطابَق (77)

PCI DSS	المتطلب	تطابق	ISO 27001	الأدلة
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	تحريري	A.8.20 A.8.21 A.8.22	الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر)
1.2.3	Accurate network diagram maintained	جدول المطابقة	A.8.20 A.8.21 A.8.22	الموضوع نفسه: جدار الحماية / تجزئة الشبكة
1.3.1	Inbound traffic to the CDE restricted	تحريري	A.8.20 A.8.21 A.8.22	الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر)
1.4.1	Network controls between trusted and untrusted networks	تحريري	A.8.20 A.8.21 A.8.22	الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	جدول المطابقة	A.8.9	الموضوع نفسه: الإعدادات الآمنة
2.2.2	Vendor default accounts managed or removed	جدول المطابقة	A.8.9	الموضوع نفسه: الإعدادات الآمنة
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	جدول المطابقة	A.5.14 A.8.10 A.8.11	الموضوع نفسه: حماية البيانات
3.3.1	Sensitive authentication data not kept after authorisation	جدول المطابقة	A.5.14 A.8.10 A.8.11	الموضوع نفسه: حماية البيانات
3.4.1	PAN masked when displayed	جدول المطابقة	A.5.14 A.8.10 A.8.11	الموضوع نفسه: حماية البيانات
3.4.2	PAN copying prevented over remote-access technologies	تحريري	A.8.12	الموضوع نفسه: DLP (اختيار المحرر)
3.5.1	PAN rendered unreadable wherever stored	جدول المطابقة	A.8.24	الموضوع نفسه: التشفير
3.6.1	Procedures protect keys that secure stored account data	جدول المطابقة	A.8.24	الموضوع نفسه: التشفير
3.7.1	Key management: strong key generation	تحريري	A.8.24	الموضوع نفسه: التشفير (اختيار المحرر)
3.7.4	Key management: key changes at end of cryptoperiod	تحريري	A.8.24	الموضوع نفسه: التشفير (اختيار المحرر)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	جدول المطابقة	A.8.24	الموضوع نفسه: التشفير
4.2.1.1	Inventory of trusted keys and certificates kept	تحريري	A.8.24	الموضوع نفسه: التشفير (اختيار المحرر)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	جدول المطابقة	A.8.19 A.8.1 A.8.7	الموضوع نفسه: حماية نقاط النهاية
5.2.2	Anti-malware detects, removes or contains known malware	جدول المطابقة	A.8.19 A.8.1 A.8.7	الموضوع نفسه: حماية نقاط النهاية
5.3.2	Periodic scans or continuous behavioural analysis	جدول المطابقة	A.8.19 A.8.1 A.8.7	الموضوع نفسه: حماية نقاط النهاية
5.4.1	Mechanisms to detect and protect against phishing	تحريري	A.5.14	الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	تحريري	A.8.25 A.8.26 A.8.28+1	الموضوع نفسه: التطوير الآمن (اختيار المحرر)
6.2.2	Developers trained in secure software development	جدول المطابقة	A.8.25 A.8.26 A.8.28+1	الموضوع نفسه: التطوير الآمن
6.2.3	Custom code reviewed before release	جدول المطابقة	A.8.5 A.8.25 A.8.26+2	الموضوع نفسه: أمن واجهات برمجة التطبيقات, التطوير الآمن
6.2.4	Coding techniques prevent common software attacks	تحريري	A.8.5 A.8.26	الموضوع نفسه: أمن واجهات برمجة التطبيقات (اختيار المحرر)
6.3.1	Vulnerabilities identified and risk-ranked	جدول المطابقة	A.5.7 A.8.8	الموضوع نفسه: استخبارات التهديدات, إدارة الثغرات, إدارة الرقع
6.3.2	Inventory of custom software and its components	جدول المطابقة	A.5.9 A.5.11 A.5.19+2	الموضوع نفسه: إدارة الأصول, مخاطر سلسلة التوريد
