المقارنة
ISO 27001 مقابل SOC 2: ما الذي يُنقل وما الذي لا يُنقل
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
تجيب ISO/IEC 27001 و SOC 2 عن سؤال العملاء نفسه، «هل يمكننا أن نأتمن على بياناتنا؟»، ولكن بطرق مختلفة. تعتمد ISO 27001 على شهادة لنظام إدارة: تؤكد هيئة اعتماد للشهادات أن المؤسسة تشغّل نظام إدارة أمن المعلومات (ISMS) الذي يستوفي البنود من 4 إلى 10، وأنها حددت في بيان قابلية التطبيق أيًّا من الضوابط الـ 93 في الملحق A تنطبق عليها. أما SOC 2 فهو تقرير تأكيد: يصدر مكتب CPA تقريرًا عمّا إذا كانت ضوابطك تستوفي معايير Trust Services Criteria التابعة لـ AICPA. ويغطي تقرير النوع الثاني طريقة تشغيل الضوابط خلال فترة، عادةً من 3 إلى 12 شهرًا.
يتداخل الجانب التقني إلى حد كبير. تظهر ضوابط التحكم في الوصول، والتسجيل والمراقبة، وإدارة التغيير، وإدارة الثغرات، والاستجابة للحوادث، وإدارة الموردين، والنسخ الاحتياطي في الإطارين، ومعظم أعمال الأمن التي تنجزها لأحدهما تُحتسب للآخر. وتكمن الاختلافات في البنية والتركيز أكثر مما تكمن في الضوابط نفسها.
عند الانتقال من SOC 2 إلى ISO 27001، يكمن العمل الإضافي الحقيقي في نظام الإدارة. تتطلب ISO نطاقًا محددًا لنظام إدارة أمن المعلومات، وأهدافًا لأمن المعلومات، ومعلومات موثقة تخضع للرقابة، وعملية لتقييم المخاطر ومعالجتها مع بيان قابلية التطبيق، وتدقيقات داخلية، ومراجعات إدارية. وهذه هي بنود ISO التي تظهر أدناه بعبارة «غير متطابقة»، إضافةً إلى بعض ضوابط الملحق A (وعلى الأخص الأمن المادي) التي غالبًا ما يتعامل معها مدققو SOC 2 بخفة في الشركات التي تعتمد على السحابة فقط.
عند الانتقال من ISO 27001 إلى SOC 2، تقابل كل معايير الأمن تقريبًا، بما فيها معايير بيئة الرقابة (إشراف مجلس الإدارة، والنزاهة والقيم الأخلاقية، والمساءلة)، نظيرٌ في ISO. ويكمن العمل الجديد في الفئات الاختيارية التي تدرجها ضمن النطاق. فسلامة المعالجة ومعظم معايير الخصوصية ليس لها مكافئ في نظام إدارة أمن المعلومات، ولذلك تظهر هنا بعبارة «لا يوجد ربط في بياناتنا»؛ أما الاستثناءات فهي الاحتفاظ بالبيانات والتخلص منها وإخطار الخروقات، التي تغطيها جزئيًا ضوابط السجلات والحذف والحوادث في ISO. وغالبًا ما تكون معايير التوفر والسرية قريبة مما تشترطه ISO أصلًا.
