المقارنة
إطار NIST CSF 2.0 مقابل SP 800-53: النتائج والضوابط التي تقف خلفها
NIST Cybersecurity Framework 2.0 · NIST SP 800-53 Rev 5.2 · بيانات 2026-10-27
حسب Paul Gillet · آخر تحديث 2026-10-17
ينبثق NIST CSF 2.0 وSP 800-53 عن الجهة نفسها وصُممًا للعمل معًا. يصف CSF 2.0 النتائج المستهدفة، عبر 106 فئات فرعية مثل "المستخدمون والخدمات والأجهزة تخضع للمصادقة". أما SP 800-53 فهو كتالوج الضوابط التي تحقق تلك النتائج، ويضم 20 عائلة وتحسينات، وفي SP 800-53B خطوط أساس للأنظمة ذات التأثير المنخفض والمتوسط والمرتفع. تنشر NIST المراجع الرسمية بين الإطارين، وتعتمد هذه المقارنة عليها.
عند الانتقال من 800-53 إلى CSF، تُغطّى تقريبًا كل النتائج: فالمنظمة التي تطبّق خط الأساس في 800-53 تحقق تقريبًا كامل CSF 2.0. أما الاستثناءات القليلة فهي نتائج التحسين (ID.IM)، التي تطلب التعلم من التقييمات والاختبارات بدلًا من تطبيق ضابط محدد.
عند الانتقال من CSF إلى 800-53، لا يرتبط معظم الكتالوج بنتيجة واحدة في CSF. وهذا متوقع، إذ إن 800-53 أكثر تفصيلًا بكثير، ويتضمن ضوابط للخصوصية وأخرى خاصة بالجهات الفيدرالية، وكثير من الضوابط تدعم النتائج بشكل غير مباشر. تسرد ControlMapping الضوابط الأساسية فقط، وتظهر التحسينات حيثما يستخدمها الموضوع.
نظرة سريعة
| NIST CSF 2.0 | 800-53 | |
|---|---|---|
| ما هو | النتائج (ما يجب تحقيقه) | الضوابط (كيفية تحقيقه) |
| الحجم | 106 فئات فرعية | نحو 300 ضابط أساسي إضافةً إلى التحسينات |
| إلزامي لـ | لا أحد افتراضيًا | الأنظمة الفيدرالية الأمريكية (FISMA)، وFedRAMP |
| خطوط الأساس | ملفات تعريف تحددها أنت | خطوط أساس منخفضة ومتوسطة ومرتفعة وللخصوصية (SP 800-53B) |
أهم النقاط
- استخدم CSF لتحديد الاتجاه وإعداد التقارير، واستخدم 800-53 عندما تحتاج إلى ضوابط محددة وقابلة للتقييم.
- تتطلب الأنظمة الفيدرالية الأمريكية وFedRAMP الالتزام بـ 800-53، ولا يكفي CSF وحده في هذه الحالات.
- روابط CSF ↔ 800-53 الواردة هنا هي الروابط الرسمية الصادرة عن NIST.
من أصل 300 متطلبًا في NIST SP 800-53 Rev 5.2، يُطابق 88 شيئًا في NIST CSF 2.0، وترتبط 110 بشكل فضفاض فقط، ولا يوجد ربط لـ 102 في بياناتنا.
عمل جديد على الأرجح: متطلبات 800-53 لا يوجد لها ربط بـ NIST CSF 2.0 (102)
| 800-53 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| AC Access Control · 6 | ||||
| AC-8 | System Use Notification | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AC-11 | Device Lock | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AC-21 | Information Sharing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AC-22 | Publicly Accessible Content | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AC-23 | Data Mining Protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AC-25 | Reference Monitor | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AT Awareness and Training · 2 | ||||
| AT-4 | Training Records | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AT-6 | Training Feedback | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AU Audit and Accountability · 5 | ||||
| AU-4 | Audit Log Storage Capacity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AU-5 | Response to Audit Logging Process Failures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AU-8 | Time Stamps | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AU-10 | Non-repudiation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| AU-14 | Session Audit | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CA Assessment, Authorization and Monitoring · 2 | ||||
| CA-5 | Plan of Action and Milestones | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CA-6 | Authorization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CM Configuration Management · 1 | ||||
| CM-14 | Signed Components | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CP Contingency Planning · 4 | ||||
| CP-3 | Contingency Training | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CP-11 | Alternate Communications Protocols | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CP-12 | Safe Mode | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| CP-13 | Alternative Security Mechanisms | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| IR Incident Response · 1 | ||||
| IR-9 | Information Spillage Response | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MA Maintenance · 3 | ||||
| MA-4 | Nonlocal Maintenance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MA-5 | Maintenance Personnel | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MA-7 | Field Maintenance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP Media Protection · 6 | ||||
| MP-2 | Media Access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP-3 | Media Marking | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP-4 | Media Storage | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP-5 | Media Transport | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP-6 | Media Sanitization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| MP-7 | Media Use | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PE Physical and Environmental Protection · 4 | ||||
| PE-16 | Delivery and Removal | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PE-17 | Alternate Work Site | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PE-21 | Electromagnetic Pulse Protection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PE-22 | Component Marking | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PL Planning · 5 | ||||
| PL-4 | Rules of Behavior | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PL-7 | Concept of Operations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PL-9 | Central Management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PL-10 | Baseline Selection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PL-11 | Baseline Tailoring | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM Program Management · 9 | ||||
