18 Control
يجمع المستوى الأعلى أهداف الحماية المترابطة – من جرد الأصول مرورًا بالتحكم في الوصول والنسخ الاحتياطي وصولًا إلى الاستجابة للحوادث واختبار الاختراق.
GRC · إدارة المخاطر
CIS Critical Security Controls نظافة سيبرانية ذات أولويات وفعّالة
تترجم CIS Controls v8.1 متطلبات الامتثال المجردة إلى 18 إجراءً ملموسًا مرتّبًا حسب الأثر. ونرتقي بكم بشكل منظّم إلى مستوى النظافة السيبرانية الأساسية (IG1) وما بعده.
v8.1 (2024)الإصدار الحالي، نُشر في 25 يونيو 2024
18 / 153Controls وSafeguards (إجراءات)
غير قابل للاعتمادإطار أفضل ممارسات محايد تجاه المورّدين
أساس لـ NIS2مستوى إجراءات ذو أولويات تحت ISO 27001 وNIS2
ما الذي تقدّمه CIS Controls
CIS Critical Security Controls (الصادرة عن Center for Internet Security, CIS) هي كتالوج من الإجراءات الأمنية مرتّب حسب الأولوية ومحايد تجاه المورّدين. فبدلًا من السؤال «ماذا يشترط المعيار؟»، تجيب عن السؤال العملي «ما الذي يحمينا أولًا وبأكبر فاعلية؟». وينقسم الإصدار الحالي 8.1 إلى 18 Control و153 Safeguard (إجراءات فردية ملموسة).
يكمن الجوهر في ترتيب الأولويات عبر ثلاث مجموعات تنفيذ (Implementation Groups, IG1–IG3). تحدد IG1 النظافة السيبرانية الأساسية للمؤسسات الأصغر ذات الموارد المحدودة، بينما تتناول IG2 وIG3 البيئات الأكثر نضجًا والحرجة. وبذلك لا تشكّل CIS Controls إلزامًا إضافيًا بالامتثال، بل خارطة طريق عملية للتنفيذ تحت ISO 27001 وNIS2 وDORA.
بنية CIS Controls v8.1
خمسة مكوّنات تحوّل الكتالوج إلى خارطة طريق متينة.
153 Safeguard
ينقسم كل Control إلى إجراءات فردية ملموسة وقابلة للتنفيذ والقياس (Safeguards). وهذا العمق في التفاصيل يجعل التقدم قابلًا للإثبات.
مجموعة التنفيذ 1 (IG1)
النظافة السيبرانية الأساسية: المجموعة الفرعية من Safeguards التي ينبغي لكل مؤسسة تنفيذها كأساس. وهي نقطة البداية العملية.
مجموعتا التنفيذ 2 و3
IG2 للمؤسسات التي لديها بيانات حساسة وعدة أقسام، وIG3 للبيئات الناضجة أو الحرجة ذات ملف التهديد المرتفع.
وظيفة الحوكمة (جديدة في v8.1)
يضيف الإصدار 8.1 الوظيفة الأمنية «Govern» استنادًا إلى NIST CSF 2.0، ويعزّز بذلك التوجيه التنظيمي.
مطابقة محدَّثة
يتضمن v8.1 مطابقات أُعيد توجيهها، منها مع NIST CSF 2.0، إلى جانب فئات أصول أكثر دقة لتخصيص الإجراءات بشكل أوضح.
الجسر نحو التزاماتكم
لماذا تُعدّ CIS Controls أسرع طريق إلى امتثال متين.
NIS2 وقانون أمن تقنية المعلومات
تشترط NIS2 إجراءات تقنية «مناسبة ومتناسبة»، لكنها لا تسمّيها بالتفصيل. وتوفّر CIS Controls تحديدًا هذا المستوى الملموس والمرتّب حسب الأولوية من الإجراءات كدليل إثبات.
ISO/IEC 27001
حيث يصف ISO 27001 نظام الإدارة و«ماذا»، توفّر CIS Controls «كيف» التشغيلي. وتُطابَق Safeguards مباشرةً مع ضوابط الملحق A.
DORA وCRA
سواء تعلق الأمر بالمرونة التشغيلية الرقمية (DORA) أو بأمن المنتجات (Cyber Resilience Act): يشكّل الجرد وإدارة التحديثات والتحكم في الوصول من IG1 الأساس التقني المشترك.
NIST CSF 2.0 وPCI DSS وGDPR
من خلال المطابقة المرفقة يمكن استخدام Safeguards المنفّذة مرة واحدة كأدلة إثبات لعدة أطر في آن واحد – «تنفيذ مرة واحدة، وإثبات مرات متعددة».
هكذا نعمل
من تحديد الوضع الراهن إلى نظافة سيبرانية قابلة للإثبات – في أربع خطوات.
