Das Problem mit Anbieter-Crosswalks, die Sie nicht prüfen können

Compliance-Automatisierungsplattformen haben Programme über mehrere Frameworks hinweg deutlich einfacher zu betreiben gemacht. Die meisten von ihnen versprechen zentral: Setzen Sie eine Kontrolle einmal um, und sie erfüllt SOC 2, ISO 27001, NIST, HIPAA und weitere, weil das der Crosswalk der Plattform so festlegt. Fragen Sie die Plattform, woher eine bestimmte Zuordnung stammt, auf welche Version sie sich bezieht und warum die beiden Anforderungen gleichwertig sind, und die Antwort bleibt oft aus.

Das ist ein Problem, und zwar kein kleinlich-pedantisches.

Nicht überprüfbare Zuordnungen verlagern das Risiko auf Sie

Wenn eine Plattform Ihnen mitteilt, dass Ihre Zugriffskontrolle eine Anforderung in einem Framework erfüllt, dem Sie neu unterliegen, und das falsch ist, geht der Auditbefund auf Ihr Konto und nicht auf das des Anbieters. Sie haben sich auf eine Zuordnung verlassen, die Sie nicht prüfen konnten. Auditoren akzeptieren „das Tool hat es zugeordnet“ nicht als Begründung; sie lesen die Anforderung und prüfen, ob Ihre Kontrolle sie erfüllt.

Zuordnungen veralten unbemerkt

Frameworks ändern sich. CSF 2.0 hat 79 Unterkategorien aus CSF 1.1 zurückgezogen (wohin sie verschoben wurden); ISO 27001:2022 hat Anhang A neu nummeriert; PCI DSS v4.0 hat Dutzende Anforderungen hinzugefügt. Ein Crosswalk, der nicht versioniert und nicht gegen aktuelle Kataloge validiert ist, veraltet. Ein Crosswalk ohne Kennzeichnung veraltet unsichtbar.

„Zugeordnet“ verschleiert die Art der Zuordnung

Eine Verbindung zwischen zwei Anforderungen kann bedeuten, dass sie gleichwertig sind, dass eine eine Teilmenge der anderen ist oder dass sie lediglich ein Thema teilen. Unsere eigene Analyse, wie stark Zuordnungen auf veröffentlichten Belegen beruhen, ergab, dass ein großer Teil der Zuordnungen generell auf Einschätzungen beruht und nicht auf veröffentlichten Crosswalks:

Framework	Zuordnungen	Crosswalk	Redaktionell	Anteil des Crosswalks
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Alle	829	475	354	57%

Einschätzungen sind nicht schlecht. Nicht gekennzeichnete schon.

Was Sie von jedem Crosswalk verlangen sollten

1. Quelle pro Verbindung: ein offizieller Crosswalk (NIST, ENISA, der Framework-Eigentümer) oder die Einschätzung des Anbieters.
2. Begründung für jede Einschätzung, für Sie einsehbar.
3. Versionen beider Frameworks sowie ein Datum der letzten Validierung.
4. Was „zugeordnet“ bedeutet: gleichwertig, teilweise oder verwandt.
5. Export: die Möglichkeit, die Zuordnung herauszuholen und selbst zu prüfen.

Kann ein Anbieter diese nicht liefern, behandeln Sie seine Zuordnungen als Hinweise, nicht als Antworten.

So prüfen Sie einen erhaltenen Crosswalk

Sie müssen nicht einen gesamten Crosswalk auditieren, um ihn zu beurteilen. Prüfen Sie eine Stichprobe:

1. Wählen Sie zehn Verbindungen zufällig aus dem Framework, das Sie am besten kennen.
2. Lesen Sie beide Anforderungstexte für jede Verbindung.
3. Klassifizieren Sie jede Verbindung: gleichwertig, teilweise überlappend, lediglich verwandt oder falsch.
4. Prüfen Sie zwei versionsabhängige Fälle, zum Beispiel eine CSF-1.1-Kennung oder eine Kontrollnummer aus ISO 27001:2013.

Sind die meisten Verbindungen stichhaltig und die Versionen aktuell, ist der Crosswalk wahrscheinlich als Leitfaden brauchbar. Sind mehrere falsch oder veraltet, behandeln Sie das Ganze als ungeprüft. Auch unsere eigenen Daten sind demselben Test zugänglich: Jede Anforderungsseite, etwa ISO 27001 A.8.8, zeigt die Grundlage und Begründung jeder Verbindung.

Zentrale Erkenntnisse

• Nicht überprüfbare Zuordnungen verlagern das Audit-Risiko auf Sie.
• Verlangen Sie Quelle, Version, Bedeutung und Begründung für jede Verbindung.
• Prüfen Sie jeden Crosswalk per Stichprobe, bevor Sie sich darauf verlassen.

Warum wir unsere veröffentlichen

ControlMapping existiert teilweise wegen dieses Problems. Jede Verbindung ist als Crosswalk oder redaktionell gekennzeichnet, jede redaktionelle Verbindung hat eine Begründung, jede ID wird bei jedem Build gegen den offiziellen Katalog validiert, und der gesamte Datensatz ist unter einer offenen Lizenz herunterladbar. Es ist nicht der einzige Weg, aber es ist der Standard, an dem sich die Branche unserer Meinung nach messen lassen sollte. Siehe die Methodik und die Downloads.

Fragen

Sind Crosswalks von Compliance-Plattformen korrekt?

Einige werden sorgfältig gepflegt, andere nicht. Ohne sichtbare Quellen, Versionen und Begründungen für jede Zuordnung können Sie das nicht unterscheiden, und Auditoren akzeptieren „das Tool sagt es so“ nicht als Begründung.

Was sollte ein vertrauenswürdiger Crosswalk zeigen?

Für jede Verbindung: die Quelle (ein offizieller Crosswalk oder die Einschätzung des Anbieters), die Versionen beider Frameworks, was die Verbindung bedeutet (gleichwertig oder lediglich verwandt) und eine Begründung, wenn es sich um eine Einschätzung handelt.

Was ist NIST OLIR?

NIST-Programm „Online Informative References“: ein Katalog von Crosswalks zwischen NIST-Frameworks und anderen Standards. Einreichungen Dritter werden auf Format, nicht auf Korrektheit geprüft.