सामान्य कोर: हर फ़्रेमवर्क में साझा सुरक्षा आवश्यकताएँ
ग्यारह सुरक्षा फ़्रेमवर्क को एक-दूसरे और एक समूह के सामने रखकर मैप करें, तो उन सबमें एक छोटा-सा कोर दिखाई देता है। अगर आप कोई कार्यक्रम शुरू कर रहे हैं, या कई फ़्रेमवर्क एक साथ संभाल रहे हैं, तो यही कोर शुरुआत करने की जगह है।
यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।
संगठन शायद ही कभी किसी एक सुरक्षा फ़्रेमवर्क के प्रति जवाबदेह होते हैं। एक सॉफ़्टवेयर कंपनी उन US ग्राहकों को बेचती है जो SOC 2 रिपोर्ट चाहते हैं, और उन यूरोपीय ग्राहकों को भी जो ISO 27001 चाहते हैं; एक भुगतान प्रदाता PCI DSS जोड़ता है; एक EU डिजिटल प्रदाता अब NIS2 के दायरे में आता है। हर फ़्रेमवर्क अपनी संरचना, क्रमांकन और शब्दावली लेकर आता है, और यह निष्कर्ष निकालना आसान है कि हर एक के लिए अलग कार्यक्रम चाहिए।
ऐसा नहीं है। अलग-अलग क्रमांकन के नीचे काफ़ी साझा ज़मीन है, और उसका एक छोटा हिस्सा हर उस फ़्रेमवर्क में साझा है जिसे हम मैप करते हैं। हमने उन विषयों की खोज की जिनकी सभी ग्यारह में मैप की गई आवश्यकता है: NIST CSF 2.0, NIST SP 800-53, ISO 27001, CIS Controls, SOC 2, PCI DSS, CMMC Level 2, HIPAA सुरक्षा नियम, GDPR, NIS2 और ASD के Essential Eight।
हर फ़्रेमवर्क में पाँच विषय
| विषय | ISO 27001 | SOC 2 | PCI DSS | NIS2 |
|---|---|---|---|---|
| एसेट प्रबंधन | A.5.9 | CC6.1 | 12.5.1 | 12.4 |
| भेद्यता प्रबंधन | A.8.8 | CC7.1 | 6.3.1 | 6.5 |
| बैकअप और रिकवरी | A.8.13 | A1.2 | 9.4.1.1 | 4.2 |
| घटना प्रतिक्रिया | A.5.24 | CC7.4 | 12.10.1 | 3.1 |
| रिपोर्टिंग | A.5.5 | CC2.3 | 12.10.1 | 3.3 |
50 में से 5 विषयों की सभी 11 फ़्रेमवर्क में मैप की गई आवश्यकता है। हर विषय पेज पर हर फ़्रेमवर्क की आवश्यकता ID और प्रत्येक लिंक का प्रमाण सूचीबद्ध है।
यही सामान्य कोर है: परिसंपत्ति प्रबंधन, भेद्यता प्रबंधन, बैकअप और पुनर्प्राप्ति, घटना प्रतिक्रिया और घटना रिपोर्टिंग। ग्यारह में से हर फ़्रेमवर्क में इनमें से हर एक पर कम से कम एक आवश्यकता है, यहाँ तक कि GDPR में भी, जो एक गोपनीयता कानून है, और Essential Eight में भी, जो तकनीकी उपायों की एक छोटी सूची है।
इसे जानबूझकर छोटा रखा गया है। पहुँच नियंत्रण, लॉगिंग और एन्क्रिप्शन जैसे कई अन्य विषय ग्यारह में से दस द्वारा कवर होते हैं, और ज़्यादातर फ़्रेमवर्क पाँच से कहीं अधिक विषय साझा करते हैं। लेकिन ये पाँच वे हैं जिन्हें कोई फ़्रेमवर्क नहीं छोड़ता।
ये पाँच क्यों
ये एक घटना के जीवनचक्र का अनुसरण करते हैं। जो चीज़ आप जानते ही नहीं कि आपके पास है, उसकी सुरक्षा आप नहीं कर सकते (परिसंपत्ति प्रबंधन)। ज़्यादातर हमले अब भी ज्ञात कमज़ोरियों का फ़ायदा उठाते हैं (भेद्यता प्रबंधन)। जब कुछ गलत होता है, तब आपको सिस्टम और डेटा फिर से चालू करने होते हैं (बैकअप और पुनर्प्राप्ति), घटना को संभालना होता है (घटना प्रतिक्रिया), और उन लोगों को बताना होता है जिन्हें जानना ज़रूरी है: प्रबंधन, ग्राहक, नियामक (घटना रिपोर्टिंग)।
