الاتصالات
تنسيق الاتصالات أثناء الحوادث وبعدها.
يُعرَّف الاتصالات بنتيجة NIST CSF 2.0 الآتية: RS.CO-03 (Information is shared with designated internal and external stakeholders). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CIS v8.1, CMMC, 800-53 وNIS2. تحريري مُطابَق تحريريًا في SOC 2, DORA وCPS 234. ذو صلة فضفاضة فقط في PCI DSS وHIPAA. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ GDPR, Essential Eight وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | RS.CO-03 | Information is shared with designated internal and external stakeholders | تعريف الموضوع | RS.CO-03 |
| ISO 27001 | A.5.6Clause 7.4 | Contact with special interest groups; Communication | جدول المطابقة | A.5.6: Contact with special interest groups (information sharing); not linked to RS.CO-03 in the OLIR mapping. Clause 7.4: via RS.CO-03 |
| CIS v8.1 | CIS 17.2CIS 17.6 | Establish and Maintain Contact Information for Reporting Security Incidents; Define Mechanisms for Communicating During Incident Response | جدول المطابقة | CIS 17.2: via RS.CO-03 CIS 17.6: Communication mechanisms during incident response; CIS's crosswalk links it to recovery subcategories only. |
| SOC 2 | CC2.3 | Communication with external parties | تحريري | CC2.3: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.212.8.412.10.112.10.6 | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (RS.CO-03) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| CMMC | IR.L2-3.6.2 | Incident Reporting | جدول المطابقة | IR.L2-3.6.2: via 800-171r3 03.06.02 ↔ RS.CO-03 → IR-7; 800-171r2 Appendix D → IR-7 |
| 800-53 | IR-7 | Incident Response Assistance | جدول المطابقة | IR-7: via RS.CO-03 |
| HIPAA | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)§164.314(a)(2)(i)§164.314(a)(2)(iii)§164.314(b)(2)(iv) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (RS.CO-03) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 4.3 | Crisis management | جدول المطابقة | 4.3: via RS.CO-03 |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | Art.14(1)Art.14(2)Art.17(3)(d) | Communication; Communication; ICT-related incident management process | تحريري | Art.14(1): Crisis communication plans for responsible disclosure of major incidents to clients, counterparts and the public. Art.14(2): Communication policies for internal staff and external stakeholders. Art.17(3)(d): Plans for communication to staff, external stakeholders, media and clients. |
| CPS 234 | Para 25 | Response plans cover all stages and escalation | تحريري | Para 25: Escalation and reporting of incidents to the Board and others responsible for oversight. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول الاتصالات
يضمن الاتصال أثناء الحوادث وصول المعلومات الدقيقة وفي الوقت المناسب إلى جميع أصحاب المصلحة، بمن فيهم الفرق الداخلية والإدارة التنفيذية والعملاء والجهات التنظيمية وجهات إنفاذ القانون، أثناء حادث الأمن السيبراني وبعده. ينبغي أن تحدد خطط الاتصال المعدّة مسبقاً عتبات الإخطار، وأدوار المتحدثين الرسميين، وقنوات الاتصال المعتمدة، ونماذج الرسائل لأنواع الحوادث والجمهور المختلفة. وتجعل المتطلبات التنظيمية، مثل إشعار خرق البيانات خلال 72 ساعة الوارد في GDPR (اللائحة العامة لحماية البيانات)، وقواعد الإفصاح الصادرة عن SEC، وقوانين إشعار خرق البيانات في الولايات، من التخطيط المنظم للاتصالات ضرورة قانونية وليس مجرد ممارسة فضلى.