| PM-10 | Authorization Process | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-14 | Testing, Training, and Monitoring | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-17 | Protecting Controlled Unclassified Information on External Systems | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-20 | Dissemination of Privacy Program Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-21 | Accounting of Disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-25 | Minimization of Personally Identifiable Information Used in Testing, Training, and Research | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-26 | Complaint Management | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-27 | Privacy Reporting | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PM-32 | Purposing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS Personnel Security · 6 | ||||
| PS-2 | Position Risk Designation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS-3 | Personnel Screening | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS-4 | Personnel Termination | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS-5 | Personnel Transfer | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS-6 | Access Agreements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PS-8 | Personnel Sanctions | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT PII Processing and Transparency · 7 | ||||
| PT-2 | Authority to Process Personally Identifiable Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-3 | Personally Identifiable Information Processing Purposes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-4 | Consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-5 | Privacy Notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-6 | System of Records Notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-7 | Specific Categories of Personally Identifiable Information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| PT-8 | Computer Matching Requirements | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| RA Risk Assessment · 1 | ||||
| RA-6 | Technical Surveillance Countermeasures Survey | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SA System and Services Acquisition · 5 | ||||
| SA-2 | Allocation of Resources | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SA-16 | Developer-provided Training | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SA-20 | Customized Development of Critical Components | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SA-21 | Developer Screening | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SA-23 | Specialization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC System and Communications Protection · 22 | ||||
| SC-2 | Separation of System and User Functionality | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-10 | Network Disconnect | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-15 | Collaborative Computing Devices and Applications | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-17 | Public Key Infrastructure Certificates | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-18 | Mobile Code | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-23 | Session Authenticity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-25 | Thin Nodes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-26 | Decoys | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-27 | Platform-independent Applications | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-29 | Heterogeneity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-30 | Concealment and Misdirection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-31 | Covert Channel Analysis | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-37 | Out-of-band Channels | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-38 | Operations Security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-41 | Port and I/O Device Access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-42 | Sensor Capability and Data | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-44 | Detonation Chambers | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-45 | System Time Synchronization | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-46 | Cross Domain Policy Enforcement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-47 | Alternate Communications Paths | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-48 | Sensor Relocation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SC-50 | Software-enforced Separation and Policy Enforcement | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI System and Information Integrity · 10 | ||||
| SI-6 | Security and Privacy Function Verification | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-11 | Error Handling | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-14 | Non-persistence | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-15 | Information Output Filtering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-17 | Fail-safe Procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-19 | De-identification | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-20 | Tainting | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-21 | Information Refresh | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-22 | Information Diversity | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SI-23 | Information Fragmentation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SR Supply Chain Risk Management · 3 | ||||
| SR-4 | Provenance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SR-7 | Supply Chain Operations Security | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
| SR-9 | Tamper Resistance and Detection | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع NIST CSF 2.0 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (110)
| 800-53 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| AC Access Control · 11 | ||||
