المقارنة

NIST CSF 2.0 مقابل SOC 2: إطار تتبناه مقابل تقرير تُدقَّق عليه

NIST Cybersecurity Framework 2.0 · SOC 2 (Trust Services Criteria) · بيانات 2026-10-27

حسب Paul Gillet · آخر تحديث 2026-10-17

NIST CSF 2.0 إطار نتائج اختياري: أنت تحدد ملفك المستهدف وتقيس أداءك في ضوئه. أما SOC 2 فهو تأكيد مستقل يصدره محاسب قانوني معتمد (CPA) استنادًا إلى معايير خدمات الثقة الصادرة عن AICPA، وهو ما يطلبه كثير من عملاء أمريكا الشمالية من مزودي خدمات SaaS في إجراءات المشتريات.

معظم متطلبات الأمن في SOC 2 (المعايير المشتركة Common Criteria) لها مقابل في CSF: التحكم في الوصول المنطقي، والمراقبة، والاستجابة للحوادث، وإدارة التغيير، وتقييم المخاطر، وإدارة الموردين. وبرنامج متوافق مع CSF يوفر لك معظم الضوابط التي سيختبرها المدقق.

عند الانتقال من CSF إلى SOC 2، يوجد مقابل في CSF لكل معيار مشترك تقريبًا، بما في ذلك معايير بيئة الرقابة (الأخلاقيات، ومجلس الإدارة، والمساءلة)، التي يغطيها CSF من خلال وظيفة «يحكم». أما البنود غير المتطابقة فهي فئتا سلامة المعالجة والخصوصية الاختياريتان في SOC 2، وليس لهما مقابل يُذكر في إطار أمني. ولا يوجد جدول مطابقة عام قابل للقراءة الآلية لـ SOC 2، لذلك فإن الجانب الخاص بـ SOC 2 في هذه المقارنة هو الربط التحريري الذي أعدّته ControlMapping.

عند الانتقال من SOC 2 إلى CSF، تكمن الفجوات في الغالب في نتائج الحوكمة والمرونة الأوسع في CSF، مثل استراتيجية المخاطر، ودورة حياة إدارة مخاطر سلسلة الإمداد، وعمليات الاستخبارات بشأن التهديدات والتحسين، وهي أمور لا يشترطها SOC 2 صراحةً.

نظرة سريعة

	NIST CSF 2.0	SOC 2
ما هو	إطار نتائج اختياري	تقرير تأكيد على الضوابط
من يتحقق منه	أنت، أو مقيِّم تختاره	شركة محاسبة قانونية مرخّصة (CPA)
المخرج	الملفات الحالية والمستهدفة	تقرير SOC 2 من النوع الأول أو النوع الثاني
النطاق	المخاطر السيبرانية للمؤسسة بأكملها	النظام الذي يعتمد عليه العملاء
من يطلبه	مجالس الإدارة والجهات التنظيمية وشركات التأمين	فرق مخاطر الموردين لدى العملاء

كيف يتكاملان

يصف CSF ما يحققه البرنامج الجيد، بينما يثبت SOC 2 للعملاء أن ضوابط محددة تعمل بفعالية. تستخدم كثير من الشركات CSF لهيكلة البرنامج والرفع إلى مجلس الإدارة، وSOC 2 لتقديم الأدلة للعملاء. ولأن SOC 2 لا يملك جدول مطابقة مرخصًا بشكل مفتوح، فإن كل ربط لـ SOC 2 في هذا الموقع هو اجتهاد تحريري من ControlMapping مع ذكر السبب.

من يطلب أيهما

SOC 2 يطلبه العملاء، وغالبًا الشركات الأمريكية الكبرى التي تقيّم مزودي البرمجيات والخدمات. ويجيب عن السؤال «هل يمكننا أن نأتمنك على بياناتنا؟» برأي مستقل من مدقق خارجي.
NIST CSF 2.0 يطلبه مجالس الإدارة والجهات التنظيمية وشركات التأمين والشركاء الذين يريدون معرفة كيفية إدارة المؤسسة للمخاطر السيبرانية بشكل عام. لا يمكن تقديم «شهادة CSF»؛ بل تعرض ملفاتك الشخصية والأدلة الداعمة لها.
تستخدم أعداد متزايدة من الشركات CSF داخليًا، وتُعد تقرير SOC 2 للعملاء. وهما يكمّل أحدهما الآخر ولا يتنافسان.

