> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# أطر الأمن السيبراني Frameworks: أيها تحتاج مؤسستك؟
- URL: https://arabroot.io/articles/اطر-الامن-السيبراني-ecc-و-iso-27001-و-nist-csf-و-soc-2/
- Published: 2026-10-25T18:35:04.000Z
- Updated: 2026-10-26T08:29:36.000Z
- Description: الفرق بين ECC وISO 27001 وNIST CSF وSOC 2 في الإلزام وطريقة الإثبات وما تحصل عليه، وأربعة أسئلة تحدد بها ما تحتاجه مؤسستك.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, السيادة الرقمية والامتثال, القطاع الحكومي

يصلك طلب عروض RFP من شركة كبيرة فيه سطر يقول «يرفق المورد شهادة ISO/IEC 27001 سارية أو تقرير SOC 2»، وفي الأسبوع نفسه يرسل لك عميل حكومي ملحقاً للعقد فيه بنود من الضوابط الأساسية للأمن السيبراني ECC، ثم يقترح أحد أعضاء الفريق أن تبدأوا بإطار NIST CSF لأنه «مجاني ومعروف». وهنا يسأل المدير السؤال الطبيعي: هل هذه أربعة مشاريع امتثال Compliance منفصلة؟ وأيها نحتاج فعلاً، وبأي ترتيب؟

والإجابة المختصرة أن هذه الوثائق الأربع ليست من نوع واحد حتى تقارن بنودها مباشرة، فواحدة نظام وطني ملزم، والثانية معيار تحصل بعده على شهادة، والثالثة إطار طوعي تقيس به نفسك، والرابعة تقرير يكتبه محاسب قانوني لعملائك. وقد شرحنا المصطلحات نفسها، أي الضابط Control والدليل Evidence والتدقيق Audit، في [مصطلحات GRC للمبتدئين](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/)، وشرحنا الضوابط الأساسية بالتفصيل في [NCA ECC بلغة بسيطة](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)، لذلك لن نعيد شرح أي منها هنا، وإنما سوف نقارن بين الأربعة من زاوية من يحتاجها ولماذا.

[![](https://arabroot.io/content/images/2026/10/grc-terms-cover-cover.webp)دليلمصطلحات GRC للمبتدئين بمثال من شركة صغيرةما الذي يعنيه GRC فعلاً، وما الكلمات التي يستخدمها المدقق، وكيف تثبت له أن ضوابطك تعمل كما تقول.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/)[![](https://arabroot.io/content/images/2026/10/nca-ecc-cover-cover.webp)دليلالضوابط الأساسية للأمن السيبراني NCA ECC بلغة بسيطةكيف تقرأ الضوابط الأساسية ECC دون أن تضيع في أرقامها، وعلى من تنطبق، وما المطلوب من جهتك فعلاً في كل مكون.](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)[![](https://arabroot.io/content/images/2026/10/nca-controls-family-cover-cover.webp)دليلضوابط الهيئة الوطنية للأمن السيبراني: أيها ينطبق عليك؟أي ضوابط الهيئة الوطنية للأمن السيبراني تنطبق على جهتك، وما الذي تضيفه كل مجموعة متخصصة فوق الضوابط الأساسية.](https://arabroot.io/articles/%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D9%87%D9%8A%D8%A6%D8%A9-%D8%A7%D9%84%D9%88%D8%B7%D9%86%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%A7%D9%8A%D9%87%D8%A7-%D9%8A%D9%86%D8%B7%D8%A8%D9%82-%D8%B9%D9%84%D9%8A%D9%83/)

وفي هذا المقال سوف نتناول:

- نوع كل وثيقة: من يلزمك بها، وكيف تثبت أنك تطبقها، وماذا يبقى في يدك بعد الإثبات.
- ما الذي يميز كل واحدة منها عند المقارنة، دون إعادة شرح بنودها.
- أربعة أسئلة بالترتيب تحدد بها ما تحتاجه مؤسستك.
- كيف تتداخل الوثائق، مع تجربة عملية نقرأ فيها جدول الربط الرسمي الذي تنشره NIST بين CSF 2.0 وISO/IEC 27001.
- كيف تبني برنامجاً واحداً يخدم أكثر من وثيقة، وأخطاء شائعة عند الاختيار.

