أمن المعلومات
NIST CSF
NIST Cybersecurity Framework (إطار الأمن السيبراني)
إن NIST Cybersecurity Framework هو إطار طوعي قائم على المخاطر لتنظيم برنامج الأمن لديكم وتحسينه. نستخدمه لقياس أين تقفون وبناء مسار واضح نحو حيث يلزم أن تصلوا.
ما هو NIST CSF
إن NIST Cybersecurity Framework هو إطار طوعي طوّره المعهد الوطني للمعايير والتقنية في الولايات المتحدة (NIST) لمساعدة المؤسسات على فهم مخاطر الأمن السيبراني وإدارتها والحد منها. وهو مبني حول مجموعة من الوظائف الأساسية: في الإصدار 2.0 تكون هذه الوظائف Govern وIdentify وProtect وDetect وRespond وRecover.
على خلاف المعيار القابل للاعتماد، لا يُمنح لكم إطار NIST CSF ولا تُدقَّقون بموجبه من جهة معتمدة. بل يُستخدم لتقييم مستوى النضج الحالي والمستهدف، وإيصال المخاطر إلى القيادة، ومواءمة التحسينات مع أولويات العمل. وهو يتوافق بوضوح مع معايير مثل ISO 27001 وSOC 2، ولهذا كثيراً ما يُستخدم عموداً فقرياً منظِّماً لبرنامج امتثال أوسع.
الوظائف الأساسية الست لـ CSF 2.0
Govern
تحدد استراتيجية المؤسسة لمخاطر الأمن السيبراني وأدوارها وسياساتها والإشراف عليها، بحيث تُوجَّه الوظائف الأخرى وتكون مسؤولة أمام القيادة.
Identify
تبني فهماً للأصول والموردين والبيانات والمخاطر التي يحتاج البرنامج إلى إدارتها.
Protect
تضع ضمانات للحد من أثر حدث أمن سيبراني محتمل أو احتوائه، من التحكم في الوصول إلى أمن البيانات والتدريب.
Detect
تكتشف الهجمات والاختراقات المحتملة وتحللها كي لا تمر الحالات الشاذة والأحداث دون ملاحظة.
Respond
تتخذ إجراءً بمجرد اكتشاف حادث، وتشمل تخطيط الاستجابة والتواصل والتحليل والتخفيف.
Recover
تستعيد الأصول والعمليات المتأثرة بحادث وتعيد الدروس المستفادة إلى البرنامج.
من يحتاج إليه
- المؤسسات التي تريد رؤية منظَّمة لمستوى نضجها الأمني وأولوياتها
- الفرق التي تحتاج إلى لغة مشتركة لإيصال المخاطر السيبرانية إلى القيادة ومجلس الإدارة
- الشركات التي تستعد لـ ISO 27001 أو SOC 2 وتريد إطاراً لتنظيم العمل
ما تحصل عليه
- تقييم لنضج الحالة الراهنة مقابل وظائف CSF
- ملف تعريف مستهدف متفق عليه وخارطة طريق تحسين ذات أولويات
- تحسينات في الحوكمة والسياسات والضوابط مرتبطة بالإطار
- أدلة من اختبار الاختراق ورؤية لتقارير النضج موجَّهة للقيادة
تعتمد الجداول الزمنية على نطاقكم ومستوى نضجكم والملف التعريفي المستهدف الذي تختارونه. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
الإصدار الحالي هو NIST CSF 2.0، الصادر في فبراير 2024، والذي حلّ محل الإصدار 1.1 لعام 2018. وكان التغيير الأبرز إضافة وظيفة Govern التي ترفع حوكمة المخاطر لتقف جنباً إلى جنب مع الوظائف الخمس الأصلية، إلى جانب نطاق أوسع ينطبق على المؤسسات من أي حجم أو قطاع بدلاً من البنية التحتية الحرجة بشكل أساسي. كما وسّع NIST موارده الداعمة، مثل أمثلة التنفيذ وأدلة البدء السريع، لمساعدة الفرق على تطبيق الإطار. وإذا كان برنامجكم قد رُبط آخر مرة بالإصدار 1.1، فإن الانتقال إلى 2.0 هو في معظمه مسألة إعادة تأطير العمل القائم ضمن الوظائف الست ومنح الحوكمة مكانها الواضح الخاص بها بدلاً من البدء من جديد.