| AC-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| AC-5 | Separation of Duties | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-7 | Unsuccessful Logon Attempts | PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| AC-9 | Previous Logon Notification | DE.CM-09 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| AC-10 | Concurrent Session Control | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-12 | Session Termination | PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| AC-14 | Permitted Actions Without Identification or Authentication | PR.AA-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا | |
| AC-16 | Security and Privacy Attributes | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-17 | Remote Access | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-18 | Wireless Access | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AC-24 | Access Control Decisions | PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| AT Awareness and Training · 1 | ||||
| AT-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| AU Audit and Accountability · 3 | ||||
| AU-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| AU-9 | Protection of Audit Information | PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10: ذو صلة، وليس ربطًا | |
| AU-16 | Cross-organizational Audit Logging | PR.DS-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| CA Assessment, Authorization and Monitoring · 3 | ||||
| CA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| CA-3 | Information Exchange | ID.AM-03PR.DS-01PR.DS-02+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, PR.DS-01, PR.DS-02: ذو صلة، وليس ربطًا | |
| CA-9 | Internal System Connections | ID.AM-03 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| CM Configuration Management · 9 | ||||
| CM-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| CM-3 | Configuration Change Control | DE.CM-01DE.CM-09ID.RA-07+1 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, DE.CM-09, ID.RA-07: ذو صلة، وليس ربطًا | |
| CM-4 | Impact Analyses | ID.RA-07PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-07, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-5 | Access Restrictions for Change | PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-9 | Configuration Management Plan | ID.AM-08PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-10 | Software Usage Restrictions | DE.CM-03DE.CM-09PR.PS-01 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03, DE.CM-09, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-11 | User-installed Software | DE.CM-03DE.CM-09PR.PS-01+1 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03, DE.CM-09, PR.PS-01: ذو صلة، وليس ربطًا | |
| CM-12 | Information Location | ID.AM-07 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07: ذو صلة، وليس ربطًا | |
| CM-13 | Data Action Mapping | ID.AM-07ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07, ID.AM-08: ذو صلة، وليس ربطًا | |
| CP Contingency Planning · 3 | ||||
| CP-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| CP-4 | Contingency Plan Testing | RC.RP-03 | يشترك فقط في الفئات الفرعية لـ CSF RC.RP-03: ذو صلة، وليس ربطًا | |
| CP-8 | Telecommunications Services | PR.IR-04 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-04: ذو صلة، وليس ربطًا | |
| IA Identification and Authentication · 11 | ||||
| IA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| IA-3 | Device Identification and Authentication | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-4 | Identifier Management | PR.AA-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا | |
| IA-5 | Authenticator Management | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-6 | Authentication Feedback | PR.AA-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا | |
| IA-7 | Cryptographic Module Authentication | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-8 | Identification and Authentication (Non-organizational Users) | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-10 | Adaptive Authentication | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-11 | Re-authentication | PR.AA-01PR.AA-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.AA-03: ذو صلة، وليس ربطًا | |
| IA-12 | Identity Proofing | PR.AA-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-02: ذو صلة، وليس ربطًا | |
| IA-13 | Identity Providers and Authorization Servers | PR.AA-04PR.AA-05 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-04, PR.AA-05: ذو صلة، وليس ربطًا | |
| IR Incident Response · 1 | ||||
| IR-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| MA Maintenance · 4 | ||||
| MA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| MA-2 | Controlled Maintenance | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| MA-3 | Maintenance Tools | PR.PS-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-02: ذو صلة، وليس ربطًا | |
| MA-6 | Timely Maintenance | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| MP Media Protection · 2 | ||||
| MP-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| MP-8 | Media Downgrading | PR.DS-01 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01: ذو صلة، وليس ربطًا | |
| PE Physical and Environmental Protection · 12 | ||||
| PE-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| PE-4 | Access Control for Transmission | PR.AA-06 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-5 | Access Control for Output Devices | PR.AA-06 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-9 | Power Equipment and Cabling | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-10 | Emergency Shutoff | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-11 | Emergency Power | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-12 | Emergency Lighting | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-15 | Water Damage Protection | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-18 | Location of System Components | PR.AA-06PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06, PR.IR-02: ذو صلة، وليس ربطًا | |
| PE-19 | Information Leakage | PR.AA-06 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-20 | Asset Monitoring and Tracking | DE.CM-02PR.AA-06 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, PR.AA-06: ذو صلة، وليس ربطًا | |
