खुला, मुफ़्त अनुपालन डेटा: इसके पक्ष में तर्क

यह अनुपालन उद्योग की एक अजीब सच्चाई है। दसियों हज़ार संगठन एक से ज़्यादा सुरक्षा फ़्रेमवर्क के प्रति जवाबदेह हैं। हर एक को यह जानना होता है कि वे फ़्रेमवर्क आपस में कैसे जुड़े हैं। और लगभग हर संगठन यह जानकारी अलग से बनाता या खरीदता है: किसी सलाहकार की स्प्रेडशीट, किसी प्लेटफ़ॉर्म का मालिकाना क्रॉसवॉक, या किसी विश्लेषक का सप्ताहांत। वही मैपिंग बार-बार दोबारा बनती है, शायद ही कभी जाँची जाती है, और कभी साझा नहीं होती।

मैपिंग असल में छिपा हुआ सामान्य ज्ञान है

ISO 27001 का A.8.24, PCI DSS 3.5.1 से जुड़ता है या नहीं, यह कोई व्यापारिक रहस्य नहीं है। यह दो प्रकाशित दस्तावेज़ों का तथ्य है, जो सबके लिए एक जैसा है। इसे मालिकाना डेटा मानने से तीन समस्याएँ पैदा होती हैं:

• दोहराव। उद्योग एक ही काम के लिए कई गुना भुगतान करता है।
• गलतियाँ बनी रहती हैं। निजी मैपिंग की जाँच उसका मालिक करता है, अगर कोई करे। सार्वजनिक मैपिंग की जाँच हर वह व्यक्ति करता है जो उसका उपयोग करता है।
• जवाबदेही का अभाव। जिस मैपिंग को आप देख नहीं सकते, उसका मूल्यांकन नहीं कर सकते, इसलिए सावधानी से बनी और लापरवाही से बनी मैपिंग में फ़र्क नहीं कर सकते। हमने उन क्रॉसवॉक की समस्या पर लिखा है जिन्हें आप जाँच नहीं सकते।

सार्वजनिक क्षेत्र इसे पहले ही समझ चुका है

सबसे प्रामाणिक क्रॉसवॉक पहले से मुफ़्त हैं। NIST अपने CSF 2.0 इंफॉर्मेटिव रेफ़रेंस और SP 800-53 मैपिंग खुले तौर पर प्रकाशित करता है, और प्रस्तुत किए गए क्रॉसवॉक की एक सूची भी चलाता है। ENISA ने NIS2 की ISO 27001 और CSF से मैपिंग प्रकाशित की। ASD खुले लाइसेंस के तहत ISM प्रकाशित करता है, जिसमें Essential Eight नियंत्रण शामिल हैं। ये दुनिया के सबसे ज़्यादा इस्तेमाल होने वाले अनुपालन दस्तावेज़ों में हैं, ठीक इसलिए कि कोई भी इनका उपयोग कर सकता है।

खुलेपन से क्या बदलेगा

• टूल डेटा जमा करने पर नहीं, उपयोगिता पर प्रतिस्पर्धा करेंगे। मूल्य वर्कफ़्लो, साक्ष्य और स्वचालन की ओर जाएगा, जहाँ उसका असली स्थान है।
• मैपिंग तेज़ी से बेहतर होगी। उपयोगकर्ताओं द्वारा रिपोर्ट की गई गलतियाँ सबके लिए ठीक की जाएँगी।
• छोटे संगठनों को बड़ों जैसी गुणवत्ता मिलेगी, बिना यह जानने के लिए किसी प्लेटफ़ॉर्म पर पैसा खर्च किए कि दो फ़्रेमवर्क कैसे संबंधित हैं।
• ऑडिटर और नियामक मैपिंग के पीछे के तर्क की जाँच कर सकेंगे, उस पर बिना जाँचे भरोसा करने के बजाय।

सीमाएँ कहाँ हैं

खुलेपन की सीमाएँ हैं। ISO, PCI SSC और AICPA अपने मानकों के पाठ के स्वामी हैं, और इसका सम्मान होना चाहिए: खुला मैपिंग डेटा पहचानकर्ता, संक्षिप्त शीर्षक और तर्क साझा कर सकता है, बिना कॉपीराइट आवश्यकताओं को दोहराए। और मुफ़्त का मतलब बिना स्रोत के होना नहीं है; जो खुला डेटा अपना मूल स्रोत छिपाता है, वह बस एक अलग तरह का ब्लैक बॉक्स है।

