المسرد
- اختبار الاختراق
- هجوم محاكى ومصرّح به على نظام بهدف تقييم أمنه. تحدد اختبارات الاختراق الثغرات التي قد يستغلها المهاجمون، وتتحقق من فاعلية الضوابط القائمة.
- إدارة الترقيعات
- عملية تحديد تحديثات البرمجيات واختبارها ونشرها لمعالجة الثغرات الأمنية. تتطلب إدارة الترقيعات الفعالة قوائم دقيقة للأصول، وترتيب أولويات قائم على المخاطر، وآجال خدمة محددة لمعالجة الثغرات.
- استخبارات التهديدات
- معلومات عن التهديدات السيبرانية الحالية والناشئة، تُجمع من مصادر متعددة (ISACs، والموجزات الحكومية، والمنصات التجارية، وOSINT). تُوجّه استخبارات التهديدات قواعد الكشف، وترتيب أولويات الثغرات، والاستجابة للحوادث.
- استمرارية الأعمال
- قدرة المنظمة على مواصلة تقديم منتجاتها أو خدماتها بمستويات مقبولة ومحددة مسبقاً بعد وقوع حادث مُعطِّل. يحدد تخطيط استمرارية الأعمال (BCP) التهديدات ويضع الإجراءات لضمان المرونة.
- أقل الامتيازات
- مبدأ يقضي بمنح المستخدمين والأنظمة والعمليات الحد الأدنى من صلاحيات الوصول اللازمة لأداء وظائفهم المصرح بها. يقلل سطح الهجوم ويحدّ من نطاق الضرر الناتج عن الحسابات المخترقة.
- الاستجابة للحوادث
- النهج المنظم لاكتشاف الحوادث السيبرانية واحتوائها والقضاء على أسبابها والتعافي منها. تحدد خطة الاستجابة للحوادث الأدوار والإجراءات وبروتوكولات الاتصال ومسارات التصعيد.
- الإطار
- مجموعة منظمة من متطلبات الأمن أو نتائجه. بعضها قانوني (HIPAA وGDPR وNIS2)، وبعضها تعاقدي (PCI DSS عبر اتفاقيات العلامات التجارية للبطاقات، وCMMC عبر العقود الدفاعية)، وبعضها طوعي (NIST CSF وCIS Controls)، وبعضها قابل للاعتماد بشهادة (ISO 27001).
- الاعتماد
- اعتراف رسمي بأن هيئة الشهادات مؤهلة لمنح الشهادات وفق معيار محدد. بالنسبة لـ ISO 27001، ابحث عن هيئة شهادات معتمدة من هيئة اعتماد وطنية عضو في المنتدى الدولي للاعتماد (IAF).
- الإفادة التأكيدية
- رأي يُبديه ممارس مستقل بشأن موضوع معين، مثل رأي شركة محاسبة قانونية (CPA) حول ضوابط شركة ما في تقرير SOC 2. الإفادة التأكيدية ليست شهادة: لا توجد شهادة ولا درجة نجاح محددة.
- البيانات الشخصية
- بموجب GDPR، أي معلومات تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديد هويته. وتشمل الأسماء وعناوين البريد الإلكتروني وعناوين IP وبيانات الموقع والمعرّفات الإلكترونية.
- التشفير
- عملية تحويل البيانات إلى شكل مرمّز (نص مشفّر) لمنع الوصول غير المصرح به. ينبغي تشفير البيانات أثناء التخزين (المخزنة)، وأثناء النقل (المتنقلة عبر الشبكات)، وبشكل متزايد أثناء الاستخدام.
- التفويض
- عملية تحديد ما إذا كان المستخدم الذي تمت مصادقته يملك صلاحية الوصول إلى مورد محدد أو تنفيذ إجراء محدد. يُنفَّذ عادةً عبر التحكم في الوصول القائم على الأدوار (RBAC) أو التحكم في الوصول القائم على السمات (ABAC).
- الثغرة
- نقطة ضعف في نظام أو تطبيق أو عملية يمكن أن يستغلها مهاجم للحصول على وصول غير مصرح به أو لإلحاق الضرر. تُقيَّم الثغرات باستخدام CVSS (نظام تقييم الثغرات الشائعة).