نظرة سريعة
| ISO 27001 | SOC 2 | |
|---|---|---|
| ما تحصل عليه | شهادة لنظام إدارة أمن المعلومات الخاص بك، صالحة لثلاث سنوات | تقرير: رأي مكتب CPA بشأن ضوابطك |
| من يصدره | هيئة اعتماد للشهادات | مكتب CPA مرخّص |
| ما الذي يُختبر | نظام الإدارة (البنود 4–10) والضوابط الواردة في الملحق A التي اخترتها في بيان قابلية التطبيق | الضوابط وفق معايير Trust Services: الأمن، إضافةً إلى أي من التوفر أو السرية أو سلامة المعالجة أو الخصوصية |
| الفترة المشمولة | تدقيقات بنقطة زمنية: المرحلة 1 والمرحلة 2، يليها مراقبة سنوية | النوع الأول: تاريخ واحد. النوع الثاني: عادةً من 3 إلى 12 شهرًا من التشغيل |
| من يطلبه | عملاء في جميع أنحاء العالم، وخاصة في أوروبا وآسيا والقطاع العام | غالبًا فرق مخاطر الموردين لدى عملاء في الولايات المتحدة |
| هل تُنشر علنًا؟ | الشهادة نعم؛ تقرير التدقيق لا | لا: تُشارك بموجب اتفاقية عدم إفصاح |
| الجهد المعتاد للمرة الأولى | من ستة إلى اثني عشر شهرًا، معظمها لبناء نظام إدارة أمن المعلومات | من ثلاثة إلى تسعة أشهر للوصول إلى أول تقرير من النوع الثاني، ومعظمها لجمع الأدلة |
أيهما تحتاج؟
ابدأ بمعرفة من يطلب ذلك. إذا أرسل عملاء المؤسسات في الولايات المتحدة استبيانات أمنية تطلب «تقرير SOC 2 الخاص بك»، فإن تقرير SOC 2 من النوع الثاني هو ما يُنهي الصفقة؛ وشهادة ISO مقبولة في كثير من الأحيان لكن ليس دائمًا. وإذا كان العملاء في أوروبا أو آسيا أو القطاع العام، أو كانت المناقصات تذكر ISO/IEC 27001، فإن الشهادة هي الإجابة المتوقعة. ويحصل كثير من شركات البرمجيات التي تبيع دوليًا على الاثنين معًا.
إذا لم يطلب أحد ذلك بعد، فإن ISO 27001 تبني برنامجًا أكثر ديمومة، لأن نظام الإدارة يفرض تقييم المخاطر والأهداف والتدقيق الداخلي والمراجعة الإدارية. أما SOC 2 فهو أسرع في الوصول إلى أول مخرج إذا كانت صفقة بعينها تعتمد عليه.
الحصول على الاثنين دون تكرار كل شيء مرتين
- ابنِ مجموعة ضوابط واحدة. اربط كل ضابط بضابطه في الملحق A وبمعيار Trust Services الخاص به؛ وتوضح المقارنة أدناه أماكن التوافق.
- اكتب نظام إدارة أمن المعلومات مرة واحدة. النطاق، وتقييم المخاطر، وبيان قابلية التطبيق، والتدقيق الداخلي، والمراجعة الإدارية متطلبات في ISO، لكنها تمنح مدققي SOC 2 أيضًا أدلة الحوكمة التي تطلبها CC1–CC5.
- اجمع الأدلة باستمرار. يأخذ SOC 2 من النوع الثاني عينات من الأدلة خلال الفترة كلها، لذا فإن الأدلة المجمّعة له تخدم أيضًا تدقيقات المراقبة في ISO.
- وازن جدول التدقيق. تقدم بعض المكاتب تدقيقات مجمّعة أو متتالية؛ ومواءمة فترة SOC 2 مع دورة مراقبة ISO تقلل من الاضطراب.
- راقب الفجوات في كل اتجاه. يضيف SOC 2 الخصوصية وسلامة المعالجة إذا كانتا ضمن النطاق؛ ويضيف ISO بنود نظام الإدارة والأمن المادي، وهي أمور تتعامل معها نطاقات SOC 2 للشركات السحابية فقط بخفة.
التكلفة والجهد
لا يوجد سعر ثابت لأي منهما. تعتمد الرسوم الخارجية (هيئة الاعتماد أو مكتب CPA) على النطاق وعدد الموظفين والمواقع، وتكون عادةً أقل من الجهد الداخلي والأدوات. وبالنسبة إلى شركة صغيرة تحصل على الشهادة لأول مرة، خطط لأشهر من العمل بدوام جزئي من شخص يملك البرنامج، إضافةً إلى رسوم التدقيق. ويكلّف الحصول على الاثنين أقل من ضعف تكلفة أي منهما، لأن معظم الضوابط والأدلة مشتركة.
مسار زمني واقعي للحصول على الاثنين
مسار شائع لشركة برمجيات تبدأ بـ SOC 2:
- الشهور 1–3: الجاهزية. حدد نطاق النظام، واكتب السياسات، وأغلق الفجوات التي يكشفها تحليل الفجوات، واختر مكتب CPA.
- الشهر 3: النوع الأول (اختياري)، بمجرد تصميم الضوابط وتطبيقها.