استخدام CSF للتحضير لـ SOC 2

إذا كان لديك بالفعل برنامج قائم على CSF، فلديك معظم ما تختبره معايير الأمن في SOC 2. اربط نتائج CSF لديك بمعايير خدمات الثقة، ثم تحقق من ثلاثة أمور لا يفرضها CSF: أن كل ضابط ينتج أدلة بشكل مستمر (إذ تأخذ عينات SOC 2 من النوع الثاني عبر عدة أشهر)، وأن معايير بيئة الرقابة مغطاة (إشراف مجلس الإدارة، والنزاهة والقيم الأخلاقية، والكفاءة، والمساءلة)، وأن وصف النظام يطابق الحدود التي يهتم بها العملاء. ويسرد تقرير فجوات CSF → SOC 2 كل معيار مع ما يقابله في CSF وسبب كل ربط.

التكلفة والجهد

CSF نفسه مجاني؛ إذ ينحصر الجهد في تقييم ملفك الشخصي وتحسينه. أما SOC 2 فيضيف أتعاب شركة محاسبة قانونية، وبالنسبة للنوع الثاني، الانضباط في جمع الأدلة طوال فترة الرصد بأكملها. وبالنسبة لشركة لديها برنامج CSF ناضج، فإن الجهد الإضافي لـ SOC 2 يتمثل في الغالب في جمع الأدلة ووصف النظام وأي فئات اختيارية تضمّنها. أما الشركة التي تبدأ من الصفر، فبناء البرنامج وفق CSF أولًا يوفر أساسًا أوسع، بينما بناؤه وفق SOC 2 أولًا يمنحها مخرجًا يراه العملاء أسرع.

الجدول الزمني

من برنامج CSF عامل حتى الحصول على أول تقرير SOC 2 من النوع الثاني يستغرق عادةً من ستة إلى تسعة أشهر: شهر إلى ثلاثة أشهر لربط الضوابط وإغلاق الفجوات والتعاقد مع مدقق، ثم فترة رصد من ثلاثة إلى ستة أشهر، وبضعة أسابيع لإعداد التقرير. وفي الاتجاه المعاكس، يمكن لشركة لديها تقرير SOC 2 أن تُعد الملف الحالي وفق CSF خلال أسابيع، لأن معظم نتائج «يحمي» و«يكشف» و«يستجيب» موثّقة بالفعل؛ أما وظيفة «يحكم» فعادةً ما تحتاج أكبر قدر من العمل.

مثال تطبيقي: شركة ناشئة في مجال التقنية المالية

شركة تقنية مالية تضم 30 شخصًا لديها تقرير SOC 2 من النوع الثاني لواجهة برمجة المدفوعات الخاصة بها. ويسأل مجلس إدارتها وشركة التأمين السيبراني الخاصة بها الآن عن كيفية إدارتها للمخاطر السيبرانية بشكل أوسع. تبني الشركة ملف CSF 2.0 الحالي من ضوابط SOC 2 الخاصة بها، وتجد تغطية قوية لنتائج «يحمي» و«يكشف» و«يستجيب»، مع فجوات في «يحكم»: لا يوجد بيان رسمي لمستوى تقبّل المخاطر، ولا برنامج لمخاطر سلسلة الإمداد يتجاوز استبيانات الموردين، ولا تقارير إشراف منتظمة. وتحدد الشركة ملفًا مستهدفًا، وتضيف تقريرًا ربع سنوي لمجلس الإدارة بمصطلحات CSF، وتُبقي دورة تدقيق SOC 2 دون تغيير. وهكذا تجيب مجموعة ضوابط واحدة عن كلا الجمهورين.

