Correspondances publiées ou jugement éditorial ? Part des correspondances fondée sur des preuves

Toute plateforme de conformité, tout tableur de cabinet de conseil et tout outil d'audit proposent des correspondances entre référentiels. Ils indiquent rarement leur origine. Certaines sont reprises de correspondances officielles ; beaucoup relèvent du meilleur jugement de quelqu'un, établi une fois et jamais revu. Les deux peuvent être utiles, mais vous devez savoir sur lesquelles vous vous appuyez.

ControlMapping étiquette chaque lien : « correspondance » lorsqu'une correspondance publiée le soutient, « éditorial » lorsqu'il s'agit de notre jugement, avec une raison énoncée. Voici la répartition.

Les chiffres

Référentiel	Correspondances	Correspondance	Éditorial	Part de la correspondance
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tous	829	475	354	57%

Dans l'ensemble, un peu plus de la moitié de nos correspondances de sujets sont étayées par une correspondance publiée. Le reste est éditorial. La répartition varie énormément selon le référentiel.

Pourquoi la répartition varie

Certains référentiels disposent de correspondances faisant autorité. Le NIST publie des références officielles du CSF 2.0 vers SP 800-53, et de SP 800-53 vers ISO 27001. L'ENISA, l'agence de l'UE, publie une correspondance de chaque point du règlement d'exécution NIS2 vers ISO 27001 et le CSF 2.0. L'annexe D de la SP 800-171 du NIST fait correspondre les exigences du CMMC à SP 800-53. Pour ces référentiels, la plupart des correspondances sont étayées par une correspondance publiée.

Certaines correspondances sont partielles. La correspondance publiée par le CIS dans le catalogue du NIST ne couvre que 49 des 153 mesures de protection du CIS ; la correspondance du PCI SSC vers le CSF 2.0 omet certaines exigences essentielles, comme les exigences relatives à l'authentification multifactorielle (MFA). Tout le reste relève de l'éditorial.

Certains référentiels n'ont aucune correspondance exploitable. Il n'existe pas de correspondance sous licence libre pour SOC 2, le RGPD (GDPR) ou les Essential Eight. Chaque lien les concernant est éditorial, ce qui ne le rend pas faux, mais en fait une opinion que vous devez pouvoir vérifier.

Pourquoi c'est important

• L'autorité diffère. Une correspondance du NIST ou de l'ENISA a été soumise à consultation publique et est utilisée dans tout le secteur. Une correspondance éditoriale reflète le point de vue d'un seul analyste. Lorsqu'un auditeur demande pourquoi vous avez considéré deux exigences comme équivalentes, « la correspondance du NIST le dit » est une réponse plus solide.
• Les correspondances ne prouvent pas non plus la conformité. Même une correspondance officielle indique seulement que deux exigences traitent de résultats liés. Elle ne dit pas que votre mise en œuvre de l'une satisfait l'autre.
• Les correspondances non étiquetées masquent les erreurs. Si vous ne pouvez pas savoir d'où vient une correspondance, vous ne pouvez pas savoir quand elle est fausse. Lorsque nous auditons nos propres données, ce sont les étiquettes qui permettent de repérer et de corriger rapidement les erreurs des correspondances éditoriales.

Points clés

• Seule un peu plus de la moitié de nos correspondances de sujets repose sur une correspondance publiée ; le reste relève du jugement éditorial.
• La part varie selon le référentiel : élevée pour le NIST, NIS2 et le CMMC, nulle pour SOC 2, le RGPD et les Essential Eight.
• Le jugement n'est pas faux, mais il doit être étiqueté et expliqué.
• Demandez à toute correspondance sa source, sa version, sa signification et son raisonnement avant de vous y fier.

Que demander à toute correspondance

1. Quelle est la source ? Une correspondance officielle, le propriétaire du référentiel, ou le jugement de quelqu'un ?
2. Le raisonnement est-il visible ? Un lien éditorial doit expliquer pourquoi.
3. Quelle version ? Les correspondances avec des versions remplacées (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) peuvent être gravement erronées.
4. Que signifie « correspondant » ? Équivalent, partiellement recouvrant ou simplement lié ?

Notre méthodologie indique chaque source et version, chaque page d'exigence montre la base de chaque lien, et les téléchargements incluent la colonne des preuves afin que vous puissiez vérifier notre travail.

Questions

Qu'est-ce qu'une correspondance entre référentiels ?

Une correspondance publiée entre les exigences de deux référentiels, comme la correspondance du NIST entre SP 800-53 et ISO 27001. Elle indique que les exigences traitent de résultats liés, et non que le respect de l'une satisfait l'autre.

Pourquoi les correspondances SOC 2 sont-elles éditoriales ?

L'AICPA publie des correspondances entre les Trust Services Criteria et d'autres référentiels, mais pas sous licence libre ; ControlMapping ne peut donc pas les utiliser comme preuves. Chaque lien SOC 2 relève de notre jugement, avec la raison indiquée.

Les correspondances éditoriales sont-elles moins précises que les correspondances publiées ?

Pas nécessairement ; un jugement d'expert peut être plus précis qu'une large correspondance publiée. La différence tient à l'autorité et à la possibilité de vérification, raison pour laquelle les liens éditoriaux doivent toujours comporter une justification.