6.3.3	Security patches installed promptly	جدول المطابقة	A.8.8	الموضوع نفسه: إدارة الرقع
6.4.1	Public web applications protected against attacks	تحريري	A.8.26	الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر)
6.4.2	Automated solution blocks attacks on public web apps	تحريري	A.8.20	الموضوع نفسه: WAF (اختيار المحرر)
6.4.3	Payment page scripts authorised and integrity-checked	تحريري	A.8.26	الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	جدول المطابقة	A.5.15 A.5.16 A.5.18+3	الموضوع نفسه: التحكم في الوصول, الثقة المعدومة
7.2.2	Access assigned by job function and least privilege	جدول المطابقة	A.5.15 A.5.16 A.5.18+3	الموضوع نفسه: التحكم في الوصول
7.2.4	User accounts and privileges reviewed every six months	جدول المطابقة	A.5.15 A.5.16 A.5.18+1	الموضوع نفسه: التحكم في الوصول
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	جدول المطابقة	A.5.15 A.5.16 A.5.18+1	الموضوع نفسه: التحكم في الوصول
8.3.1	User and admin access requires an authentication factor	جدول المطابقة	A.5.15 A.8.5 A.8.22	الموضوع نفسه: الثقة المعدومة
8.4.1	MFA for non-console administrative access to the CDE	تحريري	A.8.5	الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر)
8.4.2	MFA for all access into the CDE	تحريري	A.8.5	الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر)
8.4.3	MFA for remote network access	تحريري	A.8.5	الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر)
8.5.1	MFA systems configured to resist misuse	تحريري	A.8.5	الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	تحريري	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي (اختيار المحرر)
9.2.1.1	Access to sensitive areas monitored by camera or access control	تحريري	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي (اختيار المحرر)
9.2.3	Physical access to network hardware restricted	جدول المطابقة	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي
9.3.1	Personnel physical access authorised and managed	تحريري	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي (اختيار المحرر)
9.3.1.1	Sensitive-area access authorised and revoked promptly	جدول المطابقة	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي
9.3.2	Visitor access authorised, escorted and identifiable	تحريري	A.7.1 A.7.2 A.7.3+6	الموضوع نفسه: الأمن المادي (اختيار المحرر)
9.4.1.1	Offline backup media stored securely	جدول المطابقة	A.8.13	الموضوع نفسه: النسخ الاحتياطي والاستعادة
9.4.2	Media classified by data sensitivity	تحريري	A.5.12 A.5.13	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	جدول المطابقة	A.6.1 A.6.4 A.8.15+2	الموضوع نفسه: التهديدات الداخلية, التسجيل والتدقيق
10.3.2	Logs protected from modification	جدول المطابقة	A.5.28 A.8.15 A.8.17	الموضوع نفسه: الطب الشرعي الرقمي, التسجيل والتدقيق
10.4.1	Security event and critical logs reviewed daily	جدول المطابقة	A.5.25 A.8.16	الموضوع نفسه: SIEM / SOC, المراقبة المستمرة
10.4.1.1	Automated mechanisms for log review	تحريري	A.8.16	الموضوع نفسه: اكتشاف الشذوذ (اختيار المحرر)
10.5.1	Audit logs retained 12 months, three immediately available	تحريري	A.8.15 A.8.17	الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر)
