हम हर मैपिंग पर "क्रॉसवॉक" या "संपादकीय" लेबल क्यों लगाते हैं

ControlMapping पर हर मैपिंग पर दो में से एक चिह्न होता है। क्रॉसवॉक का अर्थ है कि इस लिंक को एक प्रकाशित क्रॉसवॉक का समर्थन प्राप्त है: NIST, ENISA, CIS या PCI SSC ने कहा है कि ये आवश्यकताएँ संबंधित हैं। संपादकीय का अर्थ है कि यह हमारा निर्णय है, जिसका कारण लिखित रूप में दिया गया है। यह साइट का सबसे महत्वपूर्ण डिज़ाइन निर्णय है, और यह एक सरल पर्यवेक्षण से आया: प्रचलन में मौजूद अधिकांश फ़्रेमवर्क मैपिंग यह बताने का कोई तरीका नहीं देतीं कि कौन सी मैपिंग किस श्रेणी की है।

समस्या जिसे यह हल करता है

एक मैपिंग एक दावा है: "यह आवश्यकता उस आवश्यकता से संबंधित है।" कुछ दावे सार्वजनिक टिप्पणी प्रक्रिया से गुज़रे आधिकारिक क्रॉसवॉक पर टिके होते हैं। कुछ एक विश्लेषक के निर्णय पर आधारित होते हैं। दोनों सही हो सकते हैं। लेकिन जब वे एक जैसे दिखते हैं, तो हर मैपिंग सबसे अच्छी मैपिंग की विश्वसनीयता ओढ़ लेती है, और हर त्रुटि बाकी के बीच छिप जाती है। इसी तरह संगठन ऑडिटरों को बता देते हैं कि कोई नियंत्रण किसी आवश्यकता को "पूरा करता" है, क्योंकि एक टूल ने ऐसा कहा था।

लेबल क्या संभव बनाते हैं

• आप साक्ष्य को तौल सकते हैं। NIST की अपनी मैपिंग से बना क्रॉसवॉक लिंक मज़बूत है; संपादकीय लिंक एक तर्कसंगत राय है जिसकी जाँच करनी होती है।
• गलतियाँ खोजी जा सकती हैं। जब हम अपने डेटा में त्रुटियों का ऑडिट करते हैं, तो लेबल और कारण उन्हें जल्दी ढूँढने और सुधारने में मदद करते हैं। बिना लेबल वाला क्रॉसवॉक किसी समीक्षक को काम करने के लिए कुछ नहीं देता।
• सीमाओं के बारे में ईमानदारी। कुछ फ़्रेमवर्क के पास कोई खुले लाइसेंस वाला क्रॉसवॉक नहीं है (SOC 2, GDPR, Essential Eight)। उनके हर लिंक को संपादकीय लेबल देना आपको सीधे बताता है, बजाय इसके कि ऐसे अधिकार का आभास दिया जाए जो मौजूद ही नहीं है।

यहाँ आज का विभाजन कैसा दिखता है:

फ़्रेमवर्क	मैपिंग	क्रॉसवॉक	संपादकीय	क्रॉसवॉक हिस्सा
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
सभी	829	475	354	57%

केवल क्रॉसवॉक लिंक क्यों न प्रकाशित करें?

क्योंकि क्रॉसवॉक में अंतराल हैं। CIS की प्रकाशित मैपिंग 153 में से 49 सुरक्षा उपायों को कवर करती है; PCI SSC की मैपिंग में कुछ मूल आवश्यकताएँ छूटी हैं; SOC 2 के लिए हमारे पास उपयोग करने योग्य कुछ भी नहीं है। जो साइट केवल क्रॉसवॉक लिंक दिखाती, वह SOC 2 को अमैप्ड और CIS के अधिकांश हिस्से को गायब दिखाती, जो कम उपयोगी है और अपने तरीके से भ्रामक भी। संपादकीय लिंक इन अंतरालों को भरते हैं, और उन पर लेबल होता है ताकि आप जानें कि आप किस पर भरोसा कर रहे हैं।

