अक्सर पूछे जाने वाले प्रश्न

ControlMapping का उपयोग

ControlMapping क्या है?

एक निःशुल्क संदर्भ जो दिखाता है कि 14 फ़्रेमवर्क के बीच कौन-सी सुरक्षा आवश्यकताएँ एक-दूसरे पर लागू होती हैं: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, GDPR, NIST SP 800-53, CIS Controls और Essential Eight। इसमें 1,421 आवश्यकताएँ शामिल हैं, जिन्हें 50 सुरक्षा विषयों में समूहित किया गया है, और हर लिंक दिखाता है कि वह कहाँ से आया है।

मैं गैप विश्लेषण कैसे चलाऊँ?

गैप विश्लेषण खोलें और वह फ़्रेमवर्क चुनें जो आपके पास है और जिसकी आपको ज़रूरत है। जिसकी आपको ज़रूरत है, उसकी हर आवश्यकता को या तो मैपिंग के रूप में (किसी प्रकाशित क्रॉसवॉक द्वारा या हमारे संपादकीय विवेक से) दिखाया जाता है, या ढीले तौर पर संबंधित, या हमारे डेटा में कोई मैपिंग नहीं के रूप में। जिन पंक्तियों में कोई मैपिंग नहीं है, वही संभवतः आपका नया काम हैं। परिणाम को CSV के रूप में निर्यात करें, जिसमें मालिक, स्थिति और साक्ष्य के खाली कॉलम हों, ताकि उसे ट्रैकर के रूप में इस्तेमाल किया जा सके।

प्रतीकों का क्या अर्थ है?

क्रॉसवॉक (ठोस वर्ग): एक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS या PCI SSC का) यह संबंध बनाता है। संपादकीय (रूपरेखा वाला वर्ग): वह हमारा विवेक है जहाँ कोई क्रॉसवॉक मौजूद नहीं है; कारण हमेशा दिखाया जाता है। ढीले तौर पर संबंधित (एम्बर वलय): दोनों केवल एक NIST CSF 2.0 परिणाम साझा करते हैं, इसलिए उस पर भरोसा करने से पहले जाँच लें। हमारे डेटा में कोई मैपिंग नहीं (डैश): आम तौर पर यह नया काम होता है, लेकिन कुछ फ़्रेमवर्क के लिए कवरेज आंशिक है। हीरा उन CSF परिणामों को चिह्नित करता है जो किसी विषय को परिभाषित करते हैं। देखें पद्धति।

विषय क्या है?

एक सुरक्षा विषय, जैसे एन्क्रिप्शन, मल्टी-फ़ैक्टर ऑथेंटिकेशन या इंसिडेंट रिस्पॉन्स। हर विषय NIST CSF 2.0 परिणामों द्वारा परिभाषित होता है, और उसमें हर उस फ़्रेमवर्क की आवश्यकता सूचीबद्ध होती है जो उसे संबोधित करता है। विषय पृष्ठ किसी एक विषय को सभी फ़्रेमवर्क में देखने का सबसे त्वरित तरीका हैं।

क्या मैं डेटा डाउनलोड कर सकता हूँ?

हाँ। डाउनलोड पृष्ठ पर पूरा क्रॉसवॉक CSV, Excel और JSON के रूप में CC BY 4.0 के अंतर्गत उपलब्ध है, और हर फ़ाइल में तृतीय-पक्ष सामग्री के लाइसेंस नोट किए गए हैं।

क्या ControlMapping निःशुल्क है?

हाँ: कोई खाता नहीं और कोई पेवॉल नहीं। डेटा CC BY 4.0 के अंतर्गत पुनः उपयोग के लिए निःशुल्क है।

सटीकता और स्रोत

मैपिंग कितनी सटीक है?

साइट बनते समय हर आवश्यकता ID की जाँच फ़्रेमवर्क के आधिकारिक कैटलॉग से की जाती है, और वापस ली गई ID पर बिल्ड विफल हो जाता है। क्रॉसवॉक लेबल वाले लिंक प्रकाशित क्रॉसवॉक से आते हैं; संपादकीय लेबल वाले लिंक हमारा विवेक हैं, जिनमें हर एक का कारण दिया गया है। क्रॉसवॉक यह दिखाते हैं कि आवश्यकताएँ संबंधित परिणामों को संबोधित करती हैं, न कि यह कि एक को पूरा करने से दूसरी भी पूरी होती है। इसलिए साइट का उपयोग योजना बनाने के लिए करें, और ऑडिट के लिए उस पर भरोसा करने से पहले स्रोत पाठ से पुष्टि कर लें।

क्रॉसवॉक कहाँ से आते हैं?

