ISO 27001 مقابل DORA مقابل NIS2 — مصفوفة التداخل في الضوابط

بقلم

السياق: التنقل عبر أطر تنظيمية متعددة

تجد المؤسسات العاملة في الاتحاد الأوروبي — لا سيما في الخدمات المالية والبنية التحتية الحيوية والخدمات الأساسية — نفسها بصورة متزايدة خاضعةً لأطر تنظيمية متداخلة متعددة. يفرض كلٌّ من ISO 27001 وDORA (قانون المرونة التشغيلية الرقمية) وNIS2 (توجيه أمن الشبكات والمعلومات) متطلبات أمن معلومات تتقاسم، رغم اختلاف أهدافها التنظيمية، قدراً كبيراً من القواسم المشتركة.

بالنسبة لضباط الامتثال والمدققين، يتمحور التحدي الرئيسي حول فهم أين تتوافق هذه الأطر (نفِّذ مرة واحدة، أثبت مرة واحدة)، وأين تتباين (متطلبات محددة إضافية)، وكيفية بناء برنامج امتثال فعّال يُرضي الثلاثة دون مضاعفة الجهد ثلاث مرات.

يُقدِّم هذا المقال مصفوفة تداخل شاملة وتوجيهات عملية للامتثال متعدد الأطر، مع اهتمام خاص بحوكمة أنابيب CI/CD حيث للأطر الثلاثة تداعيات جوهرية.

مصفوفة التداخل الشاملة في الضوابط

يرسم الجدول التالي خرائط لعشرة مجالات ضبط رئيسية عبر ISO 27001 وDORA وNIS2، مُحدِّداً نقاط التوافق والتباين.