10.6.1	System clocks synchronised	جدول المطابقة	A.8.15 A.8.17	الموضوع نفسه: التسجيل والتدقيق
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	جدول المطابقة	A.8.8	الموضوع نفسه: إدارة الثغرات
11.3.2	External ASV scans every three months	جدول المطابقة	A.8.8	الموضوع نفسه: إدارة الثغرات
11.5.1	Intrusion detection or prevention on network traffic	تحريري	A.8.16	الموضوع نفسه: كشف التسلل (اختيار المحرر)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	جدول المطابقة	A.5.1 A.5.37 Clause 5.2	الموضوع نفسه: سياسة الحوكمة
12.1.2	Security policy reviewed at least annually	جدول المطابقة	A.5.1 A.5.37 Clause 5.2	الموضوع نفسه: سياسة الحوكمة
12.1.3	Security roles and responsibilities defined	جدول المطابقة	A.5.2 A.5.4	الموضوع نفسه: الأدوار والمسؤوليات
12.1.4	Executive responsibility for information security assigned	جدول المطابقة	A.5.2 A.5.4	الموضوع نفسه: الأدوار والمسؤوليات
12.3.1	Targeted risk analysis for flexible-frequency requirements	جدول المطابقة	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	الموضوع نفسه: إدارة المخاطر, تقييم المخاطر
12.4.2	Service providers: quarterly reviews of operational tasks	جدول المطابقة	A.5.31 Clause 9.1 A.5.36	الموضوع نفسه: الامتثال
12.5.1	Inventory of in-scope system components	جدول المطابقة	A.5.9 A.5.11 A.7.14	الموضوع نفسه: إدارة الأصول
12.5.2	PCI DSS scope confirmed annually and on change	جدول المطابقة	Clause 4.1 Clause 4.2	الموضوع نفسه: بيئة الأعمال
12.6.1	Formal security awareness programme	جدول المطابقة	A.6.3 Clause 7.3	الموضوع نفسه: التوعية والتدريب
12.6.3	Awareness training on hire and at least annually	جدول المطابقة	A.6.3 Clause 7.3	الموضوع نفسه: التوعية والتدريب
12.7.1	Personnel screened before hire	جدول المطابقة	A.6.1 A.6.4 A.8.16	الموضوع نفسه: التهديدات الداخلية
12.8.1	List of third-party service providers kept	جدول المطابقة	A.5.19 A.5.20 A.5.21+2	الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين
12.8.2	Written agreements with service providers	جدول المطابقة	A.5.19 A.5.20 A.5.22	الموضوع نفسه: إدارة مخاطر الموردين
12.8.3	Due diligence before engaging service providers	جدول المطابقة	A.5.19 A.5.20 A.5.22	الموضوع نفسه: إدارة مخاطر الموردين
12.8.4	Service provider compliance monitored annually	جدول المطابقة	A.5.19 A.5.20 A.5.22	الموضوع نفسه: إدارة مخاطر الموردين
12.8.5	Responsibilities split with each provider documented	جدول المطابقة	A.5.19 A.5.20 A.5.22+1	الموضوع نفسه: إدارة مخاطر الموردين
12.10.1	Incident response plan ready to activate	جدول المطابقة	A.5.5 A.5.24 A.5.25+5	الموضوع نفسه: الإبلاغ, الاستجابة للحوادث
12.10.2	Incident response plan reviewed and tested annually	جدول المطابقة	A.5.24 A.5.25 A.5.26	الموضوع نفسه: الاستجابة للحوادث
12.10.3	Incident response staff available around the clock	جدول المطابقة	A.5.24 A.5.25 A.5.26	الموضوع نفسه: الاستجابة للحوادث
12.10.4	Incident response staff trained	جدول المطابقة	A.5.24 A.5.25 A.5.26	الموضوع نفسه: الاستجابة للحوادث
12.10.6	Plan updated from lessons learned and industry changes	جدول المطابقة	A.5.27 Clause 10.1	الموضوع نفسه: الدروس المستفادة

لديك PCI DSS → تحتاج ISO 27001

123 متطلبًا

76 مربوط · · 10 دون ربط فتح في عرض الفجوات →

من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 76 شيئًا في PCI DSS، وترتبط 37 بشكل فضفاض فقط، ولا يوجد ربط لـ 10 في بياناتنا.

عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ PCI DSS (10)

ISO 27001	المتطلب	تطابق	PCI DSS	الأدلة
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 5.1	Leadership and commitment	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 6.2	Information security objectives and planning to achieve them	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 6.3	Planning of changes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 7.5.1	General	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 7.5.2	Creating and updating	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 7.5.3	Control of documented information	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 9.2.1	General	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 9.2.2	Internal audit programme	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.
Clause 10.2	Nonconformity and corrective action	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع PCI DSS في بياناتنا.

راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (37)

ISO 27001	المتطلب	تطابق	PCI DSS	الأدلة
A.5 Organizational controls · 9
A.5.3	Segregation of duties	ذو صلة فضفاضة	7.2.2 12.1.3 1.1.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-10, GV.RR-02: ذو صلة، وليس ربطًا
A.5.6	Contact with special interest groups	ذو صلة فضفاضة	12.10.6 10.7.1 10.7.2+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, RS.CO-03: ذو صلة، وليس ربطًا
A.5.8	Information security in project management	ذو صلة فضفاضة	1.2.3 1.2.4 6.2.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, ID.AM-08: ذو صلة، وليس ربطًا
A.5.10	Acceptable use of information and other associated assets	ذو صلة فضفاضة	2.3.1 3.2.1 3.3.1+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-10, PR.DS-01: ذو صلة، وليس ربطًا
A.5.17	Authentication information	ذو صلة فضفاضة	2.2.2 2.3.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا
A.5.32	Intellectual property rights	ذو صلة فضفاضة	1.1.1 2.1.1 3.1.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
A.5.33	Protection of records	ذو صلة فضفاضة	3.3.1 3.5.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا
A.5.34	Privacy and protection of PII	ذو صلة فضفاضة	1.1.1 2.1.1 3.1.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا
A.5.35	Independent review of information security	ذو صلة فضفاضة	11.4.4 12.3.4 12.4.2+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, ID.IM-02, ID.IM-01: ذو صلة، وليس ربطًا
A.6 People controls · 4
A.6.2	Terms and conditions of employment	ذو صلة فضفاضة	7.2.2 2.3.1 3.2.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, PR.DS-10, PR.DS-02: ذو صلة، وليس ربطًا
A.6.5	Responsibilities after termination or change of employment	ذو صلة فضفاضة	7.2.2 2.3.1 3.2.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, PR.DS-10, PR.DS-02: ذو صلة، وليس ربطًا
A.6.6	Confidentiality or non-disclosure agreements	ذو صلة فضفاضة	7.2.2 8.2.5 9.3.1.1+4	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04: ذو صلة، وليس ربطًا
A.6.7	Remote working	ذو صلة فضفاضة	7.2.2 12.1.3 8.2.5+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-04, PR.AA-05, GV.PO-01: ذو صلة، وليس ربطًا
