المقارنة
SOC 2 مقابل HIPAA: تقرير تأكيد مقابل التزام قانوني
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · بيانات 2026-10-27
غالبًا ما تحتاج شركات التكنولوجيا الصحية إلى الأمرين معًا: HIPAA لأنها تتعامل مع المعلومات الصحية المحمية، عادةً بصفتها شريكًا تجاريًا، وSOC 2 لأن عملاءها يطلبون تأكيدًا مستقلًا. وهما أداتان مختلفتان. فـHIPAA قانون يُنفَّذ من قِبل مكتب الحقوق المدنية (Office for Civil Rights). أما SOC 2 فهو تأكيد طوعي يصدر عن محاسب قانوني معتمد (CPA). ويقدم بعض المدققين تقرير SOC 2 مع إضافة معايير HIPAA إليه.
تتداخل الضوابط الفنية بدرجة كبيرة: التحكم في الوصول، وتسجيل التدقيق، وسلامة البيانات، والمصادقة، وأمن النقل، والتخطيط للطوارئ، والتوعية الأمنية، وكلها ترد في الإطارين. وعند الانتقال من SOC 2 إلى HIPAA، تكون معظم متطلبات قاعدة الأمن مرتبطة أو ذات صلة فضفاضة.
أما متطلبات HIPAA المتبقية فهي محددة: إعادة استخدام الوسائط ومحتوى عقود الشركاء التجاريين.
وعند الانتقال من HIPAA إلى SOC 2، يبقى عدد أكبر من البنود دون ربط. فـSOC 2 يتوقع معيارًا رسميًا لإدارة التغيير لا تنص عليه قاعدة الأمن صراحةً، كما أن فئتيه الاختياريتين، الخصوصية وسلامة المعالجة، تتجاوزان قاعدة الأمن. وجانب SOC 2 في هذا الجدول هو الربط التحريري لـControlMapping.
أهم النقاط
- لا يجعلك تقرير SOC 2 متوافقًا مع HIPAA، لكن ضوابطه يمكن أن تغطي معظم ضمانات HIPAA لديك.
- احتفظ بتحليل مخاطر HIPAA واتفاقيات الشركاء التجاريين كمخرجات منفصلة وصريحة.
- فكّر في تقرير SOC 2 مع معايير HIPAA إذا استمر عملاء الرعاية الصحية في طلب الأمرين معًا.
من أصل 69 متطلبًا في HIPAA Security Rule، يُطابق 36 شيئًا في SOC 2، وترتبط 31 بشكل فضفاض فقط، ولا يوجد ربط لـ 2 في بياناتنا.
تغطي قاعدة الأمان في HIPAA فقط (وليس قاعدتي الخصوصية وإشعار خرق البيانات).
عمل جديد على الأرجح: متطلبات HIPAA لا يوجد لها ربط بـ SOC 2 (2)
| HIPAA | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (31)
| HIPAA | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, GV.OC-03: ذو صلة، وليس ربطًا | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: ذو صلة، وليس ربطًا | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, GV.OC-03: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: ذو صلة، وليس ربطًا | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: ذو صلة، وليس ربطًا | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AT-01, PR.AT-02: ذو صلة، وليس ربطًا | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | يشترك فقط في الفئات الفرعية لـ CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: ذو صلة، وليس ربطًا | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: ذو صلة، وليس ربطًا | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: ذو صلة، وليس ربطًا | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, GV.OC-03: ذو صلة، وليس ربطًا | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: ذو صلة، وليس ربطًا | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-02: ذو صلة، وليس ربطًا | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, PR.DS-02, PR.DS-10: ذو صلة، وليس ربطًا | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: ذو صلة، وليس ربطًا | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: ذو صلة، وليس ربطًا | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.AM-03: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.AM-03: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.AM-03: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: ذو صلة، وليس ربطًا | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: ذو صلة، وليس ربطًا | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08, ID.AM-03, ID.RA-01: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07, ID.AM-08: ذو صلة، وليس ربطًا | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: ذو صلة، وليس ربطًا | |