أخطاء شائعة

افتراض أن التوافق مع CSF يعني الجاهزية لـ SOC 2. لا يشترط CSF أدلة مستمرة عبر فترة زمنية، وهو ما يختبره تقرير النوع الثاني.
تجاهل بيئة الرقابة. تحتاج معايير CC1 إلى CC5 في SOC 2 (إشراف مجلس الإدارة، والنزاهة، والكفاءة، والمساءلة) إلى أدلة كثيرًا ما تفتقر إليها برامج CSF التقنية.
توسيع نطاق تقرير SOC 2 أكثر من اللازم ليشمل برنامج CSF بأكمله، بدلًا من النظام الذي يعتمد عليه العملاء.
تشغيل برنامجين منفصلين. مجموعة ضوابط واحدة، مربوطة في الاتجاهين، تتجنب تكرار الأدلة.
ترك «يحكم» إلى النهاية. غالبًا ما تكون نتائج «يحكم» في CSF 2.0 أضعف جزء في برنامج يبدأ بـ SOC 2، وهي الجزء الذي يسأل عنه مجلس الإدارة أكثر من غيره.

أهم النقاط

يخبرك CSF بما يبدو عليه الأداء الجيد، بينما يثبت SOC 2 للعميل أنك تطبّقه فعلًا.
اجمع الأدلة بشكل مستمر: يحتاج تقرير النوع الثاني إلى إثبات طوال فترة التدقيق بأكملها.
عامل سلامة المعالجة والخصوصية كمشروعين منفصلين إذا كانا ضمن النطاق.

تنزيل هذه المقارنة (CSV) فتح في تحليل الفجوات →

لديك NIST CSF 2.0 → تحتاج SOC 2

61 متطلبًا

37 مربوط · · 24 دون ربط فتح في عرض الفجوات →

من أصل 61 متطلبًا في SOC 2 (Trust Services Criteria)، يُطابق 37 شيئًا في NIST CSF 2.0، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 24 في بياناتنا.

تعيد AICPA إتاحة ربط SOC 2 بالمعايير المفتوحة، لذا فإن كل روابط SOC 2 هنا هي من تحرير ControlMapping: المعايير التي لم نربطها لا يمكن أن تتطابق. معايير سلامة المعالجة (PI) ومعظم معايير الخصوصية (P) لا يوجد لها مقابل في أطر الأمن.

عمل جديد على الأرجح: متطلبات SOC 2 لا يوجد لها ربط بـ NIST CSF 2.0 (24)

SOC 2	المتطلب	تطابق	NIST CSF 2.0	الأدلة
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P Privacy · 18
P1.1	Privacy notice	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P2.1	Choice and consent	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P3.1	Collection limited to privacy objectives	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P3.2	Explicit consent where required	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P4.1	Use limited to privacy objectives	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P4.2	Retention of personal information	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P4.3	Disposal of personal information	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P5.1	Data subject access	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P5.2	Correction of personal information	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.1	Disclosure to third parties with consent	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.2	Record of authorized disclosures	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.3	Record of unauthorized disclosures	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.4	Privacy commitments from third parties	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.5	Notification by third parties of unauthorized disclosures	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.6	Breach notification to affected individuals	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P6.7	Accounting of disclosures to data subjects	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P7.1	Quality of personal information	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
P8.1	Handling privacy inquiries, complaints and disputes	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
PI1.2	Controls over system inputs	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
PI1.3	Controls over system processing	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
PI1.4	Controls over system outputs	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.
PI1.5	Storing inputs, items in processing and outputs	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع NIST CSF 2.0 في بياناتنا.

مُطابَق (37)