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	ذو صلة فضفاضة	3.3.1 3.5.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا
A.7.9	Security of assets off-premises	ذو صلة فضفاضة	3.3.1 3.5.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا
A.7.10	Storage media	ذو صلة فضفاضة	3.3.1 3.5.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا
A.7.13	Equipment maintenance	ذو صلة فضفاضة	6.2.1 6.2.2 6.2.3+5	يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا
A.8 Technological controls · 9
A.8.4	Access to source code	ذو صلة فضفاضة	7.2.2 2.3.1 3.2.1+5	يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-10, PR.DS-02: ذو صلة، وليس ربطًا
A.8.6	Capacity management	ذو صلة فضفاضة	5.2.1 5.2.2 5.3.2+5	يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا
A.8.23	Web filtering	ذو صلة فضفاضة	1.2.3 1.2.4 5.2.1+5	يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا
A.8.27	Secure system architecture and engineering principles	ذو صلة فضفاضة	12.10.1 12.10.2 12.10.6	يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا
A.8.30	Outsourced development	ذو صلة فضفاضة	7.2.5.1 10.7.2 11.3.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا
A.8.31	Separation of development, test and production environments	ذو صلة فضفاضة	6.2.2 6.2.3 6.3.2+5	يشترك فقط في الفئات الفرعية لـ CSF PR.PS-06: ذو صلة، وليس ربطًا
A.8.32	Change management	ذو صلة فضفاضة	12.3.1 7.2.5.1 8.6.3+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03, ID.RA-07: ذو صلة، وليس ربطًا
A.8.33	Test information	ذو صلة فضفاضة	3.3.1 3.5.1 3.5.1.3+5	يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا
A.8.34	Protection of information systems during audit testing	ذو صلة فضفاضة	7.2.5.1 10.7.2 11.3.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	ذو صلة فضفاضة	12.1.4 12.8.1 12.8.5+2	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا
Clause 5.3	Organizational roles, responsibilities and authorities	ذو صلة فضفاضة	12.1.4 12.8.3 12.8.4+1	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-02: ذو صلة، وليس ربطًا
Clause 7.1	Resources	ذو صلة فضفاضة	12.1.4 12.10.3	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03: ذو صلة، وليس ربطًا
Clause 7.2	Competence	ذو صلة فضفاضة	12.1.3 12.1.4 1.1.2+5	يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02, GV.RR-03: ذو صلة، وليس ربطًا
Clause 7.4	Communication	ذو صلة فضفاضة	12.10.1 12.8.2 12.10.3+3	يشترك فقط في الفئات الفرعية لـ CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: ذو صلة، وليس ربطًا
Clause 8.1	Operational planning and control	ذو صلة فضفاضة	1.2.3 1.2.4 6.3.1+5	يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, RC.RP-04, GV.SC-03: ذو صلة، وليس ربطًا
Clause 8.2	Information security risk assessment	ذو صلة فضفاضة	12.1.1 12.1.4 12.8.1+3	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-01, GV.OC-02: ذو صلة، وليس ربطًا
Clause 8.3	Information security risk treatment	ذو صلة فضفاضة	12.1.1 12.1.4 12.8.1+3	يشترك فقط في الفئات الفرعية لـ CSF GV.OC-01, GV.OC-02: ذو صلة، وليس ربطًا
Clause 9.3.1	General	ذو صلة فضفاضة	2.2.1 2.2.2	يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا
Clause 9.3.2	Management review inputs	ذو صلة فضفاضة	2.2.1 2.2.2	يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا
Clause 9.3.3	Management review results	ذو صلة فضفاضة	2.2.1 2.2.2	يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا

مُطابَق (76)

ISO 27001	المتطلب	تطابق	PCI DSS	الأدلة
A.5 Organizational controls · 28
A.5.1	Policies for information security	جدول المطابقة	12.1.1 12.1.2	الموضوع نفسه: سياسة الحوكمة
A.5.2	Information security roles and responsibilities	جدول المطابقة	12.1.3 12.1.4	الموضوع نفسه: الأدوار والمسؤوليات
A.5.4	Management responsibilities	جدول المطابقة	12.1.3 12.1.4	الموضوع نفسه: الأدوار والمسؤوليات
A.5.5	Contact with authorities	جدول المطابقة	12.10.1	الموضوع نفسه: الإبلاغ
A.5.7	Threat intelligence	جدول المطابقة	6.3.1	الموضوع نفسه: استخبارات التهديدات
A.5.9	Inventory of information and other associated assets	جدول المطابقة	6.3.2 12.5.1	الموضوع نفسه: إدارة الأصول
A.5.11	Return of assets	جدول المطابقة	6.3.2 12.5.1	الموضوع نفسه: إدارة الأصول
A.5.12	Classification of information	تحريري	9.4.2	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
A.5.13	Labelling of information	تحريري	9.4.2	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
A.5.14	Information transfer	جدول المطابقة	3.2.1 3.3.1 3.4.1+1	الموضوع نفسه: حماية البيانات
A.5.15	Access control	جدول المطابقة	7.2.1 7.2.2 7.2.4+2	الموضوع نفسه: التحكم في الوصول, الثقة المعدومة
A.5.16	Identity management	جدول المطابقة	7.2.1 7.2.2 7.2.4+1	الموضوع نفسه: التحكم في الوصول
A.5.18	Access rights	جدول المطابقة	7.2.1 7.2.2 7.2.4+1	الموضوع نفسه: التحكم في الوصول
A.5.19	Information security in supplier relationships	جدول المطابقة	6.3.2 12.8.1 12.8.2+3	الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين
A.5.20	Addressing information security within supplier agreements	جدول المطابقة	12.8.1 12.8.2 12.8.3+2	الموضوع نفسه: إدارة مخاطر الموردين
A.5.21	Managing information security in the ICT supply chain	جدول المطابقة	6.3.2 12.8.1	الموضوع نفسه: مخاطر سلسلة التوريد
A.5.22	Monitoring, review and change management of supplier services	جدول المطابقة	12.8.1 12.8.2 12.8.3+2	الموضوع نفسه: إدارة مخاطر الموردين
A.5.23	Information security for use of cloud services	جدول المطابقة	12.8.1 12.8.5	الموضوع نفسه: أمن السحابة
A.5.24	Information security incident management planning and preparation	جدول المطابقة	12.10.1 12.10.2 12.10.3+1	الموضوع نفسه: الاستجابة للحوادث
A.5.25	Assessment and decision on information security events	جدول المطابقة	10.4.1 12.10.1 12.10.2+2	الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث
A.5.26	Response to information security incidents	جدول المطابقة	12.10.1 12.10.2 12.10.3+1	الموضوع نفسه: الاستجابة للحوادث, التخفيف
A.5.27	Learning from information security incidents	جدول المطابقة	12.10.6	الموضوع نفسه: الدروس المستفادة
A.5.28	Collection of evidence	جدول المطابقة	10.3.2	الموضوع نفسه: الطب الشرعي الرقمي
A.5.29	Information security during disruption	جدول المطابقة	12.10.1	الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال
A.5.30	ICT readiness for business continuity	جدول المطابقة	12.10.1	الموضوع نفسه: تخطيط الاستعادة, استمرارية الأعمال, التعافي من الكوارث
A.5.31	Legal, statutory, regulatory and contractual requirements	جدول المطابقة	12.4.2	الموضوع نفسه: الامتثال
A.5.36	Compliance with policies, rules and standards for information security	تحريري	12.4.2	الموضوع نفسه: الامتثال (اختيار المحرر)
A.5.37	Documented operating procedures	جدول المطابقة	12.1.1 12.1.2	الموضوع نفسه: سياسة الحوكمة
A.6 People controls · 4
A.6.1	Screening	جدول المطابقة	10.2.1 12.7.1	الموضوع نفسه: التهديدات الداخلية
A.6.3	Information security awareness, education and training	جدول المطابقة	12.6.1 12.6.3	الموضوع نفسه: التوعية والتدريب
A.6.4	Disciplinary process	جدول المطابقة	10.2.1 12.7.1	الموضوع نفسه: التهديدات الداخلية
A.6.8	Information security event reporting	جدول المطابقة	12.10.1	الموضوع نفسه: الإبلاغ
A.7 Physical controls · 10
