Le problème des correspondances des éditeurs que vous ne pouvez pas vérifier

Les plateformes d'automatisation de la conformité ont beaucoup facilité la gestion de programmes multi-référentiels. La plupart promettent une idée centrale : mettre en œuvre un contrôle une seule fois suffit à satisfaire SOC 2, ISO 27001, NIST, HIPAA et d'autres, car la correspondance de la plateforme le dit. Demandez à la plateforme d'où vient une correspondance précise, à quelle version elle se rattache et pourquoi les deux exigences sont équivalentes, et la réponse est souvent le silence.

Le problème est réel, et il n'a rien de pointilleux.

Les correspondances non vérifiables transfèrent le risque sur vous

Lorsqu'une plateforme vous indique que votre contrôle d'accès satisfait une exigence d'un référentiel auquel vous venez d'être soumis, et qu'elle a tort, la constatation d'audit est la vôtre, pas celle de l'éditeur. Vous vous êtes appuyé sur une correspondance que vous ne pouviez pas inspecter. Les auditeurs n'acceptent pas « l'outil l'a mappé » comme justification ; ils lisent l'exigence et vérifient si votre contrôle y répond.

Les correspondances deviennent obsolètes sans bruit

Les référentiels évoluent. CSF 2.0 a retiré 79 sous-catégories de CSF 1.1 (où elles sont passées) ; ISO 27001:2022 a renuméroté l'annexe A ; PCI DSS v4.0 a ajouté des dizaines d'exigences. Une correspondance non versionnée et non validée par rapport aux catalogues actuels se périme. Une correspondance sans étiquetage se périme sans que personne ne le voie.

« Correspondance » masque le type de correspondance

Un lien entre deux exigences peut signifier qu'elles sont équivalentes, qu'une est un sous-ensemble de l'autre, ou seulement qu'elles partagent un thème. Notre propre analyse de la part de correspondance reposant sur des preuves publiées montre qu'une grande partie des correspondances, partout, relèvent de jugements et non de correspondances publiées :

Référentiel	Correspondances	Correspondance	Éditorial	Part de la correspondance
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tous	829	475	354	57%

Les jugements ne sont pas mauvais. Ce qui pose problème, ce sont les jugements non étiquetés.

Ce qu'il faut exiger de toute correspondance

1. Source pour chaque lien : une correspondance officielle (NIST, ENISA, le propriétaire du référentiel) ou le jugement de l'éditeur.
2. Une raison pour chaque jugement, visible par vous.
3. Versions des deux référentiels, et date de la dernière validation.
4. Ce que « correspondance » signifie : équivalent, partiel ou lié.
5. Export : la possibilité d'extraire la correspondance et de la vérifier vous-même.

Si un éditeur ne peut pas fournir ces éléments, utilisez ses correspondances comme indications, pas comme réponses.

Comment tester une correspondance qui vous a été fournie

Inutile d'auditer toute une correspondance pour la juger. Procédez par échantillonnage :

1. Choisissez dix liens au hasard dans le référentiel que vous connaissez le mieux.
2. Lisez les deux textes d'exigence pour chacun.
3. Classez chaque lien : équivalent, partiellement recouvrant, simplement lié, ou erroné.
4. Vérifiez deux cas sensibles aux versions, par exemple un identifiant CSF 1.1 ou un numéro de contrôle ISO 27001:2013.

Si la plupart des liens tiennent et que les versions sont à jour, la correspondance est probablement utilisable comme guide. Si plusieurs sont erronés ou obsolètes, considérez l'ensemble comme non vérifié. Nos données sont elles aussi soumises à ce test : chaque page d'exigence, comme ISO 27001 A.8.8, indique la base et la raison de chaque lien.

Points clés

• Les correspondances non vérifiables transfèrent le risque d'audit sur vous.
• Exigez source, version, signification et raisonnement pour chaque lien.
• Testez par échantillonnage toute correspondance avant de vous y fier.

Pourquoi nous publions les nôtres

ControlMapping existe en partie à cause de ce problème. Chaque lien est étiqueté correspondance ou éditorial, chaque lien éditorial a sa raison, chaque identifiant est validé par rapport au catalogue officiel à chaque build, et l'ensemble des données est téléchargeable sous licence ouverte. Ce n'est pas la seule façon de procéder, mais c'est la norme à laquelle nous pensons que le secteur devrait se tenir. Voir la méthodologie et les téléchargements.

Questions

Les correspondances des plateformes de conformité sont-elles exactes ?

Certaines sont soigneusement maintenues, d'autres non. Sans sources, versions et raisons visibles pour chaque correspondance, impossible de savoir lesquelles, et les auditeurs n'acceptent pas « l'outil le dit » comme justification.

Que doit montrer une correspondance fiable ?

Pour chaque lien : la source (une correspondance officielle ou le jugement de l'éditeur), les versions des deux référentiels, ce que le lien signifie (équivalent ou simplement lié), et une raison lorsqu'il s'agit d'un jugement.

Qu'est-ce que NIST OLIR ?

Le programme Online Informative References du NIST : un catalogue de correspondances entre les référentiels NIST et d'autres normes. Les soumissions de tiers sont vérifiées sur le format, pas sur leur exactitude.