SOC 2	المتطلب	تطابق	NIST CSF 2.0	الأدلة
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	تحريري	GV.OC-04 PR.IR-03 RC.RP-04	الموضوع نفسه: استمرارية الأعمال (اختيار المحرر)
A1.2	Environmental protections, backups and recovery infrastructure	تحريري	GV.OC-04 PR.DS-11 PR.IR-03+4	الموضوع نفسه: استمرارية الأعمال, النسخ الاحتياطي والاستعادة, التعافي من الكوارث (اختيار المحرر)
A1.3	Testing recovery plan procedures	تحريري	ID.IM-04 PR.IR-03 RC.RP-01+2	الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	تحريري	ID.AM-05 ID.AM-07	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
C1.2	Disposing of confidential information	تحريري	PR.DS-01 PR.DS-02 PR.DS-10	الموضوع نفسه: حماية البيانات (اختيار المحرر)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	تحريري	GV.PO-01 GV.PO-02	الموضوع نفسه: سياسة الحوكمة (اختيار المحرر)
CC1.2	Board independence and oversight of internal control	تحريري	GV.RR-01 GV.RR-02 GV.RR-03	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
CC1.3	Structures, reporting lines, authorities and responsibilities	تحريري	GV.RR-01 GV.RR-02 GV.RR-03	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
CC1.4	Commitment to attracting, developing and retaining competent people	تحريري	PR.AT-01 PR.AT-02	الموضوع نفسه: التوعية والتدريب (اختيار المحرر)
CC1.5	Accountability for internal control responsibilities	تحريري	GV.RR-01 GV.RR-02 GV.RR-03	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	تحريري	PR.AT-01 PR.AT-02	الموضوع نفسه: التوعية والتدريب (اختيار المحرر)
CC2.3	Communication with external parties	تحريري	RC.CO-03 RC.CO-04 RC.RP-05+2	الموضوع نفسه: التواصل والاستعادة (اختيار المحرر)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	تحريري	GV.OC-01 GV.OC-04 GV.OC-05+4	الموضوع نفسه: بيئة الأعمال (اختيار المحرر)
CC3.2	Risk identification and analysis	تحريري	ID.RA-03 ID.RA-04 ID.RA-05+1	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
CC3.3	Considering the potential for fraud	تحريري	ID.RA-03 ID.RA-04 ID.RA-05+1	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
CC3.4	Identifying and assessing significant changes	تحريري	ID.RA-03 ID.RA-04 ID.RA-05+1	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	تحريري	GV.OC-03 GV.OV-03	الموضوع نفسه: الامتثال (اختيار المحرر)
CC4.2	Communicating and remediating control deficiencies	تحريري	GV.OC-03 GV.OV-03	الموضوع نفسه: الامتثال (اختيار المحرر)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	تحريري	GV.RM-01 GV.RM-02 GV.RM-03+1	الموضوع نفسه: إدارة المخاطر (اختيار المحرر)
CC5.2	General controls over technology	تحريري	PR.PS-01	الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر)
CC5.3	Control activities deployed through policies and procedures	تحريري	GV.PO-01 GV.PO-02	الموضوع نفسه: سياسة الحوكمة (اختيار المحرر)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	تحريري	ID.AM-01 ID.AM-02 ID.AM-04+6	الموضوع نفسه: إدارة الأصول (اختيار المحرر)
CC6.2	User registration, authorization and removal	تحريري	PR.AA-01 PR.AA-05	الموضوع نفسه: التحكم في الوصول (اختيار المحرر)
CC6.3	Role-based access, least privilege and segregation of duties	تحريري	PR.AA-01 PR.AA-05	الموضوع نفسه: التحكم في الوصول, الوصول المميز (اختيار المحرر)
CC6.4	Physical access restrictions	تحريري	DE.CM-02 PR.AA-06 PR.IR-02	الموضوع نفسه: الأمن المادي (اختيار المحرر)
CC6.5	Protection of data when assets are disposed of	تحريري	PR.DS-01 PR.DS-02 PR.DS-10	الموضوع نفسه: حماية البيانات (اختيار المحرر)
CC6.6	Protection against threats from outside system boundaries	تحريري	DE.CM-01 ID.AM-03 PR.AA-03+4	الموضوع نفسه: WAF, جدار الحماية / تجزئة الشبكة, الثقة المعدومة (اختيار المحرر)
CC6.7	Restricting transmission, movement and removal of information	تحريري	PR.AA-05 PR.DS-01 PR.DS-02+2	الموضوع نفسه: أمن الأجهزة المحمولة, التشفير, DLP (اختيار المحرر)
CC6.8	Preventing or detecting unauthorized or malicious software	تحريري	DE.CM-09 PR.DS-02 PR.PS-05	الموضوع نفسه: حماية نقاط النهاية, أمن البريد الإلكتروني (اختيار المحرر)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	تحريري	ID.RA-01 ID.RA-08 PR.PS-01+1	الموضوع نفسه: إدارة الثغرات, الإعدادات الآمنة (اختيار المحرر)
CC7.2	Monitoring system components for anomalies	تحريري	DE.AE-02 DE.AE-03 DE.AE-04+4	الموضوع نفسه: كشف التسلل, اكتشاف الشذوذ, التسجيل والتدقيق (اختيار المحرر)
CC7.3	Evaluating security events to determine if they are incidents	تحريري	DE.AE-03 DE.AE-06 DE.AE-08+5	الموضوع نفسه: SIEM / SOC (اختيار المحرر)
CC7.4	Responding to identified security incidents	تحريري	ID.IM-04 RS.AN-03 RS.AN-06+7	الموضوع نفسه: الاستجابة للحوادث, الطب الشرعي الرقمي (اختيار المحرر)
CC7.5	Recovering from identified security incidents	تحريري	ID.IM-03 ID.IM-04 RC.CO-03+5	الموضوع نفسه: الدروس المستفادة, تخطيط الاستعادة, التواصل والاستعادة (اختيار المحرر)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	تحريري	PR.PS-06	الموضوع نفسه: التطوير الآمن (اختيار المحرر)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	تحريري	GV.OC-04 GV.RM-01 GV.RM-02+4	الموضوع نفسه: استمرارية الأعمال, إدارة المخاطر (اختيار المحرر)
CC9.2	Managing vendor and business partner risk	تحريري	DE.CM-06 GV.SC-01 GV.SC-03+10	الموضوع نفسه: إدارة مخاطر الموردين, مخاطر سلسلة التوريد (اختيار المحرر)