- الشهور 3–9: فترة الرصد الأولى للنوع الثاني، وعادةً من ثلاثة إلى ستة أشهر، ويصدر التقرير بعد انتهائها بأسابيع قليلة.
- الشهور 6–12: إضافة نظام إدارة أمن المعلومات. حدد نطاق ISO، ونفّذ تقييم المخاطر، واكتب بيان قابلية التطبيق، وأجرِ تدقيقًا داخليًا ومراجعة إدارية. وتعمل معظم ضوابط الملحق A بالفعل لأغراض SOC 2.
- الشهور 10–14: تدقيقات ISO للمرحلة 1 والمرحلة 2.
البدء بـ ISO 27001 يعكس الترتيب: من ستة إلى اثني عشر شهرًا للحصول على الشهادة، ثم فحص جاهزية SOC 2 وفترة رصد من ثلاثة إلى ستة أشهر. وفي كلتا الحالتين، يستغرق الإطار الثاني جزءًا يسيرًا من الوقت الذي استغرقه الأول.
مثال تطبيقي: شركة SaaS من 50 موظفًا
لنفترض شركة برمجيات B2B تضم 50 موظفًا، ولديها تقرير SOC 2 من النوع الثاني يغطي الأمن والتوفر والسرية. ويشترط عميل أوروبي كبير الآن الحصول على شهادة ISO 27001.
ما الذي يُنقل: التحكم في الوصول، وإدارة التغيير، والتسجيل والمراقبة، وإدارة الثغرات، والاستجابة للحوادث، وإدارة الموردين، والنسخ الاحتياطي، واستمرارية الأعمال. تطبّق الشركة هذه الضوابط وتجمع أدلتها بالفعل، لذا تنتقل إلى بيان قابلية التطبيق في معظمها كما هي.
ما الجديد: نظام إدارة أمن المعلومات نفسه. تحتاج الشركة إلى نطاق موثق (غالبًا المنتج وبنيته التحتية والفرق التي تشغّلها)، وأهداف لأمن المعلومات مع قياساتها، ومنهجية رسمية لتقييم المخاطر وسجلها، وبيان قابلية تطبيق مع مبررات الاستثناءات، وتدقيق داخلي يجريه شخص مستقل عن العمل، ومراجعة إدارية مع محاضر. وتحتاج بعض ضوابط الملحق A أيضًا إلى اهتمام، وغالبًا الأمن المادي للمكتب والاستخبارات الخاصة بالتهديدات.
ما الذي تكلّفه: معظمه وقت من يملك نظام إدارة أمن المعلومات، إضافةً إلى رسوم هيئة الاعتماد، وإلى مدقق داخلي خارجي إذا لم يتوفر شخص مستقل داخليًا. ولأن الضوابط والأدلة موجودة بالفعل، فإن الإطار الثاني يكلّف أقل بكثير مما كلّفه الأول.
أهم النقاط
- شغّل مجموعة ضوابط واحدة واجمع أدلتها مرتين. اربط كل ضابط بضابط في الملحق A وبمعيار Trust Services في آن واحد.
- SOC 2 → ISO: خطط لميزانية نظام إدارة أمن المعلومات نفسه (النطاق، والأهداف، ومعالجة المخاطر، وبيان قابلية التطبيق، والتدقيق الداخلي، والمراجعة الإدارية)، لا لضوابط تقنية جديدة.
- ISO → SOC 2: قرر مبكرًا الفئات الاختيارية التي تقع ضمن نطاقك. فالخصوصية وسلامة المعالجة هما المجالان اللذان يظهر فيهما العمل الجديد.
من أصل 61 متطلبًا في SOC 2 (Trust Services Criteria)، يُطابق 41 شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 20 في بياناتنا.
تعيد AICPA إتاحة ربط SOC 2 بالمعايير المفتوحة، لذا فإن كل روابط SOC 2 هنا هي من تحرير ControlMapping: المعايير التي لم نربطها لا يمكن أن تتطابق. معايير سلامة المعالجة (PI) ومعظم معايير الخصوصية (P) لا يوجد لها مقابل في أطر الأمن.
