GOVERN
جديد في 2.0: تُرسّخ المخاطر السيبرانية في توجيه المؤسسة – السياق التنظيمي، واستراتيجية إدارة المخاطر، والأدوار والمسؤوليات، والسياسات (Policies)، والإشراف، وإدارة مخاطر سلسلة التوريد (Cybersecurity Supply Chain Risk Management).
GRC · إطار المخاطر السيبرانية
NIST Cybersecurity Framework 2.0: اللغة المشتركة للمخاطر السيبرانية
مع الإصدار 2.0، يتوجه NIST Cybersecurity Framework لأول مرة صراحةً إلى المؤسسات من جميع الأحجام والقطاعات – ويجعل الحوكمة وظيفة مستقلة. وتستخدم VamiSec إطار CSF كإطار توجيهي يجمع ISO/IEC 27001 وNIS2 وDORA في لغة واحدة.
v2.0نُشر في 26 فبراير 2024 بوصفه NIST CSWP 29 – أول مراجعة شاملة للإطار
6الوظائف: GOVERN، IDENTIFY، PROTECT، DETECT، RESPOND، RECOVER
~106فئات فرعية (Subcategories) ضمن 22 فئة تشكّل CSF Core
0 €متاح للاستخدام مجانًا – إطار طوعي، وليس اعتمادًا
ما هو NIST Cybersecurity Framework 2.0؟
NIST Cybersecurity Framework (CSF) هو الإطار الأكثر استخدامًا في العالم لهيكلة المخاطر السيبرانية والتواصل بشأنها. ومع الإصدار 2.0 (NIST CSWP 29) المنشور في 26 فبراير 2024، قدّم المعهد الوطني الأمريكي للمعايير والتقنية (National Institute of Standards and Technology) أول مراجعة شاملة منذ إطلاق الإطار – ووسّع نطاق تطبيقه من البنى التحتية الحيوية إلى المؤسسات من جميع الأحجام والقطاعات.
ينقسم CSF Core إلى ست وظائف و22 فئة (Categories) ونحو 106 فئات فرعية (Subcategories). وتجعل منه الملفات التنظيمية (Organizational Profiles، الوضع الحالي/المستهدف) ومستويات التنفيذ (Implementation Tiers، 1–4) والمراجع الإرشادية (Informative References) – ومنها مطابقات مع ISO/IEC 27001 وCIS Controls وNIST SP 800-53 – أداة توجيه: مجانية، وغير قابلة للاعتماد، لكنها مثالية للتواصل بشأن مستوى النضج والأولويات مع مجلس الإدارة ومجلس الرقابة.
الوظائف الست في CSF 2.0
GOVERN جديدة في الإصدار 2.0 – وتحيط بالوظائف التشغيلية الخمس كمستوى توجيهي.
IDENTIFY
تُوفّر الشفافية حول الأصول والعمليات التجارية والمخاطر: ما الذي نحميه، وما الثغرات الأمنية وفرص التحسين القائمة؟
PROTECT
تشمل إجراءات الحماية مثل إدارة الهوية والوصول، والتوعية والتدريب، وأمن البيانات، وتقوية المنصات، وبنية تحتية تقنية مرنة.
DETECT
تضمن اكتشاف الهجمات والحالات الشاذة وتحليلها في الوقت المناسب – من المراقبة المستمرة حتى تحليل الأحداث.
RESPOND
تنظّم الاستجابة للحوادث المكتشفة: إدارة الحوادث (Incident Management)، والتحليل، والإبلاغ والتواصل، والاحتواء (Mitigation).
RECOVER
تستعيد الأنظمة والخدمات بعد وقوع حادث – بما في ذلك تخطيط الاستئناف والتواصل الشفاف أثناء الأزمات مع أصحاب المصلحة الداخليين والخارجيين.
الجسر نحو ISO 27001 وNIS2 وDORA وCIS Controls
لا يحل CSF محل التنظيم – بل يترجم بين الأطر التنظيمية.
ISO/IEC 27001
تربط المراجع الإرشادية (Informative References) الفئات الفرعية في CSF مباشرةً بضوابط ISO/IEC 27001. ويوفّر نظام ISMS لديكم دليل الإثبات، بينما يوفّر CSF منظور الإدارة – وهو أمر مثالي عندما يُراد أن يتكامل الاعتماد والتوجيه.
NIS2
تعكس GOVERN مسؤولية القيادة الواردة في المادة 20 من توجيه NIS2، وتغطي الوظائف التشغيلية كتالوج الإجراءات الوارد في المادة 21 – من إدارة المخاطر حتى أمن سلسلة التوريد.
DORA
بالنسبة للمؤسسات المالية، ينظّم CSF إدارة مخاطر تقنية المعلومات والاتصالات وفق DORA: IDENTIFY/PROTECT للحماية والوقاية، وDETECT/RESPOND/RECOVER للاكتشاف والاستجابة والاستعادة.
CIS Controls
تترجم CIS Controls الفئات الفرعية في CSF إلى إجراءات تقنية مرتّبة حسب الأولوية (Safeguards) – وهو أسرع طريق من منطق الإطار إلى تقوية قابلة للتنفيذ.
أربع خطوات نحو مخاطر سيبرانية خاضعة للتوجيه
نهجنا باستخدام Organizational Profiles وImplementation Tiers.