لديك SOC 2 → تحتاج NIST CSF 2.0

106 متطلبًا

86 مربوط · · 20 دون ربط فتح في عرض الفجوات →

من أصل 106 متطلبًا في NIST Cybersecurity Framework 2.0، يُطابق 86 شيئًا في SOC 2، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 20 في بياناتنا.

عمل جديد على الأرجح: متطلبات NIST CSF 2.0 لا يوجد لها ربط بـ SOC 2 (20)

NIST CSF 2.0	المتطلب	تطابق	SOC 2	الأدلة
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
Govern (GV) · 10
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.RR-04	Cybersecurity is included in human resources practices	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
Identify (ID) · 4
ID.IM-01	Improvements are identified from evaluations	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
Protect (PR) · 3
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
PR.IR-04	Adequate resource capacity to ensure availability is maintained	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.
RS.MA-05	The criteria for initiating incident recovery are applied	لا يوجد ربط في بياناتنا	—	لا يوجد ربط مع SOC 2 في بياناتنا.

مُطابَق (86)

NIST CSF 2.0	المتطلب	تطابق	SOC 2	الأدلة
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	تحريري	CC7.2	الموضوع نفسه: كشف التسلل, اكتشاف الشذوذ (اختيار المحرر)
DE.AE-03	Information is correlated from multiple sources	تحريري	CC7.2 CC7.3	الموضوع نفسه: التسجيل والتدقيق, SIEM / SOC (اختيار المحرر)
DE.AE-04	The estimated impact and scope of adverse events are understood	تحريري	CC7.2	الموضوع نفسه: اكتشاف الشذوذ (اختيار المحرر)
DE.AE-06	Information on adverse events is provided to authorized staff and tools	تحريري	CC7.3	الموضوع نفسه: SIEM / SOC (اختيار المحرر)
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	تحريري	CC7.3	الموضوع نفسه: SIEM / SOC (اختيار المحرر)
DE.CM-01	Networks and network services are monitored to find potentially adverse events	تحريري	CC6.6 CC7.2	الموضوع نفسه: WAF, المراقبة المستمرة, كشف التسلل (اختيار المحرر)
DE.CM-02	The physical environment is monitored to find potentially adverse events	تحريري	CC6.4	الموضوع نفسه: الأمن المادي (اختيار المحرر)
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	تحريري	CC7.2	الموضوع نفسه: المراقبة المستمرة (اختيار المحرر)
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	تحريري	CC9.2	الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر)
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	تحريري	CC6.8 CC7.2	الموضوع نفسه: حماية نقاط النهاية, أمن البريد الإلكتروني, المراقبة المستمرة, اكتشاف الشذوذ (اختيار المحرر)
Govern (GV) · 21
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	تحريري	CC3.1	الموضوع نفسه: بيئة الأعمال (اختيار المحرر)
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	تحريري	CC4.1 CC4.2	الموضوع نفسه: الامتثال (اختيار المحرر)
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	تحريري	A1.1 A1.2 CC3.1+1	الموضوع نفسه: استمرارية الأعمال, بيئة الأعمال (اختيار المحرر)
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	تحريري	CC3.1	الموضوع نفسه: بيئة الأعمال (اختيار المحرر)
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	تحريري	CC4.1 CC4.2	الموضوع نفسه: الامتثال (اختيار المحرر)
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	تحريري	CC1.1 CC5.3	الموضوع نفسه: سياسة الحوكمة (اختيار المحرر)
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	تحريري	CC1.1 CC5.3	الموضوع نفسه: سياسة الحوكمة (اختيار المحرر)
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	تحريري	CC3.1 CC5.1 CC9.1	الموضوع نفسه: إدارة المخاطر (اختيار المحرر)
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	تحريري	CC3.1 CC5.1 CC9.1	الموضوع نفسه: إدارة المخاطر (اختيار المحرر)
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	تحريري	CC3.1 CC5.1 CC9.1	الموضوع نفسه: إدارة المخاطر (اختيار المحرر)
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	تحريري	CC3.1 CC5.1 CC9.1	الموضوع نفسه: إدارة المخاطر (اختيار المحرر)
