El caso de los datos de cumplimiento abiertos y gratuitos

Aquí hay un hecho curioso sobre la industria del cumplimiento. Decenas de miles de organizaciones responden ante más de un marco de seguridad. Cada una necesita saber cómo se relacionan esos marcos. Y casi todas construyen o compran ese conocimiento por separado: la hoja de cálculo de un consultor, la correspondencia propietaria de una plataforma, el fin de semana de un analista. El mismo mapeo, reconstruido una y otra vez, rara vez verificado, nunca compartido.

El mapeo es conocimiento común disfrazado

Que el A.8.24 de ISO 27001 se relacione con el 3.5.1 de PCI DSS no es un secreto comercial. Es un hecho sobre dos documentos publicados, el mismo para todos. Tratarlo como dato propietario genera tres problemas:

• Duplicación. La industria paga muchas veces por el mismo trabajo.
• Los errores persisten. Un mapeo privado lo revisa su dueño, si alguien lo hace. Uno público lo revisa todo el que lo usa.
• Falta de rendición de cuentas. No puedes evaluar un mapeo que no puedes ver, así que no distingues uno cuidadoso de uno descuidado. Hemos escrito sobre el problema de las correspondencias que no puedes verificar.

El sector público ya lo entiende

Las correspondencias más autorizadas ya son gratuitas. NIST publica abiertamente sus referencias informativas de CSF 2.0 y sus mapeos de SP 800-53, y mantiene un catálogo de correspondencias enviadas. ENISA publicó su mapeo de NIS2 con ISO 27001 y CSF. ASD publica el ISM, incluidos los controles de Essential Eight, bajo una licencia abierta. Estos son de los documentos de cumplimiento más utilizados del mundo precisamente porque cualquiera puede usarlos.

Qué cambiaría la apertura

• Las herramientas compiten en usabilidad, no en acaparar datos. El valor se traslada al flujo de trabajo, la evidencia y la automatización, que es donde debe estar.
• Los mapeos mejoran más rápido. Los errores que reportan los usuarios se corrigen para todos.
• Las organizaciones pequeñas obtienen la misma calidad que las grandes, sin pagar una plataforma para saber cómo se relacionan dos marcos.
• Auditores y reguladores pueden verificar el razonamiento detrás de un mapeo en lugar de aceptarlo a ciegas.

Dónde están los límites

La apertura tiene límites. ISO, PCI SSC y AICPA son dueños del texto de sus estándares, y eso debe respetarse: los datos de mapeo abiertos pueden compartir identificadores, títulos breves y razonamientos sin reproducir requisitos protegidos por derechos de autor. Y gratuito no significa sin fuente; unos datos abiertos que ocultan su procedencia son solo otro tipo de caja negra.

Qué necesitan unos buenos datos de cumplimiento abiertos

La apertura no basta por sí sola. Para que los datos de mapeo sean realmente útiles como recurso compartido, necesitan:

• Identificadores estables que coincidan con los catálogos oficiales, validados cada vez que cambie cualquiera de los dos marcos.
• Procedencia por vínculo: qué correspondencia o qué criterio, y por qué.
• Versiones de cada marco, con los requisitos retirados gestionados de forma explícita.
• Formatos legibles por máquina (CSV, hojas de cálculo, JSON) además de páginas web.
• Una licencia clara que permita la reutilización, incluida la comercial, respetando los derechos de terceros.
• Una forma de notificar errores, y un registro de correcciones.

Ese es el estándar que intentamos cumplir. La metodología explica cómo se gestiona cada punto aquí.

Puntos clave

• Las organizaciones reconstruyen en privado los mismos mapeos entre marcos, una y otra vez.
• Las correspondencias más autorizadas (NIST, ENISA, ASD) ya son gratuitas, y son las más utilizadas.
• Los datos abiertos se verifican y se corrigen; los mapeos privados se degradan sin que nadie lo note.
• La apertura debe respetar los derechos de autor de los estándares y siempre mostrar la procedencia.
• Los datos gratuitos también requieren mantenimiento: validación frente a los catálogos vigentes en cada cambio.

Qué hacemos

Las descargas de ControlMapping publican la correspondencia completa (cada tema, vínculo de requisito, base y motivo) bajo CC BY 4.0, respetando las licencias de terceros. La metodología documenta cada fuente y regla. Es una contribución modesta, pero es el modelo que creo que deberían seguir los datos de cumplimiento: abiertos, documentados, versionados y libres de mejorar. Si encuentras un error, cuéntanoslo, para que se corrija para todos.

Preguntas

¿Son los datos de ControlMapping libres de reutilizar?

Sí. El trabajo propio de ControlMapping (definiciones de temas, selecciones de correspondencias, notas editoriales y nuestros resúmenes) está bajo CC BY 4.0. El material de terceros conserva su propia licencia: el contenido de NIST es de dominio público, los títulos de CIS son CC BY-NC-ND, y los textos de ISO, PCI y AICPA no se reproducen.

¿Por qué no son abiertas todas las correspondencias entre marcos?

Algunos propietarios de marcos licencian comercialmente sus estándares y mapeos, y muchos proveedores tratan sus correspondencias como diferenciación de producto.

¿Puedo usar los datos de ControlMapping en un producto comercial?

El trabajo propio de ControlMapping está bajo CC BY 4.0, que permite el uso comercial con atribución. El material de terceros conserva su propia licencia; por ejemplo, los títulos de salvaguardas de CIS son CC BY-NC-ND.