| PE-23 | Facility Location | PR.IR-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-02: ذو صلة، وليس ربطًا | |
| PL Planning · 2 | ||||
| PL-2 | System Security and Privacy Plans | ID.AM-03ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03, ID.AM-08: ذو صلة، وليس ربطًا | |
| PL-8 | Security and Privacy Architectures | ID.AM-03 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| PM Program Management · 10 | ||||
| PM-3 | Information Security and Privacy Resources | GV.RM-03GV.RR-03PR.IR-04 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RR-03, PR.IR-04: ذو صلة، وليس ربطًا | |
| PM-7 | Enterprise Architecture | ID.AM-03 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-03: ذو صلة، وليس ربطًا | |
| PM-8 | Critical Infrastructure Plan | GV.OC-04RC.RP-04 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-04, RC.RP-04: ذو صلة، وليس ربطًا | |
| PM-13 | Security and Privacy Workforce | GV.RR-02GV.RR-04 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02, GV.RR-04: ذو صلة، وليس ربطًا | |
| PM-18 | Privacy Program Plan | DE.AE-04GV.OC-02GV.OV-01+4 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-04, GV.OC-02, GV.OV-01: ذو صلة، وليس ربطًا | |
| PM-19 | Privacy Program Leadership Role | GV.OV-02GV.RR-01GV.RR-02+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02, GV.RR-01, GV.RR-02: ذو صلة، وليس ربطًا | |
| PM-22 | Personally Identifiable Information Quality Management | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| PM-23 | Data Governance Body | GV.RR-01GV.RR-02ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02, ID.AM-08: ذو صلة، وليس ربطًا | |
| PM-24 | Data Integrity Board | GV.RR-01GV.RR-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-01, GV.RR-02: ذو صلة، وليس ربطًا | |
| PM-31 | Continuous Monitoring Strategy | GV.OV-01GV.OV-02GV.SC-03+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01, GV.OV-02, GV.SC-03: ذو صلة، وليس ربطًا | |
| PS Personnel Security · 2 | ||||
| PS-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| PS-7 | External Personnel Security | DE.CM-06GV.RR-04 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.RR-04: ذو صلة، وليس ربطًا | |
| PT PII Processing and Transparency · 1 | ||||
| PT-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| RA Risk Assessment · 3 | ||||
| RA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| RA-8 | Privacy Impact Assessments | ID.RA-04 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-04: ذو صلة، وليس ربطًا | |
| RA-10 | Threat Hunting | DE.AE-06DE.AE-07 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-06, DE.AE-07: ذو صلة، وليس ربطًا | |
| SA System and Services Acquisition · 6 | ||||
| SA-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| SA-5 | System Documentation | ID.AM-02ID.RA-09 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-02, ID.RA-09: ذو صلة، وليس ربطًا | |
| SA-10 | Developer Configuration Management | ID.RA-09PR.PS-02PR.PS-03+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-09, PR.PS-02, PR.PS-03: ذو صلة، وليس ربطًا | |
| SA-17 | Developer Security and Privacy Architecture and Design | ID.RA-09PR.PS-06 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-09, PR.PS-06: ذو صلة، وليس ربطًا | |
| SA-22 | Unsupported System Components | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| SA-24 | Design For Cyber Resiliency | GV.RM-03PR.IR-03PR.PS-06 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, PR.IR-03, PR.PS-06: ذو صلة، وليس ربطًا | |
| SC System and Communications Protection · 16 | ||||
| SC-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| SC-3 | Security Function Isolation | PR.PS-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-03: ذو صلة، وليس ربطًا | |
| SC-4 | Information in Shared System Resources | PR.DS-01PR.DS-02PR.DS-10+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-6 | Resource Availability | PR.IR-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-11 | Trusted Path | PR.DS-02PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-16 | Transmission of Security and Privacy Attributes | PR.DS-02 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| SC-24 | Fail in Known State | PR.DS-10PR.IR-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10, PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-32 | System Partitioning | PR.DS-01PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-34 | Non-modifiable Executable Programs | DE.CM-09PR.PS-05 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09, PR.PS-05: ذو صلة، وليس ربطًا | |
| SC-35 | External Malicious Code Identification | DE.CM-09 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-09: ذو صلة، وليس ربطًا | |
| SC-36 | Distributed Processing and Storage | PR.IR-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-39 | Process Isolation | PR.DS-01PR.DS-10PR.IR-03+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-10, PR.IR-03: ذو صلة، وليس ربطًا | |
| SC-40 | Wireless Link Protection | PR.DS-02PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-43 | Usage Restrictions | PR.DS-01PR.DS-02PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| SC-49 | Hardware-enforced Separation and Policy Enforcement | PR.PS-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-03: ذو صلة، وليس ربطًا | |
| SC-51 | Hardware-based Protection | PR.PS-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-03: ذو صلة، وليس ربطًا | |
| SI System and Information Integrity · 5 | ||||
| SI-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| SI-12 | Information Management and Retention | ID.AM-07ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07, ID.AM-08: ذو صلة، وليس ربطًا | |
| SI-13 | Predictable Failure Prevention | PR.IR-03 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-03: ذو صلة، وليس ربطًا | |
| SI-16 | Memory Protection | PR.DS-10 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10: ذو صلة، وليس ربطًا | |
