अनुपालन सुरक्षा नहीं, पर क्रॉसवॉक दोनों की मदद करते हैं

हर सुरक्षा पेशेवर ऐसे प्रमाणित संगठन से मिल चुका है जिसका फिर भी उल्लंघन हो गया। सबक यह नहीं है कि अनुपालन को नज़रअंदाज़ किया जाए; सबक यह है कि उसे पूरा सुरक्षा बजट निगलने न दिया जाए।

Paul Gillet के अनुसार · 2025-12-23 · 4 मिनट पढ़ने का समय

यह पेशे की सबसे पुरानी टिप्पणियों में से एक है: अनुपालन सुरक्षा नहीं है। उल्लंघन की रिपोर्टों में अक्सर ऐसे संगठन सामने आते हैं जिनके पास सही प्रमाणपत्र थे और जो अपने ऑडिट पास कर चुके थे। यह टिप्पणी सच है, लेकिन इससे निकाला जाने वाला आम निष्कर्ष कि अनुपालन महज़ दिखावा है, गलत है। अनुपालन और सुरक्षा में काफ़ी ओवरलैप है। समस्या किनारों पर होने वाली बातों में है, और इसमें कि अनुपालन कितना समय खा जाता है।

जहाँ वे एक-दूसरे से मेल खाते हैं

फ़्रेमवर्क बुनियादी बातों पर सहमत हैं, क्योंकि बुनियादी बातें काम करती हैं। हम जिन ग्यारह फ़्रेमवर्क की मैपिंग करते हैं, उनमें से हर एक को परिसंपत्ति प्रबंधन, भेद्यता प्रबंधन, बैकअप और रिकवरी, घटना प्रतिक्रिया और घटना रिपोर्टिंग की ज़रूरत है (सामान्य कोर)। अधिकांश MFA, लॉगिंग, एक्सेस समीक्षा और आपूर्तिकर्ता सुरक्षा की भी माँग करते हैं। जो संगठन ये काम सच में करता है, वह उस संगठन से कहीं कठिन निशाना है जो ये काम नहीं करता, प्रमाणपत्र हो या न हो।

जहाँ वे अलग होते हैं

दायरा। ऑडिट एक परिभाषित सिस्टम को कवर करता है। हमलावर दायरे की परवाह नहीं करते: उल्लंघन कॉर्पोरेट लैपटॉप से आता है, भूले हुए टेस्ट सर्वर से, या उस आपूर्तिकर्ता से जो सीमा के बाहर है।
समय-बिंदु। जो नियंत्रण ऑडिट के नमूने पर काम करते हैं, वे हर जगह और हर दिन काम न करें।
डिज़ाइन बनाम प्रभावशीलता। कोई नियंत्रण मौजूद हो सकता है, दस्तावेज़ित हो सकता है और उसका परीक्षण भी हो सकता है, फिर भी वह उस हमले को न रोक पाए जिसके लिए वह बना था: ऐसा MFA जिसे फ़िशिंग से बाइपास किया जा सके, या ऐसा स्कैनर जो आधा इन्फ्रास्ट्रक्चर देखता ही न हो।
फ़्रेमवर्क क्या छोड़ते हैं। कई सबसे अधिक शोषित हमले के रास्ते (APIs, वेब एप्लिकेशन, DNS) बहुत कम फ़्रेमवर्क में अनिवार्य हैं, जैसा कि हमारा वे विषय जिन्हें फ़्रेमवर्क छोड़ते हैं पर विश्लेषण दिखाता है।

बगीचे के लकड़ी के गेट की फ़ोटो, जिसके पास एक मज़बूत ताला है और बगल में एक बाड़ है जिसका एक तख़्ता गायब है — ऑडिट किए गए हिस्सों में मज़बूत नियंत्रण तब काम नहीं आते जब हमला कहीं और से हो।

असली कीमत: समय

बड़ी समस्या यह नहीं है कि अनुपालन गलत है; समस्या यह है कि यह महँगा है। तीन या चार फ़्रेमवर्क वाला संगठन अपनी अधिकांश सुरक्षा मेहनत मैपिंग, साक्ष्य और ऑडिट में लगा सकता है, और उसका बहुत सा हिस्सा दोहराया हुआ होता है। तीन प्रारूपों में एक ही एक्सेस समीक्षा बनाने में लगा हर घंटा एक ऐसा घंटा है जो थ्रेट हंटिंग, हार्डनिंग या हमले की उस सतह पर खर्च नहीं होता जिस पर कोई ऑडिटर नज़र नहीं डालता।

