ब्लॉग
ब्लॉग
क्रॉसवॉक डेटा, व्यावहारिक ट्यूटोरियल और Paul Gillet की राय पर आधारित विश्लेषण। RSS फ़ीड
विश्लेषण
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।
विश्लेषण · 2026-10-1311 सुरक्षा फ़्रेमवर्क में MFA आवश्यकताओं की तुलनाकौन-से फ़्रेमवर्क MFA की आवश्यकता रखते हैं, किन उपयोगकर्ताओं के लिए और कितनी सख़्ती से: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 और HIPAA की साथ-साथ तुलना।
विश्लेषण · 2026-09-29NIST CSF 2.0 के नज़रिये से HIPAA सुरक्षा नियमNIST CSF 2.0 कार्यक्रम लगभग हर HIPAA सुरक्षा नियम आवश्यकता से मैप होता है। क्या आगे ले जाया जा सकता है, वे दो जो नहीं होतीं, और HIPAA से परे CSF क्या जोड़ता है।
विश्लेषण · 2026-09-15फ़्रेमवर्क में एन्क्रिप्शन आवश्यकताओं की तुलना: वे क्या निर्दिष्ट करते हैं और क्या आप पर छोड़ते हैंISO 27001, PCI DSS, CMMC, HIPAA, GDPR और NIS2 स्टोरेज में मौजूद (at rest) डेटा, ट्रांजिट में डेटा और की मैनेजमेंट को कैसे लेते हैं, आवश्यकता ID सहित।
विश्लेषण · 2026-08-18फ़्रेमवर्क में घटना प्रतिक्रिया आवश्यकताओं की तुलनाISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC और HIPAA में घटना प्रतिक्रिया योजनाओं, परीक्षण और रिपोर्टिंग की समय-सीमाओं की तुलना।
विश्लेषण · 2026-08-04भौतिक सुरक्षा: वह विषय जिसे क्लाउड-फ़र्स्ट कंपनियाँ अक्सर भूल जाती हैंISO 27001, PCI DSS, CMMC, HIPAA और SOC 2 में भौतिक सुरक्षा आवश्यकताओं की तुलना, और क्लाउड-फ़र्स्ट कंपनियाँ इन्हें कैसे पूरा करती हैं।
विश्लेषण · 2026-07-02लॉगिंग और लॉग रिटेंशन आवश्यकताओं की तुलनाISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC और NIST में ऑडिट लॉगिंग और लॉग रिटेंशन की तुलना, जिसमें कुछ गिने-चुने निश्चित रिटेंशन अवधियाँ भी शामिल हैं।
विश्लेषण · 2026-05-19PCI DSS v4.0.1 का कितना हिस्सा ISO 27001 वास्तव में कवर करता है?ISO 27001 PCI DSS v4.0.1 की एक-तिहाई से कम आवश्यकताओं से मैप होता है। जहाँ ओवरलैप है, जहाँ PCI का अधिकांश हिस्सा ISMS के लिए भी नया काम है, और उसकी योजना कैसे बनाएँ।
विश्लेषण · 2026-04-07GDPR के सुरक्षा अनुच्छेद, मैप किए गए: किसी गोपनीयता कानून का सुरक्षा वाला हिस्साGDPR एक गोपनीयता कानून है, लेकिन अनुच्छेद 5, 25, 28, 32 से 35 और 37 से 39 सुरक्षा संबंधी दायित्व लागू करते हैं। ये ISO 27001 और NIST से कैसे मेल खाते हैं, और ISMS में क्या छूट जाता है।
विश्लेषण · 2026-02-24फ़्रेमवर्क के बीच बैकअप और रिकवरी आवश्यकताओं की तुलनाISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight और NIST में बैकअप की आवृत्ति, सुरक्षा और रिस्टोर परीक्षण की तुलना।
विश्लेषण · 2026-01-06CMMC Level 2 का SP 800-53 से संबंध: NIST के परिशिष्ट D से क्या पता चलता हैहर CMMC Level 2 प्रैक्टिस SP 800-171 के परिशिष्ट D के ज़रिए NIST SP 800-53 तक जाती है। मैप कैसे काम करता है, Rev 5 में बदलाव और वह एक प्रैक्टिस जो बच जाती है।
