Der Fall für offene, kostenlose Compliance-Daten

Hier ein merkwürdiger Befund aus der Compliance-Branche. Zehntausende Organisationen müssen gegenüber mehr als einem Security-Framework nachweisen. Jede davon muss wissen, wie diese Frameworks zueinander in Beziehung stehen. Und fast jede erarbeitet oder kauft dieses Wissen separat: als Tabelle eines Beraters, als proprietärer Crosswalk einer Plattform, als Wochenendarbeit eines Analysten. Dieselbe Zuordnung wird immer wieder neu erstellt, selten überprüft und nie geteilt.

Die Zuordnung ist im Grunde Allgemeinwissen

Dass A.8.24 der ISO 27001 mit Anforderung 3.5.1 aus PCI DSS zusammenhängt, ist kein Geschäftsgeheimnis. Es ist ein Fakt über zwei veröffentlichte Dokumente, für alle gleich. Sie als proprietäre Daten zu behandeln, schafft drei Probleme:

• Doppelarbeit. Die Branche bezahlt dieselbe Arbeit viele Male.
• Fehler bleiben bestehen. Eine private Zuordnung wird vom Eigentümer geprüft, falls überhaupt. Eine öffentliche wird von allen geprüft, die sie nutzen.
• Keine Nachvollziehbarkeit. Man kann eine Zuordnung nicht bewerten, die man nicht einsehen kann, und so nicht unterscheiden, ob sie sorgfältig oder nachlässig erstellt wurde. Wir haben über das Problem mit Crosswalks, die man nicht prüfen kann geschrieben.

Der öffentliche Sektor hat das bereits verstanden

Die maßgeblichsten Crosswalks sind bereits kostenlos. NIST veröffentlicht seine Informative References zum CSF 2.0 und seine Zuordnungen zu SP 800-53 offen und betreibt einen Katalog eingereichter Crosswalks. ENISA hat seine Zuordnung von NIS2 zu ISO 27001 und CSF veröffentlicht. ASD stellt das ISM einschließlich der Essential-Eight-Kontrollen unter einer offenen Lizenz bereit. Dass diese Dokumente zu den meistgenutzten Compliance-Unterlagen der Welt gehören, liegt genau daran, dass sie jeder verwenden darf.

Was Offenheit ändern würde

• Tools konkurrieren über Bedienbarkeit, nicht über Datenhortung. Der Mehrwert verlagert sich dorthin, wo er hingehört: zu Workflows, Nachweisen und Automatisierung.
• Zuordnungen werden schneller besser. Von Nutzern gemeldete Fehler werden für alle behoben.
• Kleine Organisationen erhalten dieselbe Qualität wie große, ohne eine Plattform bezahlen zu müssen, um herauszufinden, wie zwei Frameworks zusammenhängen.
• Auditoren und Aufsichtsbehörden können die Begründung einer Zuordnung prüfen, statt ihr blind zu vertrauen.

Wo die Grenzen liegen

Offenheit hat Grenzen. ISO, PCI SSC und AICPA besitzen die Texte ihrer Standards, und das sollte respektiert werden: Offene Zuordnungsdaten können Kennungen, Kurztitel und Begründungen teilen, ohne urheberrechtlich geschützte Anforderungen zu reproduzieren. Und kostenlos bedeutet nicht unbelegt; offene Daten, die ihre Herkunft verbergen, sind nur eine andere Form der Blackbox.

Was gute offene Compliance-Daten brauchen

Offenheit allein reicht nicht. Damit Zuordnungsdaten als gemeinsame Ressource wirklich nützlich sind, brauchen sie:

• Stabile Kennungen, die mit den offiziellen Katalogen übereinstimmen und bei jeder Änderung eines der beiden Frameworks validiert werden.
• Herkunftsnachweis pro Verknüpfung: welcher Crosswalk oder welche Einschätzung und warum.
• Versionen jedes Frameworks, wobei zurückgezogene Anforderungen explizit behandelt werden.
• Maschinenlesbare Formate (CSV, Tabellenkalkulationen, JSON) zusätzlich zu Webseiten.
• Eine klare Lizenz, die Wiederverwendung erlaubt, auch kommerziell, und Rechte Dritter respektiert.
• Eine Möglichkeit, Fehler zu melden, und ein Protokoll der Korrekturen.

Das ist der Standard, dem wir gerecht werden wollen. Die Methodik erläutert, wie jeder dieser Punkte hier behandelt wird.

Kernaussagen

• Organisationen erstellen dieselben Framework-Zuordnungen immer wieder privat neu.
• Die maßgeblichsten Crosswalks (NIST, ENISA, ASD) sind bereits kostenlos, und sie werden am meisten genutzt.
• Offene Daten werden geprüft und korrigiert; private Zuordnungen veralten unbemerkt.
• Offenheit muss das Urheberrecht der Standards respektieren und stets die Herkunft zeigen.
• Kostenlose Daten brauchen trotzdem Pflege: Validierung gegen aktuelle Kataloge bei jeder Änderung.

Was wir tun

Die Downloads von ControlMapping veröffentlichen den vollständigen Crosswalk (jedes Thema, jede Anforderungsverknüpfung, Grundlage und Begründung) unter CC BY 4.0; Lizenzen Dritter werden respektiert. Die Methodik dokumentiert jede Quelle und jede Regel. Das ist ein kleiner Beitrag, aber er entspricht dem Modell, dem Compliance-Daten meiner Ansicht nach folgen sollten: offen, belegt, versioniert und frei verbesserbar. Wenn Sie einen Fehler finden, teilen Sie es uns mit, damit er für alle behoben wird.

Fragen

Dürfen ControlMapping-Daten frei wiederverwendet werden?

Ja. Die eigene Arbeit von ControlMapping (Themendefinitionen, Auswahl der Zuordnungen, redaktionelle Anmerkungen und unsere Zusammenfassungen) steht unter CC BY 4.0. Material Dritter behält seine eigene Lizenz: Inhalte von NIST sind gemeinfrei, CIS-Titel stehen unter CC BY-NC-ND, und Texte von ISO, PCI und AICPA werden nicht wiedergegeben.

Warum sind nicht alle Framework-Crosswalks offen?

Einige Framework-Eigentümer lizenzieren ihre Standards und Zuordnungen kommerziell, und viele Anbieter betrachten ihre Crosswalks als Produktunterscheidungsmerkmal.

Kann ich ControlMapping-Daten in einem kommerziellen Produkt verwenden?

Die eigene Arbeit von ControlMapping steht unter CC BY 4.0, was kommerzielle Nutzung mit Namensnennung erlaubt. Material Dritter behält seine eigene Lizenz; zum Beispiel stehen CIS-Safeguard-Titel unter CC BY-NC-ND.