अच्छे खुले अनुपालन डेटा में क्या होना चाहिए

सिर्फ़ खुला होना काफ़ी नहीं है। मैपिंग डेटा को साझा संसाधन के रूप में वास्तव में उपयोगी बनने के लिए इसमें ये चीज़ें होनी चाहिए:

• स्थिर पहचानकर्ता जो आधिकारिक कैटलॉग से मेल खाएँ, और जब भी दोनों में से कोई फ़्रेमवर्क बदले, उनकी पुष्टि हो।
• हर लिंक का मूल स्रोत: कौन सा क्रॉसवॉक या कौन सा निर्णय, और क्यों।
• हर फ़्रेमवर्क के संस्करण, जिनमें वापस ली गई आवश्यकताओं को स्पष्ट रूप से संभाला गया हो।
• मशीन-पठनीय प्रारूप (CSV, स्प्रेडशीट, JSON) के साथ-साथ वेब पेज।
• स्पष्ट लाइसेंस जो पुन: उपयोग की अनुमति दे, व्यावसायिक उपयोग सहित, और तृतीय-पक्ष अधिकारों का सम्मान करे।
• गलतियाँ रिपोर्ट करने का तरीका, और सुधारों का रिकॉर्ड।

हम इन्हीं मानकों पर खरा उतरने का प्रयास करते हैं। कार्यप्रणाली बताती है कि यहाँ हर बिंदु को कैसे संभाला जाता है।

मुख्य बातें

• संगठन एक ही फ़्रेमवर्क मैपिंग निजी तौर पर बार-बार दोबारा बनाते हैं।
• सबसे प्रामाणिक क्रॉसवॉक (NIST, ENISA, ASD) पहले से मुफ़्त हैं, और वही सबसे ज़्यादा उपयोग होते हैं।
• खुले डेटा की जाँच और सुधार होता है; निजी मैपिंग अनदेखी में सड़ जाती है।
• खुलेपन को मानकों के कॉपीराइट का सम्मान करना होगा और हमेशा स्रोत दिखाना होगा।
• मुफ़्त डेटा को भी रखरखाव चाहिए: हर बदलाव पर मौजूदा कैटलॉग से पुष्टि।

हम क्या करते हैं

ControlMapping के डाउनलोड पूरा क्रॉसवॉक प्रकाशित करते हैं (हर विषय, आवश्यकता लिंक, आधार और कारण) CC BY 4.0 के तहत, तृतीय-पक्ष लाइसेंसों के सम्मान के साथ। कार्यप्रणाली हर स्रोत और नियम का दस्तावेज़ीकरण करती है। यह एक छोटा योगदान है, पर यही वह मॉडल है जिसका मेरे विचार में अनुपालन डेटा को पालन करना चाहिए: खुला, स्रोत-आधारित, संस्करण-नियंत्रित और सुधार के लिए मुफ़्त। यदि आपको कोई गलती मिले, तो हमें बताएँ, ताकि वह सबके लिए ठीक हो सके।

प्रश्न

क्या ControlMapping का डेटा पुन: उपयोग के लिए मुफ़्त है?

हाँ। ControlMapping का अपना काम (विषय परिभाषाएँ, मैपिंग चयन, संपादकीय टिप्पणियाँ, हमारे सारांश) CC BY 4.0 के तहत है। तृतीय-पक्ष सामग्री अपना लाइसेंस रखती है: NIST की सामग्री सार्वजनिक डोमेन में है, CIS शीर्षक CC BY-NC-ND के तहत हैं, और ISO, PCI और AICPA का पाठ पुनः प्रस्तुत नहीं किया गया है।

सभी फ़्रेमवर्क क्रॉसवॉक खुले क्यों नहीं हैं?

कुछ फ़्रेमवर्क के स्वामी अपने मानकों और मैपिंग को व्यावसायिक रूप से लाइसेंस देते हैं, और कई विक्रेता अपने क्रॉसवॉक को उत्पाद की विशिष्टता मानते हैं।

क्या मैं ControlMapping का डेटा किसी व्यावसायिक उत्पाद में उपयोग कर सकता हूँ?

ControlMapping का अपना काम CC BY 4.0 के तहत है, जो श्रेय देने की शर्त पर व्यावसायिक उपयोग की अनुमति देता है। तृतीय-पक्ष सामग्री अपना लाइसेंस रखती है; उदाहरण के लिए, CIS सुरक्षा उपाय शीर्षक CC BY-NC-ND के तहत हैं।