| SI-18 | Personally Identifiable Information Quality Operations | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| SR Supply Chain Risk Management · 5 | ||||
| SR-1 | Policy and Procedures | GV.PO-01GV.PO-02 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02: ذو صلة، وليس ربطًا | |
| SR-5 | Acquisition Strategies, Tools, and Methods | GV.OC-02GV.OC-05GV.SC-02+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.OC-05, GV.SC-02: ذو صلة، وليس ربطًا | |
| SR-8 | Notification Agreements | GV.OC-02GV.SC-08RC.CO-03+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02, GV.SC-08, RC.CO-03: ذو صلة، وليس ربطًا | |
| SR-10 | Inspection of Systems or Components | GV.SC-05ID.RA-09 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-05, ID.RA-09: ذو صلة، وليس ربطًا | |
| SR-12 | Component Disposal | ID.AM-08 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
مُطابَق (88)
| 800-53 | المتطلب | تطابق | NIST CSF 2.0 | الأدلة |
|---|---|---|---|---|
| AC Access Control · 6 | ||||
| AC-2 | Account Management | جدول المطابقة | PR.AA-01PR.AA-05 | الموضوع نفسه: التحكم في الوصول |
| AC-3 | Access Enforcement | جدول المطابقة | PR.AA-01PR.AA-03PR.AA-04+2 | الموضوع نفسه: التحكم في الوصول, الثقة المعدومة |
| AC-4 | Information Flow Enforcement | جدول المطابقة | ID.AM-03PR.AA-03PR.AA-04+5 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة, الثقة المعدومة |
| AC-6 | Least Privilege | جدول المطابقة | PR.AA-03PR.AA-04PR.AA-05+1 | الموضوع نفسه: الثقة المعدومة |
| AC-19 | Access Control for Mobile Devices | جدول المطابقة | PR.AA-05PR.PS-01 | الموضوع نفسه: أمن الأجهزة المحمولة |
| AC-20 | Use of External Systems | جدول المطابقة | ID.AM-04PR.IR-01PR.PS-01 | الموضوع نفسه: أمن السحابة |
| AT Awareness and Training · 2 | ||||
| AT-2 | Literacy Training and Awareness | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| AT-3 | Role-based Training | جدول المطابقة | PR.AT-01PR.AT-02 | الموضوع نفسه: التوعية والتدريب |
| AU Audit and Accountability · 7 | ||||
| AU-2 | Event Logging | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| AU-3 | Content of Audit Records | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| AU-6 | Audit Record Review, Analysis, and Reporting | جدول المطابقة | DE.AE-02DE.AE-03DE.AE-04+3 | الموضوع نفسه: اكتشاف الشذوذ, SIEM / SOC |
| AU-7 | Audit Record Reduction and Report Generation | جدول المطابقة | RS.AN-03RS.AN-06RS.AN-07 | الموضوع نفسه: الطب الشرعي الرقمي |
| AU-11 | Audit Record Retention | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| AU-12 | Audit Record Generation | جدول المطابقة | DE.AE-03PR.PS-04 | الموضوع نفسه: التسجيل والتدقيق |
| AU-13 | Monitoring for Information Disclosure | جدول المطابقة | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية |
| CA Assessment, Authorization and Monitoring · 3 | ||||
| CA-2 | Control Assessments | تحريري | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CA-7 | Continuous Monitoring | جدول المطابقة | DE.CM-01DE.CM-03DE.CM-09 | الموضوع نفسه: المراقبة المستمرة |
| CA-8 | Penetration Testing | جدول المطابقة | ID.RA-01ID.RA-08 | الموضوع نفسه: إدارة الثغرات |
| CM Configuration Management · 4 | ||||
| CM-2 | Baseline Configuration | جدول المطابقة | PR.PS-01 | الموضوع نفسه: الإعدادات الآمنة |
| CM-6 | Configuration Settings | جدول المطابقة | PR.PS-01 | الموضوع نفسه: الإعدادات الآمنة |
| CM-7 | Least Functionality | جدول المطابقة | PR.PS-01 | الموضوع نفسه: الإعدادات الآمنة |
| CM-8 | System Component Inventory | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| CP Contingency Planning · 5 | ||||
| CP-2 | Contingency Plan | جدول المطابقة | ID.IM-04RC.RP-01RC.RP-02 | الموضوع نفسه: تخطيط الاستعادة |
| CP-6 | Alternate Storage Site | جدول المطابقة | PR.DS-11RC.RP-03 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CP-7 | Alternate Processing Site | تحريري | GV.OC-04PR.IR-03RC.RP-02+2 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث (اختيار المحرر) |
| CP-9 | System Backup | جدول المطابقة | PR.DS-11RC.RP-03 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| CP-10 | System Recovery and Reconstitution | جدول المطابقة | ID.IM-04PR.IR-03RC.CO-03+4 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث, التواصل والاستعادة |
| IA Identification and Authentication · 2 | ||||
| IA-2 | Identification and Authentication (Organizational Users) | جدول المطابقة | PR.AA-03PR.AA-04PR.AA-05+1 | الموضوع نفسه: الثقة المعدومة |
| IA-9 | Service Identification and Authentication | جدول المطابقة | PR.AA-03PR.IR-01PR.PS-06 | الموضوع نفسه: أمن واجهات برمجة التطبيقات |
| IR Incident Response · 7 | ||||
| IR-2 | Incident Response Training | تحريري | ID.IM-04RS.MA-01RS.MA-02+2 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| IR-3 | Incident Response Testing | تحريري | ID.IM-04RS.MA-01RS.MA-02+2 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| IR-4 | Incident Handling | جدول المطابقة | ID.IM-03ID.IM-04RC.RP-06+6 | الموضوع نفسه: الدروس المستفادة, الاستجابة للحوادث |
| IR-5 | Incident Monitoring | جدول المطابقة | DE.AE-03DE.AE-06DE.AE-08 | الموضوع نفسه: SIEM / SOC |
| IR-6 | Incident Reporting | جدول المطابقة | RC.CO-03RC.CO-04RC.RP-05+1 | الموضوع نفسه: التواصل والاستعادة |
| IR-7 | Incident Response Assistance | جدول المطابقة | RS.CO-03 | الموضوع نفسه: الاتصالات |
| IR-8 | Incident Response Plan | جدول المطابقة | ID.IM-04RS.MA-01RS.MA-02+2 | الموضوع نفسه: الاستجابة للحوادث |
| PE Physical and Environmental Protection · 6 | ||||
| PE-2 | Physical Access Authorizations | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PE-3 | Physical Access Control | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PE-6 | Monitoring Physical Access | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PE-8 | Visitor Access Records | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PE-13 | Fire Protection | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PE-14 | Environmental Controls | جدول المطابقة | DE.CM-02PR.AA-06PR.IR-02 | الموضوع نفسه: الأمن المادي |
| PL Planning · 1 | ||||