NIST (CSF 2.0 के सूचनात्मक संदर्भ, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 परिशिष्ट D), ENISA (NIS2 → ISO 27001 और CSF 2.0), CIS (CIS Controls → CSF 2.0) और PCI SSC (PCI DSS → CSF 2.0)। SOC 2, GDPR और Essential Eight के लिए कोई खुले लाइसेंस वाला क्रॉसवॉक नहीं है, इसलिए उनके लिंक संपादकीय हैं। पद्धति हर स्रोत और संस्करण का नाम देती है।

ISO, PCI या SOC 2 आवश्यकताओं का पूरा पाठ मुझे क्यों नहीं दिखता?

वह पाठ ISO, PCI SSC और AICPA का कॉपीराइट है। हम ID, ISO के शीर्षक, और PCI DSS व SOC 2 के लिए अपने स्वयं के छोटे सारांश दिखाते हैं। NIST, HIPAA, NIS2 और Essential Eight का पाठ वहाँ दिखाया जाता है जहाँ उसका लाइसेंस अनुमति देता है।

मुझे एक गलती मिली। मैं इसकी रिपोर्ट कैसे करूँ?

किसी भी आवश्यकता पृष्ठ पर मौजूद त्रुटि रिपोर्ट करें लिंक का उपयोग करें, या बारे में पृष्ठ देखें।

फ़्रेमवर्क

SOC 2 और ISO 27001 में क्या अंतर है?

ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली के लिए एक प्रमाणपत्र पर समाप्त होता है, जिसे एक मान्यता प्राप्त प्रमाणन निकाय जारी करता है और जो तीन वर्ष तक वैध रहता है। SOC 2 एक रिपोर्ट पर समाप्त होता है: आपके नियंत्रणों पर एक CPA फ़र्म की राय, जो आम तौर पर 3 से 12 महीने की अवधि (Type II) में होती है। इनके सुरक्षा नियंत्रण काफ़ी हद तक एक-दूसरे से मेल खाते हैं; ISO प्रबंधन प्रणाली जोड़ता है, और SOC 2 वैकल्पिक उपलब्धता, गोपनीयता, प्रसंस्करण अखंडता और निजता मानदंड जोड़ता है। देखें ISO 27001 बनाम SOC 2।

क्या मुझे SOC 2 Type I या Type II चाहिए?

अधिकांश ग्राहक Type II माँगते हैं, जो जाँचता है कि नियंत्रण एक अवधि में संचालित हुए या नहीं। Type I केवल एक समय बिंदु पर डिज़ाइन को कवर करता है; Type II की अवधि चलते समय यह पहले चरण के रूप में उपयोगी है। देखें SOC 2 गाइड।

क्या ISO 27001 प्रमाणन NIS2 की आवश्यकताएँ पूरी करता है?

अपने आप नहीं। ENISA NIS2 कार्यान्वयन विनियमन के हर तकनीकी उपाय को ISO 27001 से मैप करता है, इसलिए प्रमाणित संगठनों का बहुत-सा काम पहले से हुआ होता है; पर NIS2 घटना रिपोर्टिंग की समय-सीमाएँ (24 घंटे, 72 घंटे, एक महीना), प्रबंधन प्रशिक्षण और जवाबदेही, तथा राष्ट्रीय प्राधिकरण के साथ पंजीकरण भी जोड़ता है। देखें NIS2 गाइड।

NIST CSF और NIST SP 800-53 में क्या अंतर है?

CSF 2.0 परिणाम (106 उप-श्रेणियाँ) वर्णित करता है और अधिकांश संगठनों के लिए स्वैच्छिक है। SP 800-53 नियंत्रणों का कैटलॉग है जो वे परिणाम प्राप्त करते हैं; यह US संघीय प्रणालियों के लिए अनिवार्य है और FedRAMP का आधार है। NIST दोनों के बीच आधिकारिक मैपिंग प्रकाशित करता है, जिसका यह साइट उपयोग करती है।

CMMC Level 2 किसे चाहिए?

US Department of Defense (DoD) के ठेकेदार और उप-ठेकेदार जो Controlled Unclassified Information (CUI) संभालते हैं। Level 2 में NIST SP 800-171 Rev 2 की 110 आवश्यकताएँ हैं, जिनका मूल्यांकन या तो स्व-मूल्यांकन द्वारा होता है, या अधिकांश CUI अनुबंधों के लिए एक मान्यता प्राप्त तृतीय-पक्ष मूल्यांकक (C3PAO) द्वारा।

क्या NIST CSF, HIPAA या Essential Eight के लिए कोई प्रमाणन है?

कोई आधिकारिक नहीं। NIST CSF और Essential Eight का मूल्यांकन किया जाता है, प्रमाणन नहीं; HIPAA को HHS के Office for Civil Rights द्वारा लागू किया जाता है। तीनों के लिए तृतीय-पक्ष आश्वासन मौजूद हैं, पर इनमें से कोई भी आधिकारिक प्रमाणपत्र नहीं है।