फ़्रेमवर्क लगभग बाकी सब पर असहमत हैं: शासन एक प्रबंधन प्रणाली है या परिणामों का समूह, तकनीकी नियंत्रण कितने निर्देशात्मक हों, और चीज़ें कितनी बार होनी चाहिए। इन पाँच पर वे सहमत हैं, क्योंकि इनके बिना बाकी कुछ काम नहीं करता।
वही विषय, अलग गहराई
साझा विषय का अर्थ यह नहीं कि आवश्यकता भी एक-सी हो। भेद्यता प्रबंधन को ही लीजिए:
| फ़्रेमवर्क | भेद्यता प्रबंधन | लिंक |
|---|---|---|
| NIST CSF 2.0 | ID.RA-01ID.RA-08 | विषय परिभाषा |
| ISO 27001 | A.8.8 | क्रॉसवॉक |
| CIS v8.1 | CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5 | क्रॉसवॉक |
| SOC 2 | CC7.1 | संपादकीय |
| PCI DSS | 6.3.111.3.111.3.2 | क्रॉसवॉक |
| CMMC | RA.L2-3.11.2RA.L2-3.11.3 | क्रॉसवॉक |
| 800-53 | RA-5CA-8 | क्रॉसवॉक |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | क्रॉसवॉक |
| GDPR | Art.32(1)(d) | संपादकीय |
| NIS2 | 6.56.10 | क्रॉसवॉक |
| Essential Eight | ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702 | संपादकीय |
पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में भेद्यता प्रबंधन →
ISO 27001 का A.8.8 आपसे तकनीकी भेद्यताओं की जानकारी प्राप्त करने, अपने एक्सपोज़र का मूल्यांकन करने और उचित उपाय करने को कहता है, और समय-सीमा आपके जोखिम आकलन पर छोड़ता है। PCI DSS हर तीन महीने में और महत्वपूर्ण बदलावों के बाद आंतरिक स्कैन (11.3.1), एक Approved Scanning Vendor द्वारा बाहरी स्कैन (11.3.2), और गंभीर व उच्च गंभीरता वाले पैच रिलीज़ के एक महीने के भीतर (6.3.3) लागू करने की आवश्यकता रखता है। Essential Eight हर परिपक्वता स्तर पर कड़ी होती पैच-समय-सीमाएँ तय करता है। HIPAA इस विषय तक भेद्यता-विशिष्ट आवश्यकता के बजाय अपनी जोखिम विश्लेषण और जोखिम प्रबंधन आवश्यकताओं के माध्यम से पहुँचता है।
तो सामान्य कोर आपको बताता है कि हर फ़्रेमवर्क आपसे क्या करने की अपेक्षा करता है, कितना नहीं। जब आप कोई नियंत्रण बनाएँ, तो उसे उस सबसे कड़े फ़्रेमवर्क के अनुसार डिज़ाइन करें जिसके प्रति आप जवाबदेह हैं, और बाकी आम तौर पर उसके पीछे चल पड़ेंगे।
व्यवहार में यह कैसा दिखता है
- परिसंपत्ति प्रबंधन: हार्डवेयर, सॉफ़्टवेयर, क्लाउड सेवाओं और डेटा स्टोर की एक सूची, जिसमें स्वामी दर्ज हों, और जो केवल स्प्रेडशीट के बजाय डिस्कवरी टूल्स से अद्यतन रखी जाए।
- भेद्यता प्रबंधन: निर्धारित स्कैनिंग (आंतरिक और बाहरी), गंभीरता रेटिंग, गंभीरता के अनुसार सुधार की समय-सीमाएँ, और इस बात का प्रमाण कि समय-सीमाएँ पूरी होती हैं।
- बैकअप और पुनर्प्राप्ति: डेटा, सॉफ़्टवेयर और कॉन्फ़िगरेशन के बैकअप, जो बदलाव और मिटाए जाने से सुरक्षित हों, और जिनके रिस्टोर निर्धारित समय पर परखे जाएँ।