مُطابَق (36)
| HIPAA | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | تحريري | CC3.2CC3.3CC3.4+1 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | تحريري | CC3.1CC5.1CC7.1+1 | الموضوع نفسه: إدارة المخاطر, إدارة الثغرات (اختيار المحرر) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | تحريري | CC7.2CC7.3 | الموضوع نفسه: المراقبة المستمرة, SIEM / SOC (اختيار المحرر) |
| §164.308(a)(2) | Assigned Security Responsibility | تحريري | CC1.2CC1.3CC1.5 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| §164.308(a)(4) | Information Access Management | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.308(a)(5) | Security Awareness and Training | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| §164.308(a)(6) | Security Incident Procedures | تحريري | CC7.3CC7.4 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| §164.308(a)(6)(ii) | Required Response and Reporting | تحريري | CC2.3CC7.3CC7.4 | الموضوع نفسه: الإبلاغ, الاستجابة للحوادث, التخفيف (اختيار المحرر) |
| §164.308(a)(7) | Contingency Plan | تحريري | A1.3CC7.5 | الموضوع نفسه: تخطيط الاستعادة (اختيار المحرر) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | تحريري | A1.2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | تحريري | A1.2A1.3CC7.5 | الموضوع نفسه: التعافي من الكوارث, تخطيط الاستعادة (اختيار المحرر) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | تحريري | A1.1A1.2CC9.1 | الموضوع نفسه: استمرارية الأعمال (اختيار المحرر) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | تحريري | A1.2A1.3 | الموضوع نفسه: التعافي من الكوارث (اختيار المحرر) |
| §164.308(a)(8) | Evaluation | تحريري | CC4.1CC4.2CC7.1 | الموضوع نفسه: الامتثال, إدارة الثغرات (اختيار المحرر) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | تحريري | CC9.2 | الموضوع نفسه: أمن السحابة, إدارة مخاطر الموردين (اختيار المحرر) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(b) | Workstation Use | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(c) | Workstation Security | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| §164.310(d) | Device and Media Controls | تحريري | CC6.1CC6.7 | الموضوع نفسه: إدارة الأصول, أمن الأجهزة المحمولة (اختيار المحرر) |
| §164.310(d)(2)(i) | Required Disposal | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| §164.310(d)(2)(iii) | Addressable Accountability | تحريري | CC6.1 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | تحريري | A1.2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.312(a)(2)(i) | Required Unique User Identification | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| §164.312(b) | Audit Controls | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| §164.312(c) | Integrity | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| §164.312(d) | Person or Entity Authentication | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| §164.312(e)(2)(ii) | Addressable Encryption | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| §164.316(b)(2)(iii) | Required Updates | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
من أصل 61 متطلبًا في SOC 2 (Trust Services Criteria)، يُطابق 33 شيئًا في HIPAA، وترتبط 3 بشكل فضفاض فقط، ولا يوجد ربط لـ 25 في بياناتنا.
تعيد AICPA إتاحة ربط SOC 2 بالمعايير المفتوحة، لذا فإن كل روابط SOC 2 هنا هي من تحرير ControlMapping: المعايير التي لم نربطها لا يمكن أن تتطابق. معايير سلامة المعالجة (PI) ومعظم معايير الخصوصية (P) لا يوجد لها مقابل في أطر الأمن.