التكلفة
إن NIST CSF إطار طوعي وليس معياراً قابلاً للاعتماد، لذا لا توجد شهادة أو إقرار لشرائه ولا جهة معتمدة للدفع لها. وتتمثل التكاليف في أتعابنا الاستشارية أو التنفيذية المحددة النطاق، التي نسعّرها مسبقاً بمجرد أن نفهم حجمكم وقطاعكم ونقطة انطلاقكم، إضافة إلى أي تقييم مستقل أو اختبار اختراق أو إسهام متخصص تختارون الاستعانة به، والذي تفوتر عليه تلك الجهة بشكل منفصل وفق جدولها الخاص. لا تكون tr3labs أبداً جهة اعتماد أو تدقيق أو تنظيم لهذا الإطار؛ بل نقيّم النضج ونبني خارطة الطريق معكم. نحدد نطاق العمل معكم بدلاً من التسعير دون معرفة.
كيف توصلك tr3labs إلى هناك
النطاق وتقييم الحالة الراهنة
نقيّم برنامجكم مقابل وظائف وفئات CSF، ونحدد مستوى نضجكم الحالي، ونتفق على ملف تعريف مستهدف واقعي مرتبط بمخاطركم وأهداف عملكم.
بناء خارطة الطريق والضوابط
نحوّل الفجوات إلى خارطة طريق ذات أولويات ونساعدكم على تنفيذ الحوكمة والسياسات والضوابط التقنية اللازمة للانتقال من الحالة الراهنة إلى الحالة المستهدفة.
الاختبار والتحقق
نستخدم اختبار الاختراق والمراجعات الأمنية للتأكد من أن قدرات Protect وDetect تعمل فعلاً، ونضع خطط Respond وRecover تحت الضغط للتحقق منها.
القياس وإعداد التقارير
نمنحكم طريقة واضحة لتتبع مستوى النضج عبر الزمن وإبلاغ القيادة بالتقدم، ونوائم المخرجات مع ISO 27001 أو SOC 2 إذا كان الاعتماد هو الخطوة التالية.
NIST CSF مقابل ISO 27001
ينظّم كلاهما برنامج أمن حول المخاطر، ولذلك يُخلَط بينهما كثيراً، لكن واحداً فقط يؤدي إلى شهادة.
| NIST CSF | ISO 27001 | |
|---|---|---|
| الفكرة الأساسية | إطار مرن لتقييم النضج وتحسينه | نظام إدارة قابل للاعتماد بضوابط مطلوبة |
| يغطي | ست وظائف من الحوكمة إلى التعافي | نظام إدارة أمن معلومات مع خيارات ضوابط الملحق A |
| من يطلبه | مجالس الإدارة والقيادة الراغبة في رؤية للمخاطر | العملاء والشركاء الراغبون في إثبات |
| نموذج التدقيق | تقييم ذاتي، دون شهادة معتمدة | تدقيق من جهة اعتماد مستقلة |
| كثيراً ما يُقتنى مع | ISO 27001 أو SOC 2 كخطوة تالية | NIST CSF يُستخدم لتنظيم العمل |
الأسئلة الشائعة حول NIST CSF
- هل يمكن الحصول على اعتماد وفق NIST CSF؟
- لا. إن NIST CSF إطار طوعي وليس معياراً قابلاً للاعتماد، لذا لا يوجد شهادة معتمدة ولا إقرار. وهو يُستخدم لتقييم مستوى النضج وتحسينه. وإذا كنتم بحاجة إلى شهادة، نستخدم CSF لتنظيم العمل ونوجّهه نحو ISO 27001 أو تقرير SOC 2.
- ما هي الوظائف الأساسية لـ NIST CSF 2.0؟
- يُبنى الإصدار 2.0 حول ست وظائف: Govern وIdentify وProtect وDetect وRespond وRecover. وأُضيفت Govern في الإصدار 2.0 لترسيخ إدارة مخاطر الأمن السيبراني بثبات ضمن حوكمة المؤسسة الأوسع.
- ما علاقة NIST CSF بـ ISO 27001؟
- يكمّل كل منهما الآخر. إن NIST CSF ممتاز لتقييم النضج وإيصال المخاطر، بينما يمنحكم ISO 27001 نظام إدارة قابلاً للاعتماد. ويتوافق الاثنان بشكل وثيق، بحيث يغذّي العمل الذي تنجزونه في أحدهما الآخر.
الخدمات التي توصلك إلى هناك
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق