¿Correspondencia publicada o criterio propio? Cuánta correspondencia entre marcos se basa en evidencia publicada

Toda plataforma de cumplimiento, hoja de cálculo de consultoría y herramienta de auditoría incluye correspondencias entre marcos. Rara vez indican de dónde proceden. Algunas se copian de correspondencias oficiales; muchas son el mejor criterio de alguien, elaborado una vez y nunca revisado. Ambas pueden ser útiles, pero conviene saber en cuál te apoyas.

ControlMapping etiqueta cada vínculo: correspondencia cuando una correspondencia publicada lo respalda, y editorial cuando es nuestro criterio con un motivo indicado. Esta es la distribución.

Las cifras

Marco	Correspondencias	Correspondencia	Editorial	Porcentaje de correspondencia
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Todos	829	475	354	57%

En conjunto, algo más de la mitad de nuestras correspondencias de temas está respaldada por una correspondencia publicada. El resto son editoriales. La proporción varía enormemente según el marco.

Por qué varía la proporción

Algunos marcos tienen correspondencias de referencia. NIST publica referencias oficiales de CSF 2.0 a SP 800-53, y de SP 800-53 a ISO 27001. ENISA, la agencia de la UE, publica una correspondencia de cada punto del Reglamento de Ejecución de NIS2 con ISO 27001 y CSF 2.0. El Apéndice D de NIST SP 800-171 relaciona los requisitos de CMMC con SP 800-53. En estos marcos, la mayoría de las correspondencias están respaldadas por una correspondencia publicada.

Algunas correspondencias son parciales. La correspondencia de CIS en el catálogo de NIST cubre solo 49 de las 153 salvaguardas de CIS; la correspondencia de PCI SSC con CSF 2.0 omite algunos requisitos básicos, como los requisitos de MFA. Todo lo que va más allá es editorial.

Algunos marcos no tienen ninguna correspondencia que podamos usar. No existe una correspondencia con licencia abierta para SOC 2, RGPD [GDPR] ni para Essential Eight. Todos los vínculos de estos marcos son editoriales. Eso no los hace incorrectos, pero sí los convierte en una opinión que deberías poder verificar.

Por qué importa

• La autoridad difiere. Una correspondencia de NIST o ENISA ha pasado por consulta pública y se usa en todo el sector. Una correspondencia editorial es la visión de un analista. Cuando un auditor pregunta por qué tratas dos requisitos como equivalentes, "la correspondencia de NIST lo indica" es una respuesta más sólida.
• Las correspondencias tampoco demuestran el cumplimiento. Incluso una correspondencia oficial solo indica que dos requisitos abordan resultados relacionados. No dice que tu implementación de uno cumpla el otro.
• Las correspondencias sin etiquetar ocultan errores. Si no puedes saber de dónde procede una correspondencia, no puedes saber cuándo es incorrecta. Cuando auditamos nuestros propios datos, son las etiquetas las que permiten encontrar y corregir con rapidez los errores de las correspondencias editoriales.

Conclusiones clave

• Solo algo más de la mitad de nuestras correspondencias de temas se basa en una correspondencia publicada; el resto es criterio editorial.
• La proporción varía según el marco: alta en NIST, NIS2 y CMMC, nula en SOC 2, RGPD y Essential Eight.
• El criterio no es erróneo, pero debe etiquetarse y explicarse.
• Pregunta por la fuente, la versión, el significado y el razonamiento de cualquier correspondencia antes de confiar en ella.

Qué preguntar sobre cualquier correspondencia

1. ¿Cuál es la fuente? ¿Una correspondencia oficial, el propietario del marco o el criterio de alguien?
2. ¿Se ve el razonamiento? Un vínculo editorial debe explicar por qué existe.
3. ¿Qué versión? Las correspondencias con versiones sustituidas (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) pueden ser muy erróneas.
4. ¿Qué significa "correspondencia"? ¿Equivalente, parcialmente solapada o simplemente relacionada?

Nuestra metodología indica cada fuente y versión, cada página de requisitos muestra la base de cada vínculo, y las descargas incluyen la columna de evidencia para que puedas verificar nuestro trabajo.

Preguntas

¿Qué es una correspondencia entre marcos?

Una correspondencia publicada entre los requisitos de dos marcos, como la de NIST entre SP 800-53 e ISO 27001. Indica que los requisitos abordan resultados relacionados, no que cumplir uno satisfaga el otro.

¿Por qué las correspondencias de SOC 2 son editoriales?

AICPA publica correspondencias entre los Trust Services Criteria y otros marcos, pero no con una licencia abierta, así que ControlMapping no puede usarlas como evidencia. Cada vínculo de SOC 2 es nuestro criterio, con el motivo indicado.

¿Son las correspondencias editoriales menos precisas que las publicadas?

No necesariamente; un juicio experto puede ser más preciso que una correspondencia publicada de alcance amplio. La diferencia está en la autoridad y en la posibilidad de verificación, por eso los vínculos editoriales siempre deben incluir un motivo.