विश्लेषण · NIST CSF 2.0 · ISO 27001 · SOC 2

क्रॉसवॉक या विवेक-आधारित निर्णय? फ़्रेमवर्क मैपिंग का कितना हिस्सा प्रकाशित साक्ष्य पर टिका है

हर अनुपालन टूल फ़्रेमवर्क के बीच मैपिंग दिखाता है। बहुत कम बताते हैं कि कौन-सी मैपिंग किसी आधिकारिक क्रॉसवॉक से आती है और कौन-सी किसी की निजी राय है। हमने अपनी मैपिंग गिनी है।

Paul Gillet के अनुसार · 2025-08-27 · 3 मिनट पढ़ने का समय

यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।

एक ही खाई के आर-पार रखे मज़बूत ट्रस पुल और हल्के रस्सी पुल का रिसोग्राफ़-शैली प्रिंट — दोनों खाई पार कराते हैं; एक को किसी और ने इंजीनियर किया था।

हर अनुपालन प्लेटफ़ॉर्म, परामर्श फ़र्म की स्प्रेडशीट और ऑडिट टूल फ़्रेमवर्क के बीच मैपिंग के साथ आता है। वे शायद ही बताते हैं कि ये मैपिंग कहाँ से आई हैं। कुछ आधिकारिक क्रॉसवॉक से नकल की गई होती हैं; बहुत-सी किसी की सर्वोत्तम विवेक-आधारित राय होती हैं, जो एक बार बनी और फिर कभी जाँची नहीं गई। दोनों उपयोगी हो सकती हैं, लेकिन आपको पता होना चाहिए कि आप किस पर निर्भर हैं।

ControlMapping हर लिंक को लेबल करता है: जब कोई प्रकाशित क्रॉसवॉक उसका समर्थन करता है तो क्रॉसवॉक, और जब वह हमारा विवेक-आधारित निर्णय हो जिसका कारण बताया गया है तो संपादकीय। बँटवारा यह रहा।

आँकड़े

फ़्रेमवर्क	मैपिंग	क्रॉसवॉक	संपादकीय	क्रॉसवॉक हिस्सा
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
सभी	829	475	354	57%

कुल मिलाकर, हमारी विषय मैपिंग में से थोड़ी अधिक than आधी किसी प्रकाशित क्रॉसवॉक से समर्थित है। बाकी संपादकीय हैं। यह बँटवारा फ़्रेमवर्क के अनुसार बहुत अलग-अलग है।

बँटवारा क्यों अलग है

कुछ फ़्रेमवर्क के पास आधिकारिक क्रॉसवॉक हैं। NIST, CSF 2.0 से SP 800-53 तक और SP 800-53 से ISO 27001 तक आधिकारिक संदर्भ प्रकाशित करता है। ENISA, जो यूरोपीय संघ की एजेंसी है, NIS2 कार्यान्वयन विनियमन के हर बिंदु की ISO 27001 और CSF 2.0 से मैपिंग प्रकाशित करती है। NIST के SP 800-171 के परिशिष्ट D में CMMC की आवश्यकताओं की SP 800-53 से मैपिंग है। इन फ़्रेमवर्क की मैपिंग ज़्यादातर क्रॉसवॉक-समर्थित है।

कुछ क्रॉसवॉक आंशिक हैं। NIST के कैटलॉग में CIS की अपनी मैपिंग 153 CIS सुरक्षा उपायों में से केवल 49 को कवर करती है; PCI SSC की CSF 2.0 मैपिंग में MFA आवश्यकताओं जैसी कुछ मूल आवश्यकताएँ छूटी हुई हैं। इनसे आगे की हर चीज़ संपादकीय है।

कुछ फ़्रेमवर्क के लिए हमारे पास उपयोग योग्य कोई क्रॉसवॉक नहीं है। SOC 2, GDPR या Essential Eight के लिए कोई खुले लाइसेंस वाला क्रॉसवॉक मौजूद नहीं है। इनके हर लिंक संपादकीय हैं, जो उन्हें गलत नहीं बनाता, लेकिन उन्हें ऐसी राय बनाता है जिसकी आप जाँच कर सकें।

मेज़ पर फ़ाउंटेन पेन, दो रबर स्टैम्प और स्याही पैड के साथ एक खुली खाली नोटबुक की फ़ोटो — वह मैपिंग जिसे आप जाँच सकें, उस मैपिंग से अधिक मूल्यवान है जिस पर आपको बस भरोसा करना पड़े।

