الثقة المعدومة
طبّق الثقة المعدومة -- لا تثق أبداً، وتحقّق دائماً.
يُعرَّف الثقة المعدومة بنتائج NIST CSF 2.0 الآتية: PR.AA-03 (Users, services, and hardware are authenticated); PR.AA-04 (Identity assertions are protected, conveyed, and verified); PR.AA-05 (Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties); PR.IR-01 (Networks and environments are protected from unauthorized logical access and usage). جدول المطابقة مُطابَق عبر جدول مطابقة منشور في ISO 27001, CIS v8.1, PCI DSS, CMMC, 800-53 وNIS2. تحريري مُطابَق تحريريًا في SOC 2. ذو صلة فضفاضة فقط في HIPAA. لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا لـ GDPR, Essential Eight, DORA, CPS 234 وCyber Essentials.
| الإطار | المتطلب | العنوان | رابط | المصدر / السبب |
|---|---|---|---|---|
| NIST CSF 2.0 | PR.AA-03PR.AA-04PR.AA-05PR.IR-01 | Users, services, and hardware are authenticated; Identity assertions are protected, conveyed, and verified; Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties… | تعريف الموضوع | PR.AA-03 PR.AA-04 PR.AA-05 PR.IR-01 |
| ISO 27001 | A.5.15A.8.5A.8.22 | Access control; Secure authentication; Segregation of networks | جدول المطابقة | A.5.15: via PR.AA-03; PR.AA-05; NIST 800-53 map: AC-3, AC-6 A.8.5: via PR.AA-03; PR.AA-05 A.8.22: via PR.IR-01; NIST 800-53 map: AC-4 |
| CIS v8.1 | CIS 6.8CIS 12.2CIS 12.7CIS 13.5 | Define and Maintain Role-Based Access Control; Establish and Maintain a Secure Network Architecture; Ensure Remote Devices Utilize a VPN and are Connecting to an Enterprise's AAA Infrastructure… | جدول المطابقة | CIS 6.8: via PR.AA-05 CIS 12.2: via PR.IR-01 CIS 12.7: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): remote devices connect through VPN and enterprise AAA. CIS 13.5: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): access control for remote assets. |
| SOC 2 | CC6.6 | Protection against threats from outside system boundaries | تحريري | CC6.6: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 7.2.18.3.1 | Access control model defined; User and admin access requires an authentication factor | جدول المطابقة | 7.2.1: via PR.AA-05 8.3.1: via PR.AA-03 |
| CMMC | AC.L2-3.1.1SC.L2-3.13.1SC.L2-3.13.6 | Authorized Access Control; Boundary Protection; Network Communication by Exception | جدول المطابقة | AC.L2-3.1.1: via 800-171r3 03.01.01 ↔ PR.AA-05; 800-171r2 Appendix D → AC-3 SC.L2-3.13.1: via 800-171r3 03.13.01 ↔ PR.IR-01 SC.L2-3.13.6: via 800-171r3 03.13.06 ↔ PR.IR-01 |
| 800-53 | AC-3AC-4IA-2AC-6 | Access Enforcement; Information Flow Enforcement; Identification and Authentication (Organizational Users)… | جدول المطابقة | AC-3: via PR.AA-05; PR.IR-01 AC-4: via PR.IR-01 IA-2: via PR.AA-03 AC-6: via PR.AA-05 |
| HIPAA | §164.310(b)§164.312(a)(2)(i)§164.312(a)(2)(iii)§164.312(d)§164.308(a)(3)§164.308(a)(3)(ii)(A) | غير مُطابَق مع هذا الموضوع | هذه المتطلبات تشترك فقط في نتائج CSF لهذا الموضوع (PR.AA-03, PR.AA-04, PR.AA-05, PR.IR-01) عبر جداول ربط منشورة: تستحق المراجعة، لكنها ليست ربطًا. | |
| GDPR | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب GDPR مُطابَق مع هذا الموضوع في بياناتنا. |
| NIS2 | 6.811.111.6 | Network segmentation; Access control policy; Authentication | جدول المطابقة | 6.8: via PR.IR-01; ENISA ISO map: A.8.22 11.1: via PR.AA-05; ENISA ISO map: A.5.15 11.6: via PR.AA-03; PR.AA-05 |
| Essential Eight | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Essential Eight مُطابَق مع هذا الموضوع في بياناتنا. |
| DORA | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب DORA مُطابَق مع هذا الموضوع في بياناتنا. |
| CPS 234 | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب CPS 234 مُطابَق مع هذا الموضوع في بياناتنا. |
| Cyber Essentials | — | لا يوجد متطلب | لا يوجد ربط في بياناتنا | لا يوجد متطلب Cyber Essentials مُطابَق مع هذا الموضوع في بياناتنا. |
تعريف الموضوع نتائج CSF 2.0 التي تحدد هذا الموضوع · جدول المطابقة اختيار واحد على الأقل مدعوم بجدول مطابقة منشور · تحريري حكم ControlMapping، مع ذكر السبب · غير مربوط، يشترك فقط في نتائج CSF لهذا الموضوع · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. المنهجية.
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
ربط خاطئ أو مفقود؟ أبلغ عنه
حول الثقة المعدومة
تقوم بنية الثقة المعدومة على مبدأ مفاده أنه لا ينبغي منح أي مستخدم أو جهاز أو شريحة شبكية ثقةً ضمنية، ويتطلب ذلك التحقق المستمر من الهوية والتفويض لكل طلب وصول. ويشمل التطبيق التجزئة الدقيقة للشبكة، والوكلاء الواعون بالهوية، وفحوص وضعية الأجهزة، وسياسات الوصول بأقل الامتيازات، والمراقبة المستمرة لكل حركة مرور على الشبكة بصرف النظر عن مصدرها. ينبغي للمؤسسات التي تتبنى الثقة المعدومة أن تتّبع نهجاً مرحلياً، يبدأ بالتحقق من الهوية والمصادقة متعددة العوامل، ثم يمتد إلى تجزئة الشبكة وعزل أحمال العمل مع نضج البنية.