منهجية العمل

تُجمّع ControlMapping متطلبات الأمن في 50 موضوعًا (التشفير، المصادقة متعددة العوامل، الاستجابة للحوادث، …) وتُبيّن المتطلب الذي يغطي كل موضوع في كل إطار. توضح هذه الصفحة مصدر كل ربط، لتتمكن من تقدير مدى الاعتماد عليه.

قراءة الرموز

تعني الرموز الخمسة المعنى نفسه في كل صفحة. يحمل كل رمز تسمية، واللون مجرد دعم إضافي.

• تعريف الموضوع: نتائج إطار NIST CSF 2.0 التي تُعرّف الموضوع.
• جدول المطابقة: جدول مطابقة منشور (من NIST وENISA وCIS وPCI SSC) يُنشئ الربط.
• تحريري: حكم ControlMapping في غياب جدول مطابقة؛ ويُعرض السبب.
• ذو صلة فضفاضة: يشترك فقط في نتيجة من نتائج CSF 2.0: يستحق التحقق، لكنه ليس ربطًا.
• لا يوجد ربط في بياناتنا: لا يوجد أي ربط في بياناتنا؛ غالبًا ما يكون ذلك عملًا جديدًا، لكن راجع ملاحظات التغطية.

يُعد الربط إما جدول المطابقة أو تحريري: أي أن المتطلبين أُدرجا بعناية في الموضوع نفسه، أو رُبطا مباشرةً. ولا تُحتسب إلا الروابط ضمن التغطية، في أداة تحليل الفجوات والمقارنات والإحصاءات. أما ذو صلة فضفاضة فهو مؤشر يُراجع، ولا يُعد تغطية أبدًا.

لا يوجد ربط في بياناتنا يعني أنه لا يوجد أي ربط في بياناتنا. وبالنسبة لمعظم الأطر يُرجَّح أن يكون ذلك عملًا جديدًا، إلا أن التغطية غير متساوية: CIS v8.1: معظم روابط CIS تحريرية، ويغطي جدول المطابقة المنشور من CIS 49 من أصل 153 ضمانة؛ SOC 2: روابط SOC 2 تحريرية فقط؛ GDPR: تُربط المواد الأمنية في GDPR فقط، وبشكل تحريري؛ Essential Eight: روابط Essential Eight تحريرية فقط؛ DORA: روابط DORA تحريرية، ومعاييرها التقنية غير مربوطة؛ CPS 234: يعتمد CPS 234 على المبادئ، وروابطه تحريرية؛ Cyber Essentials: يغطي Cyber Essentials خمس ضوابط تقنية فقط. تعامل مع غياب الربط هنا على أنه «لم يُربط بعد»، وتحقق قبل وضع الميزانية.

1. إطار NIST CSF 2.0 هو المحور

يُعرَّف كل موضوع بواسطة فئة فرعية واحدة أو أكثر من فئات إطار NIST Cybersecurity Framework 2.0 (مثلًا: التشفير = PR.DS-01 لبيانات السكون وPR.DS-02 لبيانات النقل). واختيار هذه الفئات الفرعية قرار تحريري منا، ويظهر في كل صفحة موضوع.

2. جدول المطابقة مقابل التحرير

بالنسبة لكل إطار آخر، يُتحقق من كل متطلب مدرج تحت موضوع مقابل جداول المطابقة المنشورة من فهرس Online Informative References (OLIR) التابع لـ NIST:

• جدول المطابقة: يربط جدول مطابقة منشور ذلك المتطلب بإحدى الفئات الفرعية لـ CSF الخاصة بالموضوع، إما مباشرةً أو عبر ضابط من SP 800-53 مرتبط هو نفسه. ويُعرض الربط، مثل «جدول المطابقة: PR.DS-01» أو «خريطة NIST لـ HIPAA: SC-13».
• تحريري: لا يوجد جدول مطابقة منشور يربط بينهما، لكننا نرى أنه ذو صلة، ويُعرض السبب. وكل ربط في GDPR وSOC 2 وEssential Eight تحريري، إذ لا يوجد جدول مطابقة مرخص بشكل مفتوح لها.

تختلف جداول المطابقة في درجة الحجية. فأقواها ما أعدّته NIST أو مالك الإطار نفسه (CIS لضوابط CIS). وجدول المطابقة لـ PCI DSS من إعداد PCI SSC نفسها. أما جداول المطابقة من ISO 27001 إلى CSF 2.0 فقدّمها أطراف مستقلة، ولا تتحقق NIST من صحة المقدمات غير الصادرة عنها. كما تُراجع روابط ISO مقابل خريطة NIST الخاصة من 800-53 إلى ISO 27001. ويوضح الجدول أدناه كل مصدر.

لا تُحتسب الروابط التي تمر عبر عائلات ضوابط 800-53 كاملة (تربط بيانات NIST الأقدم بعض الفئات الفرعية بكل عائلة) كأدلة. ولا يُحتسب رابط CMMC أو HIPAA أو ISO يمر عبر ضابط من SP 800-53 إلا إذا كان ذلك الضابط مرتبطًا بجدول مطابقة بالموضوع.

من أصل 968 ربطًا للمتطلبات خارج CSF 2.0، يُدعم 475 منها بجدول مطابقة، و493 منها تحريرية.