01
1 · تقييم الفجوات مقابل IG1
نقيّم وضعكم الحالي مقابل Safeguards الخاصة بـ IG1 ونحدد أخطر الفجوات – مرتّبة حسب المخاطر والجهد.
02
2 · خارطة طريق ذات أولويات
تحصلون على خارطة طريق قابلة للتنفيذ: أي Safeguards أولًا، وبأي جهد، وبأي أثر، وبأي توزيع للمسؤوليات (RACI).
03
3 · التنفيذ والأتمتة
نرافق التنفيذ التقني – جرد الأصول، وإدارة التحديثات والثغرات الأمنية، وMFA، والنسخ الاحتياطي – ونؤتمت القياس.
04
4 · الإثبات والتطوير
تُثبت التقارير المستمرة مستوى النضج وتشكّل الجسر نحو IG2/IG3 وكذلك نحو ISO 27001 وNIS2.
الفحص الذاتي: هل تبلغون IG1 (النظافة السيبرانية الأساسية)؟
أربعة أسئلة حول الركائز الأساسية لمجموعة التنفيذ 1. أجيبوا بصدق بـ «نعم» أو «جزئيًا» أو «لا».
1هل تحتفظون بجرد محدَّث ومُدار لجميع أصول الأجهزة والبرمجيات المصرّح بها (بما في ذلك الخدمات السحابية)؟
2هل تُشغّلون إدارة مركزية ومستمرة للثغرات الأمنية والتحديثات بمهل زمنية محددة؟
3هل المصادقة متعددة العوامل (MFA) مفعّلة لجميع نقاط الوصول المعنية، وهل التحكم في الوصول منظّم وفق مبدأ الحد الأدنى من الصلاحيات (Least Privilege)؟
4هل تُنشئون نسخًا احتياطية منتظمة – وهل اختبرتم الاستعادة بشكل مُثبت؟
الفحص الذاتي توجيه أولي ولا يغني عن تقييم كامل لـ 153 Safeguard.
الموارد والموضوعات ذات الصلة
المصادر الأساسية للمعيار والخدمات المناسبة من VamiSec.
المصادر الأساسية (خارجية)
CIS Critical Security Controls v8.1 الصفحة الرسمية لـ Center for Internet Security الخاصة بالإصدار الحالي 8.1.CIS Controls – التنزيل والدليل القائمة الكاملة لـ 18 Control و153 Safeguard بما في ذلك تخصيصها لمجموعات التنفيذ.CIS Implementation Groups شرح مجموعات التنفيذ الثلاث (IG1–IG3) ومنطق ترتيب الأولويات فيها.
خدمات VamiSec المناسبة
الأسئلة الشائعة
أهم الأسئلة حول CIS Controls بإجابات موجزة.
هل يمكن الحصول على شهادة وفق CIS Controls؟
لا. CIS Controls إطار أفضل ممارسات محايد تجاه المورّدين وغير قابل للاعتماد. لكنها توفّر مستوى الإجراءات المرتّب حسب الأولوية الذي يدعم تشغيليًا الحصول على شهادة ISO 27001 أو دليل إثبات الامتثال لـ NIS2.
ما الفرق بين CIS Controls وISO 27001؟
يصف ISO 27001 نظام إدارة و«ماذا» في أمن المعلومات. أما CIS Controls فتُفصّل «كيف» التشغيلي بإجراءات تقنية مرتّبة حسب الأولوية – ويكمّل كل منهما الآخر بشكل مثالي.
ماذا تعني مجموعة التنفيذ 1 (IG1)؟
IG1 هي المجموعة الفرعية من Safeguards التي تُعدّ نظافة سيبرانية أساسية. وهي نقطة البداية العملية للمؤسسات الأصغر، وتحمي بالفعل من أكثر أنماط الهجوم شيوعًا.
ما الجديد في الإصدار 8.1 مقارنةً بـ v8؟
يضيف الإصدار 8.1 (يونيو 2024) الوظيفة الأمنية «Govern»، ويُدقّق فئات الأصول، ويحدّث المطابقات – ولا سيما التوافق مع NIST CSF 2.0. وتبقى البنية (18 Control) وطريقة العد كما هي.
هل تساعد CIS Controls في تنفيذ NIS2؟
نعم. تشترط NIS2 إجراءات تقنية مناسبة دون أن تسمّيها بالتفصيل. وتوفّر CIS Controls – ولا سيما IG1 – تحديدًا هذا المستوى الملموس والمرتّب حسب الأولوية والقابل للإثبات من الإجراءات.
ارتقوا بنظافتكم السيبرانية إلى مستوى قابل للإثبات
نقيّم مستوى نضجكم مقابل CIS Controls v8.1، ونرتّب أولويات الخطوات الأكثر فاعلية، ونرافق التنفيذ حتى الوصول إلى دليل إثبات متين.