राय · SOC 2 · ISO 27001 · NIST CSF 2.0

विक्रेता के क्रॉसवॉक की वह समस्या जिसकी आप जाँच नहीं कर सकते

अधिकांश अनुपालन प्लेटफ़ॉर्म एक मालिकाना क्रॉसवॉक के साथ आते हैं, जो एक नियंत्रण को दर्जनों फ़्रेमवर्क से जोड़ता है। किसी एक पंक्ति का स्रोत पूछिए, तो अक्सर कोई उत्तर नहीं मिलता।

Paul Gillet के अनुसार · 2025-09-25 · 3 मिनट पढ़ने का समय

यह पोस्ट उन 11 फ़्रेमवर्कों को कवर करती है जिन्हें इसके लिखे जाने के समय ControlMapping ने मानचित्रित किया था। तब से DORA, CPS 234, Cyber Essentials को 2026-10-27 पर जोड़ा गया है; उनके पृष्ठ और कवरेज मैट्रिक्स में वे शामिल हैं।

रिसोग्राफ़ शैली का छपा चित्र: एक ठोस, बिना विशेषताओं वाला बक्सा, जिसके एक ओर से अनेक रेखाएँ प्रवेश करती हैं और दूसरी ओर से निकलती हैं — इनपुट, आउटपुट, और बीच में कुछ भी दिखाई नहीं देता।

अनुपालन स्वचालन प्लेटफ़ॉर्म ने बहु-फ़्रेमवर्क कार्यक्रमों को चलाना कहीं आसान बना दिया है। इनमें से अधिकांश एक केंद्रीय वादा करते हैं: एक नियंत्रण एक बार लागू करें और वह SOC 2, ISO 27001, NIST, HIPAA और अन्य को पूरा करता है, क्योंकि प्लेटफ़ॉर्म का क्रॉसवॉक ऐसा कहता है। प्लेटफ़ॉर्म से पूछें कि कोई विशेष मैपिंग कहाँ से आई, वह किस संस्करण के विरुद्ध है और दोनों आवश्यकताएँ समतुल्य क्यों हैं, तो अक्सर उत्तर में चुप्पी मिलती है।

यह एक समस्या है, और यह केवल किताबी बारीकी नहीं है।

अप्रमाणित मैपिंग जोखिम आप पर डाल देती हैं

जब कोई प्लेटफ़ॉर्म आपको बताता है कि आपका एक्सेस नियंत्रण उस फ़्रेमवर्क की किसी आवश्यकता को पूरा करता है जिसके दायरे में आप नए-नए आए हैं, और वह बात गलत निकलती है, तो ऑडिट निष्कर्ष आपका होगा, विक्रेता का नहीं। आपने ऐसी मैपिंग पर भरोसा किया जिसकी आप जाँच नहीं कर सकते थे। ऑडिटर “टूल ने मैप किया” को औचित्य के रूप में स्वीकार नहीं करते; वे आवश्यकता पढ़ते हैं और परखते हैं कि आपका नियंत्रण उसे पूरा करता है या नहीं।

मैपिंग चुपचाप पुरानी हो जाती हैं

फ़्रेमवर्क बदलते रहते हैं। CSF 2.0 ने CSF 1.1 की 79 उप-श्रेणियाँ हटा दीं (वे कहाँ गईं); ISO 27001:2022 ने Annex A को नए सिरे से क्रमांकित किया; PCI DSS v4.0 में दर्जनों आवश्यकताएँ जोड़ी गईं। ऐसा क्रॉसवॉक जो संस्करण-अंकित न हो और मौजूदा कैटलॉग के विरुद्ध सत्यापित न हो, पुराना पड़ता जाता है। जिस क्रॉसवॉक पर लेबल न हो, वह अदृश्य रूप से पुराना होता है।

“मैप्ड” यह छिपा देता है कि मैपिंग किस प्रकार की है

दो आवश्यकताओं के बीच की एक रेखा का अर्थ हो सकता है कि वे समतुल्य हैं, या उनमें से एक दूसरी का उपसमुच्चय है, या केवल यह कि उनका विषय एक है। हमारे अपने विश्लेषण (मैपिंग कितनी प्रकाशित साक्ष्य पर टिकी है) में पाया गया कि कहीं भी मैपिंग का बड़ा हिस्सा प्रकाशित क्रॉसवॉक नहीं, बल्कि विवेक-आधारित निर्णय होते हैं:

फ़्रेमवर्क	मैपिंग	क्रॉसवॉक	संपादकीय	क्रॉसवॉक हिस्सा
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
सभी	829	475	354	57%

विवेक-आधारित निर्णय बुरे नहीं होते। बिना लेबल वाले निर्णय बुरे होते हैं।

लकड़ी की मेज़ पर एक लंबी मुड़ी हुई कागज़ की रसीद का फ़ोटो, साथ में एक सिक्कों का बटुआ और चश्मा; लिखावट अपठनीय — आप रसीद जाँचते हैं। क्रॉसवॉक भी जाँचें।

