المقارنة
NIST CSF 2.0 مقابل ISO 27001: النتائج مقابل نظام قابل للشهادة
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
يصف إطار الأمن السيبراني 2.0 الصادر عن NIST نتائج مستهدفة: 106 فئات فرعية ضمن ست وظائف (يحكم، ويحدد، ويحمي، ويكتشف، ويستجيب، ويتعافى). وهو إطار طوعي وغير قابل للشهادة، ولا يحدد عمداً كيفية تحقيق كل نتيجة. أما ISO/IEC 27001 فهو معيار قابل للشهادة يتطلب نظاماً لإدارة أمن المعلومات، واختياراً مدروساً للضوابط من الملحق A.
ولأن NIST ينشر جدول المطابقة للمراجع الإرشادية من CSF 2.0 إلى ISO 27001، فإن الإطارين يتطابقان بدرجة كبيرة، وترتبط كل نتيجة تقريباً في CSF بضوابط من ISO. وتستخدم المؤسسات غالباً CSF لغةً مع مجلس الإدارة، وتستخدم ISO 27001 إطاراً تشغيلياً وللشهادة يقوم عليه.
عند الانتقال من CSF إلى ISO، تكمن الفجوة في نظام الإدارة لا في نتائج الأمن. فوظيفة الحوكمة في CSF تغطي الاستراتيجية والسياسات والأدوار والإشراف، لكن ISO يفرض آليات محددة يتركها CSF مفتوحة: نطاق محدد لنظام إدارة أمن المعلومات، وأهداف لأمن المعلومات، ومراقبة المعلومات الموثقة، وبرامج التدقيق الداخلي، والمراجعة الإدارية. وتظهر هذه البنود أدناه بلا مقابل.
عند الانتقال من ISO إلى CSF، تكون التغطية شبه كاملة. والعمل هنا ترجمة: بناء ملف CSF الحالي والمستهدف انطلاقاً من نظام إدارة أمن المعلومات لديك، والتعبير عن قرارات معالجة المخاطر كنتائج ضمن CSF.
نظرة سريعة
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| ماهيته | إطار طوعي قائم على النتائج | معيار لنظام إدارة قابل للشهادة |
| البنية | 6 وظائف، و22 فئة، و106 فئات فرعية | البنود 4–10 إضافة إلى 93 ضابطاً من الملحق A |
| الشهادة | لا يوجد | نعم، من خلال جهات اعتماد للشهادات |
| تكلفة الاستخدام | مجاني | يُباع المعيار من ISO، وتضيف الشهادة رسوم التدقيق |
| الأنسب لـ | تنظيم البرنامج، وتقارير مجلس الإدارة، والتقييم الذاتي | إثبات الأمن للعملاء والجهات التنظيمية دولياً |
| الربط الرسمي | تنشر NIST المراجع بين CSF 2.0 وISO 27001 المستخدمة هنا | — |
الاستخدام المشترك
يتكامل الإطاران جيداً: فـCSF 2.0 يوفر مفردات من النتائج يفهمها مجلس الإدارة والجهات التنظيمية، بينما يوفر ISO 27001 نظام الإدارة القابل للشهادة الذي يثبت أنك تدير البرنامج. ونمط شائع هو رفع تقارير الوضع وفق وظائف CSF مع اعتماد نظام إدارة أمن المعلومات وفق ISO 27001.
لأن NIST يربط كل فئة فرعية في CSF ببنود ISO وضوابط الملحق A، يمكنك الاحتفاظ بمجموعة ضوابط واحدة وإعداد التقارير بالطريقتين. وتُظهر جداول المتطلبات أدناه أين تربط المراجع المنشورة بينهما، وأين لا تملك بياناتنا مقابلاً لنتيجة CSF في ISO.
ما الذي تغيّر في CSF 2.0
أضاف CSF 2.0 (فبراير 2024) وظيفة سادسة هي يحكم، وتغطي السياق التنظيمي، واستراتيجية المخاطر، والأدوار، والسياسات، والإشراف، ومخاطر سلسلة الإمداد. وتتوافق هذه النتائج بقوة مع البنود 4–6 و9 من ISO 27001، ولهذا يتداخل الإطاران اليوم أكثر مما تداخل CSF 1.1 مع ISO.