| PL-1 | Policy and Procedures | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| PM Program Management · 13 | ||||
| PM-1 | Information Security Program Plan | جدول المطابقة | GV.PO-01GV.PO-02 | الموضوع نفسه: سياسة الحوكمة |
| PM-2 | Information Security Program Leadership Role | جدول المطابقة | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات |
| PM-4 | Plan of Action and Milestones Process | جدول المطابقة | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال |
| PM-5 | System Inventory | جدول المطابقة | ID.AM-01ID.AM-02ID.AM-04+1 | الموضوع نفسه: إدارة الأصول |
| PM-6 | Measures of Performance | جدول المطابقة | GV.OC-03GV.OV-03 | الموضوع نفسه: الامتثال |
| PM-9 | Risk Management Strategy | جدول المطابقة | GV.RM-01GV.RM-02GV.RM-03+1 | الموضوع نفسه: إدارة المخاطر |
| PM-11 | Mission and Business Process Definition | جدول المطابقة | GV.OC-01GV.OC-04GV.OC-05 | الموضوع نفسه: بيئة الأعمال |
| PM-12 | Insider Threat Program | تحريري | DE.CM-03GV.RR-04 | الموضوع نفسه: التهديدات الداخلية (اختيار المحرر) |
| PM-15 | Security and Privacy Groups and Associations | جدول المطابقة | DE.AE-07ID.RA-02ID.RA-03 | الموضوع نفسه: استخبارات التهديدات |
| PM-16 | Threat Awareness Program | جدول المطابقة | DE.AE-07ID.RA-02ID.RA-03 | الموضوع نفسه: استخبارات التهديدات |
| PM-28 | Risk Framing | جدول المطابقة | GV.RM-01GV.RM-02GV.RM-03+1 | الموضوع نفسه: إدارة المخاطر |
| PM-29 | Risk Management Program Leadership Roles | جدول المطابقة | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات |
| PM-30 | Supply Chain Risk Management Strategy | جدول المطابقة | GV.SC-01GV.SC-03GV.SC-05+2 | الموضوع نفسه: مخاطر سلسلة التوريد |
| PS Personnel Security · 1 | ||||
| PS-9 | Position Descriptions | تحريري | GV.RR-01GV.RR-02GV.RR-03 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| RA Risk Assessment · 5 | ||||
| RA-2 | Security Categorization | جدول المطابقة | ID.AM-05ID.AM-07 | الموضوع نفسه: تصنيف البيانات |
| RA-3 | Risk Assessment | جدول المطابقة | ID.RA-03ID.RA-04ID.RA-05+1 | الموضوع نفسه: تقييم المخاطر |
| RA-5 | Vulnerability Monitoring and Scanning | جدول المطابقة | ID.RA-01ID.RA-08 | الموضوع نفسه: إدارة الثغرات |
| RA-7 | Risk Response | جدول المطابقة | GV.RM-01GV.RM-02GV.RM-03+5 | الموضوع نفسه: إدارة المخاطر |
| RA-9 | Criticality Analysis | جدول المطابقة | GV.OC-01GV.OC-04GV.OC-05 | الموضوع نفسه: بيئة الأعمال |
| SA System and Services Acquisition · 6 | ||||
| SA-3 | System Development Life Cycle | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| SA-4 | Acquisition Process | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+2 | الموضوع نفسه: إدارة مخاطر الموردين |
| SA-8 | Security and Privacy Engineering Principles | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| SA-9 | External System Services | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+5 | الموضوع نفسه: إدارة مخاطر الموردين |
| SA-11 | Developer Testing and Evaluation | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| SA-15 | Development Process, Standards, and Tools | جدول المطابقة | PR.PS-06 | الموضوع نفسه: التطوير الآمن |
| SC System and Communications Protection · 9 | ||||
| SC-5 | Denial-of-service Protection | جدول المطابقة | PR.AA-03PR.IR-01PR.PS-06 | الموضوع نفسه: أمن واجهات برمجة التطبيقات |
| SC-7 | Boundary Protection | جدول المطابقة | DE.CM-01ID.AM-03PR.IR-01+1 | الموضوع نفسه: WAF, جدار الحماية / تجزئة الشبكة, أمن تطبيقات الويب |
| SC-8 | Transmission Confidentiality and Integrity | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: التشفير, حماية البيانات |
| SC-12 | Cryptographic Key Establishment and Management | جدول المطابقة | PR.DS-01PR.DS-02 | الموضوع نفسه: التشفير |
| SC-13 | Cryptographic Protection | جدول المطابقة | PR.DS-01PR.DS-02 | الموضوع نفسه: التشفير |
| SC-20 | Secure Name/Address Resolution Service (Authoritative Source) | تحريري | DE.CM-01PR.IR-01 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| SC-21 | Secure Name/Address Resolution Service (Recursive or Caching Resolver) | تحريري | DE.CM-01PR.IR-01 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| SC-22 | Architecture and Provisioning for Name/Address Resolution Service | تحريري | DE.CM-01PR.IR-01 | الموضوع نفسه: أمان نظام أسماء النطاقات (DNS) (اختيار المحرر) |
| SC-28 | Protection of Information at Rest | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: التشفير, حماية البيانات |
| SI System and Information Integrity · 7 | ||||
| SI-2 | Flaw Remediation | جدول المطابقة | PR.PS-02 | الموضوع نفسه: إدارة الرقع |
| SI-3 | Malicious Code Protection | جدول المطابقة | DE.CM-09PR.DS-02PR.PS-05 | الموضوع نفسه: حماية نقاط النهاية, أمن البريد الإلكتروني |
| SI-4 | System Monitoring | جدول المطابقة | DE.AE-02DE.AE-04DE.CM-01+3 | الموضوع نفسه: كشف التسلل, اكتشاف الشذوذ, المراقبة المستمرة |
| SI-5 | Security Alerts, Advisories, and Directives | جدول المطابقة | DE.AE-07ID.RA-02ID.RA-03 | الموضوع نفسه: استخبارات التهديدات |
| SI-7 | Software, Firmware, and Information Integrity | جدول المطابقة | PR.DS-01PR.DS-02PR.DS-10 | الموضوع نفسه: حماية البيانات |
| SI-8 | Spam Protection | تحريري | DE.CM-09PR.DS-02 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| SI-10 | Information Input Validation | تحريري | PR.AA-03PR.IR-01PR.PS-06 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, أمن تطبيقات الويب (اختيار المحرر) |
| SR Supply Chain Risk Management · 4 | ||||
| SR-2 | Supply Chain Risk Management Plan | جدول المطابقة | GV.SC-01GV.SC-03GV.SC-05+2 | الموضوع نفسه: مخاطر سلسلة التوريد |
| SR-3 | Supply Chain Controls and Processes | جدول المطابقة | GV.SC-01GV.SC-03GV.SC-05+2 | الموضوع نفسه: مخاطر سلسلة التوريد |
| SR-6 | Supplier Assessments and Reviews | جدول المطابقة | DE.CM-06GV.SC-04GV.SC-06+2 | الموضوع نفسه: إدارة مخاطر الموردين |
| SR-11 | Component Authenticity | جدول المطابقة | GV.SC-01GV.SC-03GV.SC-05+2 | الموضوع نفسه: مخاطر سلسلة التوريد |
من أصل 106 متطلبًا في NIST Cybersecurity Framework 2.0، يُطابق 89 شيئًا في 800-53، وترتبط 15 بشكل فضفاض فقط، ولا يوجد ربط لـ 2 في بياناتنا.