विश्लेषण · 2025-11-25सबसे कम फ़्रेमवर्क द्वारा आवश्यक सुरक्षा विषय, और यह क्यों मायने रखता हैDNS, थ्रेट इंटेलिजेंस, API और वेब एप्लिकेशन सुरक्षा वे विषय हैं जिन्हें सबसे कम फ़्रेमवर्क आवश्यक बनाते हैं। ऐसा क्यों है, और इसका मतलब यह क्यों नहीं कि इन्हें छोड़ा जा सकता है।
विश्लेषण · 2025-10-14ISO 27001 NIS2 में किन बातों को कवर करता है, बिंदु-दर-बिंदुISO 27001 NIS2 कार्यान्वयन विनियमन के हर बिंदु से मैप होता है, फिर भी अकेला प्रमाणन NIS2 अनुपालन नहीं है। क्या लागू होता है, क्या नहीं, और क्यों।
विश्लेषण · 2025-08-27क्रॉसवॉक या विवेक-आधारित निर्णय? फ़्रेमवर्क मैपिंग का कितना हिस्सा प्रकाशित साक्ष्य पर टिका हैहमने हर फ़्रेमवर्क मैपिंग को प्रकाशित क्रॉसवॉक या संपादकीय विवेक-आधारित निर्णय के रूप में चिह्नित किया है। यह बँटवारा फ़्रेमवर्क के अनुसार कैसे बदलता है, और यह आपके लिए क्यों मायने रखता है।
विश्लेषण · 2025-07-15सामान्य कोर: हर फ़्रेमवर्क में साझा सुरक्षा आवश्यकताएँISO 27001 और SOC 2 से लेकर NIS2 और Essential Eight तक, सभी 11 प्रमुख फ़्रेमवर्क में पाँच सुरक्षा विषय दिखते हैं। वे क्या हैं, और इन्हें सबसे पहले क्यों बनाना चाहिए।
विश्लेषण · 2025-06-03CIS Controls गैप: केवल 153 में से 49 safeguards का ही प्रकाशित क्रॉसवॉक क्यों हैCIS द्वारा NIST CSF 2.0 से जोड़ी गई प्रकाशित मैपिंग, CIS Controls v8.1 के 153 safeguards में से केवल 49 को कवर करती है। ऐसा क्यों है, और इसका उन CIS मैपिंग के लिए क्या अर्थ है जिन पर आप निर्भर हैं।
विश्लेषण · 2025-04-17वेंडर और आपूर्ति-श्रृंखला जोखिम: कौन क्या माँगता हैISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA और NIST CSF 2.0 में आपूर्तिकर्ता और आपूर्ति-श्रृंखला सुरक्षा आवश्यकताओं की तुलना।
विश्लेषण · 2025-04-02ISO 27001 में कोई समकक्ष न रखने वाले SOC 2 मानदंड, और वे क्यों मौजूद हैंSOC 2 के अधिकांश मानदंड ISO 27001 से मैप होते हैं, लेकिन प्रोसेसिंग इंटेग्रिटी और अधिकांश प्राइवेसी मानदंड नहीं होते। कौन-से हैं, क्यों, और यदि वे दायरे में हों तो क्या करें।
विश्लेषण · 2025-03-04NIST CSF 1.1 से 2.0 तक: हटाई गई उप-श्रेणियाँ कहाँ गईंNIST ने CSF 2.0 में CSF 1.1 की 79 उप-श्रेणियाँ हटाकर उन्हें दूसरी श्रेणियों में स्थानांतरित या विलय किया। हर एक कहाँ गई, इसकी पूरी तालिका और पुराने मैपिंग अपडेट करने का तरीका।
विश्लेषण · 2025-01-21NIST CSF 2.0 का "शासन करना" फ़ंक्शन: कौन से फ़्रेमवर्क इसे पहले से कवर करते हैं?CSF 2.0 में जोखिम रणनीति, भूमिकाओं, नीति, निगरानी और आपूर्ति श्रृंखला जोखिम के लिए "शासन करना" फ़ंक्शन जोड़ा गया। कौन से फ़्रेमवर्क इसे पहले से कवर करते हैं, और कहाँ कमियाँ हैं।
विश्लेषण · 2024-12-05कौन-सा सुरक्षा फ़्रेमवर्क सबसे अच्छा शुरुआती बिंदु है? हमने इसे मापाहमने मापा कि 11 सुरक्षा फ़्रेमवर्क में से हर एक, दस अन्य फ़्रेमवर्क का कितना हिस्सा कवर करता है। SP 800-53 और ISO 27001 सबसे आगे हैं, लेकिन फैसला इस पर निर्भर करता है कि पूछ कौन रहा है।
