गैप विश्लेषण कैसे करें: दो फ़्रेमवर्क के बीच, और उसे ट्रैकर में बदलें

हर दूसरे फ़्रेमवर्क की शुरुआत एक ही सवाल से होती है: इसमें से कितना कुछ हमारे पास पहले से है? गैप विश्लेषण इसी का जवाब देता है। ख़राब तरीके से किया जाए, तो यह एक ऐसी स्प्रेडशीट बनाता है जो हर चीज़ के आगे "आंशिक रूप से अनुपालक" लिख देती है और फिर कभी खोली नहीं जाती। सही तरीके से किया जाए, तो यह लागत सहित कार्यों की एक सूची बनाता है जिसमें हर कार्य का ज़िम्मेदार व्यक्ति तय होता है। हम जिस तरीके का उपयोग करेंगे, वह यहाँ है।

चरण 1: दायरा और दिशा तय करें

गैप विश्लेषण की एक दिशा होती है: पहले से मौजूद एक फ़्रेमवर्क (या आपके मौजूदा नियंत्रण), और आवश्यक दूसरा फ़्रेमवर्क। दोनों को उनके संस्करणों और संगठनात्मक दायरे के साथ लिखें: कौन सी इकाई, सेवाएँ और स्थान। गैप विश्लेषण अक्सर इसलिए गलत हो जाते हैं क्योंकि दोनों दायरे आपस में मेल नहीं खाते, जैसे किसी एक उत्पाद-लाइन को कवर करने वाले ISO प्रमाणपत्र की तुलना पूरी इकाई पर लागू होने वाली NIS2 बाध्यता से करना।

चरण 2: आवश्यकता-दर-आवश्यकता तुलना तैयार करें

खाली शीट से नहीं, मैपिंग से शुरुआत करें। ControlMapping का गैप विश्लेषण आपको जिस फ़्रेमवर्क की ज़रूरत है उसकी हर आवश्यकता सूचीबद्ध करता है, और हर एक के साथ आपके पास मौजूद फ़्रेमवर्क में उसका मिलान भी:

• मैप किया गया: कोई प्रकाशित क्रॉसवॉक या हमारा संपादकीय निर्णय इसे आपके पास मौजूद किसी चीज़ से जोड़ता है।
• ढीले तौर पर संबंधित: यह केवल आपके पास मौजूद किसी चीज़ के साथ एक परिणाम साझा करती है। इसे संभवतः नया काम मानें।
• हमारे डेटा में कोई मैपिंग नहीं: संभवतः नया काम, जब तक उस फ़्रेमवर्क का कवरेज आंशिक न हो।

उदाहरण के लिए, ISO 27001 से NIS2 की ओर जाते समय:

49 NIS2 आवश्यकता बिंदु में से 49 (100%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 0 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

चरण 3: मिलानों की वास्तविकता से पुष्टि करें

मैपिंग बताती है कि दो आवश्यकताएँ संबंधित हैं। यह नहीं बताती कि आपका कार्यान्वयन दोनों को पूरा करता है। हर मैप की गई पंक्ति के लिए पूछें:

1. क्या हम वास्तव में वही काम करते हैं जिससे इसे मैप किया गया है? ISO A.8.8 की ओर मैपिंग तभी काम की है जब आपका भेद्यता प्रबंधन सचमुच चलता हो।
2. क्या नई आवश्यकता अधिक विशिष्ट है? समय-सीमाएँ, आवृत्तियाँ, नामित तकनीकें और दायरा अक्सर अलग होते हैं।
3. क्या यह लिंक संपादकीय है? दिखाए गए कारण की जाँच करें और तय करें कि आप उससे सहमत हैं या नहीं।

हर पंक्ति को पूरा, आंशिक रूप से पूरा या पूरा नहीं के रूप में चिह्नित करें। ईमानदार रहें: उदार गैप विश्लेषण केवल खोज को ऑडिट तक टाल देता है।