من يستخدم أيهما
- NIST CSF 2.0 تستخدمه مؤسسات من كل الأحجام والقطاعات لتنظيم البرنامج، ووضع الأهداف، والرفع بالتقارير إلى الإدارة العليا. وهو اللغة المشتركة للبنية التحتية الحرجة في الولايات المتحدة، ولكثير من الجهات التنظيمية ومزوّدي التأمين السيبراني، وهو مجاني.
- ISO 27001 يُستخدم حين تحتاج مؤسسة إلى إثبات أمنها للآخرين بشهادة: مزوّدو البرمجيات والخدمات الذين يبيعون للمؤسسات، والموردون في سلاسل الإمداد الخاضعة للتنظيم، والشركات المتقدمة لعقود القطاع العام، لا سيما خارج الولايات المتحدة.
- تستخدم كثير من المؤسسات الاثنين معاً: CSF للتشغيل والتقارير، وISO 27001 للحصول على الشهادة.
التكلفة والجهد
اعتماد CSF لا يكلّف شيئاً ولا يتضمن تدقيقاً، فتكلفته هي الجهد الداخلي لتقييم ملفك الحالي، وتحديد ملفك المستهدف، وسد الفجوة. أما ISO 27001 فيضيف تكلفة المعيار نفسه، ورسوم جهة الاعتماد للتدقيق، والأهم الجهد الداخلي لبناء نظام الإدارة وتشغيله: تقييم المخاطر، وبيان قابلية التطبيق، والتدقيق الداخلي، والمراجعة الإدارية. وبالنسبة لمؤسسة تستخدم CSF بفعالية، فإن معظم العمل التقني لـISO منجز بالفعل، ويبقى الجهد في الغالب في نظام الإدارة وتوثيقه.
الانتقال من CSF إلى الحصول على شهادة ISO 27001
- اربط ملف CSF الخاص بك بـISO. تربط مراجع NIST نفسها فئات CSF 2.0 الفرعية ببنود ISO وضوابط الملحق A؛ وتحليل الفجوات يسرد كل متطلب في ISO مع مقابله في CSF.
- حدّد نطاق نظام إدارة أمن المعلومات، وحوّل ملفك المستهدف في CSF إلى أهداف لأمن المعلومات.
- أضفِ الصيغة الرسمية لتقييم المخاطر وفق متطلبات ISO (منهجية موثقة، ومالكون، ومعايير قبول)، واكتب بيان قابلية التطبيق.
- أضف عمليات نظام الإدارة: ضبط الوثائق، والتدقيق الداخلي، والمراجعة الإدارية، والإجراءات التصحيحية.
- شغّل نظام إدارة أمن المعلومات لعدة أشهر، ثم احجز تدقيق المرحلة الأولى والمرحلة الثانية.
تصل كثير من المؤسسات ذات البرامج الناضجة في CSF إلى الشهادة خلال ستة إلى تسعة أشهر.
مثال تطبيقي: مزوّد رعاية صحية إقليمي
استخدمت مجموعة رعاية صحية إقليمية إطار NIST CSF لمدة ثلاث سنوات لتنظيم برنامجها والرفع بالتقارير إلى مجلس إدارتها. ويشترط عقد شراكة جديد الحصول على شهادة ISO 27001 لخدمة بوابة المرضى المشتركة.
يُظهر ملفها الحالي في CSF نتائج قوية في الحماية والكشف، لذا فإن معظم ضوابط الملحق A التقنية موجودة بالفعل. ويبرز تحليل الفجوات بنود نظام الإدارة، وبيان قابلية التطبيق، واتفاقيات الموردين الرسمية، والأمن المادي لغرفة البيانات. وتحدد المجموعة نطاق نظام إدارة أمن المعلومات ليشمل خدمة بوابة المرضى والبنية التحتية الداعمة لها، وتعيد استخدام سجل المخاطر في CSF بمنهجية متوافقة مع ISO، وتحصل على الشهادة خلال نحو ثمانية أشهر. وتواصل رفع تقاريرها إلى مجلس الإدارة بمصطلحات CSF، وإلى جهة الاعتماد بمصطلحات ISO، انطلاقاً من الضوابط نفسها.