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	تحريري	CC1.2 CC1.3 CC1.5	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	تحريري	CC1.2 CC1.3 CC1.5	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	تحريري	CC1.2 CC1.3 CC1.5	الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر)
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	تحريري	CC9.2	الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر)
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	تحريري	CC9.2	الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر)
GV.SC-04	Suppliers are known and prioritized by criticality	تحريري	CC9.2	الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر)
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	تحريري	CC9.2	الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر)
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	تحريري	CC9.2	الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر)
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	تحريري	CC9.2	الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر)
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	تحريري	CC9.2	الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر)
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	تحريري	CC6.1	الموضوع نفسه: إدارة الأصول (اختيار المحرر)
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	تحريري	CC6.1	الموضوع نفسه: إدارة الأصول (اختيار المحرر)
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	تحريري	CC6.6	الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر)
ID.AM-04	Inventories of services provided by suppliers are maintained	تحريري	CC6.1 CC9.2	الموضوع نفسه: إدارة الأصول, أمن السحابة (اختيار المحرر)
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	تحريري	C1.1	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	تحريري	C1.1	الموضوع نفسه: تصنيف البيانات (اختيار المحرر)
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	تحريري	CC6.1	الموضوع نفسه: إدارة الأصول (اختيار المحرر)
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	تحريري	CC7.5	الموضوع نفسه: الدروس المستفادة (اختيار المحرر)
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	تحريري	A1.3 CC7.3 CC7.4+1	الموضوع نفسه: تخطيط الاستعادة, الاستجابة للحوادث (اختيار المحرر)
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	تحريري	CC7.1	الموضوع نفسه: إدارة الثغرات (اختيار المحرر)
ID.RA-03	Internal and external threats to the organization are identified and recorded	تحريري	CC3.2 CC3.3 CC3.4	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	تحريري	CC3.2 CC3.3 CC3.4	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	تحريري	CC3.2 CC3.3 CC3.4	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	تحريري	CC3.2 CC3.3 CC3.4	الموضوع نفسه: تقييم المخاطر (اختيار المحرر)
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	تحريري	CC7.1	الموضوع نفسه: إدارة الثغرات (اختيار المحرر)
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	تحريري	CC9.2	الموضوع نفسه: مخاطر سلسلة التوريد (اختيار المحرر)
ID.RA-10	Critical suppliers are assessed prior to acquisition	تحريري	CC9.2	الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر)
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	تحريري	CC6.1 CC6.2 CC6.3	الموضوع نفسه: التحكم في الوصول (اختيار المحرر)
PR.AA-03	Users, services, and hardware are authenticated	تحريري	CC6.1 CC6.6	الموضوع نفسه: المصادقة متعددة العناصر, الثقة المعدومة (اختيار المحرر)
PR.AA-04	Identity assertions are protected, conveyed, and verified	تحريري	CC6.6	الموضوع نفسه: الثقة المعدومة (اختيار المحرر)
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	تحريري	CC6.1 CC6.2 CC6.3+2	الموضوع نفسه: التحكم في الوصول, الوصول المميز (اختيار المحرر)
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	تحريري	CC6.4	الموضوع نفسه: الأمن المادي (اختيار المحرر)
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	تحريري	CC1.4 CC2.2	الموضوع نفسه: التوعية والتدريب (اختيار المحرر)
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	تحريري	CC1.4 CC2.2	الموضوع نفسه: التوعية والتدريب (اختيار المحرر)
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	تحريري	C1.2 CC6.1 CC6.5+1	الموضوع نفسه: حماية البيانات, التشفير (اختيار المحرر)