- الثقة الصفرية
- نموذج أمني يقوم على مبدأ «لا تثق أبداً، تحقّق دائماً». تتطلب الثقة الصفرية التحقق المستمر من الهوية والتفويض لكل طلب وصول، بغض النظر عن موقع الشبكة. ويشمل التطبيق التجزئة الدقيقة، والوكلاء المدركين للهوية، وفحص وضع الأجهزة.
- الجهات الأساسية والمهمة
- الفئتان في NIS2. يجب على الفئتين الالتزام بالمتطلبات نفسها المتعلقة بإدارة المخاطر وإعداد التقارير؛ تخضع الجهات الأساسية لإشراف استباقي وغرامات قصوى أعلى، بينما تخضع الجهات المهمة للإشراف اللاحق.
- الجهة المشمولة
- بموجب HIPAA، منظمة يجب أن تلتزم بقاعدتي الخصوصية والأمان: الخطط الصحية، ومراكز تبادل المعلومات الصحية، ومقدمو الرعاية الصحية الذين ينقلون المعلومات الصحية إلكترونياً.
- الحوكمة
- منظومة السياسات والعمليات والهياكل التنظيمية التي تضمن توافق أنشطة الأمن السيبراني مع أهداف الأعمال والمتطلبات التنظيمية. تُرسي الحوكمة المساءلة، وتحدد الأدوار، وتضع التوجه الاستراتيجي.
- الدفاع المتعمق
- استراتيجية أمنية تستخدم طبقات متعددة من الضوابط عبر نظام تقنية المعلومات. إذا فشلت طبقة، تواصل الطبقات الإضافية توفير الحماية. وتُعرف أيضاً بالأمن متعدد الطبقات.
- الضابط
- إجراء وقائي أو مضاد مصمم لحماية سرية أنظمة المعلومات وسلامتها وتوافرها، وكذلك البيانات. يمكن أن تكون الضوابط تقنية (جدران الحماية، والتشفير)، أو إدارية (السياسات، والتدريب)، أو مادية (الأقفال، وبطاقات الدخول).
- الضابط التعويضي
- إجراء أمني بديل يُعتمد عندما يتعذر تطبيق الضابط الأساسي. يجب أن تحقق الضوابط التعويضية مقصد المتطلب الأصلي، وأن توفر مستوى دفاع مماثلاً، وأن تكون موثقة.
- الفئة الفرعية لإطار CSF
- المستوى الأكثر تحديداً في إطار NIST للأمن السيبراني: نتيجة مثل PR.AA-03 (يتم التحقق من هوية المستخدمين والخدمات والأجهزة). يضم CSF 2.0 106 فئات فرعية نشطة ضمن 22 فئة و6 وظائف. يستخدم ControlMapping هذه الفئات الفرعية محوراً ترتبط به كل الأطر.
- اللائحة التنفيذية (الاتحاد الأوروبي) 2024/2690
- لائحة المفوضية الأوروبية التي تحدد بالتفصيل تدابير إدارة المخاطر في المادة 21 من NIS2 لمزودي خدمات DNS والخدمات السحابية ومراكز البيانات والخدمات المُدارة والمزودين الرقميين الآخرين. ومتطلبات NIS2 في ControlMapping هي النقاط الواردة في ملحقه.
- المصادقة
- عملية التحقق من هوية المستخدم أو الجهاز أو النظام. من الطرق الشائعة كلمات المرور، والمصادقة متعددة العوامل (MFA)، والقياسات الحيوية، والشهادات الرقمية.
- المنظمة الفرعية لمقدم الخدمة
- مزوّد خارجي تهم ضوابطه تقرير SOC 2، مثل مزود الخدمات السحابية الذي يستضيف الخدمة. وفي منهج الاستثناء (carve-out) يستثني التقرير ضوابطه ويعتمد على تقارير الضمان الخاصة به.
- بيان قابلية التطبيق (SoA)
- الوثيقة التي يصدرها ISO 27001 وتسرد كل ضوابط الملحق A، وتبيّن ما إذا كان كل منها مطبَّقاً وسبب ذلك، وهي الحلقة الرابطة بين معالجة المخاطر والضوابط القائمة. يدقق المدققون فيها بعناية.