أخطاء شائعة
- الربط بـCSF 1.1. كثير من الجداول القديمة تربط ISO 27001:2013 بـCSF 1.1، وقد تغيّر الإطاران منذ ذلك، والروابط إلى الفئات الفرعية المسحوبة لا تقود إلى شيء.
- معاملة ملف CSF على أنه نظام إدارة. لا يتطلب CSF تدقيقاً داخلياً ولا مراجعة إدارية ولا ضبطاً للوثائق، أما مدققو ISO فسيطلبونها.
- اعتماد نطاق ضيق جداً لتوفير الجهد، ثم اكتشاف أن الشهادة لا تغطي ما يشتريه العملاء.
- رفع تقريرين بصورتين مختلفتين. يجب أن تأتي تقارير مجلس الإدارة بمصطلحات CSF، وأدلة التدقيق بمصطلحات ISO، من الضوابط نفسها، وإلا تباعدت الصورتان.
أهم النقاط
- إذا كنت بحاجة إلى شهادة، فإن ISO 27001 يمنحك إياها، أما CSF فلن يمنحها أبداً.
- من CSF إلى ISO: خطّط لآليات نظام الإدارة (النطاق، والأهداف، والمعلومات الموثقة، والتدقيق الداخلي، والمراجعة الإدارية).
- من ISO إلى CSF: أنشئ ملفات CSF من بيان قابلية التطبيق الحالي، فلا يلزم عمل ضوابط جديد يُذكر.
من أصل 123 متطلبًا في ISO/IEC 27001:2022، يُطابق 79 شيئًا في NIST CSF 2.0، وترتبط 34 بشكل فضفاض فقط، ولا يوجد ربط لـ 10 في بياناتنا.
عمل جديد على الأرجح: متطلبات ISO 27001 لا يوجد لها ربط بـ NIST CSF 2.0 (10)
| ISO 27001 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 5.1 | Leadership and commitment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 6.2 | Information security objectives and planning to achieve them | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 6.3 | Planning of changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 7.5.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 7.5.2 | Creating and updating | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 7.5.3 | Control of documented information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 9.2.1 | General | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 9.2.2 | Internal audit programme | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| Clause 10.2 | Nonconformity and corrective action | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (34)
| ISO 27001 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, GV.RR-02, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-05, ID.AM-08: ذو صلة، وليس ربطًا | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.AA-05: ذو صلة، وليس ربطًا | |
| A.5.32 | Intellectual property rights | GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.5.33 | Protection of records | PR.DS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| A.5.35 | Independent review of information security | GV.OV-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02: ذو صلة، وليس ربطًا | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.RR-04, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.RR-04, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03, GV.RR-04: ذو صلة، وليس ربطًا | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.DS-01: ذو صلة، وليس ربطًا | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.IR-02: ذو صلة، وليس ربطًا | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02: ذو صلة، وليس ربطًا | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09, PR.IR-04: ذو صلة، وليس ربطًا | |
| A.8.23 | Web filtering | PR.IR-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| A.8.30 | Outsourced development | GV.OV-03 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-06: ذو صلة، وليس ربطًا | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03, ID.RA-07: ذو صلة، وليس ربطًا | |
| A.8.33 | Test information | PR.DS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-02: ذو صلة، وليس ربطًا | |
| Clause 7.1 | Resources | GV.RR-03 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-03: ذو صلة، وليس ربطًا | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02, GV.RR-03: ذو صلة، وليس ربطًا | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-01, GV.OC-02, GV.SC-01: ذو صلة، وليس ربطًا | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-01, GV.OC-02: ذو صلة، وليس ربطًا | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-01, GV.OC-02: ذو صلة، وليس ربطًا | |
| Clause 9.3.1 | General | PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| Clause 9.3.3 | Management review results | PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
مُطابَق (79)
| ISO 27001 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| A.5.2 | Information security roles and responsibilities | جدول المطابقة | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.4 | Management responsibilities | جدول المطابقة | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات |
| A.5.5 | Contact with authorities | جدول المطابقة | RS.CO-02 | الموضوع نفسه: الإبلاغ |
| A.5.6 | Contact with special interest groups | تحريري | RS.CO-03 | الموضوع نفسه: الاتصالات (اختيار المحرر) |
| A.5.7 | Threat intelligence | جدول المطابقة | DE.AE-07ID.RA-02ID.RA-03 | الموضوع نفسه: استخبارات التهديدات |
| A.5.9 | Inventory of information and other associated assets | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| A.5.11 | Return of assets | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| A.5.12 | Classification of information | جدول المطابقة | ID.AM-05ID.AM-07 | الموضوع نفسه: تصنيف البيانات |
| A.5.13 | Labelling of information | جدول المطابقة | ID.AM-05ID.AM-07 | الموضوع نفسه: تصنيف البيانات |
| A.5.14 | Information transfer | جدول المطابقة | DE.CM-09PR.DS-01PR.DS-02+1 | الموضوع نفسه: أمن البريد الإلكتروني, حماية البيانات |
| A.5.15 | Access control | جدول المطابقة | PR.AA-01PR.AA-03PR.AA-04+2 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| A.5.16 | Identity management | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| A.5.18 | Access rights | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| A.5.19 | Information security in supplier relationships | جدول المطابقة | DE.CM-06GV.SC-01GV.SC-03+7 | الموضوع نفسه: إدارة مخاطر الموردين, مخاطر سلسلة التوريد |
| A.5.20 | Addressing information security within supplier agreements | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+2 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.21 | Managing information security in the ICT supply chain | جدول المطابقة | GV.SC-01GV.SC-03GV.SC-05+2 | الموضوع نفسه: مخاطر سلسلة التوريد |
| A.5.22 | Monitoring, review and change management of supplier services | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+2 | الموضوع نفسه: إدارة مخاطر الموردين |
| A.5.23 | Information security for use of cloud services | جدول المطابقة | ID.AM-04PR.IR-01PR.PS-01 | الموضوع نفسه: أمن السحابة |
| A.5.24 | Information security incident management planning and preparation | جدول المطابقة | ID.IM-04RS.MA-01RS.MA-02+2 | الموضوع نفسه: الاستجابة للحوادث |
| A.5.25 | Assessment and decision on information security events | جدول المطابقة | DE.AE-03DE.AE-06DE.AE-08+5 | الموضوع نفسه: SIEM / SOC |
| A.5.26 | Response to information security incidents | جدول المطابقة | ID.IM-04RC.CO-03RC.CO-04+7 | الموضوع نفسه: الاستجابة للحوادث, التواصل والاستعادة |
| A.5.27 | Learning from information security incidents | جدول المطابقة | ID.IM-03RC.RP-06 | الموضوع نفسه: الدروس المستفادة |
| A.5.28 | Collection of evidence | جدول المطابقة | RS.AN-03RS.AN-06RS.AN-07 | الموضوع نفسه: الطب الشرعي الرقمي |
| A.5.29 | Information security during disruption | جدول المطابقة | GV.OC-04ID.IM-04PR.IR-03+3 | الموضوع نفسه: استمرارية الأعمال, تخطيط الاستعادة |
| A.5.30 | ICT readiness for business continuity | جدول المطابقة | GV.OC-04ID.IM-04PR.IR-03+4 | الموضوع نفسه: استمرارية الأعمال, تخطيط الاستعادة, التعافي من الكوارث |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | جدول المطابقة | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال |
| A.5.36 | Compliance with policies, rules and standards for information security | تحريري | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| A.5.37 | Documented operating procedures | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | جدول المطابقة | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية |
| A.6.3 | Information security awareness, education and training | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| A.6.4 | Disciplinary process | جدول المطابقة | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية |
| A.6.7 | Remote working | تحريري | PR.AA-05PR.PS-01 | الموضوع نفسه: أمن الأجهزة المحمولة (اختيار المحرر) |
| A.6.8 | Information security event reporting | جدول المطابقة | RS.CO-02 | الموضوع نفسه: الإبلاغ |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.2 | Physical entry | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.3 | Securing offices, rooms and facilities | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.4 | Physical security monitoring | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.5 | Protecting against physical and environmental threats | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.6 | Working in secure areas | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.8 | Equipment siting and protection | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.11 | Supporting utilities | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.12 | Cabling security | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| A.7.14 | Secure disposal or re-use of equipment | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | جدول المطابقة | PR.AA-05PR.PS-01DE.CM-09+1 | الموضوع نفسه: أمن الأجهزة المحمولة, حماية نقاط النهاية |