عمل جديد على الأرجح: متطلبات NIST CSF 2.0 لا يوجد لها ربط بـ 800-53 (2)
| NIST CSF 2.0 | المتطلب | تطابق | 800-53 | الأدلة |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع 800-53 في بياناتنا. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع 800-53 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (15)
| NIST CSF 2.0 | المتطلب | تطابق | 800-53 | الأدلة |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | PM-9PM-18PM-30+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-02: ذو صلة، وليس ربطًا | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | PM-9PM-18PM-30+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-01: ذو صلة، وليس ربطًا | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | PM-9PM-19PM-30+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-02: ذو صلة، وليس ربطًا | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | PM-9PM-28PM-30+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-04: ذو صلة، وليس ربطًا | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | PM-9PM-30 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-05: ذو صلة، وليس ربطًا | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | PM-9PM-18PM-28+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-07: ذو صلة، وليس ربطًا | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | SR-2SR-3SR-5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-02: ذو صلة، وليس ربطًا | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | SA-4SA-9SR-2+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-08: ذو صلة، وليس ربطًا | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | PM-31RA-3RA-5+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-10: ذو صلة، وليس ربطًا | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | CA-7CM-3CM-4 | يشترك فقط في الفئات الفرعية لـ CSF ID.RA-07: ذو صلة، وليس ربطًا | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | IA-12 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-02: ذو صلة، وليس ربطًا | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | CP-6CP-7CP-8+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-04: ذو صلة، وليس ربطًا | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | CM-7SA-10SC-3+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-03: ذو صلة، وليس ربطًا | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | IR-4IR-8RA-3+1 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-08: ذو صلة، وليس ربطًا | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | IR-4IR-8 | يشترك فقط في الفئات الفرعية لـ CSF RS.MA-05: ذو صلة، وليس ربطًا | |
مُطابَق (89)
| NIST CSF 2.0 | المتطلب | تطابق | 800-53 | الأدلة |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | جدول المطابقة | AU-6SI-4 | الموضوع نفسه: اكتشاف الشذوذ, كشف التسلل |
| DE.AE-03 | Information is correlated from multiple sources | جدول المطابقة | AU-2AU-3AU-6+4 | الموضوع نفسه: التسجيل والتدقيق, SIEM / SOC |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | جدول المطابقة | AU-6SI-4 | الموضوع نفسه: اكتشاف الشذوذ |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | جدول المطابقة | AU-6AU-6(3)IR-5 | الموضوع نفسه: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | جدول المطابقة | PM-15PM-16SI-5 | الموضوع نفسه: استخبارات التهديدات |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | جدول المطابقة | AU-6AU-6(3)IR-5 | الموضوع نفسه: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | جدول المطابقة | CA-7SC-7SI-4+3 | الموضوع نفسه: المراقبة المستمرة, WAF, كشف التسلل |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | جدول المطابقة | PE-2PE-3PE-6+3 | الموضوع نفسه: الأمن المادي |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | جدول المطابقة | AC-2(12)AU-13CA-7+2 | الموضوع نفسه: التهديدات الداخلية, المراقبة المستمرة |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | جدول المطابقة | SA-4SA-9SR-6 | الموضوع نفسه: إدارة مخاطر الموردين |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | جدول المطابقة | AU-6CA-7CM-7(5)+3 | الموضوع نفسه: اكتشاف الشذوذ, المراقبة المستمرة, حماية نقاط النهاية |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | جدول المطابقة | PM-11RA-9 | الموضوع نفسه: بيئة الأعمال |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | جدول المطابقة | PM-4PM-6CA-2 | الموضوع نفسه: الامتثال |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | جدول المطابقة | CP-2(8)PM-11RA-9+1 | الموضوع نفسه: استمرارية الأعمال, بيئة الأعمال |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | جدول المطابقة | PM-11RA-9 | الموضوع نفسه: بيئة الأعمال |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | جدول المطابقة | PM-4PM-6CA-2 | الموضوع نفسه: الامتثال |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | جدول المطابقة | PL-1PM-1 | الموضوع نفسه: سياسة الحوكمة |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | جدول المطابقة | PL-1PM-1 | الموضوع نفسه: سياسة الحوكمة |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | جدول المطابقة | PM-9PM-28RA-7 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | جدول المطابقة | PM-9PM-28RA-7 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | جدول المطابقة | PM-9PM-28RA-7 | الموضوع نفسه: إدارة المخاطر |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | جدول المطابقة | PM-9PM-28RA-7 | الموضوع نفسه: إدارة المخاطر |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | جدول المطابقة | PM-2PM-29PS-9 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | جدول المطابقة | PM-2PM-29PS-9 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | جدول المطابقة | PM-2PM-29PS-9 | الموضوع نفسه: الأدوار والمسؤوليات |
| GV.RR-04 | Cybersecurity is included in human resources practices | جدول المطابقة | AC-2(12)AU-13PM-12 | الموضوع نفسه: التهديدات الداخلية |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | جدول المطابقة | PM-30SR-2SR-3+1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | جدول المطابقة | PM-30SR-2SR-3+1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-04 | Suppliers are known and prioritized by criticality | جدول المطابقة | SA-4SA-9SR-6 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | جدول المطابقة | PM-30SR-2SR-3+1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | جدول المطابقة | SA-4SA-9SR-6 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | جدول المطابقة | SA-4SA-9SR-6 | الموضوع نفسه: إدارة مخاطر الموردين |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | جدول المطابقة | PM-30SR-2SR-3+1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | جدول المطابقة | CM-8PM-5 | الموضوع نفسه: إدارة الأصول |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | جدول المطابقة | CM-8PM-5 | الموضوع نفسه: إدارة الأصول |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | جدول المطابقة | AC-4SC-7 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | جدول المطابقة | AC-20CM-8PM-5+1 | الموضوع نفسه: أمن السحابة, إدارة الأصول |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | جدول