कौन-सा सुरक्षा फ़्रेमवर्क सबसे अच्छा शुरुआती बिंदु है? हमने इसे मापा

"हमें किस फ़्रेमवर्क से शुरुआत करनी चाहिए?" हर सुरक्षा कार्यक्रम के सामने आने वाला पहला सवालों में से एक है, और आम तौर पर इसके जवाब राय पर आधारित होते हैं। हमें एक संख्या चाहिए थी: अगर आप फ़्रेमवर्क X लागू करते हैं, तो हर दूसरे फ़्रेमवर्क का कितना हिस्सा आप पहले ही संबोधित कर चुके होंगे?

ControlMapping ग्यारह फ़्रेमवर्क की आवश्यकताओं को एक-दूसरे से मैप करता है, इसलिए हम इसे माप सकते हैं। हर फ़्रेमवर्क के लिए, हमने बारी-बारी से हर दूसरे फ़्रेमवर्क को लिया और गिना कि उसकी कितनी आवश्यकताओं का कम से कम एक मैपिंग पहले फ़्रेमवर्क से है, फिर दस फ़्रेमवर्क का औसत निकाला।

रैंकिंग

यदि आपके पास है	अन्य फ़्रेमवर्क के मैप किए गए हिस्से का औसत	अधिकांश भाग को कवर करता है	सबसे कम कवर करता है
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

हिस्सा = अन्य फ्रेमवर्क की वे आवश्यकताएँ जिनकी इस फ्रेमवर्क से कम से कम एक मैपिंग (crosswalk या editorial) है, जिसका औसत अन्य 10 पर लिया गया है। उसी डेटा से लाइव गणना की गई, जिससे गैप विश्लेषण बनता है।

दो फ़्रेमवर्क अलग दिखते हैं। NIST SP 800-53 बाकी सब में से सबसे बड़ा हिस्सा मैप करता है, और यह आश्चर्य की बात नहीं: यह सैकड़ों कंट्रोल का एक कैटलॉग है, जो लगभग हर सुरक्षा और गोपनीयता विषय को कवर करने के लिए लिखा गया है, और NIST CSF 2.0 और ISO 27001 के लिए इससे आधिकारिक मैपिंग भी प्रकाशित करता है। ISO 27001 दूसरे स्थान पर है, क्योंकि Annex A वही क्षेत्र ऊंचे स्तर पर कवर करता है और प्रबंधन-प्रणाली की क्लॉज़ में वह शासन जोड़ता है जिसे अधिकांश फ़्रेमवर्क छूते हैं।

दूसरे छोर पर, Essential Eight सबसे कम मैप होता है, और यह डिज़ाइन के अनुसार है। यह आठ लक्षित शमन रणनीतियाँ हैं, पूरा कार्यक्रम नहीं, इसलिए इसे लागू करने से किसी भी अन्य फ़्रेमवर्क का अधिकांश हिस्सा अछूता रह जाता है। GDPR भी इसी से मिलते-जुलते कारण से कम है: इसके केवल सुरक्षा अनुच्छेद दायरे में आते हैं।

संख्याओं को ध्यान से पढ़ें

इन तीन बातों का ध्यान रखें:

• मैप होना पूरा होना नहीं है। मैपिंग का अर्थ है कि दो आवश्यकताएँ एक ही विषय को संबोधित करती हैं। ISO 27001 का वल्नरेबिलिटी कंट्रोल और PCI DSS की त्रैमासिक स्कैनिंग आवश्यकता मैप हैं, लेकिन पहली को पूरा करने से दूसरी संतुष्ट नहीं होती।
• विस्तृत फ़्रेमवर्क कवर करने में आसान लगते हैं। लगभग हर फ़्रेमवर्क CIS Controls के लगभग सभी को कवर करता दिखता है। CIS में 153 विशिष्ट सेफ़गार्ड हैं, इसलिए अधिकांश फ़्रेमवर्क हर एक को विषय-स्तर पर छूते हैं, और CIS के अधिकांश लिंक हमारे संपादकीय निर्णय पर आधारित हैं, क्योंकि CIS का प्रकाशित क्रॉसवॉक केवल 49 सेफ़गार्ड कवर करता है। CIS कॉलम को "छुआ गया", "पूरा हुआ" नहीं, इस तरह पढ़ें।
• विशिष्ट फ़्रेमवर्क कवर करने में कठिन लगते हैं। PCI DSS और SP 800-53 दूसरों के लिए कवर करना सबसे कठिन हैं, क्योंकि इनमें कई विस्तृत आवश्यकताएँ हैं जिन्हें व्यापक फ़्रेमवर्क विस्तार से नहीं बताते।