3. العلاقات بين المتطلبات

تربط صفحات المتطلبات والمقارنات وأداة الفجوات والملفات القابلة للتنزيل المتطلبات عبر الأطر. ويُعد متطلبان مرتبطين عندما:

• يكون كلاهما من الاختيارات ضمن الموضوع نفسه في ControlMapping (مُنتقاة ومُصادق عليها كما سبق). ويكون الربط جدول المطابقة إذا كان الاختياران مدعومين بجدول مطابقة في ذلك الموضوع، وتحريري خلاف ذلك؛ أو
• يربط بينهما ربط زوجي مباشر: جدول ENISA للربط بين NIS2 وISO 27001، أو جدول NIST للربط بين HIPAA وSP 800-53، أو خريطة NIST للربط بين SP 800-53 وISO 27001، أو بالنسبة لـ CMMC، المراجع الواردة في الملحق D من SP 800-171r2 والمراجع من SP 800-171r3 إلى SP 800-53 (وكلها جدول المطابقة). وحيث لا يوجد جدول مطابقة، تُملأ الفجوات الواضحة بمجموعة محدودة من أزواج ControlMapping التحريرية (مثل SOC 2 CC4.1 ↔ ISO 27001 البند 9.2)، ويحمل كل زوج سببه (تحريري).

وفي غير ذلك، يُعرض المتطلبان المرتبطان بالفئة الفرعية نفسها في NIST CSF 2.0 على أنهما ذو صلة فضفاضة: فهما يتناولان نتائج ذات صلة، لكن أحدهما لا يستوفي الآخر. وتُرتَّب هذه المؤشرات (المدعومة بجدول مطابقة أولًا، ثم بحسب النتائج المشتركة)، وتُقتصر على 8 لكل إطار في صفحات المتطلبات، وتبقى مطوية. ويُستبعد نوعان من الروابط بوصفهما ضجيجًا: الروابط المشتركة فقط عبر نتائج التحسين العامة في CSF (ID.IM)، وضوابط «-1» في SP 800-53 الخاصة بالسياسات والإجراءات، ما لم تكن النتيجة المشتركة متعلقة بالسياسات (GV.PO).

تصل ممارسات CMMC إلى CSF 2.0 عبر نظيرها في SP 800-171 Rev 3 أو عبر ضوابط 800-53 الواردة في الملحق D، وتصل متطلبات HIPAA عبر جدول NIST للربط بين HIPAA وSP 800-53. وتتضمن الملفات القابلة للتنزيل كل ربط من المتطلبات إلى CSF 2.0، لتتمكن من التحقق من العمل أو توسيعه.

4. التحقق من كل معرّف

يفشل البناء إذا كان أي معرّف متطلب غير موجود في فهرس إطاره، أو إذا سُحب. (مثل معرّفات CSF 1.1 كـ ID.BE-01 التي سُحبت في CSF 2.0).

5. المصادر والإصدارات

جُلبت بيانات المصدر بتاريخ 2026-10-16؛ وأُنشئت الروابط بتاريخ 2026-10-27.

6. الفجوات المعروفة

• تستثني خريطة PCI SSC لـ CSF بعض المتطلبات الأساسية، بما فيها متطلبات المصادقة متعددة العوامل (8.4.x) ومعظم ضوابط أمن الشبكات في المتطلب 1. وحيثما أدرجناها، فهي موسومة بأنها تحريرية.
• يغطي جدول مطابقة OLIR لـ CIS 49 فقط من أصل 153 ضمانة من CIS v8.1، لذا فإن كثيرًا من روابط CIS تحريرية. وتنشر CIS خريطة أشمل خلف نموذج تنزيل، ولم تُدمج.
• يربط جدول NIST للمطابقة في HIPAA بـ SP 800-53، لذا لا يُحتسب متطلب HIPAA مدعومًا بجدول مطابقة إلا إذا وصل إلى أحد ضوابط 800-53 المرتبطة بجدول مطابقة للموضوع.
• إن CMMC Level 2 هو SP 800-171 Rev 2. وتأتي روابطه الرسمية من الملحق D الخاص بـ Rev 2 (الذي يسمي ضوابط SP 800-53 Rev 4؛ وسبعة منها سُحبت في Rev 5، وتتبع روابط «مدمج في» من NIST، وSC-19 الخاص بـ VoIP لا خلف له)، ومن المتطلب المقابل في Rev 3. وقد أعادت Rev 3 صياغة بعض المتطلبات، لذا فإن الرابط إلى Rev 3 دليل على الموضوع نفسه، وليس على الصياغة ذاتها.
• لبعض الموضوعات لا يوجد متطلب مكافئ في بعض الأطر. فعلى سبيل المثال، لا يحتوي CMMC Level 2 على ممارسة لتخطيط التعافي، ولا يحتوي CIS v8.1 على ضمانة للحوكمة. هذه الفجوات حقيقية، وليست إغفالًا.

7. ليست نصيحة امتثال

تبيّن جداول المطابقة الأطر التي تتناول نتائج متشابهة. لكنها لا تثبت أن استيفاء متطلب ما يستوفي متطلبًا آخر. تحقق من النص الرسمي لكل إطار، ومع المقيّم أو المدقق لديك.