| A.8.2 | Privileged access rights | جدول المطابقة | PR.AA-05 | الموضوع نفسه: الوصول المميز |
| A.8.3 | Information access restriction | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| A.8.5 | Secure authentication | جدول المطابقة | PR.AA-03PR.AA-04PR.AA-05+2 | الموضوع نفسه: المصادقة متعددة العناصر, الثقة المعدومة, أمن واجهات برمجة التطبيقات |
| A.8.7 | Protection against malware | تحريري | DE.CM-09PR.PS-05 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| A.8.8 | Management of technical vulnerabilities | جدول المطابقة | ID.RA-01ID.RA-08PR.PS-02 | الموضوع نفسه: إدارة الثغرات, إدارة الرقع |
| A.8.9 | Configuration management | جدول المطابقة | PR.PS-01 | الموضوع نفسه: الإعدادات الآمنة |
| A.8.10 | Information deletion | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: حماية البيانات |
| A.8.11 | Data masking | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: حماية البيانات |
| A.8.12 | Data leakage prevention | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: DLP |
| A.8.13 | Information backup | جدول المطابقة | PR.DS-11RC.RP-03 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| A.8.14 | Redundancy of information processing facilities | جدول المطابقة | GV.OC-04PR.IR-03RC.RP-02+2 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث |
| A.8.15 | Logging | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.16 | Monitoring activities | جدول المطابقة | DE.AE-02DE.AE-03DE.AE-04+6 | الموضوع نفسه: كشف التسلل, اكتشاف الشذوذ, SIEM / SOC |
| A.8.17 | Clock synchronization | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| A.8.18 | Use of privileged utility programs | جدول المطابقة | PR.AA-05 | الموضوع نفسه: الوصول المميز |
| A.8.19 | Installation of software on operational systems | جدول المطابقة | DE.CM-09PR.PS-05 | الموضوع نفسه: حماية نقاط النهاية |
| A.8.20 | Networks security | جدول المطابقة | DE.CM-01ID.AM-03PR.IR-01 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS), WAF, جدار الحماية / تجزئة الشبكة |
| A.8.21 | Security of network services | جدول المطابقة | DE.CM-01ID.AM-03PR.IR-01 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS), جدار الحماية / تجزئة الشبكة |
| A.8.22 | Segregation of networks | جدول المطابقة | ID.AM-03PR.AA-03PR.AA-04+2 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, الثقة المعدومة |
| A.8.24 | Use of cryptography | جدول المطابقة | PR.DS-01PR.DS-02 | الموضوع نفسه: التشفير |
| A.8.25 | Secure development life cycle | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| A.8.26 | Application security requirements | جدول المطابقة | PR.AA-03PR.IR-01PR.PS-06 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, أمن تطبيقات الويب, التطوير الآمن |
| A.8.28 | Secure coding | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| A.8.29 | Security testing in development and acceptance | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | جدول المطابقة | GV.OC-01GV.OC-04GV.OC-05 | الموضوع نفسه: بيئة الأعمال |
| Clause 4.2 | Understanding the needs and expectations of interested parties | جدول المطابقة | GV.OC-01GV.OC-04GV.OC-05 | الموضوع نفسه: بيئة الأعمال |
| Clause 5.2 | Policy | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| Clause 6.1.1 | General | جدول المطابقة | GV.RM-01GV.RM-02GV.RM-03+1 | الموضوع نفسه: إدارة المخاطر |
| Clause 6.1.2 | Information security risk assessment | جدول المطابقة | ID.RA-03ID.RA-04ID.RA-05+1 | الموضوع نفسه: تقييم المخاطر |
| Clause 6.1.3 | Information security risk treatment | جدول المطابقة | GV.RM-01GV.RM-02GV.RM-03+5 | الموضوع نفسه: إدارة المخاطر |
| Clause 7.3 | Awareness | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| Clause 7.4 | Communication | جدول المطابقة | RC.CO-03RC.CO-04RC.RP-05+1 | الموضوع نفسه: التواصل والاستعادة |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | جدول المطابقة | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال |
| Clause 10.1 | Continual improvement | تحريري | ID.IM-03RC.RP-06 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
من أصل 106 متطلبًا في NIST Cybersecurity Framework 2.0، يُطابق 89 شيئًا في ISO 27001، وترتبط 15 بشكل فضفاض فقط، ولا يوجد ربط لـ 2 في بياناتنا.
