الأسئلة المتكررة
استخدام ControlMapping
ما هو ControlMapping؟
مرجع مجاني يوضح المتطلبات الأمنية التي تنتقل بين أطر 14: NIST CSF 2.0 وISO 27001 وSOC 2 وPCI DSS وNIS2 وCMMC وHIPAA وGDPR وNIST SP 800-53 وCIS Controls وEssential Eight. يغطي 1,421 متطلباً مجمّعة في 50 موضوعاً أمنياً، ويوضح كل رابط مصدره.
كيف أُجري تحليل الفجوات؟
افتح تحليل الفجوات واختر الإطار الذي لديك والإطار الذي تحتاجه. تُدرج كل متطلبات الإطار المطلوب على أنها مرتبطة (وفق جدول مطابقة منشور أو وفق تقديرنا التحريري)، أو ذات صلة فضفاضة، أو لا يوجد ربط في بياناتنا. تمثل الصفوف غير المرتبطة على الأرجح أعمالاً جديدة تحتاج إليها. صدّر النتيجة بصيغة CSV مع أعمدة فارغة للمالك والحالة والأدلة لاستخدامها كأداة متابعة.
ماذا تعني الرموز؟
جدول المطابقة (مربع مملوء): جدول مطابقة منشور (من NIST أو ENISA أو CIS أو PCI SSC) يُنشئ الربط. تحريري (مربع بإطار فقط): تقديرنا حيث لا يوجد جدول مطابقة، ويُعرض السبب دائماً. ذو صلة فضفاضة (حلقة كهرمانية): يشترك الطرفان فقط في نتيجة واحدة من نتائج NIST CSF 2.0، لذا تحقق قبل الاعتماد عليه. لا يوجد ربط في بياناتنا (شرطة): غالباً عمل جديد، لكن التغطية جزئية لبعض الأطر. يُشار بالمعين إلى نتائج CSF التي تحدد موضوعاً. راجع المنهجية.
ما هو الموضوع؟
موضوع أمني مثل التشفير أو المصادقة متعددة العوامل أو الاستجابة للحوادث. يُعرَّف كل موضوع بنتائج NIST CSF 2.0، ويسرد المتطلب في كل إطار يتناوله. صفحات الموضوعات هي أسرع طريقة لرؤية موضوع واحد عبر جميع الأطر.
هل يمكنني تنزيل البيانات؟
نعم. تتضمن صفحة التنزيلات جدول المطابقة كاملاً بصيغ CSV وExcel وJSON بموجب CC BY 4.0، مع ذكر تراخيص المواد الخارجية في كل ملف.
هل ControlMapping مجاني؟
نعم: دون حساب ودون اشتراك مدفوع. يمكن إعادة استخدام البيانات مجاناً بموجب CC BY 4.0.
الدقة والمصادر
ما مدى دقة الربط؟
يُتحقق من كل معرّف متطلب مقابل الكتالوج الرسمي للإطار عند بناء الموقع، وتُفشل عملية البناء عند وجود معرّفات مُلغاة. الروابط المسماة جدول مطابقة مأخوذة من جداول مطابقة منشورة، والروابط المسماة تحريرية تمثل تقديرنا ولكل منها سبب. تُظهر جداول المطابقة أن المتطلبات تتناول نتائج ذات صلة، لا أن استيفاء أحدها يحقق الآخر، لذا استخدم الموقع للتخطيط، وتحقق من النص الأصلي للمصدر قبل الاعتماد عليه في التدقيق.
من أين تأتي جداول المطابقة؟
NIST (مراجع CSF 2.0 الإعلامية، وSP 800-53 → ISO 27001، وHIPAA → SP 800-53، وSP 800-171 الملحق D)، وENISA (NIS2 → ISO 27001 وCSF 2.0)، وCIS (CIS Controls → CSF 2.0)، وPCI SSC (PCI DSS → CSF 2.0). لا يتوفر لدى SOC 2 وGDPR وEssential Eight جدول مطابقة مرخص بموجب ترخيص مفتوح، لذا روابطها تحريرية. تذكر المنهجية كل مصدر وإصداره.