⚠️

هذا المقال شرح تعليمي للفروق بين الأطر وليس استشارة قانونية، فما يلزم مؤسستك بالضبط تحدده الأنظمة والعقود التي تخضع لها والجهة المنظمة، فارجع دائماً إلى النص الرسمي لكل وثيقة.

## أربع وثائق من أربعة أنواع مختلفة

الخطأ الذي يقع فيه أغلب من يقارن هذه الوثائق أنه يضعها في جدول واحد ويعد بنودها، ثم يستنتج أن الأطول هو الأصعب، والصحيح أن تبدأ بنوع الوثيقة، لأن النوع هو الذي يحدد ثلاثة أشياء تهم المدير قبل أي بند: من يلزمك بها، وكيف تثبت أنك تطبقها، وماذا تحصل عليه في النهاية. والشكل التالي يلخص ذلك:

![أربع بطاقات: NCA ECC نظام ملزم، وISO/IEC 27001 معيار قابل للشهادة، وNIST CSF 2.0 إطار طوعي، وSOC 2 تقرير تصديق، ولكل منها من يلزمك وكيف تثبت وماذا تحصل](https://arabroot.io/content/images/2026/10/security-frameworks-01-four-kinds.webp)

نوع الوثيقة يحدد الإلزام وطريقة الإثبات وما تحصل عليه

ولاحظ أن عمود «ماذا تحصل؟» هو الذي يفسر أكثر الأسئلة شيوعاً، فلا توجد «شهادة ECC» تعلقها على الجدار، لأن الهيئة الوطنية للأمن السيبراني تقيس الالتزام بنفسها، ولا توجد «شهادة NIST CSF» لأن NIST لا تدقق على أحد، أما SOC 2 فهو تقرير وليس شهادة، ويبقى ISO/IEC 27001 وحده الذي ينتهي بشهادة Certificate تصدرها جهة مستقلة.

## NCA ECC: الإلزام الوطني الذي لا تغني عنه شهادة

الضوابط الأساسية ECC-2:2024 تصدرها الهيئة الوطنية للأمن السيبراني NCA، وتنطبق بحسب [نص الوثيقة](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io) على الجهات الحكومية في المملكة والجهات والشركات التابعة لها داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة CNI أو تشغلها أو تستضيفها، وفيها 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. وما يهمنا في المقارنة ثلاث صفات تميزها عن بقية الأطر:

- **الإلزام نظامي وليس تجارياً:** الوثيقة تستند إلى المادة العاشرة من تنظيم الهيئة وإلى أمر سام، وبالتالي فالجهة التي في النطاق لا تختار أن تطبقها أو لا تطبقها كما تختار شهادة ISO.
- **القياس بيد الهيئة:** تقيس الهيئة الالتزام بالتقييم الذاتي Self-assessment وتقارير أداة قياس الالتزام والزيارات الميدانية، أي أنك لا تختار المدقق ولا موعده.
- **تصل إلى الموردين عبر العقود:** المكون الفرعي 4-1 يطلب أن تحمل عقود الجهة مع الأطراف الخارجية Third Parties متطلبات الأمن السيبراني، وبالتالي فالشركة الخاصة التي تبيع لجهة في النطاق تجد بنود ECC في عقدها حتى لو لم تكن في النطاق المباشر.

وفوق ECC تأتي مجموعات متخصصة مثل ضوابط الحوسبة السحابية CCC وضوابط البيانات DCC، وضوابط جديدة للقطاع الخاص NCNICC-1:2025، وقد شرحنا أيها ينطبق على من في [ضوابط الهيئة الوطنية: أيها ينطبق عليك؟](https://arabroot.io/articles/%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D9%87%D9%8A%D8%A6%D8%A9-%D8%A7%D9%84%D9%88%D8%B7%D9%86%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%A7%D9%8A%D9%87%D8%A7-%D9%8A%D9%86%D8%B7%D8%A8%D9%82-%D8%B9%D9%84%D9%8A%D9%83/).

## ISO/IEC 27001: نظام إدارة تحصل بعده على شهادة

المعيار [ISO/IEC 27001:2022](https://committee.iso.org/isoiec-27001-information-security.html?ref=arabroot.io) تصدره المنظمة الدولية للمعايير ISO مع اللجنة الكهروتقنية الدولية IEC، وهو في 19 صفحة فقط، وسعره على متجر ISO وقت كتابة المقال 155 فرنكاً سويسرياً، وصدر له في 2024 تعديل واحد Amendment يخص تغير المناخ ويوزع مجاناً. والفرق الجوهري بينه وبين ECC أنه لا يبدأ بقائمة ضوابط، وإنما بنظام إدارة أمن المعلومات ISMS، أي بنود إلزامية تطلب أن تحدد نطاق النظام Scope، وتقيم المخاطر Risk Assessment وتعالجها، وتراقب وتدقق داخلياً وتحسن باستمرار، ثم يأتي في ملحقه Annex A ما مجموعه 93 ضابطاً تختار منها ما يعالج مخاطرك، وتوثق اختيارك في بيان قابلية التطبيق Statement of Applicability، واختصاراً SoA.

وهذا يعني أمرين يغفل عنهما كثيرون. الأول أن النطاق بيدك، فتستطيع أن تحصل على الشهادة لمنتج واحد أو لمركز بيانات واحد، ولذلك اقرأ نطاق شهادة أي مورد قبل أن تطمئن لها. والثاني أن الشهادة تصدرها جهة مانحة Certification Body وليس ISO نفسها، والجهة المانحة الموثوقة معتمدة من جهة اعتماد Accreditation Body، وفي المملكة يعتمد [المركز السعودي للاعتماد SAAC](https://saac.gov.sa/en/services/certification-bodies/?ref=arabroot.io) الجهات المانحة لشهادات ISO 27001 بحسب المعيار ISO/IEC 17021-1، وتستطيع التحقق من أي شهادة معتمدة في قاعدة بيانات [IAF CertSearch](https://www.iafcertsearch.org/?ref=arabroot.io).

والطلب على هذه الشهادات في المملكة يرتفع بوضوح، فبحسب [خبر المركز السعودي للاعتماد](https://saac.gov.sa/en/media-center/news/153/?ref=arabroot.io) المبني على إحصاءات IAF CertSearch، وصل عدد شهادات أنظمة الإدارة في المملكة بكل أنواعها إلى 29,913 شهادة في 2025 مقابل 20,489 في 2024، أي بنمو 46%، وانتقلت المملكة من المركز 21 إلى المركز 14 عالمياً. وهذا الرقم يشمل الجودة والبيئة وغيرها، وليس أمن المعلومات وحده.

## NIST CSF 2.0: لغة مشتركة تقيس بها نفسك

إطار الأمن السيبراني [NIST CSF 2.0](https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-csf-20/final?ref=arabroot.io) نشره المعهد الوطني للمعايير والتقنية الأمريكي NIST في 26 فبراير 2024، وهو مجاني بالكامل، ولا يوجد له تدقيق ولا شهادة، وتقول الوثيقة إنه يصلح لأي مؤسسة مهما كان حجمها أو قطاعها أو مستوى نضجها. وقلبه Core مكون من ست وظائف Functions هي Govern وIdentify وProtect وDetect وRespond وRecover، تحتها 22 فئة Category و106 نتائج فرعية Subcategories، وكل نتيجة مكتوبة بصيغة «ما الذي يجب أن يتحقق» وليس «كيف تحققه»، مثل ID.AM-01 التي تقول إن جرد الأجهزة التي تديرها المؤسسة محدث.

وطريقة استخدامه أن تكتب ملف وضعك الحالي Current Profile وملف وضعك المستهدف Target Profile، ثم تحلل الفجوة Gap Analysis بينهما وتضع خطة، وتستطيع أن تصف نضج ممارساتك بأربعة مستويات Tiers هي Partial وRisk Informed وRepeatable وAdaptive. وقد يتساءل البعض: إذا كان طوعياً ولا يعطيني شهادة، فلماذا أتعب نفسي به؟ والإجابة أنه أفضل نقطة بداية لمن لا يلزمه شيء بعد، لأنه قصير وواضح ويتكلم بلغة يفهمها المديرون، ولأن NIST تنشر معه [جداول ربط رسمية Informative References](https://www.nist.gov/informative-references?ref=arabroot.io) تربط كل نتيجة فيه بأطر أخرى منها ISO/IEC 27001:2022، وبالتالي فالعمل الذي تبنيه عليه لا يضيع عندما يطلب منك عميل شهادة لاحقاً.

## SOC 2: تقرير يكتبه محاسب قانوني لعملائك

تقرير SOC 2 من مجموعة تقارير ضوابط النظام والمؤسسة System and Organization Controls التي ينظمها [المعهد الأمريكي للمحاسبين القانونيين AICPA](https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2?ref=arabroot.io)، ويجريه محاسب قانوني CPA على ضوابط مقدم خدمة Service Organization، مثل مزود سحابة أو منصة SaaS، وفق [معايير خدمات الثقة Trust Services Criteria](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022?ref=arabroot.io) في خمسة مجالات: الأمن Security والتوافر Availability وسلامة المعالجة Processing Integrity والسرية Confidentiality والخصوصية Privacy. والنتيجة رأي مكتوب يقرؤه عملاؤك ليقرروا هل يثقون بخدمتك، وتقول [مجلة المحاسبة Journal of Accountancy](https://www.journalofaccountancy.com/issues/2026/feb/promises-of-fast-and-easy-threaten-soc-credibility/?ref=arabroot.io) التابعة للمعهد إن تقارير SOC 2 مقصورة على أطراف محددة تفهم نظام مقدم الخدمة، أي أنك لا تنشره على موقعك كما تنشر شعار شهادة ISO.

والطلب على SOC 2 يأتي غالباً من فرق المشتريات في السوق الأمريكية، فإذا كانت منصتك تبيع لعملاء هناك فسوف تجده في استبيان المورد Vendor Questionnaire قبل أي سؤال تقني. ولاحظ تحذيراً مهماً نشره المعهد نفسه في 2026: فقد ظهرت شركات أدوات امتثال تعد بتقرير SOC 2 «خلال أسابيع أو ساعات»، وحذر أعضاء فريق عمل SOC 2 في المعهد من تقارير متطابقة القالب لا يقبلها العميل الواعي، وأضاف المعهد على صفحته الرسمية تنبيهاً بأنه يتحقق من ادعاءات حول ممارسات إحدى هذه الشركات. والدرس أن التقرير الذي لا يصمد أمام قراءة عميلك لا قيمة له مهما كان رخيصاً، وسوف نعود لهذه النقطة في مقال الاستعداد للتدقيق.

## المقارنة في جدول واحد

|                     | NCA ECC-2:2024                             | ISO/IEC 27001:2022                  | NIST CSF 2.0               | SOC 2                                 |
| ------------------- | ------------------------------------------ | ----------------------------------- | -------------------------- | ------------------------------------- |
| النوع               | ضوابط وطنية ملزمة                          | معيار نظام إدارة قابل للشهادة       | إطار نتائج طوعي            | تقرير تصديق Attestation               |
| من يصدره            | الهيئة الوطنية للأمن السيبراني             | ISO وIEC                            | NIST الأمريكي              | AICPA الأمريكي                        |
| الحجم               | 4 مكونات، 108 ضوابط أساسية و92 فرعياً      | بنود إلزامية، و93 ضابطاً في Annex A | 6 وظائف، 22 فئة، 106 نتائج | معايير خدمات الثقة في 5 مجالات        |
| من يلزمك            | النظام، للجهات في النطاق، والعقود لمورديها | عميل أو مناقصة تطلب الشهادة         | لا أحد                     | عقود العملاء                          |
| من يتحقق            | الهيئة نفسها                               | جهة مانحة معتمدة                    | أنت                        | محاسب قانوني CPA                      |
| المخرج              | نتيجة التزام لدى الهيئة                    | شهادة لنطاق محدد                    | ملف حالي ومستهدف وخطة      | تقرير لعملائك                         |
| تكلفة الوثيقة نفسها | مجانية                                     | 155 فرنكاً للمعيار                  | مجاني                      | المعايير مجانية بحساب على موقع المعهد |
| أنسب لـ             | الحكومة والبنى الحساسة ومورديها            | من يبيع لشركات كبرى أو عملاء دوليين | من يبدأ ولا يلزمه شيء      | منصات SaaS تبيع للسوق الأمريكية       |

ولاحظ أن «تكلفة الوثيقة» هي أصغر بند في التكلفة الحقيقية، فالتكلفة الكبيرة في الوقت الذي يقضيه الفريق في التطبيق وجمع الأدلة، وفي أتعاب الجهة المانحة أو المحاسب القانوني، وهذه أسعار تتفاوض عليها مع كل جهة ولا توجد لها قائمة رسمية منشورة.

