Pourquoi nous étiquetons chaque correspondance « Correspondance » ou « Éditorial »

Chaque correspondance sur ControlMapping porte l'une de deux marques. Correspondance signifie qu'une correspondance publiée étaye le lien : NIST, ENISA, CIS ou PCI SSC ont indiqué que ces exigences sont liées. Éditorial signifie qu'il s'agit de notre jugement, dont la justification est consignée par écrit. C'est le choix de conception le plus important du site, né d'un constat simple : la plupart des correspondances de référentiels en circulation ne permettent pas de distinguer l'une de l'autre.

Le problème qu'elle résout

Une correspondance est une affirmation : « cette exigence se rapporte à celle-là ». Certaines affirmations reposent sur des correspondances officielles ayant fait l'objet d'une consultation publique. D'autres relèvent du jugement d'un seul analyste. Les deux peuvent être justes. Mais lorsqu'elles se présentent de manière identique, chaque correspondance hérite de la crédibilité de la meilleure, et chaque erreur se cache parmi les autres. C'est ainsi que des organisations finissent par dire aux auditeurs qu'un contrôle « satisfait » une exigence parce qu'un outil l'a affirmé.

Ce que les étiquettes rendent possible

• Vous pouvez évaluer les preuves. Un lien Correspondance issu de la propre correspondance du NIST est solide ; un lien Éditorial est un avis motivé à vérifier.
• Les erreurs deviennent repérables. Lorsque nous auditons nos propres données à la recherche d'erreurs, les étiquettes et les justifications permettent de les localiser et de les corriger rapidement. Une correspondance non étiquetée ne donne rien à un relecteur sur quoi travailler.
• Transparence sur les limites. Certains référentiels n'ont aucune correspondance publiée sous licence ouverte (SOC 2, RGPD (GDPR), Essential Eight). Étiqueter chacun de leurs liens comme éditorial le dit directement, plutôt que de suggérer une autorité qui n'existe pas.

Voici la répartition actuelle :

Référentiel	Correspondances	Correspondance	Éditorial	Part de la correspondance
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tous	829	475	354	57%

Pourquoi ne pas publier uniquement les liens de correspondance ?

Parce que les correspondances publiées présentent des lacunes. La correspondance publiée par CIS couvre 49 des 153 mesures de protection ; celle de PCI SSC omet certaines exigences essentielles ; pour SOC 2, nous n'en avons aucune exploitable. Un site qui n'afficherait que les liens de correspondance montrerait SOC 2 sans correspondance et la majeure partie de CIS comme absente, ce qui est moins utile et, à sa manière, trompeur. Les liens éditoriaux comblent ces lacunes, étiquetés pour que vous sachiez sur quoi vous vous appuyez.

Les règles derrière les étiquettes

• Un lien éditorial comporte toujours une justification.
• Un lien n'est compté comme Correspondance que si la correspondance publiée le soutient réellement : les renvois au niveau des familles et les chaînes passant par des liens éditoriaux ne comptent pas.
• Chaque identifiant d'exigence est validé par rapport au catalogue officiel à chaque génération.
• « Faiblement liés » est affiché séparément et n'est jamais compté comme couverture.

À quoi ressemble un lien éditorial

Un lien éditorial n'est jamais une simple ligne entre deux identifiants. Chacun comporte une brève justification que tout le monde peut vérifier. Par exemple, SOC 2 CC4.1 (évaluations continues et distinctes du contrôle interne) est relié à la clause 9.2 de l'ISO 27001 (audit interne), avec la note que les deux exigent une évaluation indépendante de l'efficacité des contrôles, au moyen du suivi, de l'audit interne et d'une revue indépendante. Un lecteur en désaccord peut voir exactement ce que nous avons supposé et nous le faire savoir. Consultez-le sur la page de l'exigence CC4.1.

Points clés

• Les étiquettes vous permettent d'évaluer les preuves de chaque correspondance.
• Les liens éditoriaux comblent de réelles lacunes des correspondances publiées, avec leurs justifications.
• Toute correspondance de conformité devrait indiquer sa source.

Ce que je demande à tous les autres

Étiquetez vos correspondances. Cela ne coûte presque rien et change la confiance qu'on peut leur accorder. Si vous développez des outils de conformité, indiquez la source de chaque lien ; si vous en achetez, demandez-la. Notre méthodologie explique chaque règle, et les téléchargements incluent la base de chaque correspondance afin que vous puissiez vérifier notre travail et nous signaler où nous nous trompons.

Questions

Que signifie un lien Correspondance sur ControlMapping ?

Une correspondance publiée par une source faisant autorité (NIST, ENISA, CIS ou PCI SSC) étaye le lien, directement ou par l'intermédiaire d'un contrôle SP 800-53 lui-même relié par une correspondance.

Que signifie un lien Éditorial ?

Aucune correspondance publiée n'établit le lien, mais ControlMapping juge les exigences liées ; la justification est toujours affichée afin que vous puissiez la vérifier.

Puis-je proposer une correction à une correspondance ?

Oui. Chaque page d'exigence contient un lien expliquant comment signaler une correspondance erronée ou manquante ; indiquez les identifiants, le référentiel attendu et votre source.