01
رصد Current Profile
نرصد الوضع الحالي على امتداد الوظائف الست والفئات الـ 22 – بناءً على أدلة الإثبات الموجودة والمقابلات والعينات التقنية.
02
تحديد Target Profile والمستويات
نحدد مع الإدارة العليا الملف المستهدف ومستوى التنفيذ المنشود (Tier 1–4) – على أساس المخاطر وبما يتوافق مع نموذج العمل.
03
وضع خارطة طريق لسد الفجوات
من الفجوة بين الملف الحالي والملف المستهدف تنشأ خارطة طريق مرتّبة حسب الأولوية تتضمن الإجراءات والمسؤوليات والميزانيات والمكاسب السريعة (Quick Wins).
04
القياس والتوجيه
تجعل المؤشرات لكل وظيفة وإعادة التقييم الدورية وتقارير الإدارة التقدم مرئيًا – والمخاطر السيبرانية قابلة للتوجيه على الدوام.
ما مدى تغطيتكم للوظائف الست في CSF؟
1GOVERN: هل المخاطر السيبرانية مُرسّخة بثبات في توجيه مؤسستكم – بأدوار ومسؤوليات واضحة تصل إلى الإدارة العليا؟
2IDENTIFY & PROTECT: هل تعرفون أصولكم بالكامل، وهل الحماية الأساسية (الوصول، والتحديثات، والنسخ الاحتياطي، والتوعية) مُطبّقة على نطاق شامل؟
3DETECT & RESPOND: هل تستطيعون اكتشاف الهجمات بشكل موثوق، وهل عملية الاستجابة لديكم موثّقة ومُجرّبة عمليًا؟
4RECOVER: هل اختُبر استئناف تشغيل الأنظمة الحرجة – بما في ذلك تواصل منظّم مع العملاء والشركاء والجهات المختصة؟
لا يغني الفحص الذاتي عن التقييم، بل يقدّم تحديدًا أوليًا للوضع على امتداد وظائف CSF.
الموارد والروابط ذات الصلة
المصادر الأساسية من NIST وخدمات VamiSec المناسبة.
مصادر NIST الرسمية
NIST Cybersecurity Framework – الصفحة الرسمية نقطة الدخول لدى NIST مع أدلة البدء السريع (Quick-Start Guides) والأسئلة الشائعة وموارد المجتمع.NIST CSWP 29 – CSF 2.0 (PDF) الوثيقة الرسمية للإطار، المنشورة في 26 فبراير 2024.الأداة المرجعية CSF 2.0 Reference Tool أداة تفاعلية لاستعراض الوظائف والفئات والفئات الفرعية والمطابقات.
صفحات VamiSec ذات الصلة
الأسئلة الشائعة حول NIST CSF 2.0
إجابات موجزة لصنّاع القرار ومسؤولي الأمن.
هل NIST CSF 2.0 إلزامي أو قابل للاعتماد؟
لا. CSF إطار طوعي ومجاني دون مخطط اعتماد. وهو مناسب كأداة للتوجيه والتواصل – أما أدلة الإثبات فتقدّمونها كما في السابق عبر معايير مثل ISO/IEC 27001 أو عمليات التدقيق التنظيمية.
ما الجديد في الإصدار 2.0 مقارنةً بـ CSF 1.1؟
أهم مستجد هو الوظيفة السادسة GOVERN التي تجمع الحوكمة والاستراتيجية والأدوار والسياسات وإدارة مخاطر سلسلة التوريد. كما يتوجه الإطار الآن صراحةً إلى جميع المؤسسات – وليس إلى البنى التحتية الحيوية فقط – وتدعمه أدلة البدء السريع (Quick-Start Guides) والملفات التنظيمية (Organizational Profiles) وأداة CSF 2.0 Reference Tool.
لدينا ISO 27001 بالفعل – هل نحتاج إلى CSF أصلًا؟
يتكامل نظام ISMS الحاصل على شهادة مع CSF: يوفّر ISO/IEC 27001 نظام الإدارة ودليل الإثبات، ويوفّر CSF المنظور القائم على الوظائف لترتيب الأولويات والتواصل مع مجلس الإدارة. ومن خلال المراجع الإرشادية (Informative References) يمكن ربط العالمين دون ازدواجية في العمل.
كيف يساعد CSF في NIS2 وDORA؟
يقدّم CSF لغة مشتركة: تتناول GOVERN مسؤولية القيادة (المادة 20 من NIS2)، وتنظّم الوظائف التشغيلية الإجراءات الواردة في المادة 21 من NIS2 وإدارة مخاطر تقنية المعلومات والاتصالات وفق DORA. وهكذا توجّهون عدة أطر تنظيمية عبر صورة مستهدفة متسقة.
كيف يجري تقييم CSF مع VamiSec؟
نرصد Current Profile لديكم على امتداد الوظائف الست، ونحدد معًا Target Profile والمستوى (Tier)، ونستخلص من ذلك خارطة طريق مرتّبة حسب الأولوية لسد الفجوات. ويعتمد الجهد على النطاق والمواقع والوثائق المتاحة – ونحدده معًا في المحادثة الأولية.
هل أنتم مستعدون لبرنامج أمني موجَّه بالمخاطر؟
نرصد Current Profile لديكم، ونحدد الأهداف، ونقدّم خارطة الطريق – بشكل عملي ومرتّب حسب الأولوية ومناسب لمجلس الإدارة.