विश्लेषण · 2024-10-22Essential Eight बनाम ISO 27001: ज़्यादातर लिंक केवल “ढीले तौर पर संबंधित” क्यों हैंISO 27001 सिद्धांत रूप में हर Essential Eight रणनीति को कवर करता है, पर ASD के अधिकांश नियंत्रण Annex A से केवल ढीले तौर पर संबंधित हैं। इसका आपके लिए क्या अर्थ है।चरण-दर-चरण मार्गदर्शिका
चरण-दर-चरण मार्गदर्शिका · 2026-09-01जब आप पहले से SP 800-53 संचालित करते हों, तब CMMC Level 2 मूल्यांकन की तैयारीजो संगठन पहले से NIST SP 800-53 संचालित करते हैं, वे CMMC Level 2 मूल्यांकन की तैयारी कैसे कर सकते हैं: CUI का दायरा, SSP, साक्ष्य का पुनः उपयोग और आम गलतियाँ।
चरण-दर-चरण मार्गदर्शिका · 2026-07-21क्रॉसवॉक कैसे पढ़ें, और उसपर कब भरोसा न करेंफ़्रेमवर्क क्रॉसवॉक आपको क्या बताता है और क्या नहीं: संबंध के प्रकार, दिशा, संस्करण, विस्तार-स्तर और लेखकत्व, साथ ही इस पर निर्भर होने से पहले की जाँचें।
चरण-दर-चरण मार्गदर्शिका · 2026-06-03ISO 27001 से NIS2 तक: गैप बंद करने की एक व्यावहारिक योजनाISO 27001-प्रमाणित संगठन के लिए, जो अब NIS2 के अधीन है, चरण-दर-चरण योजना: दायरा, पंजीकरण, प्रबंधन की ज़िम्मेदारियाँ, रिपोर्टिंग और गहन उपाय।
चरण-दर-चरण मार्गदर्शिका · 2026-04-21विक्रेता ड्यू डिलिजेंस: कई फ़्रेमवर्क के लिए एक ही प्रक्रियाISO 27001, SOC 2, PCI DSS, GDPR, HIPAA और NIS2 के लिए एक ही विक्रेता ड्यू डिलिजेंस प्रक्रिया: स्तरीकरण, आश्वासन रिपोर्ट, अनुबंध और निगरानी।
चरण-दर-चरण मार्गदर्शिका · 2026-03-10गैप रिपोर्ट से प्रोजेक्ट प्लान तक: स्वामी, साक्ष्य और समय-सीमाएँफ़्रेमवर्क गैप विश्लेषण को प्रोजेक्ट प्लान में कैसे बदलें: कार्य-धाराएँ, क्रम-निर्धारण, अनुमान, स्वामी और साक्ष्य, जिन्हें ऑडिट तक ट्रैक किया जाता है।
चरण-दर-चरण मार्गदर्शिका · 2026-01-21ऑडिटर जिस तरह का परिवर्तन प्रबंधन साक्ष्य स्वीकार करते हैंकौन-से परिवर्तन प्रबंधन साक्ष्य SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS और NIS2 ऑडिट में खरे उतरते हैं, pull request से लेकर आपातकालीन परिवर्तनों तक।
चरण-दर-चरण मार्गदर्शिका · 2025-12-09हर ऑडिटर को संतुष्ट करने वाली उपयोगकर्ता एक्सेस समीक्षाएँउपयोगकर्ता एक्सेस समीक्षाएँ इस तरह चलाएँ कि वे ISO 27001, SOC 2, PCI DSS, HIPAA और CMMC ऑडिट पास करें: दायरा, आवृत्ति, समीक्षक और साक्ष्य।
चरण-दर-चरण मार्गदर्शिका · 2025-10-28गैप विश्लेषण कैसे करें: दो फ़्रेमवर्क के बीच, और उसे ट्रैकर में बदलेंदो सुरक्षा फ़्रेमवर्क के बीच गैप विश्लेषण का एक व्यावहारिक तरीका: दायरा तय करना, हर मिलान को पढ़ना, कड़ियों की पुष्टि करना और उसे ट्रैकर में बदलना।
चरण-दर-चरण मार्गदर्शिका · 2025-09-11ISO 27001, SOC 2 और HIPAA के लिए एक जोखिम मूल्यांकनएक सूचना सुरक्षा जोखिम मूल्यांकन कैसे करें जो ISO 27001, SOC 2 और HIPAA सिक्योरिटी रूल, तीनों की आवश्यकताएँ पूरी करे, और हर ऑडिट क्या जाँचता है।