عمل جديد على الأرجح: متطلبات NIST CSF 2.0 لا يوجد لها ربط بـ ISO 27001 (2)
| NIST CSF 2.0 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع ISO 27001 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (15)
| NIST CSF 2.0 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01: ذو صلة، وليس ربطًا | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02: ذو صلة، وليس ربطًا | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-04: ذو صلة، وليس ربطًا | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-05: ذو صلة، وليس ربطًا | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-07: ذو صلة، وليس ربطًا | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-02: ذو صلة، وليس ربطًا | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-08: ذو صلة، وليس ربطًا | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-10: ذو صلة، وليس ربطًا | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-07: ذو صلة، وليس ربطًا | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-02: ذو صلة، وليس ربطًا | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-04: ذو صلة، وليس ربطًا | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-03: ذو صلة، وليس ربطًا | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-08: ذو صلة، وليس ربطًا | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-05: ذو صلة، وليس ربطًا | |
مُطابَق (89)
| NIST CSF 2.0 | المتطلب | تطابق | ISO 27001 | الأدلة |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | جدول المطابقة | A.8.16 | الموضوع نفسه: كشف التسلل, اكتشاف الشذوذ |
| DE.AE-03 | Information is correlated from multiple sources | جدول المطابقة | A.5.25A.8.15A.8.16+1 | الموضوع نفسه: SIEM / SOC, التسجيل والتدقيق |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | جدول المطابقة | A.8.16 | الموضوع نفسه: اكتشاف الشذوذ |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | جدول المطابقة | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | جدول المطابقة | A.5.7 | الموضوع نفسه: استخبارات التهديدات |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | جدول المطابقة | A.5.25A.8.16 | الموضوع نفسه: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | جدول المطابقة | A.8.16A.8.20A.8.21 | الموضوع نفسه: المراقبة المستمرة, كشف التسلل, أمان نظام أسماء النطاقات (DNS), WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | جدول المطابقة | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية, المراقبة المستمرة |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | جدول المطابقة | A.5.14A.8.16A.8.19+2 | الموضوع نفسه: أمن البريد الإلكتروني, المراقبة المستمرة, اكتشاف الشذوذ, حماية نقاط النهاية |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | جدول المطابقة | Clause 4.1Clause 4.2 | الموضوع نفسه: بيئة الأعمال |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | جدول المطابقة | A.5.31Clause 9.1A.5.36 | الموضوع نفسه: الامتثال |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | جدول المطابقة | A.5.29A.5.30A.8.14+2 | الموضوع نفسه: استمرارية الأعمال |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | جدول المطابقة | Clause 4.1Clause 4.2 | الموضوع نفسه: بيئة الأعمال |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | جدول المطابقة | A.5.31Clause 9.1A.5.36 | الموضوع نفسه: الامتثال |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | جدول المطابقة | A.5.1A.5.37Clause 5.2 | الموضوع نفسه: سياسة الحوكمة |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | جدول المطابقة | A.5.1A.5.37Clause 5.2 | الموضوع نفسه: سياسة الحوكمة |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | جدول المطابقة | Clause 6.1.1Clause 6.1.3 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | جدول المطابقة | Clause 6.1.1Clause 6.1.3 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | جدول المطابقة | Clause 6.1.1Clause 6.1.3 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | جدول المطابقة | Clause 6.1.1Clause 6.1.3 | الموضوع نفسه: إدارة المخاطر |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | جدول المطابقة | A.5.2A.5.4 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | جدول المطابقة | A.5.2A.5.4 