المقارنة
NIST CSF 2.0 مقابل قاعدة الأمن في HIPAA: استخدام CSF لتلبية متطلبات HIPAA
NIST Cybersecurity Framework 2.0 · HIPAA Security Rule · بيانات 2026-10-27
تُلزم قاعدة الأمن في HIPAA (45 CFR Part 164, Subpart C) الكيانات المشمولة وشركاء الأعمال بحماية المعلومات الصحية المحمية الإلكترونية باستخدام ضمانات إدارية وفيزيائية وتقنية. بعض مواصفات التنفيذ إلزامية وبعضها قابل للتطبيق. يتولى مكتب الحقوق المدنية تطبيقها، وتقع في صميمها عملية تحليل مخاطر شاملة.
يربط الدليل الإرشادي الخاص بالمعهد نفسه، SP 800-66 Rev 2، قاعدة الأمن بضوابط NIST، وتستخدم ControlMapping جدول المطابقة الصادر عن NIST من HIPAA → SP 800-53 لربط كل متطلب في HIPAA بنتائج CSF. وعند الانتقال من CSF إلى HIPAA، يكون كل معيار ومواصفة في قاعدة الأمن تقريبًا مرتبطًا أو ذا صلة فضفاضة: فالبرنامج المتوافق مع CSF يغطي معظم ما تطلبه HIPAA.
أما البنود المتبقية في HIPAA فهي التزامات محددة لا تقابلها نتيجة واضحة في CSF، مثل شروط عقود شركاء الأعمال وإعادة استخدام الوسائط. وهي متطلبات قانونية وتعاقدية أكثر منها ضوابط تقنية.
عند الانتقال من HIPAA إلى CSF، يتطلب CSF أكثر مما تتطلبه HIPAA، مثل نتائج الحوكمة كاستراتيجية المخاطر وتوقعات أصحاب المصلحة وإدارة مخاطر سلسلة الإمداد، إضافةً إلى التحقق من الهوية واستخبارات التهديدات وتطوير البرمجيات الآمن. وقد اقترحت HHS تحديثات جوهرية على قاعدة الأمن في يناير 2025؛ لذا تحقق من القاعدة الحالية قبل الاعتماد على التمييز بين المتطلبات الإلزامية والقابلة للتطبيق.
أهم النقاط
- ابدأ بتحليل مخاطر موثّق، فهو المتطلب في HIPAA الذي يركز عليه المدققون وتحقيقات OCR أكثر من غيره.
- من CSF إلى HIPAA: أضف الجوانب القانونية (اتفاقيات شركاء الأعمال، والسياسات، والاحتفاظ بالوثائق).
- المقصود بـ HIPAA هنا قاعدة الأمن فقط، وليس قواعد الخصوصية أو إشعار الخرق.
من أصل 69 متطلبًا في HIPAA Security Rule، يُطابق 38 شيئًا في NIST CSF 2.0، وترتبط 29 بشكل فضفاض فقط، ولا يوجد ربط لـ 2 في بياناتنا.
تغطي قاعدة الأمان في HIPAA فقط (وليس قاعدتي الخصوصية وإشعار خرق البيانات).
عمل جديد على الأرجح: متطلبات HIPAA لا يوجد لها ربط بـ NIST CSF 2.0 (2)
| HIPAA | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (29)
| HIPAA | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 11 | ||||
| §164.308(a)(1) | Security Management Process | GV.OC-03GV.OV-01GV.PO-01+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.OV-01, GV.PO-01: ذو صلة، وليس ربطًا | |
| §164.308(a)(3) | Workforce Security | DE.CM-01DE.CM-03GV.OC-03+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-03, GV.OC-03: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | DE.CM-01DE.CM-03DE.CM-06+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-03, DE.CM-06: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | GV.OC-03GV.OV-01GV.PO-01+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.OV-01, GV.PO-01: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | ID.AM-03PR.AA-05PR.DS-01+2 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.AA-05, PR.DS-01: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | DE.CM-01DE.CM-03DE.CM-06+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-03, DE.CM-06: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | DE.CM-01DE.CM-03GV.OC-03+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-03, GV.OC-03: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | DE.AE-02DE.AE-03PR.AT-01+2 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02, DE.AE-03, PR.AT-01: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | PR.AT-01PR.AT-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.AT-01, PR.AT-02: ذو صلة، وليس ربطًا | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | GV.OC-04ID.AM-05ID.RA-04+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-04, ID.AM-05, ID.RA-04: ذو صلة، وليس ربطًا | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | DE.CM-06GV.OC-05GV.SC-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.OC-05, GV.SC-04: ذو صلة، وليس ربطًا | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | DE.CM-02GV.OC-04PR.AA-06+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, GV.OC-04, PR.AA-06: ذو صلة، وليس ربطًا | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | GV.OC-03GV.OV-01GV.PO-01+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.OV-01, GV.PO-01: ذو صلة، وليس ربطًا | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | DE.CM-01DE.CM-03GV.OC-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-03, GV.OC-04: ذو صلة، وليس ربطًا | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | DE.CM-09ID.RA-09PR.DS-01+3 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09, ID.RA-09, PR.DS-01: ذو صلة، وليس ربطًا | |
| §164.312(e)(1) | Transmission Security | PR.DS-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | DE.CM-09ID.RA-09PR.DS-01+3 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09, ID.RA-09, PR.DS-01: ذو صلة، وليس ربطًا | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | DE.CM-06GV.OC-05GV.RR-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.OC-05, GV.RR-04: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(ii) | Required Other Arrangements | DE.CM-06GV.OC-05GV.RR-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.OC-05, GV.RR-04: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | DE.CM-06GV.OC-05GV.RR-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.OC-05, GV.RR-04: ذو صلة، وليس ربطًا | |