चरण 4: इसे ट्रैकर के रूप में निर्यात करें

परिणाम डाउनलोड करने के लिए गैप व्यू में e दबाएँ (या CSV निर्यात करें बटन दबाएँ)। हर पंक्ति में आवश्यकता, उसका खंड, मिलान, आधार और कारण आता है, साथ ही काम के लिए तैयार चार खाली कॉलम: ज़िम्मेदार व्यक्ति, कार्यान्वयन स्थिति, साक्ष्य संदर्भ और टिप्पणियाँ। इसे अपनी स्प्रेडशीट में खोलें या अपने GRC टूल में आयात करें।

चरण 5: पंक्तियों को काम में बदलें

• ज़िम्मेदार व्यक्ति और विषय के अनुसार समूहित करें, आवश्यकता संख्या के अनुसार नहीं: "आपूर्तिकर्ता अनुबंध" एक ऐसा कार्य है जो छह पंक्तियाँ बंद कर सकता है।
• हर समूह का अनुमान लगाएँ और उसका क्रम तय करें: शासन और नीति में बदलाव आमतौर पर तकनीकी काम की राह खोलते हैं।
• काम के साथ-साथ साक्ष्य कॉलम भरते रहें, ताकि ट्रैकर ही आपकी ऑडिट फ़ाइल बन जाए।
• जब कोई फ़्रेमवर्क बदले तो विश्लेषण दोबारा चलाएँ; हमारा डेटा बदलने पर हमारा विश्लेषण भी अपडेट हो जाता है।

मुख्य बातें

• पहले दायरा और दिशा तय करें: A पास में है, B चाहिए, संस्करणों सहित।
• मैपिंग से शुरू करें, फिर हर मिलान को अपने वास्तविक कामकाज से जाँचें।
• परिणाम को ज़िम्मेदार व्यक्ति, स्थिति और साक्ष्य कॉलम वाले ट्रैकर के रूप में निर्यात करें, और पंक्तियों को समूहित काम में बदलें।

आम गलतियाँ

• किसी अप्रचलित संस्करण से तुलना करना (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1)।
• "ढीले तौर पर संबंधित" को कवर्ड मान लेना।
• मैपिंग से बाहर की आवश्यकताओं को पूरी तरह नज़रअंदाज़ करना: घटना रिपोर्टिंग की समय-सीमा जैसी कानूनी बाध्यताएँ अक्सर किसी भी नियंत्रण सूची से बाहर होती हैं।

कार्य किए गए उदाहरणों के लिए ISO 27001 बनाम NIS2 बिंदु-दर-बिंदु और तुलनाएँ देखें, जिनमें से हर एक तैयार दो-तरफ़ा गैप विश्लेषण है।

प्रश्न

अनुपालन गैप विश्लेषण क्या है?

आप जो पहले से करते हैं (या जिस फ़्रेमवर्क को आप पहले से पूरा करते हैं) उसकी और जिस फ़्रेमवर्क की आपको ज़रूरत है उसकी आवश्यकताओं की आवश्यकता-दर-आवश्यकता तुलना, जिससे यह पहचाना जाता है कि क्या कवर है, क्या आंशिक रूप से कवर है और क्या गायब है।

गैप विश्लेषण में कितना समय लगता है?

ControlMapping के गैप विश्लेषण जैसे टूल से मैपिंग कुछ ही मिनटों में तैयार हो सकती है। उसकी पुष्टि आपके वास्तविक नियंत्रणों और साक्ष्यों से करना असली काम है, जिसमें दायरे के अनुसार आमतौर पर कुछ दिनों से लेकर कुछ हफ़्ते लगते हैं।

गैप विश्लेषण में 'ढीले तौर पर संबंधित' का क्या अर्थ है?

ये दोनों आवश्यकताएँ केवल एक NIST CSF 2.0 परिणाम साझा करती हैं; किसी ने इन्हें एक-दूसरे से मैप नहीं किया है। इन्हें जाँचने योग्य संकेत मानें, और आमतौर पर इन्हें कवरेज नहीं, नया काम मानें।