Le cas en faveur de données de conformité ouvertes et gratuites

Voici un fait étrange sur le secteur de la conformité. Des dizaines de milliers d'organisations répondent à plus d'un référentiel de sécurité. Chacune doit savoir comment ces référentiels se rapportent les uns aux autres. Et presque toutes construisent ou achètent cette connaissance séparément : le tableur d'un consultant, la correspondance propriétaire d'une plateforme, le week-end d'un analyste. La même correspondance, reconstruite encore et encore, rarement vérifiée, jamais partagée.

La correspondance est un savoir commun déguisé

Que l'A.8.24 de l'ISO 27001 se rapporte à PCI DSS 3.5.1 n'est pas un secret commercial. C'est un fait sur deux documents publiés, identique pour tout le monde. Le traiter comme une donnée propriétaire crée trois problèmes :

• Duplication. Le secteur paie plusieurs fois le même travail.
• Les erreurs persistent. Une correspondance privée n'est vérifiée que par son propriétaire, si quelqu'un la vérifie. Une correspondance publique est vérifiée par tous ceux qui l'utilisent.
• Absence de responsabilité. On ne peut pas évaluer une correspondance qu'on ne voit pas, donc on ne peut pas distinguer une correspondance soignée d'une négligée. Nous avons écrit sur le problème des correspondances que vous ne pouvez pas vérifier.

Le secteur public l'a déjà compris

Les correspondances les plus faisant autorité sont déjà gratuites. Le NIST publie librement les références informatives de son CSF 2.0 et ses correspondances avec le SP 800-53, et tient un catalogue de correspondances soumises. L'ENISA a publié sa correspondance entre NIS2 et ISO 27001 ainsi que le CSF. L'ASD publie l'ISM, y compris les Essential Eight, sous une licence ouverte. Ce sont parmi les documents de conformité les plus utilisés au monde, précisément parce que chacun peut les utiliser.

Ce que l'ouverture changerait

• Les outils se disputent sur l'ergonomie, pas sur la rétention de données. La valeur se déplace vers le flux de travail, les preuves et l'automatisation, où elle a sa place.
• Les correspondances s'améliorent plus vite. Les erreurs signalées par les utilisateurs sont corrigées pour tous.
• Les petites organisations obtiennent la même qualité que les grandes, sans payer une plateforme pour savoir comment deux référentiels se rapportent l'un à l'autre.
• Auditeurs et régulateurs peuvent vérifier le raisonnement derrière une correspondance au lieu de la prendre pour argent comptant.

Où sont les limites

L'ouverture a des limites. L'ISO, PCI SSC et l'AICPA possèdent le texte de leurs normes, et cela doit être respecté : des données de correspondance ouvertes peuvent partager des identifiants, des intitulés courts et des raisonnements, sans reproduire des exigences protégées par le droit d'auteur. Et gratuit ne signifie pas sans source : des données ouvertes qui masquent leur provenance ne sont qu'une autre forme de boîte noire.

Ce que doivent contenir de bonnes données de conformité ouvertes

L'ouverture ne suffit pas à elle seule. Pour être réellement utiles comme ressource partagée, les données de correspondance ont besoin :

• D'identifiants stables correspondant aux catalogues officiels, validés à chaque évolution de l'un des deux référentiels.
• D'une provenance pour chaque lien : quelle correspondance ou quel jugement, et pourquoi.
• Des versions de chaque référentiel, avec les exigences retirées traitées explicitement.
• De formats lisibles par machine (CSV, tableurs, JSON) en plus des pages web.
• D'une licence claire autorisant la réutilisation, y compris commerciale, dans le respect des droits de tiers.
• D'un moyen de signaler les erreurs, et d'un historique des corrections.

C'est le standard que nous nous efforçons d'atteindre. La méthodologie explique comment chacun de ces points est traité ici.

Points clés

• Les organisations reconstruisent en privé les mêmes correspondances entre référentiels, encore et encore.
• Les correspondances les plus faisant autorité (NIST, ENISA, ASD) sont déjà gratuites, et ce sont les plus utilisées.
• Les données ouvertes sont vérifiées et corrigées ; les correspondances privées se dégradent sans que personne ne les voie.
• L'ouverture doit respecter le droit d'auteur des normes et toujours afficher la provenance.
• Des données gratuites nécessitent tout de même une maintenance : une validation sur les catalogues actuels à chaque changement.

Ce que nous faisons

Les téléchargements de ControlMapping publient la correspondance complète (chaque sujet, lien d'exigence, base et raison) sous CC BY 4.0, avec les licences tierces respectées. La méthodologie documente chaque source et chaque règle. C'est une contribution modeste, mais c'est le modèle que devraient suivre les données de conformité : ouvertes, sourcées, versionnées et libres d'être améliorées. Si vous repérez une erreur, signalez-la-nous, afin qu'elle soit corrigée pour tous.

Questions

Les données de ControlMapping sont-elles libres d'utilisation ?

Oui. Le travail propre à ControlMapping (définitions de sujets, choix de correspondances, notes éditoriales, nos synthèses) est sous CC BY 4.0. Les contenus tiers conservent leur propre licence : le contenu du NIST relève du domaine public, les intitulés du CIS sont sous CC BY-NC-ND, et les textes de l'ISO, de PCI et de l'AICPA ne sont pas reproduits.

Pourquoi toutes les correspondances entre référentiels ne sont-elles pas ouvertes ?

Certains propriétaires de référentiels licencient leurs normes et leurs correspondances à titre commercial, et de nombreux éditeurs considèrent leurs correspondances comme un élément de différenciation produit.

Puis-je utiliser les données de ControlMapping dans un produit commercial ?

Le travail propre à ControlMapping est sous CC BY 4.0, ce qui autorise l'usage commercial avec attribution. Les contenus tiers conservent leur propre licence ; par exemple, les intitulés des safeguards du CIS sont sous CC BY-NC-ND.