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	تحريري	C1.2 CC6.1 CC6.5+2	الموضوع نفسه: حماية البيانات, التشفير (اختيار المحرر)
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	تحريري	C1.2 CC6.5 CC6.7	الموضوع نفسه: حماية البيانات, DLP (اختيار المحرر)
PR.DS-11	Backups of data are created, protected, maintained, and tested	تحريري	A1.2	الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر)
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	تحريري	CC6.6 CC9.2	الموضوع نفسه: جدار الحماية / تجزئة الشبكة, أمن تطبيقات الويب, الثقة المعدومة, WAF, أمن السحابة (اختيار المحرر)
PR.IR-02	The organization's technology assets are protected from environmental threats	تحريري	CC6.4	الموضوع نفسه: الأمن المادي (اختيار المحرر)
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	تحريري	A1.1 A1.2 A1.3+1	الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث (اختيار المحرر)
PR.PS-01	Configuration management practices are established and applied	تحريري	CC5.2 CC6.7 CC7.1+1	الموضوع نفسه: الإعدادات الآمنة, أمن الأجهزة المحمولة (اختيار المحرر)
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	تحريري	CC7.1	الموضوع نفسه: إدارة الرقع (اختيار المحرر)
PR.PS-04	Log records are generated and made available for continuous monitoring	تحريري	CC7.2	الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر)
PR.PS-05	Installation and execution of unauthorized software are prevented	تحريري	CC6.8	الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر)
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	تحريري	CC6.6 CC8.1	الموضوع نفسه: أمن تطبيقات الويب, التطوير الآمن (اختيار المحرر)
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	تحريري	CC2.3 CC7.5	الموضوع نفسه: التواصل والاستعادة (اختيار المحرر)
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	تحريري	CC2.3 CC7.5	الموضوع نفسه: التواصل والاستعادة (اختيار المحرر)
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	تحريري	A1.3 CC7.5	الموضوع نفسه: تخطيط الاستعادة (اختيار المحرر)
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	تحريري	A1.2 A1.3 CC7.5	الموضوع نفسه: التعافي من الكوارث, تخطيط الاستعادة (اختيار المحرر)
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	تحريري	A1.2	الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر)
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	تحريري	A1.1 A1.2 CC9.1	الموضوع نفسه: استمرارية الأعمال (اختيار المحرر)
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	تحريري	A1.2 A1.3 CC2.3+1	الموضوع نفسه: التعافي من الكوارث, التواصل والاستعادة (اختيار المحرر)
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	تحريري	CC7.5	الموضوع نفسه: الدروس المستفادة (اختيار المحرر)
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	تحريري	CC7.4	الموضوع نفسه: الطب الشرعي الرقمي (اختيار المحرر)
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	تحريري	CC7.4	الموضوع نفسه: الطب الشرعي الرقمي (اختيار المحرر)
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	تحريري	CC7.4	الموضوع نفسه: الطب الشرعي الرقمي (اختيار المحرر)
RS.CO-02	Internal and external stakeholders are notified of incidents	تحريري	CC2.3	الموضوع نفسه: الإبلاغ (اختيار المحرر)
RS.CO-03	Information is shared with designated internal and external stakeholders	تحريري	CC2.3	الموضوع نفسه: الاتصالات (اختيار المحرر)
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	تحريري	CC7.3 CC7.4	الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر)
RS.MA-02	Incident reports are triaged and validated	تحريري	CC7.3 CC7.4	الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر)
RS.MA-03	Incidents are categorized and prioritized	تحريري	CC7.3 CC7.4	الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر)
RS.MA-04	Incidents are escalated or elevated as needed	تحريري	CC7.3 CC7.4	الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر)
RS.MI-01	Incidents are contained	تحريري	CC7.4	الموضوع نفسه: التخفيف (اختيار المحرر)
RS.MI-02	Incidents are eradicated	تحريري	CC7.4	الموضوع نفسه: التخفيف (اختيار المحرر)