A.7.1	Physical security perimeters	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.2	Physical entry	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.3	Securing offices, rooms and facilities	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.4	Physical security monitoring	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.5	Protecting against physical and environmental threats	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.6	Working in secure areas	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.8	Equipment siting and protection	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.11	Supporting utilities	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.12	Cabling security	جدول المطابقة	9.2.3 9.3.1.1 9.2.1+3	الموضوع نفسه: الأمن المادي
A.7.14	Secure disposal or re-use of equipment	جدول المطابقة	6.3.2 12.5.1	الموضوع نفسه: إدارة الأصول
A.8 Technological controls · 25
A.8.1	User endpoint devices	تحريري	5.2.1 5.2.2 5.3.2	الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر)
A.8.2	Privileged access rights	جدول المطابقة	7.2.2	الموضوع نفسه: الوصول المميز
A.8.3	Information access restriction	جدول المطابقة	7.2.1 7.2.2 7.2.4+1	الموضوع نفسه: التحكم في الوصول
A.8.5	Secure authentication	جدول المطابقة	6.2.3 7.2.1 8.3.1+5	الموضوع نفسه: أمن واجهات برمجة التطبيقات, الثقة المعدومة
A.8.7	Protection against malware	تحريري	5.2.1 5.2.2 5.3.2	الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر)
A.8.8	Management of technical vulnerabilities	جدول المطابقة	6.3.1 6.3.3 11.3.1+1	الموضوع نفسه: إدارة الثغرات, إدارة الرقع
A.8.9	Configuration management	جدول المطابقة	2.2.1 2.2.2	الموضوع نفسه: الإعدادات الآمنة
A.8.10	Information deletion	جدول المطابقة	3.2.1 3.3.1 3.4.1	الموضوع نفسه: حماية البيانات
A.8.11	Data masking	جدول المطابقة	3.2.1 3.3.1 3.4.1	الموضوع نفسه: حماية البيانات
A.8.12	Data leakage prevention	تحريري	3.4.2	الموضوع نفسه: DLP (اختيار المحرر)
A.8.13	Information backup	جدول المطابقة	9.4.1.1	الموضوع نفسه: النسخ الاحتياطي والاستعادة
A.8.14	Redundancy of information processing facilities	جدول المطابقة	12.10.1	الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث
A.8.15	Logging	جدول المطابقة	10.2.1 10.3.2 10.6.1+1	الموضوع نفسه: التسجيل والتدقيق
A.8.16	Monitoring activities	جدول المطابقة	10.2.1 10.4.1 12.7.1+2	الموضوع نفسه: التهديدات الداخلية, المراقبة المستمرة, SIEM / SOC
A.8.17	Clock synchronization	جدول المطابقة	10.2.1 10.3.2 10.6.1+1	الموضوع نفسه: التسجيل والتدقيق
A.8.18	Use of privileged utility programs	جدول المطابقة	7.2.2	الموضوع نفسه: الوصول المميز
A.8.19	Installation of software on operational systems	جدول المطابقة	5.2.1 5.2.2 5.3.2	الموضوع نفسه: حماية نقاط النهاية
A.8.20	Networks security	جدول المطابقة	1.2.3 1.2.1 1.3.1+2	الموضوع نفسه: جدار الحماية / تجزئة الشبكة
A.8.21	Security of network services	جدول المطابقة	1.2.3 1.2.1 1.3.1+1	الموضوع نفسه: جدار الحماية / تجزئة الشبكة
A.8.22	Segregation of networks	جدول المطابقة	1.2.3 7.2.1 8.3.1+3	الموضوع نفسه: جدار الحماية / تجزئة الشبكة, الثقة المعدومة
A.8.24	Use of cryptography	جدول المطابقة	3.5.1 3.6.1 4.2.1+3	الموضوع نفسه: التشفير
A.8.25	Secure development life cycle	جدول المطابقة	6.2.2 6.2.3 6.2.1	الموضوع نفسه: التطوير الآمن
A.8.26	Application security requirements	جدول المطابقة	6.2.2 6.2.3 6.2.1+3	الموضوع نفسه: التطوير الآمن, أمن واجهات برمجة التطبيقات
A.8.28	Secure coding	جدول المطابقة	6.2.2 6.2.3 6.2.1	الموضوع نفسه: التطوير الآمن
A.8.29	Security testing in development and acceptance	جدول المطابقة	6.2.2 6.2.3 6.2.1	الموضوع نفسه: التطوير الآمن
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	جدول المطابقة	12.5.2	الموضوع نفسه: بيئة الأعمال
Clause 4.2	Understanding the needs and expectations of interested parties	جدول المطابقة	12.5.2	الموضوع نفسه: بيئة الأعمال
Clause 5.2	Policy	جدول المطابقة	12.1.1 12.1.2	الموضوع نفسه: سياسة الحوكمة
Clause 6.1.1	General	جدول المطابقة	12.3.1	الموضوع نفسه: إدارة المخاطر
Clause 6.1.2	Information security risk assessment	جدول المطابقة	12.3.1	الموضوع نفسه: تقييم المخاطر
Clause 6.1.3	Information security risk treatment	جدول المطابقة	12.3.1	الموضوع نفسه: إدارة المخاطر, تقييم المخاطر
Clause 7.3	Awareness	جدول المطابقة	12.6.1 12.6.3	الموضوع نفسه: التوعية والتدريب
Clause 9.1	Monitoring, measurement, analysis and evaluation	جدول المطابقة	12.4.2	الموضوع نفسه: الامتثال
Clause 10.1	Continual improvement	تحريري	12.10.6	الموضوع نفسه: الدروس المستفادة (اختيار المحرر)