| §164.314(b) | Requirements for Group Health Plans | ID.AM-03ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | ID.AM-03ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | DE.CM-06GV.OC-05GV.SC-04+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.OC-05, GV.SC-04: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | RC.CO-03RS.AN-06RS.AN-07+5 | يشترك فقط في الفئات الفرعية لـ CSF RC.CO-03, RS.AN-06, RS.AN-07: ذو صلة، وليس ربطًا | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | ID.AM-03ID.AM-08ID.RA-01 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, ID.AM-08, ID.RA-01: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(i) | Required Time Limit | ID.AM-07ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(ii) | Required Availability | GV.OC-03GV.OV-01GV.PO-01+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-03, GV.OV-01, GV.PO-01: ذو صلة، وليس ربطًا | |
مُطابَق (38)
| HIPAA | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 19 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | جدول المطابقة | ID.RA-03ID.RA-04ID.RA-05+3 | الموضوع نفسه: تقييم المخاطر |
| §164.308(a)(1)(ii)(B) | Required Risk Management | تحريري | GV.RM-01GV.RM-02GV.RM-03+3 | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | تحريري | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | جدول المطابقة | DE.AE-03DE.AE-06DE.AE-08+3 | الموضوع نفسه: SIEM / SOC |
| §164.308(a)(2) | Assigned Security Responsibility | جدول المطابقة | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | جدول المطابقة | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية |
| §164.308(a)(4) | Information Access Management | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| §164.308(a)(5) | Security Awareness and Training | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | تحريري | DE.CM-09PR.PS-05 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| §164.308(a)(6) | Security Incident Procedures | جدول المطابقة | ID.IM-04RS.MA-01RS.MA-02+2 | الموضوع نفسه: الاستجابة للحوادث |
| §164.308(a)(6)(ii) | Required Response and Reporting | جدول المطابقة | ID.IM-04RS.CO-02RS.MA-01+5 | الموضوع نفسه: الاستجابة للحوادث, الإبلاغ |
| §164.308(a)(7) | Contingency Plan | جدول المطابقة | ID.IM-04RC.RP-01RC.RP-02 | الموضوع نفسه: تخطيط الاستعادة |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | جدول المطابقة | PR.DS-11RC.RP-03 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | جدول المطابقة | ID.IM-04PR.IR-03RC.RP-01+2 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | جدول المطابقة | GV.OC-04PR.IR-03RC.RP-04 | الموضوع نفسه: استمرارية الأعمال |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | تحريري | PR.IR-03RC.RP-02RC.RP-05 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| §164.308(a)(8) | Evaluation | جدول المطابقة | ID.RA-01ID.RA-08GV.OC-03+1 | الموضوع نفسه: إدارة الثغرات, الامتثال |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+5 | الموضوع نفسه: إدارة مخاطر الموردين |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | تحريري | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| §164.310(b) | Workstation Use | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| §164.310(c) | Workstation Security | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| §164.310(d) | Device and Media Controls | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+3 | الموضوع نفسه: إدارة الأصول |
| §164.310(d)(2)(i) | Required Disposal | تحريري | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| §164.310(d)(2)(iii) | Addressable Accountability | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | جدول المطابقة | PR.DS-11RC.RP-03 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| §164.312(a)(2)(i) | Required Unique User Identification | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | جدول المطابقة | PR.DS-01PR.DS-02 | الموضوع نفسه: التشفير |
| §164.312(b) | Audit Controls | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| §164.312(c) | Integrity | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: حماية البيانات |
| §164.312(d) | Person or Entity Authentication | تحريري | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.312(e)(2)(ii) | Addressable Encryption | جدول المطابقة | PR.DS-01PR.DS-02 | الموضوع نفسه: التشفير |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+2 | الموضوع نفسه: إدارة مخاطر الموردين |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| §164.316(b)(2)(iii) | Required Updates | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
من أصل 106 متطلبًا في NIST Cybersecurity Framework 2.0، يُطابق 63 شيئًا في HIPAA، وترتبط 27 بشكل فضفاض فقط، ولا يوجد ربط لـ 16 في بياناتنا.