## أيها تحتاج مؤسستك؟ أربعة أسئلة بالترتيب

الطريقة العملية أن تسأل الأسئلة التالية بالترتيب، وكل إجابة «نعم» تضيف وثيقة إلى قائمتك دون أن تلغي ما قبلها:

![أربعة أسئلة بالترتيب: الجهة في نطاق الهيئة، أو تبيع لجهة في النطاق، أو يطلب عميل شهادة دولية، أو تبيع SaaS للسوق الأمريكية، ولكل إجابة نعم وثيقة، وفي النهاية NIST CSF نقطة بداية](https://arabroot.io/content/images/2026/10/security-frameworks-02-decision.webp)

كل إجابة «نعم» تضيف وثيقة، والإجابات تجتمع

1. **هل جهتك في نطاق الهيئة الوطنية للأمن السيبراني؟** إذا كانت جهة حكومية أو تابعة لجهة حكومية أو تملك بنية تحتية حساسة، فالضوابط الأساسية ECC ملزمة، ومعها المجموعات المتخصصة التي تنطبق عليك، ولا تغني عنها شهادة ISO مهما كانت، والسبب أن الهيئة تقيس التزامك بأدواتها وليس بشهادة جهة أخرى.
2. **هل تبيع لجهة في النطاق أو تشغل لها خدمة؟** فالضوابط تصلك عبر العقد، وأهم ما تتوقعه بنود السرية والحذف الآمن للبيانات عند انتهاء الخدمة والإبلاغ عن الحوادث والالتزام بسياسات الجهة، وإذا كنت مقدم خدمات مدارة Managed Services فاقرأ الضابط الفرعي 4-1-3-2 الذي يطلب أن تكون مراكز الخدمات المدارة للمراقبة والتشغيل التي تستخدم الوصول عن بعد داخل المملكة بالكامل.
3. **هل يطلب عميل أو مناقصة شهادة دولية؟** فالخيار المعروف هو ISO/IEC 27001، وابدأ بنطاق صغير واضح، مثل منصتك الأساسية وفريق تشغيلها، ثم وسعه.
4. **هل تبيع SaaS لعملاء في السوق الأمريكية؟** فسوف تطلب منك فرق المشتريات هناك تقرير SOC 2 غالباً، فاسأل العميل قبل أن تبدأ مشروعاً كاملاً: هل يقبل شهادة ISO 27001 إذا كانت لديك؟ وما المجالات التي يريدها من المجالات الخمسة؟

وإذا كانت الإجابات كلها «لا» فلا تنتظر حتى يلزمك أحد، وابدأ بـ NIST CSF 2.0: اكتب وضعك الحالي في الوظائف الست، واختر وضعاً مستهدفاً واقعياً، وعندما يأتي أول عميل يطلب شهادة أو أول عقد حكومي فسوف تجد أن نصف العمل جاهز.

## كيف تتداخل الوثائق؟ ضابط واحد بأربعة أرقام

الخبر الجيد أن البنود تتداخل كثيراً، فجرد الأصول وإدارة الثغرات والنسخ الاحتياطي والتحقق متعدد العوامل MFA موجودة في الوثائق الأربع بأرقام مختلفة، والشكل التالي يبين أربعة أمثلة، وأرقام ISO وNIST فيه مأخوذة من جدول الربط الرسمي الذي تنشره NIST، وأرقام ECC من نص الهيئة:

![جدول: جرد الأصول ECC 2-1 وISO 5.9 وCSF ID.AM-01، وإدارة الثغرات ECC 2-10 وISO 8.8 وCSF ID.RA-01، والنسخ الاحتياطي ECC 2-9 وISO 8.13 وCSF PR.DS-11، وMFA ECC 2-2-3-2 وISO 8.5 وCSF PR.AA-03، مع دليل واحد لكل صف](https://arabroot.io/content/images/2026/10/security-frameworks-03-one-control.webp)

نفذ الضابط مرة، واحفظ دليله مرة، واربطه بكل الأرقام

ولاحظ أن أعمدة الأرقام تختلف لكن عمود الدليل واحد، فمحضر اختبار الاستعادة Restore Test مثلاً يثبت المكون الفرعي 2-9 في ECC، والضابط 8.13 في ISO، والنتيجة PR.DS-11 في CSF، ومعايير التوافر في SOC 2، في الوقت نفسه. أما معايير SOC 2 فلم نضع أرقامها لأن نصها يوزعه المعهد الأمريكي بحساب على موقعه، فارجع إليه مباشرة.