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | جدول المطابقة | A.5.2A.5.4 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-04 | Cybersecurity is included in human resources practices | جدول المطابقة | A.6.1A.6.4A.8.16 | الموضوع نفسه: التهديدات الداخلية |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-04 | Suppliers are known and prioritized by criticality | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | جدول المطابقة | A.8.20A.8.21A.8.22 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | جدول المطابقة | A.5.9A.5.11A.5.23+1 | الموضوع نفسه: إدارة الأصول, أمن السحابة |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | جدول المطابقة | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | جدول المطابقة | A.5.12A.5.13 | الموضوع نفسه: تصنيف البيانات |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | جدول المطابقة | A.5.9A.5.11A.7.14 | الموضوع نفسه: إدارة الأصول |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | جدول المطابقة | A.5.27Clause 10.1 | الموضوع نفسه: الدروس المستفادة |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | جدول المطابقة | A.5.24A.5.25A.5.26+2 | الموضوع نفسه: الاستجابة للحوادث |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الثغرات |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | جدول المطابقة | A.5.7 | الموضوع نفسه: استخبارات التهديدات |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | جدول المطابقة | A.5.7Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: استخبارات التهديدات, تقييم المخاطر |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | جدول المطابقة | Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | جدول المطابقة | Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | جدول المطابقة | Clause 6.1.2Clause 6.1.3 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الثغرات |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | جدول المطابقة | A.5.19A.5.21 | الموضوع نفسه: مخاطر سلسلة التوريد |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | جدول المطابقة | A.5.19A.5.20A.5.22 | الموضوع نفسه: إدارة مخاطر الموردين |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | جدول المطابقة | A.5.15A.5.16A.5.18+1 | الموضوع نفسه: التحكم في الوصول |
| PR.AA-03 | Users, services, and hardware are authenticated | جدول المطابقة | A.5.15A.8.5A.8.22+1 | الموضوع نفسه: الثقة المعدومة, المصادقة متعددة العناصر, أمن واجهات برمجة التطبيقات |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | جدول المطابقة | A.5.15A.8.5A.8.22 | الموضوع نفسه: الثقة المعدومة |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | جدول المطابقة | A.5.15A.5.16A.5.18+7 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | جدول المطابقة | A.6.3Clause 7.3 | الموضوع نفسه: التوعية والتدريب |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | جدول المطابقة | A.5.14A.8.10A.8.11+2 | الموضوع نفسه: حماية البيانات |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | جدول المطابقة | A.5.14A.8.10A.8.11+2 | الموضوع نفسه: حماية البيانات, أمن البريد الإلكتروني |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | جدول المطابقة | A.5.14A.8.10A.8.11+1 | الموضوع نفسه: حماية البيانات |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | جدول المطابقة | A.5.15A.5.23A.8.5+4 | الموضوع نفسه: الثقة المعدومة, أمن السحابة, أمن واجهات برمجة التطبيقات |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | جدول المطابقة | A.7.1A.7.2A.7.3+6 | الموضوع نفسه: الأمن المادي |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث |
| PR.PS-01 | Configuration management practices are established and applied | جدول المطابقة | A.5.23A.8.1A.8.9+1 | الموضوع نفسه: أمن السحابة, أمن الأجهزة المحمولة, الإعدادات الآمنة |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | جدول المطابقة | A.8.8 | الموضوع نفسه: إدارة الرقع |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | جدول المطابقة | A.8.15A.8.17 | الموضوع نفسه: التسجيل والتدقيق |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | جدول المطابقة | A.8.19A.8.1A.8.7 | الموضوع نفسه: حماية نقاط النهاية |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | جدول المطابقة | A.8.5A.8.25A.8.26+2 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, التطوير الآمن, أمن تطبيقات الويب |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | جدول المطابقة | A.5.26Clause 7.4 | الموضوع نفسه: التواصل والاستعادة |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | جدول المطابقة | A.5.26Clause 7.4 | الموضوع نفسه: التواصل والاستعادة |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | جدول المطابقة | A.5.29A.5.30 | الموضوع نفسه: تخطيط الاستعادة |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | جدول المطابقة | A.8.13 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | جدول المطابقة | A.5.29A.5.30A.8.14 | الموضوع نفسه: استمرارية الأعمال |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | جدول المطابقة | A.5.26A.5.30A.8.14+1 | الموضوع نفسه: التواصل والاستعادة, التعافي من الكوارث |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | جدول المطابقة | A.5.27Clause 10.1 | الموضوع نفسه: الدروس المستفادة |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | جدول المطابقة | A.5.28 | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | جدول المطابقة | A.5.28 | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | جدول المطابقة | A.5.28 | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | جدول المطابقة | A.5.5A.6.8 | الموضوع نفسه: الإبلاغ |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | جدول المطابقة | Clause 7.4A.5.6 | الموضوع نفسه: الاتصالات |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-02 | Incident reports are triaged and validated | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-03 | Incidents are categorized and prioritized | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-04 | Incidents are escalated or elevated as needed | جدول المطابقة | A.5.24A.5.25A.5.26 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MI-01 | Incidents are contained | جدول المطابقة | A.5.26 | الموضوع نفسه: التخفيف |
| RS.MI-02 | Incidents are eradicated | جدول المطابقة | A.5.26 | الموضوع نفسه: التخفيف |
حسب الموضوع
يغطي كلاهما (50):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطربيئة الأعمالتصنيف البياناتإدارة الثغراتاستخبارات التهديداتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةأمان نظام أسماء النطاقات (DNS)WAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالاتصالاتالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتواصل والاستعادةالتعافي من الكوارثأمن واجهات برمجة التطبيقاتالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
الأسئلة
هل يمكن الحصول على شهادة وفق NIST CSF؟
لا. لا تمنح NIST أي شهادة، وتقيّم المؤسسات نفسها ذاتياً أو تكلف تقييماً مستقلاً. وISO 27001 هو الخيار القابل للشهادة.
هل NIST CSF أسهل من ISO 27001؟
هو أقل توجيهاً تفصيلياً ولا يتضمن تدقيقاً، لذا يسهل البدء به. لكنه ليس أخف في المضمون: فتغطية كل نتائج CSF 2.0 تتطلب برنامجاً ناضجاً.
من أين يأتي الربط؟
من المراجع الإرشادية لـCSF 2.0 الصادرة عن NIST، ومن ربط NIST بين SP 800-53 وISO 27001. انظر المنهجية.
هل ISO 27001 أكثر صرامة من NIST CSF؟
الصرامة فيهما مختلفة. فـISO 27001 يخضع للتدقيق ويمكن الحصول على شهادة به، ويتطلب نظام إدارة، أما NIST CSF فنطاقه أوسع (لا سيما في الحوكمة ومخاطر سلسلة الإمداد منذ الإصدار 2.0)، لكنه لا يتضمن تدقيقاً. وتعتمد الصرامة على طريقة تطبيق كل منهما.
هل يمكن لـNIST CSF وISO 27001 أن يشتركا في تقييم مخاطر واحد؟
نعم. فتقييم المخاطر الذي يستوفي متطلبات ISO 27001 للمنهجية الموثقة والمالكين ومعايير القبول يدعم أيضاً نتائج إدارة المخاطر في CSF.
هل تشترط حكومة الولايات المتحدة ISO 27001؟
عموماً لا. تستخدم الأنظمة الفيدرالية الأمريكية NIST SP 800-53 وإطار إدارة المخاطر، ويُستخدم CSF على نطاق واسع في القطاع الخاص. ويُطلب ISO 27001 غالباً من العملاء الدوليين.
هل أحتاج إلى شراء ISO 27001 لاستخدامه؟
نعم، فالمعيار يُباع من ISO ومن هيئات المواصفات الوطنية. أما NIST CSF ومراجعه فمجانية للتنزيل.
أيهما أفضل للمنشآت الصغيرة؟
NIST CSF مجاني وأسهل للبدء، أما ISO 27001 فيستحق الجهد حين يشترط العملاء أو المناقصات الحصول على الشهادة. وكثير من المنشآت الصغيرة تبدأ بـCSF وتحصل على الشهادة لاحقاً.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.