किसी भी क्रॉसवॉक से क्या माँगें

हर लिंक का स्रोत: कोई आधिकारिक क्रॉसवॉक (NIST, ENISA, फ़्रेमवर्क के स्वामी) या विक्रेता का विवेक-आधारित निर्णय।
हर विवेक-आधारित निर्णय के लिए एक कारण, जो आपको दिखाई दे।
दोनों फ़्रेमवर्क के संस्करण, और वह तारीख जब उसे अंतिम बार सत्यापित किया गया।
“मैप्ड” का अर्थ: समतुल्य, आंशिक या संबंधित।
निर्यात: मैपिंग को बाहर निकालकर स्वयं जाँचने की क्षमता।

यदि कोई विक्रेता ये चीज़ें नहीं दे सकता, तो उसकी मैपिंग को संकेत के रूप में लें, उत्तर के रूप में नहीं।

मिले हुए क्रॉसवॉक की जाँच कैसे करें

किसी क्रॉसवॉक का मूल्यांकन करने के लिए पूरा ऑडिट करना ज़रूरी नहीं है। उसका नमूना जाँचें:

उस फ़्रेमवर्क से, जिसे आप सबसे अच्छी तरह जानते हैं, दस लिंक यादृच्छिक रूप से चुनें।
हर लिंक के लिए दोनों आवश्यकता-पाठ पढ़ें।
हर लिंक का वर्गीकरण करें: समतुल्य, आंशिक रूप से अतिव्यापी, केवल संबंधित, या गलत।
संस्करण-संवेदी दो मामलों की जाँच करें, उदाहरण के लिए CSF 1.1 पहचानकर्ता या ISO 27001:2013 नियंत्रण संख्या।

यदि अधिकांश लिंक खरे उतरते हैं और संस्करण अद्यतन हैं, तो क्रॉसवॉक संभवतः मार्गदर्शक के रूप में उपयोगी है। यदि कई गलत या पुराने हैं, तो पूरे क्रॉसवॉक को अप्रमाणित मानें। हमारा अपना डेटा भी इसी परीक्षण के लिए खुला है: हर आवश्यकता-पृष्ठ, जैसे ISO 27001 A.8.8, हर लिंक का आधार और कारण दिखाता है।

मुख्य बातें

अप्रमाणित मैपिंग ऑडिट जोखिम को आप पर डाल देती हैं।
हर लिंक के लिए स्रोत, संस्करण, अर्थ और तर्क माँगें।
किसी भी क्रॉसवॉक पर भरोसा करने से पहले उसका नमूना-परीक्षण करें।

हम अपने डेटा को सार्वजनिक क्यों करते हैं

ControlMapping का अस्तित्व आंशिक रूप से इसी समस्या के कारण है। हर लिंक पर “क्रॉसवॉक” या “संपादकीय” का लेबल होता है, हर संपादकीय लिंक का एक कारण होता है, हर ID हर बिल्ड पर आधिकारिक कैटलॉग के विरुद्ध सत्यापित होती है, और पूरा डेटासेट खुले लाइसेंस के तहत डाउनलोड किया जा सकता है। यह ऐसा करने का एकमात्र तरीका नहीं है, लेकिन हमारी राय में यही वह मानक है जिस पर उद्योग को स्वयं को परखना चाहिए। देखें कार्यप्रणाली और डाउनलोड।

प्रश्न

क्या अनुपालन प्लेटफ़ॉर्म के क्रॉसवॉक सटीक हैं?

कुछ का रखरखाव सावधानी से किया जाता है; कुछ का नहीं। हर मैपिंग के दिखाई देने वाले स्रोत, संस्करण और कारण के बिना आप यह अंतर नहीं बता सकते, और ऑडिटर ‘टूल ने ऐसा कहा है’ को औचित्य के रूप में स्वीकार नहीं करेंगे।

एक भरोसेमंद क्रॉसवॉक में क्या दिखना चाहिए?

हर लिंक के लिए: स्रोत (आधिकारिक क्रॉसवॉक या विक्रेता का विवेक-आधारित निर्णय), दोनों फ़्रेमवर्क के संस्करण, लिंक का अर्थ (समतुल्य या केवल संबंधित), और जब वह विवेक-आधारित निर्णय हो तो उसका कारण।

NIST OLIR क्या है?

NIST का Online Informative References कार्यक्रम: NIST फ़्रेमवर्क और अन्य मानकों के बीच क्रॉसवॉक का एक कैटलॉग। तृतीय पक्षों की प्रस्तुतियों की जाँच प्रारूप के लिए होती है, शुद्धता के लिए नहीं।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।