حسب الموضوع

يغطي كلاهما (46):

سياسة الحوكمة التوعية والتدريب إدارة المخاطر مخاطر سلسلة التوريد الأدوار والمسؤوليات الامتثال إدارة الأصول تقييم المخاطر بيئة الأعمال تصنيف البيانات إدارة الثغرات التحكم في الوصول المصادقة متعددة العناصر التشفير حماية البيانات النسخ الاحتياطي والاستعادة الوصول المميز جدار الحماية / تجزئة الشبكة حماية نقاط النهاية إدارة الرقع الإعدادات الآمنة التطوير الآمن أمن البريد الإلكتروني أمن تطبيقات الويب الثقة المعدومة أمن الأجهزة المحمولة أمن السحابة WAF DLP المراقبة المستمرة التسجيل والتدقيق كشف التسلل اكتشاف الشذوذ SIEM / SOC الاستجابة للحوادث الطب الشرعي الرقمي الاتصالات التخفيف الإبلاغ تخطيط الاستعادة استمرارية الأعمال الدروس المستفادة التواصل والاستعادة التعافي من الكوارث إدارة مخاطر الموردين الأمن المادي

NIST CSF 2.0 فقط (4):

استخبارات التهديدات أمان نظام أسماء النطاقات (DNS)أمن واجهات برمجة التطبيقات التهديدات الداخلية

الأسئلة

هل يستند SOC 2 إلى NIST؟

لا. يستخدم SOC 2 معايير خدمات الثقة الصادرة عن AICPA، والتي تستمد أساسها من إطار الرقابة الداخلية COSO. وتنشر AICPA ربطًا بين المعايير وأطر NIST، لكنه غير مرخّص بموجب ترخيص مفتوح.

هل يستند SOC 2 إلى NIST CSF؟

لا. يستخدم SOC 2 معايير خدمات الثقة الصادرة عن AICPA، والتي تستمد أساسها من إطار الرقابة الداخلية COSO. ويتداخل الإطاران بشدة في المحتوى الأمني، لكنهما طُوّرا بشكل مستقل.

هل يمكن لتقرير SOC 2 أن يُظهر التوافق مع NIST CSF؟

ليس بشكل رسمي؛ فرأي SOC 2 يتعلق بمعايير خدمات الثقة. لكن الضوابط التي يُختبر بها تقرير SOC 2 تُعد أدلة قوية على كثير من نتائج CSF، وبعض المؤسسات تربط الإطارين لأغراض تقاريرها الداخلية.

أيهما ينبغي أن تبدأ به الشركة الناشئة أولًا: NIST CSF أم SOC 2؟

إذا كان العملاء يطلبون تقرير SOC 2، فابدأ به. وإلا فإن CSF طريقة مجانية لهيكلة البرنامج، وستغذي ضوابطه لاحقًا تقرير SOC 2.

كم من الوقت يظل تقرير SOC 2 صالحًا؟

يغطي تقرير SOC 2 فترة ماضية. ويتوقع العملاء عادةً تقرير نوع ثانٍ جديدًا كل عام، ويفضّل ألا تكون هناك فجوة بين الفترات.

هل يتضمن NIST CSF مستويات نضج؟

يتضمن CSF 2.0 مستويات (جزئي، ومستنِد إلى المخاطر، وقابل للتكرار، ومتكيّف) تصف مدى صرامة حوكمة المخاطر وإدارتها لدى المؤسسة. وهي ليست مستويات شهادة.

هل يستطيع مدقق SOC 2 تقييم NIST CSF؟

تقدم بعض شركات التدقيق تقييمات منفصلة لـ CSF، لكنها مختلفة عن فحص SOC 2 ورأيه.

هل يغطي SOC 2 كل ما في NIST CSF 2.0؟

لا. يغطي SOC 2 معظم نتائج «يحمي» و«يكشف» و«يستجيب» بشكل جيد، لكن وظيفة «يحكم» في CSF 2.0 (استراتيجية المخاطر، وإدارة مخاطر سلسلة الإمداد، والإشراف) وبعض نتائج «يحدد» و«يتعافى» تتجاوز ما تشترطه معايير خدمات الثقة.

تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.

جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · ذو صلة فضفاضة يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.