المطابقة | RA-2 | الموضوع نفسه: تصنيف البيانات |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | جدول المطابقة | RA-2 | الموضوع نفسه: تصنيف البيانات |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | جدول المطابقة | CM-8PM-5 | الموضوع نفسه: إدارة الأصول |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | جدول المطابقة | IR-4 | الموضوع نفسه: الدروس المستفادة |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | جدول المطابقة | CP-2CP-10IR-4+3 | الموضوع نفسه: تخطيط الاستعادة, الاستجابة للحوادث |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | جدول المطابقة | CA-8RA-5 | الموضوع نفسه: إدارة الثغرات |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | جدول المطابقة | PM-15PM-16SI-5 | الموضوع نفسه: استخبارات التهديدات |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | جدول المطابقة | PM-15PM-16RA-3+2 | الموضوع نفسه: استخبارات التهديدات, تقييم المخاطر |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | جدول المطابقة | RA-3RA-7 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | جدول المطابقة | RA-3RA-7 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | جدول المطابقة | RA-3RA-7 | الموضوع نفسه: تقييم المخاطر |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | جدول المطابقة | CA-8RA-5 | الموضوع نفسه: إدارة الثغرات |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | جدول المطابقة | PM-30SR-2SR-3+1 | الموضوع نفسه: مخاطر سلسلة التوريد |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | جدول المطابقة | SA-4SA-9SR-6 | الموضوع نفسه: إدارة مخاطر الموردين |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | جدول المطابقة | AC-2AC-3 | الموضوع نفسه: التحكم في الوصول |
| PR.AA-03 | Users, services, and hardware are authenticated | جدول المطابقة | AC-3AC-4AC-6+6 | الموضوع نفسه: الثقة المعدومة |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | جدول المطابقة | AC-3AC-4AC-6+1 | الموضوع نفسه: الثقة المعدومة |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | جدول المطابقة | AC-2AC-2(7)AC-3+6 | الموضوع نفسه: التحكم في الوصول, الوصول المميز, الثقة المعدومة |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | جدول المطابقة | PE-2PE-3PE-6+3 | الموضوع نفسه: الأمن المادي |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | جدول المطابقة | AT-2AT-3 | الموضوع نفسه: التوعية والتدريب |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | جدول المطابقة | AT-2AT-3 | الموضوع نفسه: التوعية والتدريب |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | جدول المطابقة | AC-4SC-7(10)SC-8+4 | الموضوع نفسه: DLP, التشفير, حماية البيانات |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | جدول المطابقة | AC-4SC-7(10)SC-8+6 | الموضوع نفسه: DLP, التشفير, حماية البيانات |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | جدول المطابقة | AC-4SC-7(10)SC-8+2 | الموضوع نفسه: DLP, حماية البيانات |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | جدول المطابقة | CP-6CP-9 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | جدول المطابقة | AC-3AC-4AC-6+10 | الموضوع نفسه: الثقة المعدومة, جدار الحماية / تجزئة الشبكة |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | جدول المطابقة | PE-2PE-3PE-6+3 | الموضوع نفسه: الأمن المادي |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | جدول المطابقة | CP-2(8)CP-10CP-7 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث |
| PR.PS-01 | Configuration management practices are established and applied | جدول المطابقة | AC-19AC-19(5)AC-20+4 | الموضوع نفسه: أمن الأجهزة المحمولة, أمن السحابة |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | جدول المطابقة | SI-2 | الموضوع نفسه: إدارة الرقع |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | جدول المطابقة | AU-2AU-3AU-11+1 | الموضوع نفسه: التسجيل والتدقيق |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | جدول المطابقة | CM-7(5)SI-4SI-3 | الموضوع نفسه: حماية نقاط النهاية |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | جدول المطابقة | IA-9SA-3SA-8+5 | الموضوع نفسه: أمن واجهات برمجة التطبيقات, التطوير الآمن |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | جدول المطابقة | CP-10IR-6 | الموضوع نفسه: التواصل والاستعادة |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | جدول المطابقة | CP-10IR-6 | الموضوع نفسه: التواصل والاستعادة |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | جدول المطابقة | CP-2CP-10 | الموضوع نفسه: تخطيط الاستعادة |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | جدول المطابقة | CP-2CP-10CP-7 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | جدول المطابقة | CP-6CP-9 | الموضوع نفسه: النسخ الاحتياطي والاستعادة |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | جدول المطابقة | CP-2(8)CP-7 | الموضوع نفسه: استمرارية الأعمال |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | جدول المطابقة | CP-10IR-6CP-7 | الموضوع نفسه: التواصل والاستعادة, التعافي من الكوارث |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | جدول المطابقة | IR-4 | الموضوع نفسه: الدروس المستفادة |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | جدول المطابقة | AU-7SI-2(7) | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | جدول المطابقة | AU-7SI-2(7) | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | جدول المطابقة | AU-7SI-2(7) | الموضوع نفسه: الطب الشرعي الرقمي |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | جدول المطابقة | IR-6 | الموضوع نفسه: الإبلاغ |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | جدول المطابقة | IR-7 | الموضوع نفسه: الاتصالات |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | جدول المطابقة | IR-4IR-8IR-2+1 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-02 | Incident reports are triaged and validated | جدول المطابقة | IR-4IR-8IR-2+1 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-03 | Incidents are categorized and prioritized | جدول المطابقة | IR-4IR-8IR-2+1 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MA-04 | Incidents are escalated or elevated as needed | جدول المطابقة | IR-4IR-8IR-2+1 | الموضوع نفسه: الاستجابة للحوادث |
| RS.MI-01 | Incidents are contained | جدول المطابقة | IR-4 | الموضوع نفسه: التخفيف |
| RS.MI-02 | Incidents are eradicated | جدول المطابقة | IR-4 | الموضوع نفسه: التخفيف |
حسب الموضوع
يغطي كلاهما (50):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطربيئة الأعمالتصنيف البياناتإدارة الثغراتاستخبارات التهديداتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن الأجهزة المحمولةأمن السحابةأمان نظام أسماء النطاقات (DNS)WAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالاتصالاتالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتواصل والاستعادةالتعافي من الكوارثأمن واجهات برمجة التطبيقاتالتهديدات الداخليةإدارة مخاطر الموردينالأمن المادي
الأسئلة
هل أحتاج إلى CSF و800-53 معًا؟
تحتاج الأنظمة الفيدرالية إلى 800-53، ويُعد CSF طبقة مفيدة فوقه لأغراض التواصل. وتكتفي كثير من المنظمات الخاصة بـ CSF وحده، وتستعير ضوابط 800-53 حيثما تحتاج إلى تفاصيل أكثر.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.