- घटना प्रतिक्रिया: भूमिकाओं, गंभीरता स्तरों और एस्केलेशन के साथ एक लिखित योजना, जिसका कम से कम साल में एक बार अभ्यास हो।
- घटना रिपोर्टिंग: एक प्रक्रिया जो बताए कि किसे, किस समय-सीमा में, किसके द्वारा सूचित करना है: आंतरिक प्रबंधन, अनुबंध के तहत ग्राहक, और नियामक (उदाहरण के लिए, NIS2 की 24-घंटे की प्रारंभिक चेतावनी या GDPR की पर्यवेक्षी प्राधिकरण को 72-घंटे की सूचना)।
कोर क्यों मायने रखता है
अगर आप कोई सुरक्षा कार्यक्रम शुरू कर रहे हैं, तो ये पाँच पहले बनाएँ। ये वे आवश्यकताएँ हैं जो आपको उन हर फ़्रेमवर्क में मिलेंगी जिन्हें आप बाद में अपना सकते हैं, इसलिए यह काम कभी व्यर्थ नहीं जाता।
अगर आप पहले से कई फ़्रेमवर्क संभाल रहे हैं, तो कोर को एक साझा नियंत्रण सेट की रीढ़ की तरह इस्तेमाल करें: इनमें से हर विषय के लिए एक नियंत्रण, जो उन सभी फ़्रेमवर्क से मैप हो जिनके प्रति आप जवाबदेह हैं, और प्रमाण एक बार एकत्र किया जाए। यही विचार उन विषयों पर भी लागू होता है जो दस, नौ या आठ फ़्रेमवर्क में साझा हैं। हमारा कवरेज मैट्रिक्स सभी ग्यारह फ़्रेमवर्क के सामने सभी पचास विषय दिखाता है, और गैप विश्लेषण आवश्यकता-दर-आवश्यकता दिखाता है कि किन्हीं दो के बीच क्या आगे ले जाया जाता है।
हमने इसे कैसे मापा
ControlMapping में हर विषय NIST CSF 2.0 परिणामों द्वारा परिभाषित है, और सूचीबद्ध करता है कि हर फ़्रेमवर्क में कौन-सी आवश्यकता उसे संबोधित करती है। किसी लिंक को क्रॉसवॉक तब लेबल किया जाता है जब कोई प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS या PCI SSC से) उसका समर्थन करता है, और संपादकीय तब जब वह हमारा निर्णय हो, जिसका कारण दिखाया जाता है। SOC 2, GDPR और Essential Eight के लिंक हमेशा संपादकीय होते हैं, क्योंकि उनके लिए कोई खुले लाइसेंस वाला क्रॉसवॉक मौजूद नहीं है। पूरी विधि मेथडोलॉजी पृष्ठ पर है, और ऊपर की हर संख्या लाइव डेटा से आती है, इसलिए मैपिंग बदलने पर वह भी अपडेट हो जाती है।
प्रश्न
कौन-से सुरक्षा नियंत्रण हर फ़्रेमवर्क द्वारा आवश्यक हैं?
ControlMapping के डेटा में, पाँच विषयों की सभी 11 फ़्रेमवर्क में मैप की गई आवश्यकता है: परिसंपत्ति प्रबंधन, भेद्यता प्रबंधन, बैकअप और पुनर्प्राप्ति, घटना प्रतिक्रिया, और घटना रिपोर्टिंग। सटीक शब्दावली और गहराई फ़्रेमवर्क के अनुसार अलग है।
क्या एक फ़्रेमवर्क का संस्करण पूरा करने से बाकी संतुष्ट हो जाते हैं?
स्वतः नहीं। मैपिंग का अर्थ है कि आवश्यकताएँ एक ही विषय को संबोधित करती हैं; कोई एक कहीं अधिक विशिष्ट हो सकती है (PCI DSS और Essential Eight समय-सीमाएँ और आवृत्तियाँ तय करते हैं, जिन्हें ISO 27001 आप पर छोड़ता है)। हर फ़्रेमवर्क का पाठ जाँचें।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।