चरण-दर-चरण मार्गदर्शिका · ISO 27001 · SOC 2 · NIST CSF 2.0 · PCI DSS · NIS2

बिना दोबारा लिखे, एक नीति-समूह को कई फ़्रेमवर्क से मैप करना

दूसरा या तीसरा फ़्रेमवर्क अपनाने वाली संस्थाएँ अक्सर हर एक के लिए अपनी नीतियाँ दोबारा लिखती हैं। इसकी ज़रूरत नहीं है: उन्हें एक बार संरचित करें, फिर मैप करें।

Paul Gillet के अनुसार · 2025-03-18 · 3 मिनट पढ़ने का समय

यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।

छोटे दस्तावेज़ों के ढेर का रिसोग्राफ़-शैली प्रिंट, जो उसके चारों ओर पाँच आकृतियों से पतली रेखाओं द्वारा जुड़ा है — एक नीति-समूह, कई फ़्रेमवर्क।

एक आम पैटर्न: कोई कंपनी ISO 27001 के लिए नीति-समूह लिखती है, फिर कोई ग्राहक SOC 2 माँगता है और कोई दूसरा टेम्पलेट पैक खरीद लेता है, फिर PCI DSS अपनी अलग आवश्यकताओं के साथ आ जाता है। तीन आपस में ओवरलैप करने वाले नीति-समूह, जिनमें से हर एक थोड़ा पुराना है, और कोई भी उस चीज़ से मेल नहीं खाता जो लोग वास्तव में करते हैं। नीतियों को फ़्रेमवर्क-विशिष्ट होने की ज़रूरत नहीं है। उन्हें संस्था-विशिष्ट होना चाहिए, और मैप की गई होनी चाहिए।

संरचना: तीन परतें

एक सूचना सुरक्षा नीति: संक्षिप्त, नेतृत्व द्वारा अनुमोदित, जिसमें उद्देश्य, दायरा, ज़िम्मेदारियाँ और प्रतिबद्धता बताई गई हो। ISO 27001 खंड 5.2 और PCI DSS 12.1.1 दोनों इसकी माँग करते हैं।
विषय-आधारित नीतियाँ (लगभग एक दर्जन): एक्सेस नियंत्रण, स्वीकार्य उपयोग, परिसंपत्ति प्रबंधन, क्रिप्टोग्राफ़ी, घटना प्रतिक्रिया, व्यवसाय निरंतरता, आपूर्तिकर्ता सुरक्षा, सुरक्षित विकास, कमज़ोरी और पैच प्रबंधन, लॉगिंग और निगरानी, भौतिक सुरक्षा, मानव संसाधन सुरक्षा।
उनके नीचे प्रक्रियाएँ और मानक, जहाँ आवृत्तियाँ, सेटिंग्स और चरण रहते हैं। ये अधिक बार बदलते हैं और हर बार नेतृत्व की स्वीकृति की ज़रूरत नहीं होनी चाहिए।

फ़्रेमवर्क-विशिष्ट विवरण नीतियों में नहीं, प्रक्रियाओं में रखें: "एक्सेस की समीक्षा हर छह महीने में की जाती है" एक्सेस समीक्षा प्रक्रिया में जाता है, जहाँ PCI DSS की आवृत्ति नीति को भारी किए बिना रह सकती है।

मैप करें, दोबारा न लिखें

एक मैपिंग तालिका रखें: नीति के हर खंड के लिए एक पंक्ति, जिसमें हर फ़्रेमवर्क में उसके द्वारा संबोधित आवश्यकताएँ हों। Governance Policy विषय दिखाता है कि शीर्ष स्तर पर हर फ़्रेमवर्क क्या अपेक्षा रखता है:

फ़्रेमवर्क	शासन नीति	लिंक
NIST CSF 2.0	GV.PO-01 GV.PO-02	विषय परिभाषा
ISO 27001	A.5.1 A.5.37 Clause 5.2	क्रॉसवॉक
CIS v8.1	—	हमारे डेटा में कोई मैपिंग नहीं
SOC 2	CC5.3 CC1.1	संपादकीय
PCI DSS	12.1.1 12.1.2	क्रॉसवॉक
CMMC	—	हमारे डेटा में कोई मैपिंग नहीं
800-53	PM-1 PL-1	क्रॉसवॉक
HIPAA	§164.316(a)§164.316(b)(2)(iii)	क्रॉसवॉक
GDPR	Art.24(2)	संपादकीय
NIS2	1.1	क्रॉसवॉक
Essential Eight	—	हमारे डेटा में कोई मैपिंग नहीं

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में शासन नीति →

जब कोई नया फ़्रेमवर्क आए, तो गैप विश्लेषण चलाएँ और गवर्नेंस और नीति की आवश्यकताएँ देखें: अधिकांश उस नीति से मैप हो जाएँगी जो आपके पास पहले से है; बाकी नए खंड या प्रक्रियाएँ बन जाएँगी।