عمل جديد على الأرجح: متطلبات SOC 2 لا يوجد لها ربط بـ HIPAA (25)
| SOC 2 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P2.1 | Choice and consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P3.1 | Collection limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P3.2 | Explicit consent where required | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P4.1 | Use limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P4.2 | Retention of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P4.3 | Disposal of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P5.1 | Data subject access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P5.2 | Correction of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.1 | Disclosure to third parties with consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.2 | Record of authorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.3 | Record of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.4 | Privacy commitments from third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.5 | Notification by third parties of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.6 | Breach notification to affected individuals | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P6.7 | Accounting of disclosures to data subjects | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P7.1 | Quality of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| P8.1 | Handling privacy inquiries, complaints and disputes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PI1.2 | Controls over system inputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PI1.3 | Controls over system processing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PI1.4 | Controls over system outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
| PI1.5 | Storing inputs, items in processing and outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع HIPAA في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (3)
| SOC 2 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-05: ذو صلة، وليس ربطًا | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-01: ذو صلة، وليس ربطًا | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: ذو صلة، وليس ربطًا | |
مُطابَق (33)
| SOC 2 | المتطلب | تطابق | HIPAA | الأدلة |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | تحريري | §164.308(a)(7)(ii)(C) | الموضوع نفسه: استمرارية الأعمال (اختيار المحرر) |
| A1.2 | Environmental protections, backups and recovery infrastructure | تحريري | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة, التعافي من الكوارث, استمرارية الأعمال (اختيار المحرر) |
| A1.3 | Testing recovery plan procedures | تحريري | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | تحريري | §164.310(d)(2)(i)§164.312(c) | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | تحريري | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC1.2 | Board independence and oversight of internal control | تحريري | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | تحريري | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | تحريري | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC1.5 | Accountability for internal control responsibilities | تحريري | §164.308(a)(2) | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | تحريري | §164.308(a)(5)§164.308(a)(5)(ii)(A) | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC2.3 | Communication with external parties | تحريري | §164.308(a)(6)(ii) | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| CC3.2 | Risk identification and analysis | تحريري | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.3 | Considering the potential for fraud | تحريري | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.4 | Identifying and assessing significant changes | تحريري | §164.308(a)(1)(ii)(A) | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC4.2 | Communicating and remediating control deficiencies | تحريري | §164.308(a)(8) | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | تحريري | §164.308(a)(1)(ii)(B) | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| CC5.3 | Control activities deployed through policies and procedures | تحريري | §164.316(a)§164.316(b)(2)(iii) | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | تحريري | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | الموضوع نفسه: التحكم في الوصول, إدارة الأصول (اختيار المحرر) |
| CC6.2 | User registration, authorization and removal | تحريري | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CC6.3 | Role-based access, least privilege and segregation of duties | تحريري | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CC6.4 | Physical access restrictions | تحريري | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| CC6.5 | Protection of data when assets are disposed of | تحريري | §164.310(d)(2)(i)§164.312(c) | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC6.7 | Restricting transmission, movement and removal of information | تحريري | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | الموضوع نفسه: أمن الأجهزة المحمولة, التشفير (اختيار المحرر) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | تحريري | §164.308(a)(5)(ii)(B) | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | تحريري | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| CC7.2 | Monitoring system components for anomalies | تحريري | §164.308(a)(1)(ii)(D)§164.312(b) | الموضوع نفسه: المراقبة المستمرة, التسجيل والتدقيق (اختيار المحرر) |
| CC7.3 | Evaluating security events to determine if they are incidents | تحريري | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث (اختيار المحرر) |
| CC7.4 | Responding to identified security incidents | تحريري | §164.308(a)(6)§164.308(a)(6)(ii) | الموضوع نفسه: الاستجابة للحوادث, التخفيف (اختيار المحرر) |
| CC7.5 | Recovering from identified security incidents | تحريري | §164.308(a)(7)§164.308(a)(7)(ii)(B) | الموضوع نفسه: تخطيط الاستعادة (اختيار المحرر) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | تحريري | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | الموضوع نفسه: إدارة المخاطر, استمرارية الأعمال (اختيار المحرر) |
| CC9.2 | Managing vendor and business partner risk | تحريري | §164.308(b)(1)§164.314(a) | الموضوع نفسه: أمن السحابة, إدارة مخاطر الموردين (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (26):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطرإدارة الثغراتالتحكم في الوصولالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةحماية نقاط النهايةأمن الأجهزة المحمولةأمن السحابةالمراقبة المستمرةالتسجيل والتدقيقSIEM / SOCالاستجابة للحوادثالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالتعافي من الكوارثإدارة مخاطر الموردينالأمن المادي
SOC 2 فقط (20):
مخاطر سلسلة التوريدبيئة الأعمالتصنيف البياناتالمصادقة متعددة العناصرالوصول المميزجدار الحماية / تجزئة الشبكةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةWAFDLPكشف التسللاكتشاف الشذوذالطب الشرعي الرقميالاتصالاتالدروس المستفادةالتواصل والاستعادة
HIPAA فقط (1):
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.