مجال الضبط مرجع ISO 27001 مرجع DORA مرجع NIS2 ملاحظات التوافق
إدارة المخاطر البند 6.1، 8.2؛ أ.6 — التنظيم المادة 6 — إطار إدارة مخاطر ICT المادة 21(2)(أ) — تحليل المخاطر وسياسات أمن نظام المعلومات توافق قوي. الثلاثة تشترط إدارة رسمية للمخاطر. تُفرض DORA إطار مخاطر خاص بـ ICT مع إشراف على مستوى مجلس الإدارة. تشترط NIS2 نهجاً قائماً على المخاطر. يُوفِّر ISO 27001 خط أساس المنهجية.
ضبط الوصول أ.9 — ضبط الوصول (أ.9.1–أ.9.4) المادة 9(4)(ج) — سياسات إدارة الوصول المادة 21(2)(ط) — أمن الموارد البشرية، سياسات ضبط الوصول توافق قوي. الثلاثة تشترط ضبط وصول رسمي بأدنى صلاحية. تُطلب DORA تحديداً إدارة الهوية والوصول لأنظمة ICT. ارسم خرائط لضوابط أ.9 لاستيفاء الثلاثة.
إدارة التغيير أ.12.1.2 — إدارة التغيير؛ أ.14.2.2 — ضبط تغيير النظام المادة 9(4)(ه) — إجراءات إدارة تغيير ICT المادة 21(2)(أ) — سياسات أمن نظام المعلومات (تشمل ضبط التغيير) توافق قوي. الثلاثة تشترط ضبط تغيير رسمي. تُفرض DORA صراحةً إدارة تغيير ICT مع متطلبات توثيق محددة. أنابيب CI/CD هي آلية التطبيق الأساسية.
إدارة الحوادث أ.16 — إدارة حوادث أمن المعلومات المواد 17–23 — إدارة الحوادث المتعلقة بـ ICT (تصنيف مفصَّل، جداول زمنية للإبلاغ، إخطار السلطات) المواد 23–24 — التزامات الإبلاغ عن الحوادث (إنذار مبكر 24 ساعة، إخطار 72 ساعة) توافق جزئي. يُوفِّر ISO 27001 إطار العملية. تُضيف DORA وNIS2 جداول زمنية إلزامية للإبلاغ وإخطار السلطات تتجاوز ISO 27001. مخطط تصنيف DORA هو الأكثر تفصيلاً.
استمرارية الأعمال أ.17 — جوانب أمن المعلومات في استمرارية الأعمال المواد 11–12 — إدارة استمرارية أعمال ICT، خطط الاستجابة والتعافي المادة 21(2)(ج) — استمرارية الأعمال وإدارة الأزمات توافق معتدل. الثلاثة تشترط تخطيط الاستمرارية. تُضيف DORA متطلبات اختبار استمرارية ICT المحددة بما فيها الاختبار القائم على السيناريوهات. تشمل NIS2 اعتبارات استمرارية سلسلة التوريد.
سلسلة التوريد / الجهات الخارجية أ.15 — علاقات الموردين المواد 28–30 — إدارة مخاطر ICT التابعة لجهات خارجية (متطلبات تعاقدية مفصَّلة، مخاطر التركز، رقابة الجهات الخارجية الحيوية) المادة 21(2)(د) — أمن سلسلة التوريد تباين جوهري. DORA لديها أكثر المتطلبات شمولاً بما فيها إطار رقابي لمزودي ICT الحيويين من الجهات الخارجية. تشترط NIS2 تقييم مخاطر سلسلة التوريد. أ.15 يُوفِّر خط الأساس لكنه أقل تفصيلاً. متطلبات DORA تتجاوز ISO 27001 بشكل كبير.
التشفير أ.10 — التشفير المادة 9(4)(د) — ضوابط التعمية والتشفير المادة 21(2)(ح) — سياسات وإجراءات التشفير والتعمية توافق قوي. الثلاثة تشترط ضوابط تشفيرية وإدارة مفاتيح. تذكر NIS2 التعمية صراحةً. نفِّذ ضوابط أ.10 بشكل شامل لاستيفاء الثلاثة.
إدارة الثغرات أ.12.6 — إدارة الثغرات التقنية المادة 9(3) — يجب مراقبة أنظمة ICT وضبطها باستمرار بحثاً عن الثغرات المادة 21(2)(ه) — معالجة الثغرات والإفصاح عنها توافق معتدل. الثلاثة تشترط إدارة الثغرات. تُضيف NIS2 متطلبات إفصاح صريحة عن الثغرات. تشترط DORA المراقبة المستمرة. يُوفِّر ISO 27001 إطار العملية.
التسجيل والمراقبة أ.12.4 — التسجيل والمراقبة المادة 9(4)(ب) — مراقبة وتسجيل عمليات ICT؛ المادة 10 — الكشف المادة 21(2)(ب) — معالجة الحوادث (تشترط قدرة الكشف) توافق معتدل. الثلاثة تشترط التسجيل والمراقبة. DORA لديها أكثر المتطلبات تحديداً لمراقبة عمليات ICT وكشف الشذوذات. يُوفِّر ISO 27001 أ.12.4 إطار خط الأساس.
الاختبار الأمني أ.14.2.8 — اختبار أمن النظام المواد 24–27 — اختبار المرونة التشغيلية الرقمية (بما فيه اختبار الاختراق القائم على التهديدات المتقدم — TLPT) المادة 21(2)(و) — سياسات وإجراءات تقييم فعالية تدابير إدارة مخاطر الأمن السيبراني تباين جوهري. DORA لديها أكثر متطلبات الاختبار تفصيلاً بما فيها TLPT الإلزامي للكيانات المالية الهامة. تشترط NIS2 تقييم الفعالية. يشترط ISO 27001 الاختبار الأمني لكن بتفصيل أقل. متطلبات اختبار DORA تتجاوز ISO 27001 بشكل كبير.

حيث تتوافق الأطر — نفِّذ مرة، أثبت مرة

مجالات الضبط التالية لديها توافق كافٍ بحيث يمكن لضبط واحد مُنفَّذ جيداً أن يُرضي الأطر الثلاثة في آنٍ واحد:

  • منهجية إدارة المخاطر: إطار إدارة مخاطر واحد يستوفي متطلبات ISO 27001 البند 6.1، مع فئات مخاطر خاصة بـ ICT، يمكن أن يكون الأساس لامتثال DORA المادة 6 وNIS2 المادة 21(2)(أ)
  • ضبط الوصول: تطبيق ضوابط ISO 27001 أ.9 بشكل شامل (بما فيها حسابات الخدمة وبيانات اعتماد الأنابيب وMFA) يُرضي متطلبات ضبط الوصول في DORA وNIS2
  • إدارة التغيير: ضبط التغيير المُطبَّق عبر الأنابيب الذي يستوفي أ.14.2.2 وأ.12.1.2 يُرضي DORA المادة 9(4)(ه) وتوقعات ضبط التغيير في NIS2
  • الضوابط التشفيرية: تطبيق أ.10 الذي يغطي التعمية في حالة السكون وأثناء النقل وإدارة المفاتيح وإدارة دورة حياة الشهادات يعالج الأطر الثلاثة
  • التسجيل والمراقبة الأساسية: ضوابط التسجيل وفق أ.12.4 تُوفِّر الأساس للأطر الثلاثة، رغم أن DORA قد تستلزم تحديداً إضافياً في المراقبة