लकड़ी की शेल्फ़ पर दो बुककेंडों के बीच एक-जैसे पतले दस्तावेज़ फ़ोल्डरों की एक छोटी पंक्ति की तस्वीर — कम और छोटी नीतियाँ सच बनाए रखना आसान है।

फ़्रेमवर्क लिखित रूप में विशेष रूप से क्या माँगते हैं

ISO 27001: एक सूचना सुरक्षा नीति (5.2) और आवश्यकतानुसार विषय-विशिष्ट नीतियाँ (A.5.1), जिनका संचार और समीक्षा हो।
SOC 2: ऐसी नीतियाँ जो स्थापित करें कि क्या अपेक्षित है, और जो प्रक्रियाओं के माध्यम से लागू हों (CC5.3)।
PCI DSS: इसकी बारह आवश्यकताओं में से हर एक के लिए, प्रलेखित, अद्यतन नीतियाँ और प्रक्रियाएँ (x.1.1) तथा सौंपी गई भूमिकाएँ (x.1.2), जिनकी कम से कम वार्षिक समीक्षा हो।
NIS2: नेटवर्क और सूचना प्रणालियों की सुरक्षा पर एक नीति और विषय-विशिष्ट नीतियाँ (कार्यान्वयन विनियमन, बिंदु 1)।
NIST CSF 2.0: नीति स्थापित, संचारित और लागू हो (GV.PO)।

न्यूनतम नीति-समूह

अधिकांश छोटी और मध्यम आकार की संस्थाओं के लिए, ये दस्तावेज़ ISO 27001, SOC 2, NIST CSF, PCI DSS और NIS2 की नीति आवश्यकताओं को कवर करते हैं:

सूचना सुरक्षा नीति (शीर्ष स्तर, नेतृत्व द्वारा अनुमोदित)
स्वीकार्य उपयोग नीति
एक्सेस नियंत्रण नीति
परिसंपत्ति प्रबंधन और डेटा वर्गीकरण नीति
क्रिप्टोग्राफ़ी नीति
सुरक्षित विकास और परिवर्तन प्रबंधन नीति
कमज़ोरी और पैच प्रबंधन नीति
लॉगिंग और निगरानी नीति
घटना प्रतिक्रिया नीति (रिपोर्टिंग दायित्वों सहित)
व्यवसाय निरंतरता और बैकअप नीति
आपूर्तिकर्ता सुरक्षा नीति
मानव संसाधन सुरक्षा नीति
भौतिक सुरक्षा नीति

तेरह दस्तावेज़, जिनमें से अधिकांश कुछ पृष्ठों के हैं, हर एक का एक स्वामी और समीक्षा तिथि हो। विवरण प्रक्रियाओं में रहते हैं, जो अधिक बार बदलते हैं।

मुख्य बिंदु

नीतियाँ संस्था-विशिष्ट और मैप की गई होनी चाहिए, फ़्रेमवर्क-विशिष्ट नहीं।
आवृत्तियाँ और सेटिंग्स प्रक्रियाओं में रखें।
तेरह संक्षिप्त नीतियाँ अधिकांश फ़्रेमवर्क को कवर करती हैं।
PCI DSS माँगता है कि उसकी नीतियों और प्रक्रियाओं की कम से कम वार्षिक समीक्षा हो।

इन्हें सच बनाए रखें

वही लिखें जो आप करते हैं, जो टेम्पलेट कहता है वह नहीं। ऑडिटर नीतियों की जाँच व्यवहार से करते हैं।
वार्षिक समीक्षा करें, और किसी महत्वपूर्ण बदलाव के बाद भी, दर्ज अनुमोदन के साथ।
संक्षिप्त, संपूर्ण से बेहतर है: दो पृष्ठ की एक्सेस नियंत्रण नीति, जिसे लोग पढ़ते हैं, बीस पृष्ठों से बेहतर है जिसे कोई नहीं पढ़ता।

उसी विचार पर आधारित एक पूर्ण सामान्य नियंत्रण-समूह के लिए, देखें SOC 2 और ISO 27001 के लिए एक नियंत्रण-समूह।

प्रश्न

आपको कितनी सुरक्षा नीतियों की ज़रूरत है?

अधिकांश टेम्पलेट जितना सुझाते हैं उससे कम। एक शीर्ष-स्तरीय सूचना सुरक्षा नीति और लगभग एक दर्जन विषय-आधारित नीतियाँ (एक्सेस, स्वीकार्य उपयोग, घटना प्रतिक्रिया, आपूर्तिकर्ता सुरक्षा आदि) आमतौर पर ISO 27001, SOC 2, NIST और PCI DSS को कवर कर लेती हैं।

क्या PCI DSS विशिष्ट नीतियाँ माँगता है?

हाँ। PCI DSS की हर आवश्यकता उस क्षेत्र के लिए प्रलेखित, अद्यतन नीतियों और प्रक्रियाओं की आवश्यकता से शुरू होती है (x.1.1), साथ ही भूमिकाओं और ज़िम्मेदारियों की आवश्यकता (x.1.2) भी।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।