عمل جديد على الأرجح: متطلبات NIST CSF 2.0 لا يوجد لها ربط بـ HIPAA (16)
| NIST CSF 2.0 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-04 | The estimated impact and scope of adverse events are understood | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Govern (GV) · 7 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| Protect (PR) · 4 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (27)
| NIST CSF 2.0 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| Detect (DE) · 2 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(C)§164.308(a)(6)+3 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02: ذو صلة، وليس ربطًا | |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-07: ذو صلة، وليس ربطًا | |
| Govern (GV) · 8 | ||||
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05: ذو صلة، وليس ربطًا | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | §164.308(a)(1)§164.308(a)(3)§164.308(a)(3)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01: ذو صلة، وليس ربطًا | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.316(a) | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-07: ذو صلة، وليس ربطًا | |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-03: ذو صلة، وليس ربطًا | |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | §164.308(b)(1)§164.308(b)(4)§164.314(a)+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05: ذو صلة، وليس ربطًا | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | §164.308(a)(6)§164.308(a)(7)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-08: ذو صلة، وليس ربطًا | |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-09: ذو صلة، وليس ربطًا | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(b)(1)+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-10: ذو صلة، وليس ربطًا | |
| Identify (ID) · 5 | ||||
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | §164.308(a)(1)(ii)(B)§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(A)+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-05: ذو صلة، وليس ربطًا | |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | §164.316(b)(2)(i) | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07: ذو صلة، وليس ربطًا | |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | §164.308(a)(1)(ii)(D)§164.308(a)(8) | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-07: ذو صلة، وليس ربطًا | |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | §164.308(b)(4)§164.312(c)§164.312(c)(2)+4 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-09: ذو صلة، وليس ربطًا | |
| Protect (PR) · 3 | ||||
| PR.AA-03 | Users, services, and hardware are authenticated | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.310(a)(2)(i) | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-04: ذو صلة، وليس ربطًا | |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | §164.312(c)§164.312(c)(2)§164.312(e)(2)(i) | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02: ذو صلة، وليس ربطًا | |
| Recover (RC) · 3 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | يشترك فقط في الفئات الفرعية لـ CSF RC.CO-03: ذو صلة، وليس ربطًا | |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+5 | يشترك فقط في الفئات الفرعية لـ CSF RC.CO-04: ذو صلة، وليس ربطًا | |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | §164.308(a)(6)§164.308(a)(6)(ii) | يشترك فقط في الفئات الفرعية لـ CSF RC.RP-06: ذو صلة، وليس ربطًا | |
| Respond (RS) · 6 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+1 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-03: ذو صلة، وليس ربطًا | |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-06: ذو صلة، وليس ربطًا | |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+4 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-07: ذو صلة، وليس ربطًا | |
| RS.AN-08 | An incident's magnitude is estimated and validated | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(6)+2 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-08: ذو صلة، وليس ربطًا | |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)+3 | يشترك فقط في الفئات الفرعية لـ CSF RS.CO-03: ذو صلة، وليس ربطًا | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | §164.308(a)(6)§164.308(a)(6)(ii) | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-05: ذو صلة، وليس ربطًا | |
مُطابَق (63)
| NIST CSF 2.0 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| Detect (DE) · 8 | ||||
| DE.AE-03 | Information is correlated from multiple sources | جدول المطابقة | §164.308(a)(1)(ii)(D)§164.312(b) | الموضوع نفسه: SIEM / SOC, التسجيل والتدقيق |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | جدول المطابقة | §164.308(a)(1)(ii)(D) | الموضوع نفسه: SIEM / SOC |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | جدول المطابقة | §164.308(a)(1)(ii)(D) | الموضوع نفسه: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | جدول المطابقة | §164.308(a)(1)(ii)(D) | الموضوع نفسه: المراقبة المستمرة |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | جدول المطابقة | §164.308(a)(1)(ii)(D)§164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | الموضوع نفسه: المراقبة المستمرة, التهديدات الداخلية |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | جدول المطابقة | §164.308(a)(1)(ii)(D)§164.308(a)(5)(ii)(B) | الموضوع نفسه: المراقبة المستمرة, حماية نقاط النهاية |
| Govern (GV) · 16 | ||||
