Por qué etiquetamos cada correspondencia como «Correspondencia» o «Editorial»

Cada correspondencia en ControlMapping lleva una de dos marcas. Correspondencia significa que una correspondencia publicada respalda el enlace: NIST, ENISA, CIS o PCI SSC indicaron que estos requisitos guardan relación. Editorial significa que es nuestro criterio, con el motivo documentado. Es la decisión de diseño más importante del sitio, y surgió de una observación sencilla: la mayoría de las correspondencias de marcos en circulación no permiten saber cuál es cuál.

El problema que resuelve

Una correspondencia es una afirmación: «este requisito se relaciona con aquel». Algunas afirmaciones se basan en correspondencias oficiales que pasaron por consulta pública. Otras son el criterio de un único analista. Ambas pueden ser correctas. Pero cuando parecen idénticas, cada correspondencia hereda la credibilidad de la mejor, y cada error se esconde entre las demás. Así es como las organizaciones acaban diciendo a los auditores que un control «satisface» un requisito porque una herramienta lo dijo.

Lo que hacen posible las etiquetas

• Puedes sopesar la evidencia. Un enlace de correspondencia de la propia correspondencia de NIST es sólido; un enlace editorial es una opinión razonada que conviene verificar.
• Los errores se pueden localizar. Cuando auditamos nuestros datos en busca de errores, las etiquetas y los motivos permiten encontrarlos y corregirlos rápidamente. Una correspondencia sin etiquetar no ofrece a un revisor nada con que trabajar.
• Honestidad sobre los límites. Algunos marcos no tienen ninguna correspondencia abierta bajo licencia (SOC 2, GDPR, Essential Eight). Etiquetar todos sus enlaces como editoriales lo dice directamente, en lugar de sugerir una autoridad que no existe.

Así se reparte hoy la situación:

Marco	Correspondencias	Correspondencia	Editorial	Porcentaje de correspondencia
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Todos	829	475	354	57%

¿Por qué no publicar solo los enlaces de correspondencia?

Porque las correspondencias publicadas tienen lagunas. La correspondencia publicada por CIS cubre 49 de 153 salvaguardas; la de PCI SSC omite algunos requisitos fundamentales; de SOC 2 no tenemos nada utilizable. Un sitio que mostrara solo enlaces de correspondencia presentaría SOC 2 como sin mapear y la mayor parte de CIS como ausente, lo cual es menos útil y, a su manera, engañoso. Los enlaces editoriales cubren esas lagunas, etiquetados para que sepas en qué te basas.

Las reglas detrás de las etiquetas

• Un enlace editorial siempre tiene un motivo.
• Un enlace cuenta como correspondencia solo si la correspondencia publicada realmente lo respalda: las referencias a nivel de familia y las cadenas a través de enlaces editoriales no cuentan.
• Cada ID de requisito se valida contra el catálogo oficial en cada compilación.
• «Relación tangencial» se muestra por separado y nunca se cuenta como cobertura.

Cómo es un enlace editorial

Un enlace editorial nunca es solo una línea entre dos IDs. Cada uno incluye un motivo breve que cualquiera puede comprobar. Por ejemplo, SOC 2 CC4.1 (evaluaciones continuas e independientes del control interno) está enlazado con la cláusula 9.2 de ISO 27001 (auditoría interna), con la nota de que ambos requieren una evaluación independiente de si los controles funcionan, mediante supervisión, auditoría interna y revisión independiente. Un lector que no esté de acuerdo puede ver exactamente qué asumimos y decírnoslo. Consúltalo en la página del requisito CC4.1.

Puntos clave

• Las etiquetas te permiten sopesar la evidencia de cada correspondencia.
• Los enlaces editoriales cubren lagunas reales de las correspondencias publicadas, con motivos.
• Toda correspondencia de cumplimiento debería mostrar su fuente.

Lo que pido a todos los demás

Etiqueta tus correspondencias. Cuesta casi nada y cambia cuánta confianza puede depositar en ellas cualquiera. Si desarrollas herramientas de cumplimiento, muestra la fuente de cada enlace; si las compras, pídela. Nuestra metodología explica cada regla, y las descargas incluyen la base de cada correspondencia para que puedas verificar nuestro trabajo y decirnos dónde nos equivocamos.

Preguntas

¿Qué significa un enlace de correspondencia en ControlMapping?

Una correspondencia publicada de una fuente autorizada (NIST, ENISA, CIS o PCI SSC) respalda el enlace, directamente o a través de un control de SP 800-53 que a su vez está enlazado mediante correspondencia.

¿Qué significa un enlace editorial?

No existe una correspondencia publicada que avale el enlace, pero ControlMapping considera que los requisitos están relacionados; el motivo siempre se muestra para que puedas verificarlo.

¿Puedo sugerir una corrección a una correspondencia?

Sí. Cada página de requisito tiene un enlace que explica cómo notificar una correspondencia incorrecta o ausente; incluye los IDs, el marco que esperabas y tu fuente.