क्रॉसवॉक दोनों की मदद कैसे करते हैं

यहीं मैपिंग अपनी उपयोगिता साबित करती है। यदि आप जानते हैं कि एक नियंत्रण एक साथ ISO 27001, SOC 2, PCI DSS और NIS2 को पूरा करता है, तो आप उसे एक बार लागू करते हैं, एक बार साक्ष्य देते हैं, और अनुपालन का बोझ तीन बार चुकाना बंद कर देते हैं। जो समय आप बचाते हैं, वही समय सुरक्षा को चाहिए। एक अच्छा क्रॉसवॉक यह भी दिखाता है कि फ़्रेमवर्क कहाँ चुप हैं, और ठीक वहीं आपका अपना जोखिम आकलन ले जाना चाहिए।

दिशा	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
ISO 27001 है → SOC 2 चाहिए	61 में से 41 (67%)	0	20	रिपोर्ट →
SOC 2 है → ISO 27001 चाहिए	123 में से 98 (80%)	21	4	रिपोर्ट →

संकेत कि कोई कार्यक्रम केवल-अनुपालन बन गया है

सुरक्षा कार्य खतरों के बजाय ऑडिट की तारीखों के आसपास तय होता है।
नियंत्रण केवल ऑडिट दायरे के भीतर मौजूद हैं; बाकी इन्फ्रास्ट्रक्चर अछूता है।
मेट्रिक्स दस्तावेज़ों और पूर्णता दरों को मापते हैं, न कि परिणामों को जैसे पैच करने का समय या पता लगाने का समय।
टीम बता सकती है कि कोई नियंत्रण किस फ़्रेमवर्क आवश्यकता को पूरा करता है, पर यह नहीं बता पाती कि वह कौन सा हमला रोकता है।
निष्कर्ष सिस्टम बदलकर नहीं, दस्तावेज़ बदलकर बंद किए जाते हैं।

यदि इनमें से कई बातें जानी-पहचानी लगें, तो समाधान अनुपालन को छोड़ना नहीं है; उसे स्वचालित करना और बची हुई समय-सीमा को सुरक्षा की ओर मोड़ना है।

मुख्य निष्कर्ष

अनुपालन और सुरक्षा बुनियादी बातें साझा करते हैं, पर किनारों पर अलग हो जाते हैं।
अनुपालन की सबसे बड़ी लागत दोहराया गया प्रयास है।
एक बार मैप करें, साक्ष्य स्वचालित करें, और बचे समय को सुरक्षा पर लगाएँ।

क्या करें

एक नियंत्रण सेट बनाएँ जो उन सभी फ़्रेमवर्क से मैप हो जिनके प्रति आप जवाबदेह हैं, न कि हर फ़्रेमवर्क के लिए अलग कार्यक्रम।
साक्ष्य स्वचालित करें जहाँ भी सिस्टम उसे तैयार कर सके।
बचा समय उन चीज़ों पर लगाएँ जो ऑडिट नहीं देखते: हमले की सतह प्रबंधन, डिटेक्शन इंजीनियरिंग, परीक्षण।
सुरक्षा को अनुपालन से अलग मापें: घटनाएँ, पैच करने का समय, फ़िशिंग के प्रति लचीलापन, रिकवरी का समय।

अनुपालन न्यूनतम आधार है, अंतिम सीमा नहीं। क्रॉसवॉक का उपयोग करके उस आधार तक जितनी सस्ती राह से हो सके पहुँचें, फिर ऊपर निर्माण करें। गैप विश्लेषण और कवरेज मैट्रिक्स से शुरुआत करना सबसे अच्छा है।

प्रश्न

क्या कोई अनुपालन-युक्त संगठन सुरक्षित है?

ज़रूरी नहीं। अनुपालन यह दिखाता है कि कुछ विशिष्ट नियंत्रण मौजूद हैं और एक परिभाषित दायरे में काम करते हैं; हमलावर वहीं निशाना बनाते हैं जो सबसे कमज़ोर हो, दायरे के भीतर हो या बाहर।

क्या अनुपालन से सुरक्षा में बिल्कुल सुधार होता है?

हाँ: फ़्रेमवर्क उन बुनियादी बातों को अनिवार्य करते हैं जिन्हें कई संगठन अन्यथा छोड़ देते, जैसे संपत्ति सूची, पैचिंग, एक्सेस समीक्षा और घटना योजनाएँ। समस्या तब होती है जब अनुपालन ही पूरा कार्यक्रम बन जाए।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।

अनुपालन सुरक्षा नहीं है, लेकिन क्रॉसवॉक दोनों में मदद करते हैं