ولاحظ أيضاً أن الربط بين الأطر ليس مطابقة حرفية، فالضابط في ECC أشد أحياناً من مقابله في ISO، مثل اشتراط مزامنة الوقت مع مصدر موثوق كالهيئة السعودية للمواصفات والمقاييس والجودة في 2-3-3-4، أو اشتراط أن تشغل كل وظائف الأمن السيبراني كفاءات سعودية مؤهلة بدوام كامل في 1-2-2، وبالتالي فالجدول يوفر عليك البحث، ولا يغني عن قراءة النص.

## تجربة عملية: اقرأ جدول الربط الرسمي من NIST بنفسك

بدلاً من أن تصدق جداول الربط المنتشرة في الإنترنت، تستطيع أن تقرأ الجدول الرسمي الذي تنشره NIST مع CSF 2.0، وهو ملف Excel فيه كل نتيجة في الإطار مع مراجعها في أطر أخرى، منها ISO/IEC 27001:2022\. والسكربت التالي يعد النتائج، ويستخرج ضوابط ISO التي يشير إليها الجدول، ويجيب عن سؤال «أي نتائج CSF يغطيها ضابط ISO معين؟»، وسوف نشغله داخل Container حتى لا تثبت شيئاً على جهازك. أولاً احفظ السكربت باسم `csf_iso_map.py`:

```python
# Counts NIST CSF 2.0 outcomes and the ISO/IEC 27001:2022 controls NIST maps to them
import re, sys, collections, warnings, openpyxl
warnings.filterwarnings("ignore")  # the NIST workbook has no default style

rows = list(openpyxl.load_workbook("csf2.xlsx", read_only=True)["CSF 2.0"].iter_rows(values_only=True))[2:]

subcats, iso_by_function, iso_all = collections.Counter(), collections.defaultdict(set), set()
for function, category, sub, examples, refs in rows:
    if not sub or "Withdrawn" in sub or not re.match(r"^[A-Z]{2}\.[A-Z]{2}-\d+", sub):
        continue
    fn = sub[:2]
    subcats[fn] += 1
    for line in (refs or "").splitlines():
        m = re.match(r"ISO/IEC 27001:2022: (?:Annex A Controls: |Control\s+)(\d+\.\d+)", line)
        if m:
            iso_by_function[fn].add(m.group(1)); iso_all.add(m.group(1))

print("CSF 2.0 subcategories:", sum(subcats.values()), dict(subcats))
print("ISO/IEC 27001:2022 Annex A controls referenced:", len(iso_all))
print("  by theme:", dict(sorted(collections.Counter(c.split('.')[0] for c in iso_all).items())))
print("  by CSF function:", {k: len(v) for k, v in iso_by_function.items()})
q = sys.argv[1] if len(sys.argv) > 1 else "8.13"
print(f"CSF outcomes that cite ISO control {q}:",
      [r[2].split(':')[0] for r in rows if r[2] and r[4] and re.search(rf"(Annex A Controls: |Control\s+){re.escape(q)}\b", r[4]) and "Withdrawn" not in r[2]])
```

ثم نزل الجدول من رابط التنزيل الرسمي الموجود في [صفحة المراجع](https://www.nist.gov/informative-references?ref=arabroot.io)، وشغل السكربت:

```bash
curl -sSL -o csf2.xlsx "https://csrc.nist.gov/extensions/nudp/services/json/csf/download?olirids=all"
docker run --rm -v "$PWD:/w" -w /w python:3.13.17-slim \
  sh -c "pip install -q --root-user-action=ignore openpyxl==3.1.5 && python csf_iso_map.py 8.13"
```

والمخرج سوف يكون كما يلي:

```text
CSF 2.0 subcategories: 106 {'GV': 31, 'ID': 21, 'PR': 22, 'DE': 11, 'RS': 13, 'RC': 8}
ISO/IEC 27001:2022 Annex A controls referenced: 93
  by theme: {'5': 37, '6': 8, '7': 14, '8': 34}
  by CSF function: {'GV': 31, 'ID': 23, 'PR': 63, 'DE': 9, 'RS': 6, 'RC': 6}
CSF outcomes that cite ISO control 8.13: ['PR.DS-01', 'PR.DS-11', 'RC.RP-03', 'RC.RP-06']
```

في المخرج أعلاه لاحظ التالي:

- الجدول يحتوي على نتائج سحبت Withdrawn من الإصدار السابق، والسكربت يستبعدها، فيبقى 106 نتائج، وأكبر وظيفة هي Govern بـ 31 نتيجة، وهي الوظيفة الجديدة في الإصدار 2.0، وهذا يبين أين وضعت NIST ثقلها: في الحوكمة وليس في التقنية فقط.
- الجدول يشير إلى 93 ضابطاً مختلفاً من Annex A، موزعة على أربعة محاور بأرقام بنودها: 37 في البند 5 (الضوابط التنظيمية Organizational)، و8 في البند 6 (الأفراد People)، و14 في البند 7 (الضوابط المادية Physical)، و34 في البند 8 (الضوابط التقنية Technological)، أي أن كل ضوابط الملحق لها مقابل في CSF.
- وظيفة Protect وحدها تشير إلى 63 ضابطاً من ISO، أما Respond وRecover فتشير كل منهما إلى 6 فقط، والسبب أن ISO يغطي الاستجابة والاستعادة في ضوابط قليلة واسعة، مثل خطة الاستجابة للحوادث، وبالتالي إذا اعتمدت على ISO وحده فسوف تحتاج تفاصيل أكثر في هذا الجزء.
- السطر الأخير يجيب عن السؤال العملي: الضابط 8.13 الخاص بالنسخ الاحتياطي يقابل أربع نتائج في CSF، منها PR.DS-11 الخاصة بالنسخ نفسها وRC.RP-03 الخاصة بالتحقق من سلامة النسخ قبل الاستعادة، فإذا كان لديك دليل لاختبار الاستعادة فقد غطيت أكثر من نتيجة.

والآن نجرب العطل: إذا شغلت السكربت على ملف قديم من الإصدار 1.1 فسوف يفشل بخطأ `KeyError: 'Worksheet CSF 2.0 does not exist.'`، لأن اسم الورقة وشكل الأرقام تغيرا بين الإصدارين، ففي 1.1 كانت الحوكمة فئة صغيرة اسمها ID.GV داخل وظيفة Identify، وفي 2.0 أصبحت وظيفة كاملة. وهذه نقطة يجب أن تنتبه لها عند استخدام أي جدول ربط تجده: تأكد من إصدار كل طرف فيه، لأن جدولاً يربط ISO 27001:2013 بـ CSF 1.1 يعطيك أرقاماً لم تعد موجودة.

## برنامج واحد يخدم أكثر من وثيقة

إذا اجتمعت عليك أكثر من وثيقة، وهذا هو الغالب للشركات التي تبيع للحكومة وللقطاع الخاص معاً، فلا تبن مشروعاً منفصلاً لكل وثيقة، وإنما ابن مكتبة ضوابط واحدة Unified Control Library، وكل ضابط فيها له مسؤول ودليل، ثم اربط كل ضابط بأرقامه في كل وثيقة تخضع لها، والخطوات كما يلي:

1. **ابدأ بالوثيقة الأكثر إلزاماً:** إذا كانت ECC تنطبق عليك فهي العمود الفقري، لأن بنودها لا تقبل التفاوض، ثم أضف ما يطلبه ISO أو SOC 2 فوقها.
2. **اكتب الضابط بلغتك أنت:** «كل حسابات المديرين تدخل بـ MFA من authentik» أوضح للفريق من نص أي وثيقة، ثم اربطه بأرقام الوثائق.
3. **احفظ الدليل مرة واحدة:** في مكان واحد بتاريخ، واربطه بالضابط وليس بالوثيقة، حتى لا تجمع لقطة الشاشة نفسها أربع مرات لأربعة مدققين.
4. **استخدم أداة تعرف الربط:** أدوات إدارة الامتثال مفتوحة المصدر، مثل CISO Assistant، تحمل مكتبات جاهزة لهذه الأطر مع الربط بينها، وسوف نشرحها عملياً في مقال لاحق من هذه المرحلة.

وفي المقالات التالية من [مرحلة الحوكمة والمخاطر والامتثال GRC](https://arabroot.io/start/#stage-grc) سوف نطبق ذلك: خريطة ضوابط ECC وأدواتها مفتوحة المصدر، ثم ISO 27001 بأدوات مفتوحة، ثم إدارة الامتثال مع CISO Assistant:

[![](https://arabroot.io/content/images/2026/10/ecc-open-source-cover-cover.webp)دليلتحقيق ضوابط ECC بأدوات مفتوحة المصدر Open Sourceخريطة تربط كل ضابط فرعي في الضوابط الأساسية ECC بالأداة مفتوحة المصدر التي تحققه وبالمقال الذي شرحها، مع إثبات ضابطين بمخرج حقيقي.](https://arabroot.io/articles/%D8%AA%D8%AD%D9%82%D9%8A%D9%82-%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-ecc-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/)[![](https://arabroot.io/content/images/2026/10/iso27001-open-source-cover-cover.webp)دليلISO 27001 بأدوات مفتوحة المصدر من المخاطر إلى التدقيقكيف تبني شركة صغيرة نظام ISO/IEC 27001 على ما بنته لضوابط ECC، من النطاق وسجل المخاطر إلى بيان قابلية التطبيق والتدقيق الداخلي.](https://arabroot.io/articles/iso-27001-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1-%D9%85%D9%86-%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D8%AA%D8%AF%D9%82%D9%8A%D9%82/)[![](https://arabroot.io/content/images/2026/10/ciso-assistant-cover-cover.webp)دليلإدارة الامتثال Compliance مع CISO Assistant على سيرفركنشغل CISO Assistant ونحمل فيه ضوابط ECC-2:2024 ونقيم منصة حقيقية ونربطها بالضوابط والأدلة ونصدر التقرير، مع كل مشكلة واجهناها في الطريق.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84-%D9%85%D8%B9-ciso-assistant/)

## أخطاء شائعة عند الاختيار

- **الظن أن شهادة ISO 27001 تعني الالتزام بـ ECC:** الشهادة تثبت أن لديك نظام إدارة لنطاق محدد، أما ECC فتقيسها الهيئة بأدواتها وتطلب بنوداً وطنية لا يطلبها ISO، فلا تقم بتقديم الشهادة على أنها دليل التزام بالضوابط.
- **شهادة بنطاق لا يغطي ما يهمك:** قبل أن تطمئن لشهادة مورد اقرأ نطاقها، فقد تغطي مكتب الإدارة ولا تغطي المنصة التي ستضع بياناتك عليها.
- **شراء التقرير الأسرع:** تقرير SOC 2 بقالب جاهز قد يرفضه عميلك، والتقرير المرفوض لا قيمة له، فاسأل عن المحاسب القانوني الذي سيوقعه وعن نطاق الفحص وطريقة اختيار العينات Sampling.
- **معاملة NIST CSF كأنه امتثال:** إذا طلب العميل شهادة أو طلبت الهيئة التزاماً، فملف CSF لا يجيب عن أي منهما، فهو أداة تخطيط وقياس وليس إثباتاً لطرف ثالث.
- **أربعة جداول Excel لأربع وثائق:** هذه أسرع طريق إلى أدلة متضاربة، والسبب أن كل جدول يحدث في وقت مختلف، والحل مكتبة ضوابط واحدة مربوطة بكل الوثائق.
- **استخدام جدول ربط قديم:** كثير من الجداول المنتشرة ما زالت تستخدم ISO 27001:2013 وCSF 1.1، فتحقق من إصدار كل طرف قبل أن تعتمد عليه.

## الخلاصة

- الوثائق الأربع من أربعة أنواع: ECC نظام وطني ملزم تقيسه الهيئة، وISO/IEC 27001 معيار ينتهي بشهادة لنطاق محدد، وNIST CSF 2.0 إطار طوعي مجاني، وSOC 2 تقرير يكتبه محاسب قانوني لعملائك.
- اسأل بالترتيب: هل أنت في نطاق الهيئة؟ هل تبيع لمن هو في النطاق؟ هل يطلب عميل شهادة دولية؟ هل تبيع SaaS للسوق الأمريكية؟ وكل «نعم» تضيف وثيقة.
- لا تغني شهادة ISO عن ECC، ولا يغني ملف CSF عن شهادة أو تقرير.
- البنود تتداخل كثيراً، والجدول الرسمي من NIST يربط كل ضوابط Annex A الـ 93 بنتائج CSF، فابن مكتبة ضوابط واحدة واحفظ الدليل مرة واحدة.
- إذا لم يلزمك شيء بعد، فابدأ بـ NIST CSF 2.0 حتى لا تبدأ من الصفر عندما يأتي أول طلب.

## سجل التحديثات

أكتوبر 2026: كتابة المقال، والتحقق من الأرقام بتشغيل السكربت على جدول المراجع الرسمي لـ NIST CSF 2.0 بتاريخ 25 أكتوبر 2026، ومن نصوص ECC-2:2024 وصفحات ISO وAICPA والمركز السعودي للاعتماد في التاريخ نفسه.