عمل جديد على الأرجح: متطلبات SOC 2 لا يوجد لها ربط بـ ISO 27001 (20)
| SOC 2 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P2.1 | Choice and consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P3.1 | Collection limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P3.2 | Explicit consent where required | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P4.1 | Use limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P5.1 | Data subject access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P5.2 | Correction of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.1 | Disclosure to third parties with consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.2 | Record of authorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.3 | Record of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.4 | Privacy commitments from third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.5 | Notification by third parties of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P6.7 | Accounting of disclosures to data subjects | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P7.1 | Quality of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| P8.1 | Handling privacy inquiries, complaints and disputes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| PI1.2 | Controls over system inputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| PI1.3 | Controls over system processing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| PI1.4 | Controls over system outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| PI1.5 | Storing inputs, items in processing and outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
مُطابَق (41)
| SOC 2 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | تحريري | A.5.29A.5.30A.8.14+1 | الموضوع نفسه: استمرارية الأعمال (اختيار المحرر) |
| A1.2 | Environmental protections, backups and recovery infrastructure | تحريري | A.5.29A.5.30A.8.13+2 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث, النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| A1.3 | Testing recovery plan procedures | تحريري | A.5.29A.5.30A.8.14 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | تحريري | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| C1.2 | Disposing of confidential information | تحريري | A.5.14A.8.10A.8.11+1 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | تحريري | A.5.1A.5.37Clause 5.2+2 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC1.2 | Board independence and oversight of internal control | تحريري | A.5.2A.5.4Clause 5.1+1 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | تحريري | A.5.2A.5.4Clause 5.3 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | تحريري | A.6.3Clause 7.3A.6.1+1 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC1.5 | Accountability for internal control responsibilities | تحريري | A.5.2A.5.4A.6.4+1 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | تحريري | Clause 9.1 | تحرير ControlMapping: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | تحريري | A.6.3Clause 7.3A.5.1+1 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC2.3 | Communication with external parties | تحريري | A.5.5A.5.6A.5.26+2 | الموضوع نفسه: الإبلاغ, الاتصالات, التواصل والاستعادة (اختيار المحرر) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | تحريري | Clause 4.1Clause 4.2Clause 6.1.1+3 | الموضوع نفسه: بيئة الأعمال, إدارة المخاطر (اختيار المحرر) |
| CC3.2 | Risk identification and analysis | تحريري | Clause 6.1.2Clause 6.1.3Clause 8.2 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.3 | Considering the potential for fraud | تحريري | Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.4 | Identifying and assessing significant changes | تحريري | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | تحريري | A.5.31A.5.36Clause 9.1+2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC4.2 | Communicating and remediating control deficiencies | تحريري | A.5.31A.5.36Clause 9.1+2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | تحريري | Clause 6.1.1Clause 6.1.3Clause 8.3 | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| CC5.2 | General controls over technology | تحريري | A.8.9Clause 6.1.3 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CC5.3 | Control activities deployed through policies and procedures | تحريري | A.5.1A.5.37Clause 5.2 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | تحريري | A.5.9A.5.11A.5.15+6 | الموضوع نفسه: إدارة الأصول, التحكم في الوصول (اختيار المحرر) |
| CC6.2 | User registration, authorization and removal | تحريري | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CC6.3 | Role-based access, least privilege and segregation of duties | تحريري | A.5.15A.5.16A.5.18+4 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CC6.4 | Physical access restrictions | تحريري | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| CC6.5 | Protection of data when assets are disposed of | تحريري | A.5.14A.8.10A.8.11 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC6.6 | Protection against threats from outside system boundaries | تحريري | A.5.15A.8.5A.8.20+3 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة, WAF (اختيار المحرر) |
