تقييم المخاطر
فهم المخاطر السيبرانية التي تهدد العمليات والأصول.
يُعرَّف تقييم المخاطر بنتائج NIST CSF 2.0 الآتية: ID.RA-03 (Internal and external threats to the organization are identified and recorded); ID.RA-04 (Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded); ID.RA-05 (Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization); ID.RA-06 (Risk responses are chosen, prioritized, planned, tracked, and communicated). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, PCI DSS, CMMC, 800-53, HIPAA وNIS2. تحريري مُطابَق تحريريًا في SOC 2, GDPR, DORA وCPS 234. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ CIS v8.1, Essential Eight وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Internal and external threats to the organization are identified and recorded; Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded; Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization… | تعريف الموضوع | ID.RA-03 ID.RA-04 ID.RA-05 ID.RA-06 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Information security risk assessment; Information security risk treatment | جدول المطابقة | Clause 6.1.2: via ID.RA-03; ID.RA-04; ID.RA-05; NIST 800-53 map: RA-3 Clause 6.1.3: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CIS v8.1 مُطابَق مع هذا الموضوع في بياناتنا. |
| SOC 2 | CC3.2CC3.4CC3.3 | Risk identification and analysis; Identifying and assessing significant changes; Considering the potential for fraud | تحريري | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | جدول المطابقة | 12.3.1: via ID.RA-03; ID.RA-04; ID.RA-05 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | جدول المطابقة | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ ID.RA-03, ID.RA-04, ID.RA-05 → RA-3; 800-171r2 Appendix D → RA-3 |
| 800-53 | RA-3RA-7 | Risk Assessment; Risk Response | جدول المطابقة | RA-3: via ID.RA-03; ID.RA-04; ID.RA-05 RA-7: via ID.RA-05; ID.RA-06 |
| HIPAA | §164.308(a)(1)(ii)(A) | Risk Analysis | جدول المطابقة | §164.308(a)(1)(ii)(A): via NIST HIPAA map: RA-3 |
| GDPR | Art.35(1)Art.35(7) | Data protection impact assessment; Data protection impact assessment | تحريري | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.1 | Risk management framework | جدول المطابقة | 2.1: via ID.RA-03; ID.RA-04; ID.RA-05; ID.RA-06; ENISA ISO map: Clause 6.1.2, Clause 6.1.3 |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | Art.8(2)Art.8(3)Art.8(7) | Identification; Identification; Identification | تحريري | Art.8(2): Continuously identify sources of ICT risk and assess cyber threats and vulnerabilities; review risk scenarios at least yearly. Art.8(3): Perform a risk assessment on each major change to infrastructure, processes or procedures. Art.8(7): Assess the ICT risk of legacy systems at least yearly. |
| CPS 234 | Para 21Para 17 | Timely controls commensurate with risk and asset life-cycle; Keep capability current as threats and vulnerabilities change | تحريري | Para 21: Controls must be commensurate with vulnerabilities, threats, criticality and potential consequences: a risk-based basis. Para 17: Keep the security capability current as vulnerabilities and threats change. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول تقييم المخاطر
يوفّر تقييم المخاطر تقييمًا منظمًا للتهديدات ونقاط الضعف والآثار المحتملة على أصول المنظمة وعملياتها. ويستخدم الممارسون عادةً منهجيات نوعية أو كمية لتقييم المخاطر، ويعتمدون على أدوات مثل ماسحات الثغرات واختبارات الاختراق ونمذجة التهديدات لجمع البيانات. ويشترط ISO 27001 إجراء تقييمات المخاطر على فترات مخطط لها وبعد أي تغيير جوهري (8.2)، ويشترط HIPAA إجراء تحليل مخاطر دقيق وشامل يُحافظ على تحديثه؛ ويجب تتبع النتائج حتى المعالجة.