لماذا لا أستطيع رؤية النص الكامل لمتطلبات ISO أو PCI أو SOC 2؟
هذا النص محمي بحقوق النشر لصالح ISO وPCI SSC وAICPA. نعرض المعرّفات وعناوين ISO، وملخصاتنا القصيرة الخاصة لـ PCI DSS وSOC 2. يُعرض نص NIST وHIPAA وNIS2 وEssential Eight بالقدر الذي يسمح به ترخيصه.
وجدت خطأً. كيف أبلغ عنه؟
استخدم رابط الإبلاغ عن خطأ في أي صفحة متطلب، أو راجع صفحة حول الموقع.
الأطر
ما الفرق بين SOC 2 وISO 27001؟
ينتهي ISO 27001 بـشهادة لنظام إدارة أمن المعلومات، تصدرها هيئة اعتماد معتمدة وتبقى سارية لثلاث سنوات. وينتهي SOC 2 بـتقرير: رأي شركة محاسبة معتمدة (CPA) حول ضوابطك، وعادةً خلال فترة من 3 إلى 12 شهراً (Type II). تتداخل ضوابط أمنها بشكل كبير؛ إذ يضيف ISO نظام الإدارة، ويضيف SOC 2 معايير اختيارية للتوافر والسرية وسلامة المعالجة والخصوصية. راجع ISO 27001 مقابل SOC 2.
هل أحتاج إلى SOC 2 من النوع Type I أم Type II؟
يطلب معظم العملاء Type II، الذي يختبر ما إذا كانت الضوابط تعمل خلال فترة زمنية. أما Type I فيغطي التصميم في لحظة معينة فقط، وهو مفيد كخطوة أولى بينما تجري فترة Type II. راجع دليل SOC 2.
هل تكفي شهادة ISO 27001 لاستيفاء متطلبات NIS2؟
ليس بذاتها. تربط ENISA كل تدبير تقني في لائحة التنفيذ لـ NIS2 بـ ISO 27001، لذا تكون المؤسسات الحاصلة على الشهادة قد أنجزت جزءاً كبيراً من العمل، لكن NIS2 يضيف مواعيد الإبلاغ عن الحوادث (24 ساعة و72 ساعة وشهر واحد)، والتدريب والمساءلة الإدارية، والتسجيل لدى الجهة الوطنية المختصة. راجع دليل NIS2.
ما الفرق بين NIST CSF وNIST SP 800-53؟
يصف CSF 2.0 النتائج (106 فئة فرعية)، وهو اختياري لمعظم المؤسسات. أما SP 800-53 فهو كتالوج ضوابط تحقق تلك النتائج، وهو إلزامي للأنظمة الفيدرالية الأمريكية، وأساس FedRAMP. تنشر NIST الربط الرسمي بينهما، ويستخدمه هذا الموقع.
من يحتاج إلى CMMC Level 2؟
مقاولو وزارة الدفاع الأمريكية ومقاولو الباطن الذين يتعاملون مع المعلومات غير المصنفة الخاضعة للرقابة (CUI). يتكون Level 2 من 110 متطلبات من NIST SP 800-171 Rev 2، ويُقيَّم إما بالتقييم الذاتي أو، لمعظم عقود CUI، بواسطة مقيّم طرف ثالث معتمد (C3PAO).
هل توجد شهادة لـ NIST CSF أو HIPAA أو Essential Eight؟
لا توجد شهادة رسمية. يُقيَّم NIST CSF وEssential Eight ولا يُمنحان شهادة، وتُطبَّق HIPAA من قبل مكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية (HHS). توجد إفادات تصديق من طرف ثالث للأطر الثلاثة، لكن لا تُعد أيٌّ منها شهادة رسمية.