| CC6.7 | Restricting transmission, movement and removal of information | تحريري | A.6.7A.8.1A.8.12+1 | الموضوع نفسه: أمن الأجهزة المحمولة, DLP (اختيار المحرر) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | تحريري | A.5.14A.8.1A.8.7+1 | الموضوع نفسه: أمن البريد الإلكتروني, حماية نقاط النهاية (اختيار المحرر) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | تحريري | A.8.8A.8.9 | الموضوع نفسه: إدارة الثغرات, إدارة الرقع, الإعدادات الآمنة (اختيار المحرر) |
| CC7.2 | Monitoring system components for anomalies | تحريري | A.8.15A.8.16A.8.17 | الموضوع نفسه: التسجيل والتدقيق, المراقبة المستمرة, كشف التسلل, اكتشاف الشذوذ (اختيار المحرر) |
| CC7.3 | Evaluating security events to determine if they are incidents | تحريري | A.5.24A.5.25A.5.26+1 | الموضوع نفسه: الاستجابة للحوادث, SIEM / SOC (اختيار المحرر) |
| CC7.4 | Responding to identified security incidents | تحريري | A.5.24A.5.25A.5.26+1 | الموضوع نفسه: الاستجابة للحوادث, التخفيف (اختيار المحرر) |
| CC7.5 | Recovering from identified security incidents | تحريري | A.5.26A.5.27A.5.29+3 | الموضوع نفسه: التواصل والاستعادة, الدروس المستفادة, تخطيط الاستعادة (اختيار المحرر) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | تحريري | A.8.25A.8.26A.8.28+3 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | تحريري | A.5.29A.5.30A.8.14+2 | الموضوع نفسه: استمرارية الأعمال (اختيار المحرر) |
| CC9.2 | Managing vendor and business partner risk | تحريري | A.5.19A.5.20A.5.21+2 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين (اختيار المحرر) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | تحريري | A.5.33A.5.34 | تحرير ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | تحريري | A.5.34A.8.10 | تحرير ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | تحريري | A.5.24A.5.26A.5.34 | تحرير ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 98 شيئًا في SOC 2، وترتبط 21 بشكل فضفاض فقط، ولا يوجد ربط لـ 4 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ SOC 2 (4)
| ISO 27001 | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (21)
| ISO 27001 | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-03, ID.RA-05, ID.RA-06: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | CC6.6CC9.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-06: ذو صلة، وليس ربطًا | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03: ذو صلة، وليس ربطًا | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-03, RC.RP-04: ذو صلة، وليس ربطًا | |
مُطابَق (98)
| ISO 27001 | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | تحريري | CC1.1CC5.3CC2.2 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| A.5.2 | Information security roles and responsibilities | تحريري | CC1.2CC1.3CC1.5 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| A.5.3 | Segregation of duties | تحريري | CC6.3 | تحرير ControlMapping: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | تحريري | CC1.2CC1.3CC1.5 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| A.5.5 | Contact with authorities | تحريري | CC2.3 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.5.6 | Contact with special interest groups | تحريري | CC2.3 | الموضوع نفسه: الاتصالات (اختيار المحرر) |
| A.5.9 | Inventory of information and other associated assets | تحريري | CC6.1 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.11 | Return of assets | تحريري | CC6.1 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.5.12 | Classification of information | تحريري | C1.1 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| A.5.13 | Labelling of information | تحريري | C1.1 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| A.5.14 | Information transfer | تحريري | C1.2CC6.5CC6.8 | الموضوع نفسه: حماية البيانات, أمن البريد الإلكتروني (اختيار المحرر) |
| A.5.15 | Access control | تحريري | CC6.1CC6.2CC6.3+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.16 | Identity management | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.18 | Access rights | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.5.19 | Information security in supplier relationships | تحريري | CC9.2 | الموضوع نفسه: مخاطر سلسلة التوريد, إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.20 | Addressing information security within supplier agreements | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.21 | Managing information security in the ICT supply chain | تحريري | CC9.2 | الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر) |
| A.5.22 | Monitoring, review and change management of supplier services | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| A.5.23 | Information security for use of cloud services | تحريري | CC9.2 | الموضوع نفسه: أمن السحابة (اختيار المحرر) |
| A.5.24 | Information security incident management planning and preparation | تحريري | CC7.3CC7.4P6.6 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| A.5.25 | Assessment and decision on information security events | تحريري | CC7.3CC7.4 | الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث (اختيار المحرر) |
| A.5.26 | Response to information security incidents | تحريري | CC2.3CC7.3CC7.4+2 | الموضوع نفسه: التواصل والاستعادة, الاستجابة للحوادث, التخفيف (اختيار المحرر) |
| A.5.27 | Learning from information security incidents | تحريري | CC7.5 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
| A.5.28 | Collection of evidence | تحريري | CC7.4 | الموضوع نفسه: الطب الشرعي الرقمي (اختيار المحرر) |
| A.5.29 | Information security during disruption | تحريري | A1.1A1.2A1.3+2 | الموضوع نفسه: استمرارية الأعمال, تخطيط الاستعادة (اختيار المحرر) |
| A.5.30 | ICT readiness for business continuity | تحريري | A1.1A1.2A1.3+2 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث, تخطيط الاستعادة (اختيار المحرر) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | تحريري | CC4.1CC4.2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.33 | Protection of records | تحريري | P4.2 | تحرير ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | تحريري | P4.2P4.3P6.6 | تحرير ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; تحرير ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; تحرير ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | تحريري | CC4.1 | تحرير ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | تحريري | CC4.1CC4.2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.37 | Documented operating procedures | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | تحريري | CC1.4 | تحرير ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| A.6.4 | Disciplinary process | تحريري | CC1.1CC1.5 | تحرير ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; تحرير ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | تحريري | CC6.7 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| A.6.8 | Information security event reporting | تحريري | CC2.3 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.2 | Physical entry | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.3 | Securing offices, rooms and facilities | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.4 | Physical security monitoring | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.5 | Protecting against physical and environmental threats | تحريري | CC6.4A1.2 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.6 | Working in secure areas | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.8 | Equipment siting and protection | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.11 | Supporting utilities | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.12 | Cabling security | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| A.7.14 | Secure disposal or re-use of equipment | تحريري | CC6.1C1.2 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | تحريري | CC6.7CC6.8 | الموضوع نفسه: أمن الأجهزة المحمولة, حماية نقاط النهاية (اختيار المحرر) |
| A.8.2 | Privileged access rights | تحريري | CC6.3 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.3 | Information access restriction | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| A.8.5 | Secure authentication | تحريري | CC6.1CC6.6 | الموضوع نفسه: المصادقة متعددة العناصر, الثقة المعدومة (اختيار المحرر) |
| A.8.6 | Capacity management | تحريري | A1.1 | تحرير ControlMapping: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | تحريري | CC7.1 | الموضوع نفسه: إدارة الثغرات, إدارة الرقع (اختيار المحرر) |
| A.8.9 | Configuration management | تحريري | CC5.2CC7.1CC8.1 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| A.8.10 | Information deletion | تحريري | C1.2CC6.5P4.3 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| A.8.11 | Data masking | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| A.8.12 | Data leakage prevention | تحريري | CC6.7 | الموضوع نفسه: DLP (اختيار المحرر) |
| A.8.13 | Information backup | تحريري | A1.2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| A.8.14 | Redundancy of information processing facilities | تحريري | A1.1A1.2A1.3+1 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث (اختيار المحرر) |
| A.8.15 | Logging | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| A.8.16 | Monitoring activities | تحريري | CC7.2CC7.3 | الموضوع نفسه: المراقبة المستمرة, كشف التسلل, اكتشاف الشذوذ, SIEM / SOC (اختيار المحرر) |
| A.8.17 | Clock synchronization | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| A.8.18 | Use of privileged utility programs | تحريري | CC6.3 | الموضوع نفسه: الوصول المميز (اختيار المحرر) |
| A.8.19 | Installation of software on operational systems | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.20 | Networks security | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, WAF (اختيار المحرر) |
| A.8.21 | Security of network services | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| A.8.22 | Segregation of networks | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, الثقة المعدومة (اختيار المحرر) |