- تحليل الفجوات
- مقارنة ما تطبّقه بالفعل، أو الإطار الذي تستوفيه بالفعل، بمتطلبات إطار آخر، لتحديد الأعمال الناقصة. يُجري تحليل الفجوات في ControlMapping هذه المقارنة متطلباً بمتطلب بين أي إطارين.
- تصنيف البيانات
- عملية تنظيم البيانات في فئات بناءً على مستوى حساسيتها وأثر الإفصاح غير المصرح به. تشمل المستويات الشائعة: عام، وداخلي، وسري، ومقيّد.
- تقييم أثر حماية البيانات (DPIA)
- عملية مطلوبة بموجب المادة 35 من GDPR لتحديد مخاطر حماية البيانات وتقليلها في مشروع أو نظام من المرجّح أن يؤدي إلى مخاطر عالية على حقوق الأفراد وحرياتهم.
- تقييم المخاطر
- عملية منهجية لتحديد التهديدات والثغرات، وتحليل احتمالية حدوثها وأثرها المحتمل، وتحديد التدابير المناسبة للتخفيف منها. ينبغي إجراء تقييمات المخاطر بانتظام وكلما وقعت تغييرات جوهرية.
- ثلاثية CIA
- المبادئ الثلاثة الأساسية لأمن المعلومات: السرية (منع الإفصاح غير المصرح به)، والسلامة (منع التعديل غير المصرح به)، والتوافر (ضمان الوصول المصرح به عند الحاجة).
- جدول المطابقة
- ربط منشور بين متطلبات إطارين، مثل تعيين NIST من SP 800-53 إلى ISO 27001. يبيّن جدول المطابقة أن المتطلبات تتناول نتائج ذات صلة، لا أن استيفاء أحدها يُغني عن الآخر. في هذا الموقع، تُسمّى الروابط المستمدة من جداول المطابقة «جدول المطابقة» وتُعرض بمربع مصمت.
- خرق البيانات
- حادث يتم فيه الوصول إلى بيانات حساسة أو محمية أو سرية أو إفشاؤها أو سرقتها من قِبل طرف غير مصرح له. تختلف متطلبات الإخطار بالخرق باختلاف اللوائح (تتطلب اللائحة العامة لحماية البيانات (GDPR) الإخطار خلال 72 ساعة، وتتطلب HIPAA الإخطار خلال 60 يوماً).
- خطة العمل والمعالم (POA&M)
- سجل لنقاط الضعف الأمنية مع الإجراءات والمواعيد النهائية لمعالجتها، ويُستخدم في تقييمات NIST SP 800-53 وSP 800-171 وCMMC.
- خطة أمن النظام (SSP)
- الوثيقة التي تصف حدود النظام وبيئته وكيفية تطبيق كل متطلب أمني. تشترطها NIST SP 800-171 (ممارسة CMMC Level 2 رقم CA.L2-3.12.4) وإطار NIST لإدارة المخاطر.
- دليل أمن المعلومات (ISM)
- إطار الأمن السيبراني الصادر عن Australian Signals Directorate، والمتضمن لضوابط منشورة بموجب CC BY 4.0. متطلبات Essential Eight هي ضوابط ISM موسومة بمستويات النضج.
- ربط تحريري
- رابط يُنشئه ControlMapping عندما لا يوجد جدول مطابقة منشور، ويُذكر دائماً معه سبب قصير. يُعرض بمربع بإطار فقط. وكل روابط SOC 2 وGDPR وEssential Eight في هذا الموقع تحريرية.
- سجل المخاطر
- جرد موثّق للمخاطر المحددة، يتضمن احتمالية حدوثها وأثرها والضوابط القائمة ومالك المخاطرة وخطة المعالجة. وسجل المخاطر وثيقة حية تدعم إدارة المخاطر المستمرة.
- سجل المراجعة
- سجل زمني لأنشطة النظام يوفّر أدلة موثقة على تسلسل الأحداث. تُستخدم سجلات المراجعة لاكتشاف انتهاكات الأمن ومشكلات الأداء وعيوب التطبيقات.
- شريك الأعمال
- بموجب HIPAA، هو شخص أو منظمة تنشئ المعلومات الصحية المحمية أو تستلمها أو تحتفظ بها أو تنقلها نيابةً عن جهة مشمولة، مثل مزوّد الخدمات السحابية أو مزوّد الفوترة. يجب على شركاء الأعمال الالتزام بقاعدة الأمان وتوقيع اتفاقية شريك الأعمال.