حيث تتباين الأطر — متطلبات إضافية

تستلزم بعض المجالات جهداً إضافياً يتجاوز ضوابط خط أساس ISO 27001 لاستيفاء DORA و/أو NIS2:

الإبلاغ عن الحوادث (تفصيلات DORA + NIS2)

  • DORA: تُفرض مخطط تصنيف مفصَّل للحوادث، وإخطاراً أولياً للسلطات المختصة خلال إطارات زمنية محددة، وتقارير وسيطة، وتقارير نهائية. يجب تصنيف الحوادث حسب الخطورة باستخدام معايير محددة.
  • NIS2: تشترط إنذاراً مبكراً خلال 24 ساعة، وإخطاراً بالحادث خلال 72 ساعة، وتقريراً نهائياً خلال شهر. تنطبق على الحوادث الجوهرية التي تؤثر في تقديم الخدمة.
  • الفجوة من ISO 27001: يشترط ISO 27001 أ.16 إدارة الحوادث لكنه لا يُفرض جداول زمنية لإخطار السلطات. يجب على المؤسسات إضافة التزامات إبلاغ DORA/NIS2 فوق عملية ISO 27001.

مخاطر الجهات الخارجية / سلسلة التوريد (تفصيلات DORA)

  • DORA: تشترط سجلاً شاملاً لمزودي ICT التابعين لجهات خارجية، وتقييم مخاطر التركز، وأحكاماً تعاقدية إلزامية (بما فيها حقوق التدقيق واستراتيجيات الخروج وضوابط الإسناد الفرعي)، ومراقبة مستمرة. مزودو ICT الحيويون من الجهات الخارجية خاضعون لإطار رقابة أوروبي.
  • NIS2: تشترط تقييم أمن سلسلة التوريد مع مراعاة الممارسات الأمنية للموردين المباشرين ومزودي الخدمات.
  • الفجوة من ISO 27001: إدارة موردي أ.15 أقل تفصيلاً من DORA. يجب على المؤسسات في الخدمات المالية تعزيز برنامج إدارة الموردين بشكل كبير لاستيفاء متطلبات DORA — لا سيما لمزودي منصة CI/CD وخدمات الأنابيب المستضافة على السحابة.

اختبار المرونة (تفصيلات DORA)

  • DORA: تشترط برنامجاً شاملاً لاختبار المرونة التشغيلية الرقمية، يشمل الاختبار القائم على السيناريوهات وتقييمات الثغرات — وللكيانات الهامة — اختبار الاختراق القائم على التهديدات (TLPT) الذي يُجريه مختبرون خارجيون مؤهلون وفق أطر معترف بها.
  • الفجوة من ISO 27001: يشترط أ.14.2.8 الاختبار الأمني لكنه لا يُفرض TLPT أو مستوى دقة الاختبار الذي تحدده DORA. يجب على مؤسسات الخدمات المالية تطوير برنامج اختبار أكثر شمولاً بشكل كبير.

الإفصاح عن الثغرات (تفصيلات NIS2)

  • NIS2: تُدخِل متطلبات الإفصاح المنسَّق عن الثغرات وتُفرض على المؤسسات وجود سياسات للتعامل مع الثغرات والإفصاح عنها.
  • الفجوة من ISO 27001: يغطي أ.12.6 إدارة الثغرات لكنه لا يتناول الإفصاح العام. يجب على المؤسسات تطوير سياسات وعمليات الإفصاح عن الثغرات.