| A.8.24 | Use of cryptography | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| A.8.25 | Secure development life cycle | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.26 | Application security requirements | تحريري | CC6.6CC8.1 | الموضوع نفسه: أمن تطبيقات الويب, التطوير الآمن (اختيار المحرر) |
| A.8.28 | Secure coding | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.29 | Security testing in development and acceptance | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| A.8.32 | Change management | تحريري | CC8.1 | تحرير ControlMapping: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | تحريري | CC3.1 | الموضوع نفسه: بيئة الأعمال (اختيار المحرر) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | تحريري | CC3.1 | الموضوع نفسه: بيئة الأعمال (اختيار المحرر) |
| Clause 4.3 | Determining the scope of the ISMS | تحريري | CC3.1 | تحرير ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | تحريري | CC1.1CC1.2 | تحرير ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; تحرير ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | تحريري | CC1.3CC1.5 | تحرير ControlMapping: Both require defined structures, reporting lines, roles and authorities for security.; تحرير ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | تحريري | CC3.1CC5.1CC9.1 | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| Clause 6.1.2 | Information security risk assessment | تحريري | CC3.2CC3.3CC3.4 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| Clause 6.1.3 | Information security risk treatment | تحريري | CC3.1CC3.2CC3.3+4 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر (اختيار المحرر) |
| Clause 6.2 | Information security objectives and planning to achieve them | تحريري | CC3.1 | تحرير ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | تحريري | CC3.4 | تحرير ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | تحريري | CC1.4 | تحرير ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| Clause 7.4 | Communication | تحريري | CC2.3CC7.5CC2.2 | الموضوع نفسه: الاتصالات, التواصل والاستعادة (اختيار المحرر) |
| Clause 8.2 | Information security risk assessment | تحريري | CC3.2CC3.4 | تحرير ControlMapping: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; تحرير ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | تحريري | CC5.1 | تحرير ControlMapping: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | تحريري | CC4.1CC4.2CC2.1 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| Clause 9.2.1 | General | تحريري | CC4.1 | تحرير ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | تحريري | CC4.1 | تحرير ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | تحريري | CC1.2CC4.2 | تحرير ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; تحرير ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | تحريري | CC1.2CC4.2 | تحرير ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; تحرير ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | تحريري | CC1.2CC4.2 | تحرير ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; تحرير ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | تحريري | CC7.5 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
| Clause 10.2 | Nonconformity and corrective action | تحريري | CC4.2 | تحرير ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
حسب الموضوع
يغطي كلاهما (46):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطربيئة الأعمالتصنيف البياناتإدارة الثغراتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةWAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالاتصالاتالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتواصل والاستعادةالتعافي من الكوارثإدارة مخاطر الموردينالأمن المادي
ISO 27001 فقط (4):
الأسئلة
أيهما أفضل: ISO 27001 أم SOC 2؟
لا هذا ولا ذاك: فكلاهما يجيب عن السؤال نفسه لجمهور مختلف. فـ ISO 27001 شهادة معترف بها دوليًا لنظام إدارة، أما SOC 2 فهو تقرير تأكيد على الضوابط بطابع أمريكي. اختر وفق ما يطلبه عملاؤك.
هل تغطي شهادة ISO 27001 متطلبات SOC 2؟
ليس رسميًا: إذ يتطلب تقرير SOC 2 فحصًا من مكتب CPA. لكن معظم معايير الأمن في SOC 2 لها نظير في ISO، لذا تحتاج الشركة الحاصلة على شهادة ISO بشكل أساسي إلى استكمال الفئات الاختيارية وجمع الأدلة بصيغة SOC 2.
هل يستطيع مدقق واحد إجراء الاثنين؟
لدى بعض المكاتب هيئة اعتماد للشهادات ومكتب CPA معًا، وتقدم تدقيقات منسقة، لكن يبقى الاثنان ارتباطين منفصلين بمخرجات منفصلة.
أيهما أصعب في الحصول عليه: SOC 2 أم ISO 27001؟
لا أحد منهما أصعب بشكل مطلق. تتطلب ISO 27001 حوكمة أكبر (نظام الإدارة وتوثيقه)، بينما يتطلب SOC 2 من النوع الثاني أدلة تشغيلية أكثر على مدى فترة متصلة. وغالبًا ما تجد المؤسسات ذات العمليات الناضجة وقلة التوثيق أن SOC 2 أسهل، بينما تجد المؤسسات ذات التوثيق الجيد وأدلة غير منتظمة أن ISO أسهل.
أيهما أكثر اعترافًا به دوليًا؟
ISO 27001. يُطلب SOC 2 على نطاق واسع من العملاء في الولايات المتحدة، ويُفهم بشكل متزايد خارجها، لكن شهادة ISO 27001 هي المعيار الدولي الافتراضي، خاصة في أوروبا وآسيا ومناقصات القطاع العام.
كم مرة تُجدَّد؟
شهادة ISO 27001 صالحة لثلاث سنوات، مع تدقيقات مراقبة في السنتين الأولى والثانية. أما تقرير SOC 2 فيغطي فترة ماضية، لذا يتوقع العملاء تقرير نوع ثانٍ جديدًا كل عام، ويفضَّل ألا تكون هناك فجوة بين الفترات.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.