- ضبط الوصول
- إجراءات أمنية تنظّم مَن أو ما الذي يمكنه الاطلاع على الموارد في بيئة الحوسبة أو استخدامها. تشمل ضوابط الوصول المصادقة (التحقق من الهوية)، والتفويض (منح الصلاحيات)، والمحاسبة (تتبع الوصول).
- ضوابط كيانات المستخدم المكملة (CUECs)
- ضوابط يذكر تقرير SOC 2 أن عملاء مؤسسة الخدمات يجب أن يطبقوها بأنفسهم حتى تعمل الضوابط الموصوفة، مثل إدارة حساباتهم الخاصة للمستخدمين.
- فترة الملاحظة
- الفترة التي يغطيها تقرير SOC 2 Type II، وتتراوح عادةً بين 3 و12 شهراً، ويختبر خلالها المدقق فاعلية عمل الضوابط.
- مخاطر سلسلة التوريد
- المخاطر المتمثلة في تعرّض أمن المنظمة للاختراق عبر الثغرات لدى موردّيها أو مزودي خدماتها. تستغل هجمات سلسلة التوريد العلاقات الموثوقة لتجاوز الدفاعات المباشرة.
- مراقب البيانات
- بموجب GDPR، هو الكيان الذي يحدد أغراض معالجة البيانات الشخصية ووسائلها. يتحمل المراقب المسؤولية الأساسية عن الامتثال لمبادئ حماية البيانات.
- مركز العمليات الأمنية (SOC)
- فريق، غالباً ما يكون له مرفق مخصص، يراقب الحوادث الأمنية ويكتشفها ويستجيب لها. ولا يُخلط بينه وبين SOC 2، وهو تقرير تدقيق.
- مستوى النضج
- في Essential Eight الصادر عن ASD، أحد ثلاثة مستويات (من الأول إلى الثالث) تتزايد فيها الحماية في مواجهة خصوم أكثر قدرة. لا تبلغ الاستراتيجية مستوى معيناً إلا عند استيفاء جميع المتطلبات في ذلك المستوى والمستويات الأدنى منه.
- معالج البيانات
- بموجب GDPR، هو كيان يعالج البيانات الشخصية نيابةً عن مراقب البيانات. يجب على المعالجين اتباع تعليمات المراقب وتطبيق إجراءات أمنية مناسبة.
- معايير خدمات الثقة
- معايير AICPA المستخدمة في تقارير SOC 2، وتنقسم إلى خمس فئات: الأمن (مدرج دائماً)، والتوافر، والسرية، وسلامة المعالجة، والخصوصية.
- مواصفة التنفيذ القابلة للتكييف
- مواصفة في قاعدة الأمان بموجب HIPAA يجب على المنظمة تقييمها وتطبيقها إذا كانت معقولة ومناسبة، أو توثيق أسباب عدم تطبيقها واعتماد إجراء مكافئ. وهذا لا يعني أنها اختيارية. يجب تطبيق المواصفات الموسومة بـ«مطلوب».
- هيئة الشهادات
- منظمة تدقق أنظمة الإدارة وفق معيار مثل ISO 27001 وتصدر الشهادات. ويتوقع العملاء عادةً أن تكون معتمدة.
- C3PAO
- منظمة تقييم طرف ثالث في CMMC: منظمة مرخّصة لإجراء تقييمات شهادة CMMC Level 2 لمقاولي الدفاع.
- CUI
- المعلومات غير المصنفة الخاضعة للرقابة: معلومات تنشئها الحكومة أو تملكها، وتتطلب الحماية لكنها غير مصنفة. تُحدَّد متطلبات حماية CUI في NIST SP 800-171 ويُفرض تطبيقها عبر CMMC.
- DLP
- منع فقدان البيانات — تقنيات وسياسات تكتشف الإرسال غير المصرح به للبيانات الحساسة خارج المنظمة وتمنعه. تراقب حلول DLP البريد الإلكتروني والويب ونقاط الطرفية والخدمات السحابية.