लेबल के पीछे के नियम

• संपादकीय लिंक के पीछे हमेशा एक कारण होता है।
• कोई लिंक तभी क्रॉसवॉक माना जाता है जब क्रॉसवॉक उसका वास्तव में समर्थन करता हो: फ़ैमिली-स्तर के संदर्भ और संपादकीय लिंकों के माध्यम से बनी शृंखलाएँ नहीं गिनी जातीं।
• हर आवश्यकता ID हर बिल्ड पर आधिकारिक सूची के विरुद्ध सत्यापित की जाती है।
• "ढीले तौर पर संबंधित" अलग से दिखाया जाता है और कवरेज में कभी नहीं गिना जाता।

संपादकीय लिंक कैसा दिखता है

संपादकीय लिंक कभी केवल दो ID के बीच की रेखा नहीं होता। हर लिंक के साथ एक संक्षिप्त कारण होता है जिसे कोई भी जाँच सकता है। उदाहरण के लिए, SOC 2 CC4.1 (आंतरिक नियंत्रण का चल रहा और अलग मूल्यांकन) को ISO 27001 खंड 9.2 (आंतरिक ऑडिट) से जोड़ा गया है, इस नोट के साथ कि दोनों के लिए यह स्वतंत्र मूल्यांकन ज़रूरी है कि नियंत्रण काम कर रहे हैं या नहीं, निगरानी, आंतरिक ऑडिट और स्वतंत्र समीक्षा के माध्यम से। जो पाठक असहमत है, वह देख सकता है कि हमने क्या मान लिया था और हमें बता सकता है। इसे CC4.1 आवश्यकता पृष्ठ पर देखें।

मुख्य बिंदु

• लेबल आपको हर मैपिंग के साक्ष्य को तौलने देते हैं।
• संपादकीय लिंक कारणों के साथ प्रकाशित क्रॉसवॉक के वास्तविक अंतराल भरते हैं।
• हर अनुपालन मैपिंग को अपना स्रोत दिखाना चाहिए।

बाकी सभी से मेरी अपेक्षा

अपनी मैपिंग पर लेबल लगाइए। इसमें लगभग कुछ खर्च नहीं होता और यह बदल देता है कि उन पर कोई कितना भरोसा कर सकता है। यदि आप अनुपालन टूल बनाते हैं, तो हर लिंक का स्रोत दिखाइए; यदि आप उन्हें खरीदते हैं, तो उसकी माँग कीजिए। हमारी कार्यप्रणाली हर नियम समझाती है, और डाउनलोड में हर मैपिंग का आधार शामिल है ताकि आप हमारे काम की जाँच कर सकें, और बता सकें कि हम कहाँ गलत हैं।

प्रश्न

ControlMapping पर क्रॉसवॉक लिंक का क्या अर्थ है?

किसी प्रकाशित क्रॉसवॉक से, जो एक आधिकारिक स्रोत (NIST, ENISA, CIS या PCI SSC) का है, इस लिंक को समर्थन मिलता है, सीधे या SP 800-53 नियंत्रण के माध्यम से जो स्वयं क्रॉसवॉक से जुड़ा है।

संपादकीय लिंक का क्या अर्थ है?

इस लिंक को कोई प्रकाशित क्रॉसवॉक नहीं बनाता, लेकिन ControlMapping इन आवश्यकताओं को संबंधित मानता है; कारण हमेशा दिखाया जाता है, ताकि आप उसकी जाँच कर सकें।

क्या मैं किसी मैपिंग में सुधार का सुझाव दे सकता हूँ?

हाँ। हर आवश्यकता पृष्ठ पर एक लिंक होता है जो बताता है कि गलत या छूटी हुई मैपिंग कैसे रिपोर्ट करें; ID, आपकी अपेक्षित फ़्रेमवर्क और अपना स्रोत अवश्य शामिल करें।