यह क्यों मायने रखता है

अधिकार में अंतर है। NIST या ENISA के क्रॉसवॉक सार्वजनिक टिप्पणी से गुज़र चुके होते हैं और पूरे उद्योग में उपयोग होते हैं। संपादकीय मैपिंग एक विश्लेषक का दृष्टिकोण है। जब कोई ऑडिटर पूछे कि आपने दो आवश्यकताओं को समतुल्य क्यों माना, तो "NIST की मैपिंग यही कहती है" एक मज़बूत उत्तर है।
क्रॉसवॉक भी अनुपालन सिद्ध नहीं करते। कोई आधिकारिक क्रॉसवॉक भी केवल यह कहता है कि दो आवश्यकताएँ संबंधित परिणामों को संबोधित करती हैं। वह यह नहीं कहता कि किसी एक का आपका कार्यान्वयन दूसरी को पूरा करता है।
बिना लेबल की मैपिंग गलतियाँ छिपाती हैं। यदि आप नहीं बता सकते कि कोई मैपिंग कहाँ से आई है, तो आप यह भी नहीं बता सकते कि वह कब गलत है। जब हम अपने ही डेटा का ऑडिट करते हैं, तो ये लेबल ही संपादकीय मैपिंग की गलतियों को जल्दी पकड़ने और ठीक करने में मदद करते हैं।

मुख्य बिंदु

हमारी विषय मैपिंग में से थोड़ी अधिक than आधी ही किसी प्रकाशित क्रॉसवॉक पर टिकी है; बाकी संपादकीय विवेक-आधारित निर्णय हैं।
हिस्सा फ़्रेमवर्क के अनुसार बदलता है: NIST, NIS2 और CMMC के लिए अधिक, SOC 2, GDPR और Essential Eight के लिए शून्य।
विवेक-आधारित निर्णय गलत नहीं है, लेकिन उसे लेबल और स्पष्ट किया जाना चाहिए।
किसी भी मैपिंग पर भरोसा करने से पहले उसका स्रोत, संस्करण, अर्थ और तर्क पूछें।

किसी भी मैपिंग से क्या पूछें

स्रोत क्या है? कोई आधिकारिक क्रॉसवॉक, फ़्रेमवर्क का स्वामी, या किसी का विवेक-आधारित निर्णय?
तर्क दिखाई देता है या नहीं? संपादकीय लिंक में बताया जाना चाहिए कि वह क्यों है।
कौन-सा संस्करण? पुराने संस्करणों (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) के विरुद्ध मैपिंग बुरी तरह गलत हो सकती है।
"मैप्ड" का क्या अर्थ है? समतुल्य, आंशिक रूप से अतिव्यापी, या केवल संबंधित?

हमारी कार्यप्रणाली हर स्रोत और संस्करण का नाम देती है, हर आवश्यकता पृष्ठ पर हर लिंक का आधार दिखाया जाता है, और डाउनलोड में साक्ष्य स्तंभ शामिल है ताकि आप हमारे काम की जाँच कर सकें।

प्रश्न

फ़्रेमवर्क क्रॉसवॉक क्या है?

दो फ़्रेमवर्क की आवश्यकताओं के बीच एक प्रकाशित मैपिंग, जैसे SP 800-53 की ISO 27001 से NIST की मैपिंग। यह दिखाती है कि आवश्यकताएँ संबंधित परिणामों को संबोधित करती हैं, न कि यह कि एक को पूरा करने से दूसरी भी पूरी होती है।

SOC 2 की मैपिंग संपादकीय क्यों हैं?

AICPA ट्रस्ट सर्विसेज़ मानदंडों की अन्य फ़्रेमवर्क से मैपिंग प्रकाशित करता है, लेकिन खुले लाइसेंस के तहत नहीं, इसलिए ControlMapping उन्हें साक्ष्य के रूप में उपयोग नहीं कर सकता। हर SOC 2 लिंक हमारा विवेक-आधारित निर्णय है, जिसका कारण दिखाया गया है।

क्या संपादकीय मैपिंग क्रॉसवॉक से कम सटीक होती हैं?

ज़रूरी नहीं; एक विशेषज्ञ का निर्णय किसी व्यापक प्रकाशित क्रॉसवॉक से अधिक सटीक हो सकता है। अंतर अधिकार और जाँच-योग्यता का है, इसीलिए संपादकीय लिंक के साथ हमेशा कारण होना चाहिए।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।