- EDR
- الكشف عن نقاط الطرفية والاستجابة لها — حلول أمنية تُنشر على نقاط الطرفية وتراقب التهديدات السيبرانية باستمرار وتستجيب لها. توفر EDR تحليل السلوك، والبحث عن التهديدات، والقدرات الجنائية الرقمية، بما يتجاوز مكافحة الفيروسات التقليدية.
- ePHI
- المعلومات الصحية المحمية الإلكترونية — معلومات صحية تُعرّف هوية صاحبها فردياً، وتُنشأ أو تُخزَّن أو تُنقل أو تُستلم إلكترونياً. تتناول قاعدة الأمان في HIPAA حماية ePHI تحديداً.
- FedRAMP
- برنامج إدارة المخاطر والتفويض الفيدرالي — برنامج حكومي أمريكي يوفّر تقييماً وتفويضاً أمنياً موحدين للمنتجات والخدمات السحابية المستخدمة من الوكالات الفيدرالية. ويستند إلى ضوابط NIST SP 800-53.
- FISMA
- قانون تحديث أمن المعلومات الفيدرالي — تشريع أمريكي يُلزم الوكالات الفيدرالية بوضع برامج أمن المعلومات وتوثيقها وتطبيقها. ويُقاس الامتثال لـ FISMA وفق ضوابط NIST SP 800-53.
- IDS/IPS
- نظام كشف التسلل / نظام منع التسلل — أدوات أمنية للشبكات تراقب حركة المرور بحثاً عن نشاط مشبوه. يكتشف IDS وينبّه، بينما يكتشف IPS ويحظر. وقد تكون قائمة على الشبكة (NIDS/NIPS) أو على المضيف (HIDS/HIPS).
- ISMS
- نظام إدارة أمن المعلومات — نهج منظم لإدارة المعلومات الحساسة بما يضمن بقاءها آمنة. وتتطلب شهادة ISO 27001 تطبيق نظام ISMS والحفاظ عليه.
- MFA
- المصادقة متعددة العوامل — اشتراط عاملين أو أكثر من عوامل التحقق (شيء تعرفه أو تملكه أو تكونه) للوصول. ويُفضَّل استخدام طرق MFA المقاومة للتصيد مثل FIDO2 والمفاتيح الأمنية (passkeys) على الرموز المرسلة عبر الرسائل النصية القصيرة.
- MITRE ATT&CK
- قاعدة معرفية متاحة عالمياً لتكتيكات الخصوم وتقنياتهم وإجراءاتهم (TTPs) المستندة إلى ملاحظات من الواقع. تستخدمها فرق الأمن لتحسين الكشف، والبحث عن التهديدات، وتمارين الفريق الأحمر.
- OLIR
- برنامج NIST للمراجع الإعلامية عبر الإنترنت: فهرس لجداول المطابقة بين أطر NIST ومعايير أخرى، تقدمه NIST أو أطراف ثالثة. تتحقق NIST من تنسيق الإرساليات الواردة من الأطراف الثالثة، لا من صحتها.
- QSA وROC وSAQ وAOC
- مصطلحات تقييم PCI DSS. يُعدّ مقيِّم الأمن المؤهل (QSA) تقرير الامتثال (ROC)؛ أما التجار الأصغر حجماً فيمكنهم بدلاً من ذلك إكمال استبيان التقييم الذاتي (SAQ). وينتهي الاثنان بإفادة الامتثال (AOC).
- SIEM
- إدارة المعلومات والأحداث الأمنية — منصة تجمع بيانات السجلات من بيئة تقنية المعلومات بأكملها وتربطها ببعضها، لتوفير رؤية مركزية، واكتشاف التهديدات، وإعداد تقارير الامتثال.
- SOC 2 Type I وType II
- يغطي تقرير Type I ما إذا كانت الضوابط مصممة ومطبقة بشكل مناسب في تاريخ محدد. أما تقرير Type II فيغطي أيضاً ما إذا كانت الضوابط قد عملت بفاعلية خلال فترة زمنية، وهو التقرير الذي يطلبه معظم العملاء.
- WAF
- جدار حماية تطبيقات الويب — حل أمني يفحص حركة HTTP/HTTPS من تطبيقات الويب وإليها، ويحظر الهجمات الشائعة مثل حقن SQL وXSS وتضمين الملفات عن بُعد.