चरण-दर-चरण मार्गदर्शिका · 2025-07-29Essential Eight के लिए अपना लक्ष्य परिपक्वता स्तर चुननाEssential Eight का लक्ष्य परिपक्वता स्तर कैसे चुनें: हर स्तर किससे बचाव करता है, किसे Level Two या Three की ज़रूरत है, और आगे कैसे बढ़ें।
चरण-दर-चरण मार्गदर्शिका · 2025-06-17ऑडिट में टिकने वाला प्रयोज्यता विवरण कैसे लिखेंISO 27001:2022 का प्रयोज्यता विवरण कैसे लिखें: इसमें क्या होना चाहिए, बहिष्करणों का औचित्य, और ऑडिट में आने वाली आम कमियाँ।
चरण-दर-चरण मार्गदर्शिका · 2025-05-20NIST CSF 2.0 प्रोफ़ाइलों के साथ बोर्ड को रिपोर्टिंगबोर्ड को साइबर सुरक्षा की रिपोर्ट देने के लिए NIST CSF 2.0 की वर्तमान और लक्ष्य प्रोफ़ाइलों का उपयोग कैसे करें: क्या दिखाएं और उसे अपने फ़्रेमवर्क से कैसे जोड़ें।
चरण-दर-चरण मार्गदर्शिका · 2025-05-01बिना ज़रूरत से ज़्यादा प्रतिबद्धता के पहली SOC 2 रिपोर्ट का दायरा तय करनापहली SOC 2 रिपोर्ट का दायरा कैसे तय करें: कौन-सा सिस्टम, कौन-से Trust Services Criteria, carve-outs और user entity controls, और महंगी दायरा-संबंधी गलतियाँ।
चरण-दर-चरण मार्गदर्शिका · 2025-03-18बिना दोबारा लिखे, एक नीति-समूह को कई फ़्रेमवर्क से मैप करनाएक ऐसे सुरक्षा नीति-समूह की संरचना कैसे करें जो ISO 27001, SOC 2, NIST, PCI DSS और NIS2 को पूरा करे, और हर फ़्रेमवर्क लिखित रूप में क्या अपेक्षा रखता है।
चरण-दर-चरण मार्गदर्शिका · 2025-02-04NIS2 की 24 और 72 घंटे की समय-सीमा के लिए घटना रिपोर्टिंग प्रक्रिया बनानाNIS2 के तहत महत्वपूर्ण घटना की रिपोर्टिंग प्रक्रिया कैसे बनाएँ: यह तय करना कि कोई घटना महत्वपूर्ण है या नहीं, 24 घंटे की प्रारंभिक चेतावनी, 72 घंटे की सूचना और एक महीने की अंतिम रिपोर्ट।
चरण-दर-चरण मार्गदर्शिका · 2024-12-24SOC 2, ISO 27001 और PCI DSS में दोबारा उपयोग किए जा सकने वाले साक्ष्यकौन-सा ऑडिट साक्ष्य SOC 2, ISO 27001 और PCI DSS, तीनों के एक साथ काम आता है, हर ऑडिटर को क्या चाहिए जो बाकी को नहीं चाहिए, और इसे एक बार में कैसे जुटाया जाए।
चरण-दर-चरण मार्गदर्शिका · 2024-11-06एक ही कंट्रोल सेट, SOC 2 और ISO 27001 दोनों के लिए: हर काम दो बार किए बिना दोनों को चलाएंएक ही कंट्रोल सेट से SOC 2 और ISO 27001 कैसे चलाएं: कौन-सी चीज़ें ओवरलैप होती हैं, हर फ़्रेमवर्क क्या जोड़ता है, कंट्रोल और साक्ष्य कैसे संरचित करें, और ऑडिट कैसे व्यवस्थित करें।राय
राय · 2026-06-17हम हर मैपिंग पर "क्रॉसवॉक" या "संपादकीय" लेबल क्यों लगाते हैंControlMapping हर फ़्रेमवर्क मैपिंग को प्रकाशित क्रॉसवॉक या संपादकीय निर्णय के रूप में चिह्नित क्यों करता है, और अनुपालन डेटा के लिए दिखाई देने वाला स्रोत क्यों मायने रखता है।