النهج العملي: البناء على ISO 27001 وإضافة طبقات DORA/NIS2

يتبع أكثر المسارات كفاءة للامتثال متعدد الأطر نهجاً متعدد الطبقات:

  1. تأسيس ISO 27001 بوصفه خط الأساس. يُوفِّر ISO 27001 إطار نظام الإدارة الأكثر شمولاً. تغطي ضوابط الملحق أ أوسع نطاق من مجالات الأمن. ابدأ من هنا.
  2. رسم خرائط الإضافات الخاصة بـ DORA. حدِّد أين تشترط DORA أكثر مما يُقدِّمه ISO 27001 — أساساً في الإبلاغ عن الحوادث وإدارة الجهات الخارجية واختبار المرونة. ابنِ هذه الجوانب كامتدادات لضوابط ISO 27001 الموجودة لا برامج منفصلة.
  3. رسم خرائط الإضافات الخاصة بـ NIS2. حدِّد متطلبات NIS2 غير المغطاة بـ ISO 27001 + DORA — أساساً الإفصاح عن الثغرات والجداول الزمنية المحددة للإبلاغ.
  4. توحيد جمع الأدلة. صمِّم عمليات جمع الأدلة لتُنتج قطعاً أثرية تُرضي الأطر الثلاثة في آنٍ واحد. مسار تدقيق أنابيب واحد مُصمَّم بشكل صحيح يمكن أن يخدم مدققي ISO 27001 وDORA وNIS2 معاً.

توصيات الكفاءة للامتثال متعدد الأطر

التوصية الفائدة أولوية التطبيق
استخدم سجل مخاطر واحد مع وسوم خاصة بكل إطار تقييم مخاطر واحد يخدم الأطر الثلاثة؛ يُصفِّي المدققون حسب الإطار المنطبق عالية
احتفظ بمصفوفة ضبط موحَّدة ترسم خرائط الضوابط لجميع الأطر المنطبقة تُثبت التغطية، تحدد الفجوات، تقلل جهد التقييم المكرر عالية
صمِّم إدارة الحوادث وفق الجدول الزمني الأشد (إنذار مبكر 24 ساعة) استيفاء الجدول الأقصر يُرضي تلقائياً الجداول الأطول عالية
نفِّذ إدارة الموردين بمستوى دقة DORA DORA لديها أكثر المتطلبات صرامة؛ استيفاء DORA يُرضي تلقائياً ISO 27001 وNIS2 متوسطة
هيِّئ مسارات تدقيق الأنابيب مع مراعاة احتياجات الأدلة للأطر الثلاثة مصدر أدلة واحد يخدم مدققين متعددين؛ يقلل عبء جمع الأدلة عالية
أجرِ اختبار المرونة بمعيار DORA متطلبات اختبار DORA تتجاوز ISO 27001 وNIS2؛ استيفاء DORA يُرضي الثلاثة متوسطة
اضبط برنامج التدقيق الداخلي ليغطي الأطر الثلاثة في كل دورة يقلل إجهاد التدقيق؛ يُوفِّر ضماناً شاملاً متوسطة

كيف يُقيِّم المدققون بشكل مختلف عبر الأطر

بينما تتداخل مجالات الضبط بشكل كبير، لدى مدققي كل إطار مجالات تركيز ومناهج تقييم مميزة:

  • مدققو اعتماد ISO 27001 يركزون على نظام الإدارة — دورة التخطيط والتنفيذ والتحقق والتصرف (PDCA)، والتزام الإدارة، والتحسين المستمر، وما إذا كانت الضوابط تعمل وفق ما هو موثَّق. يقيِّمون الامتثال للمعيار.
  • تقييمات الإشراف في DORA تركز على المرونة التشغيلية — هل تستطيع المؤسسة تحمُّل اضطرابات ICT والاستجابة لها والتعافي منها؟ يُقيِّم المقيِّمون نضج وفعالية تدابير المرونة، مع تركيز خاص على نتائج الاختبار وإدارة مخاطر الجهات الخارجية.
  • تقييمات الامتثال لـ NIS2 تركز على ما إذا كانت المؤسسة تستوفي واجب الرعاية لأمن الشبكات والمعلومات، مع تأكيد على قدرة الإبلاغ عن الحوادث وأمن سلسلة التوريد ومساءلة الحوكمة (بما فيها المسؤولية الشخصية لهيئة الإدارة بموجب NIS2).

يُتيح فهم هذه المنظورات المختلفة لضباط الامتثال إعداد أدلة وإحاطات موجَّهة لكل نوع من أنواع التقييم، حتى حين تكون الضوابط الأساسية مشتركة.

قراءات إضافية

موارد ذات صلة للمدققين

هل أنت جديد على تدقيق CI/CD؟ ابدأ بـ دليل المدقق.