फैसला इस पर निर्भर करता है कि पूछ कौन रहा है

यह माप बताता है कि कौन-सा फ़्रेमवर्क सबसे व्यापक आधार देता है। यह नहीं बताता कि आपको किसकी ज़रूरत है, और यह आम तौर पर सवाल तय कर देता है:

• US के एंटरप्राइज़ ग्राहक SOC 2 रिपोर्ट माँगते हैं। अगर कोई सौदा इस पर निर्भर है, तो वहीं से शुरू करें।
• अंतरराष्ट्रीय ग्राहक, टेंडर और नियामक ISO 27001 सर्टिफ़िकेशन माँगते हैं।
• US संघीय काम का मतलब SP 800-53 है (और क्लाउड के लिए FedRAMP); रक्षा अनुबंधों का मतलब CMMC Level 2 है।
• कार्ड भुगतान का मतलब PCI DSS है, आप और जो भी करें।
• EU के डिजिटल प्रदाता और महत्वपूर्ण क्षेत्र को NIS2 की ज़रूरत है।
• अभी तक कोई नहीं पूछ रहा? ISO 27001 या NIST CSF 2.0 सबसे व्यापक आधार देते हैं। CSF मुफ़्त है और शुरू करने में हल्का है; ISO को ज़रूरत पड़ने पर सर्टिफ़िकेट मिलता है। SP 800-53 सबसे अधिक कवर करता है, लेकिन इसका आकार अधिकांश निजी कंपनियों के लिए पहला कदम भारी बना देता है।

फिर बढ़ाएँ, दोबारा शुरू न करें

जिससे भी शुरुआत करें, दूसरा फ़्रेमवर्क पहले से सस्ता पड़ता है। आपके पास मौजूद फ़्रेमवर्क से उस फ़्रेमवर्क तक, जिसकी आपको ज़रूरत है, एक गैप विश्लेषण चलाएँ, और आपको आवश्यकता-दर-आवश्यकता सूची मिलेगी कि क्या आगे ले जाया जा सकता है और क्या नया है, हर लिंक के सबूत के साथ। तुलनाएँ सबसे आम जोड़ियों को अधिक गहराई से कवर करती हैं, जैसे ISO 27001 बनाम SOC 2 और NIST CSF बनाम ISO 27001

हमने इसे कैसे मापा

फ़्रेमवर्क के हर क्रमित जोड़े के लिए हमने वही गणना इस्तेमाल की जो गैप विश्लेषण में है: एक आवश्यकता को मैप हुआ माना जाता है जब वह ControlMapping के उसी विषय में संकलित हो जहाँ दूसरे फ़्रेमवर्क की कोई आवश्यकता है, या किसी प्रकाशित क्रॉसवॉक द्वारा, या बताए गए कारण के साथ संपादकीय लिंक द्वारा सीधे उससे जुड़ी हो। जो आवश्यकताएँ केवल NIST CSF 2.0 परिणाम साझा करती हैं ("ढीले तौर पर संबंधित"), वे नहीं गिनी जातीं। ऊपर की संख्याएँ वर्तमान डेटा से सीधे गणना की गई हैं; देखें पद्धति।

प्रश्न

कौन-सा सुरक्षा फ़्रेमवर्क बाकी में से सबसे अधिक कवर करता है?

ControlMapping के डेटा में, NIST SP 800-53 औसतन बाकी फ़्रेमवर्क की आवश्यकताओं का सबसे बड़ा हिस्सा कवर करता है, उसके बाद ISO 27001 है। मैपिंग का अर्थ है कि आवश्यकताएँ संबंधित परिणामों को संबोधित करती हैं, न कि यह कि एक दूसरे को संतुष्ट करता है।

क्या छोटी कंपनी को ISO 27001 या SOC 2 से शुरू करना चाहिए?

शुरुआत उससे करें जो आपके ग्राहक माँगते हैं। अगर अभी कोई नहीं पूछ रहा, तो ISO 27001 या NIST CSF सबसे व्यापक आधार देते हैं; अगर कोई US सौदा इस पर निर्भर है, तो SOC 2 रिपोर्ट का सबसे तेज़ रास्ता है।