राय · 2026-05-05खुला, मुफ़्त अनुपालन डेटा: इसके पक्ष में तर्कफ़्रेमवर्क मैपिंग ज़्यादातर भुगतान वाले टूल और स्प्रेडशीट में बंद रहती है। अनुपालन मैपिंग डेटा खुला, स्रोत-आधारित और पुन: उपयोग के लिए मुफ़्त क्यों होना चाहिए।
राय · 2026-03-24साइबर सुरक्षा में 20 साल ने मुझे ऑडिट के बारे में क्या सिखायासुरक्षा ऑडिट के दो दशकों से मिले सबक: साक्ष्य कथा से बेहतर है, दायरा (स्कोप) ही सब कुछ तय करता है, और नियंत्रण तब विफल होते हैं जब उनका कोई मालिक नहीं होता।
राय · 2026-02-05एआई-लिखित सुरक्षा नीतियाँ: उपयोगी शॉर्टकट या ऑडिट जोखिम?जेनरेटिव एआई मिनटों में सुरक्षा नीतियों का मसौदा तैयार कर सकता है। कहाँ यह मदद करता है, कहाँ यह ऑडिट निष्कर्ष पैदा करता है, और बिना खाली नीतियों के इसका उपयोग कैसे करें।
राय · 2025-12-23अनुपालन सुरक्षा नहीं है, लेकिन क्रॉसवॉक दोनों में मदद करते हैंऑडिट पास करने से संगठन सुरक्षित क्यों नहीं बनता, कहाँ अनुपालन और सुरक्षा एक साथ चलते हैं, और फ़्रेमवर्क मैपिंग सुरक्षा के लिए समय कैसे बचाती है।
राय · 2025-11-11नीतियाँ लिखने से पहले कंप्लायंस टूल्स खरीदना बंद करेंजो संगठन यह तय करने से पहले कि वे कैसे काम करेंगे, compliance या security tools खरीद लेते हैं, वे अक्सर शेल्फ़वेयर के ढेर में फँस जाते हैं। यहाँ बताया गया है कि ऐसा होने से कैसे बचा जाए और काम का वह क्रम क्या है जो इससे बचाता है।
राय · 2025-09-25विक्रेता के क्रॉसवॉक की वह समस्या जिसकी आप जाँच नहीं कर सकतेअनुपालन प्लेटफ़ॉर्म एक नियंत्रण को कई फ़्रेमवर्क से ऐसे क्रॉसवॉक के ज़रिये जोड़ते हैं जिन्हें कोई जाँच नहीं सकता। यह जोखिम क्यों है, और इसके बजाय क्या माँगें।
राय · 2025-08-12NIS2 प्रबंधन दायित्व: क्या इससे बोर्ड के व्यवहार में बदलाव आएगा?NIS2 प्रबंधन निकायों को साइबर सुरक्षा को मंज़ूरी देने, उसकी निगरानी करने और उसके लिए प्रशिक्षण लेने के साथ दायित्व भी देता है। क्या इससे बोर्ड के व्यवहार में बदलाव आएगा, और बोर्डों को क्या करना चाहिए।
राय · 2025-07-01छोटी कंपनी को ISO 27001 की ज़रूरत है?ISO 27001 कब छोटी कंपनी के लिए उपयुक्त है, SOC 2 या तकनीकी बेसलाइन पहले कब आनी चाहिए, और प्रमाणन को अनुपातिक कैसे रखें।
राय · 2025-02-18फ़्रेमवर्क थकान: एक हब फ़्रेमवर्क चुनें और बाकी सबको उससे मैप करेंकई सुरक्षा फ़्रेमवर्क का पालन करने वाले संगठन हर एक को अलग से चलाते-चलाते थक जाते हैं। जानिए एक हब फ़्रेमवर्क चुनकर बाकी को उससे मैप करना क्यों बेहतर काम करता है।
राय · 2025-01-07क्या ऑस्ट्रेलिया के बाहर के संगठनों को Essential Eight अपनाना चाहिए?ASD का Essential Eight एक ऑस्ट्रेलियाई बेसलाइन है, जिसकी सलाह सार्वभौमिक है। अन्य देशों के संगठन इसे क्यों अपना सकते हैं, और यह ISO या NIST के साथ कैसे मेल खाता है।
राय · 2024-11-20“क्या आप SOC 2 प्रमाणित हैं?” वाला सवाल गलत क्यों हैSOC 2 का कोई प्रमाणन नहीं होता। यह सवाल असल में क्या पूछता है, SOC 2 रिपोर्ट क्या दिखाती है और क्या नहीं, और विक्रेताओं से पूछने के बेहतर सवाल कौन से हैं।