حسب الموضوع

يغطي كلاهما (46):

سياسة الحوكمة التوعية والتدريب إدارة المخاطر مخاطر سلسلة التوريد الأدوار والمسؤوليات الامتثال إدارة الأصول تقييم المخاطر بيئة الأعمال تصنيف البيانات إدارة الثغرات استخبارات التهديدات التحكم في الوصول المصادقة متعددة العناصر التشفير حماية البيانات النسخ الاحتياطي والاستعادة الوصول المميز جدار الحماية / تجزئة الشبكة حماية نقاط النهاية إدارة الرقع الإعدادات الآمنة التطوير الآمن أمن البريد الإلكتروني أمن تطبيقات الويب الثقة المعدومة أمن السحابة WAF DLP المراقبة المستمرة التسجيل والتدقيق كشف التسلل اكتشاف الشذوذ SIEM / SOC الاستجابة للحوادث الطب الشرعي الرقمي التخفيف الإبلاغ تخطيط الاستعادة استمرارية الأعمال الدروس المستفادة التعافي من الكوارث أمن واجهات برمجة التطبيقات التهديدات الداخلية إدارة مخاطر الموردين الأمن المادي

ISO 27001 فقط (4):

أمن الأجهزة المحمولة أمان نظام أسماء النطاقات (DNS)الاتصالات التواصل والاستعادة

الأسئلة

هل يحل ISO 27001 محل PCI DSS؟

لا. تشترط شركات البطاقات التحقق من PCI DSS بصرف النظر عن شهادة ISO. ويساعدك ISO في تشغيل البرنامج الذي يعتمد عليه الامتثال لـ PCI.

هل PCI DSS قانون؟

لا. إنه معيار يُفرض عبر العقود مع شركات البطاقات والمستحوذين. وتشير بعض الولايات القضائية إليه في القانون، لكن سلطته تأتي من اتفاقيات شبكات الدفع.

هل يمكن لضابط واحد أن يلبي متطلبات ISO 27001 وPCI DSS معاً؟

غالباً نعم، إذا نُفّذ وفق المتطلبات الأكثر تحديداً في PCI DSS. فISO 27001 يقبل أي تنفيذ مبرَّر جيداً، لذلك فإن التصميم وفق تواترات PCI وإعداداته يلبي المعيارين عادةً.

أيهما أصعب، ISO 27001 أم PCI DSS؟

PCI DSS أكثر تفصيلاً وتقنية ضمن نطاقه؛ أما ISO 27001 فأوسع ويتطلب نظام إدارة. مع بيئة صغيرة لبيانات حاملي البطاقات، قد يكون PCI DSS الأخف بين الاثنين.

ما هو مستوى التاجر في PCI DSS؟

تصنّف شركات البطاقات التجار ومزودي الخدمات حسب حجم المعاملات السنوي. ويحدد المستوى طريقة التحقق من الامتثال: تقرير امتثال من QSA لأكبرهم، واستبيان تقييم ذاتي لمعظم الآخرين.

هل يساعد ISO 27001 في تقييمات PCI DSS؟

نعم، خاصة في السياسات وتقييم المخاطر والأدوار وإدارة الموردين والاستجابة للحوادث. لكنه لا يحل محل الأدلة الخاصة بـ PCI.

هل يتطلب PCI DSS v4.0.1 تقييم مخاطر مثل ISO 27001؟

ليس تقييماً شاملاً للمؤسسة بالشكل نفسه. فقد قدّم PCI DSS v4.0 تحليلات مخاطر مستهدفة للمتطلبات التي يمكنك ضبط تواترها، ويتوقع مراجعة سنوية للتشفير والتقنيات، لكن تقييم المخاطر في ISO 27001 أوسع.

تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.

جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · ذو صلة فضفاضة يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.