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | جدول المطابقة | §164.308(a)(7)(ii)(C) | الموضوع نفسه: استمرارية الأعمال |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | جدول المطابقة | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | جدول المطابقة | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | جدول المطابقة | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | جدول المطابقة | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | جدول المطابقة | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-04 | Cybersecurity is included in human resources practices | جدول المطابقة | §164.308(a)(3)(ii)(B)§164.308(a)(1)(ii)(C) | الموضوع نفسه: التهديدات الداخلية |
| GV.SC-04 | Suppliers are known and prioritized by criticality | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| Identify (ID) · 12 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | جدول المطابقة | §164.308(b)(1)§164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: أمن السحابة, إدارة الأصول |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | جدول المطابقة | §164.310(d)§164.310(d)(2)(iii) | الموضوع نفسه: إدارة الأصول |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii)§164.308(a)(7)+1 | الموضوع نفسه: الاستجابة للحوادث, تخطيط الاستعادة |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | جدول المطابقة | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة الثغرات |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | جدول المطابقة | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | جدول المطابقة | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | جدول المطابقة | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | جدول المطابقة | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | جدول المطابقة | §164.308(a)(8)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة الثغرات |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | جدول المطابقة | §164.308(b)(1)§164.314(a) | الموضوع نفسه: إدارة مخاطر الموردين |
| Protect (PR) · 15 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | جدول المطابقة | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+2 | الموضوع نفسه: التحكم في الوصول |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | جدول المطابقة | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | جدول المطابقة | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | جدول المطابقة | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | الموضوع نفسه: التشفير, حماية البيانات |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | جدول المطابقة | §164.312(a)(2)(iv)§164.312(c)§164.312(e)(2)(ii)+1 | الموضوع نفسه: التشفير, حماية البيانات |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | جدول المطابقة | §164.312(c)§164.310(d)(2)(i) | الموضوع نفسه: حماية البيانات |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | جدول المطابقة | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | جدول المطابقة | §164.308(b)(1) | الموضوع نفسه: أمن السحابة |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | جدول المطابقة | §164.310(a)§164.310(a)(2)(iii)§164.310(b)+2 | الموضوع نفسه: الأمن المادي |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | جدول المطابقة | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)§164.308(a)(7)(ii)(D) | الموضوع نفسه: التعافي من الكوارث, استمرارية الأعمال |
| PR.PS-01 | Configuration management practices are established and applied | جدول المطابقة | §164.308(b)(1)§164.310(d) | الموضوع نفسه: أمن السحابة, أمن الأجهزة المحمولة |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | جدول المطابقة | §164.312(b) | الموضوع نفسه: التسجيل والتدقيق |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | تحريري | §164.308(a)(5)(ii)(B) | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| Recover (RC) · 5 | ||||
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | جدول المطابقة | §164.308(a)(7)§164.308(a)(7)(ii)(B) | الموضوع نفسه: تخطيط الاستعادة |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | جدول المطابقة | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | جدول المطابقة | §164.308(a)(7)(ii)(A)§164.310(d)(2)(iv) | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | جدول المطابقة | §164.308(a)(7)(ii)(C) | الموضوع نفسه: استمرارية الأعمال |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | جدول المطابقة | §164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | الموضوع نفسه: التعافي من الكوارث |
| Respond (RS) · 7 | ||||
| RS.CO-02 | Internal and external stakeholders are notified of incidents | جدول المطابقة | §164.308(a)(6)(ii) | الموضوع نفسه: الإبلاغ |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-02 | Incident reports are triaged and validated | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-03 | Incidents are categorized and prioritized | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-04 | Incidents are escalated or elevated as needed | جدول المطابقة | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث |
| RS.MI-01 | Incidents are contained | جدول المطابقة | §164.308(a)(6)(ii) | الموضوع نفسه: التخفيف |
| RS.MI-02 | Incidents are eradicated | جدول المطابقة | §164.308(a)(6)(ii) | الموضوع نفسه: التخفيف |
حسب الموضوع
يغطي كلاهما (27):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطرإدارة الثغراتالتحكم في الوصولالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةحماية نقاط النهايةأمن الأجهزة المحمولةأمن السحابةالمراقبة المستمرةالتسجيل والتدقيقSIEM / SOCالاستجابة للحوادثالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالتعافي من الكوارثالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
NIST CSF 2.0 فقط (23):
مخاطر سلسلة التوريدبيئة الأعمالتصنيف البياناتاستخبارات التهديداتالمصادقة متعددة العناصرالوصول المميزجدار الحماية / تجزئة الشبكةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمان نظام أسماء النطاقات (DNS)WAFDLPكشف التسللاكتشاف الشذوذالطب الشرعي الرقميالاتصالاتالدروس المستفادةالتواصل والاستعادةأمن واجهات برمجة التطبيقات
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.