कार्यप्रणाली
ControlMapping सुरक्षा आवश्यकताओं को 50 विषयों (Encryption, Multi-Factor Auth, Incident Response, …) में समूहित करता है और दिखाता है कि प्रत्येक फ़्रेमवर्क में कौन-सी आवश्यकता हर विषय को कवर करती है। यह पृष्ठ बताता है कि हर मैपिंग कहाँ से आती है, ताकि आप तय कर सकें कि उस पर कितना भरोसा करना है।
चिह्नों को समझना
पाँच चिह्नों का अर्थ हर पृष्ठ पर एक जैसा रहता है। हर चिह्न के साथ एक लेबल होता है; रंग केवल सहायक संकेत है।
- विषय की परिभाषा: NIST CSF 2.0 के वे परिणाम जो इस विषय को परिभाषित करते हैं।
- क्रॉसवॉक: एक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध स्थापित करता है।
- संपादकीय: जहाँ कोई क्रॉसवॉक मौजूद नहीं है, वहाँ ControlMapping का निर्णय; कारण दिखाया जाता है।
- : केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं।
- हमारे डेटा में कोई मैपिंग नहीं: हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, लेकिन कवरेज संबंधी नोट्स देखें।
एक मैपिंग वह है जो क्रॉसवॉक या संपादकीय है: दोनों आवश्यकताओं को एक ही विषय में क्यूरेट किया गया है, या सीधे जोड़ा गया है। गैप टूल, तुलनाओं और गिनतियों में केवल मैपिंग को कवरेज माना जाता है। जाँचने योग्य संकेत है, कभी कवरेज नहीं।
हमारे डेटा में कोई मैपिंग नहीं का अर्थ है कि हमारे डेटा में कुछ भी मैप नहीं है। अधिकतर फ़्रेमवर्क के लिए यह संभवतः नया काम है, लेकिन कवरेज असमान है: CIS v8.1: CIS के अधिकांश लिंक संपादकीय हैं; CIS का प्रकाशित क्रॉसवॉक 153 सुरक्षा उपायों में से 49 को कवर करता है; SOC 2: SOC 2 के लिंक केवल संपादकीय हैं; GDPR: केवल GDPR के सुरक्षा अनुच्छेद मैप किए गए हैं, संपादकीय तौर पर; Essential Eight: Essential Eight के लिंक केवल संपादकीय हैं; DORA: DORA के लिंक संपादकीय हैं, और इसके तकनीकी मानक मैप नहीं किए गए हैं; CPS 234: CPS 234 सिद्धांत-आधारित है और इसके लिंक संपादकीय हैं; Cyber Essentials: Cyber Essentials केवल पाँच तकनीकी नियंत्रणों को कवर करता है। वहाँ "अभी तक मैप नहीं" के रूप में मैपिंग न होने को लें, और बजट बनाने से पहले जाँच लें।
1. NIST CSF 2.0 केंद्र है
हर विषय को NIST Cybersecurity Framework 2.0 की एक या अधिक उप-श्रेणियों द्वारा परिभाषित किया जाता है (उदाहरण के लिए, Encryption = PR.DS-01 data-at-rest और PR.DS-02 data-in-transit)। उन उप-श्रेणियों का चयन हमारा संपादकीय निर्णय है, और यह हर विषय पृष्ठ पर दिखाया जाता है।
2. क्रॉसवॉक बनाम संपादकीय
हर अन्य फ़्रेमवर्क के लिए, विषय के विरुद्ध सूचीबद्ध हर आवश्यकता की जाँच NIST के Online Informative References (OLIR) कैटलॉग के प्रकाशित क्रॉसवॉक से की जाती है:
- क्रॉसवॉक: एक प्रकाशित क्रॉसवॉक उस आवश्यकता को विषय की CSF उप-श्रेणियों में से किसी एक से जोड़ता है, या तो सीधे, या किसी SP 800-53 नियंत्रण के माध्यम से जो स्वयं जुड़ा हुआ है। लिंक दिखाया जाता है, जैसे "Crosswalk: PR.DS-01" या "NIST HIPAA map: SC-13"।
- संपादकीय: कोई प्रकाशित क्रॉसवॉक यह लिंक नहीं बनाता, लेकिन हम इसे प्रासंगिक मानते हैं, और कारण दिखाया जाता है। हर GDPR, SOC 2 और Essential Eight मैपिंग संपादकीय है: इनके लिए कोई खुले तौर पर लाइसेंस प्राप्त क्रॉसवॉक मौजूद नहीं है।
क्रॉसवॉक की विश्वसनीयता अलग-अलग है। NIST या फ़्रेमवर्क के स्वामी द्वारा बनाए गए क्रॉसवॉक (CIS Controls के लिए CIS) सबसे मज़बूत हैं। PCI DSS क्रॉसवॉक PCI SSC का अपना है। ISO 27001 के CSF 2.0 से क्रॉसवॉक स्वतंत्र पक्षों द्वारा प्रस्तुत किए गए थे, और NIST गैर-NIST प्रस्तुतियों की शुद्धता की पुष्टि नहीं करता। ISO लिंक की जाँच NIST के अपने 800-53 → ISO 27001 मैपिंग से भी की जाती है। नीचे दी गई तालिका हर स्रोत का नाम देती है।
पूरे 800-53 नियंत्रण परिवारों के माध्यम से बने लिंक (NIST का पुराना डेटा कुछ उप-श्रेणियों को हर परिवार से जोड़ता है) प्रमाण के रूप में नहीं गिने जाते। CMMC, HIPAA या ISO का कोई लिंक जो SP 800-53 नियंत्रण के माध्यम से जाता है, तभी गिना जाता है जब वह 800-53 नियंत्रण स्वयं विषय से क्रॉसवॉक-लिंक्ड हो।
CSF 2.0 के बाहर की 968 आवश्यकता मैपिंग में से, 475 क्रॉसवॉक द्वारा समर्थित हैं और 493 संपादकीय हैं।
3. आवश्यकता-से-आवश्यकता संबंध
आवश्यकता पृष्ठ, तुलनाएँ, गैप टूल और डाउनलोड फ़्रेमवर्क के बीच आवश्यकताओं को जोड़ते हैं। दो आवश्यकताएँ मैप की गई मानी जाती हैं जब:
- दोनों एक ही ControlMapping विषय के चयन हों (जैसा ऊपर क्यूरेट और सत्यापित किया गया है)। लिंक क्रॉसवॉक तब होता है जब उस विषय में दोनों चयन क्रॉसवॉक-समर्थित हों, और अन्यथा संपादकीय; या
- कोई जोड़ीवार मैपिंग उन्हें सीधे जोड़ती है: ENISA की NIS2 → ISO 27001 तालिका, NIST का HIPAA → SP 800-53 क्रॉसवॉक, NIST का SP 800-53 → ISO 27001 मैपिंग, या CMMC के लिए, NIST का SP 800-171r2 Appendix D और SP 800-171r3 → SP 800-53 संदर्भ (सभी क्रॉसवॉक)। जहाँ कोई क्रॉसवॉक मौजूद नहीं है, वहाँ ControlMapping के संपादकीय जोड़ों का एक छोटा समूह (उदाहरण के लिए SOC 2 CC4.1 ↔ ISO 27001 Clause 9.2) स्पष्ट रिक्तियाँ भरता है; हर एक अपना कारण रखता है (संपादकीय)।
अन्यथा, जो दो आवश्यकताएँ एक ही NIST CSF 2.0 उप-श्रेणी से जुड़ी हैं, वे के रूप में दिखाई जाती हैं: वे संबंधित परिणामों को संबोधित करती हैं, लेकिन एक दूसरे की आवश्यकता पूरी नहीं करती। ये संकेत रैंक किए जाते हैं (पहले क्रॉसवॉक-समर्थित, फिर साझा परिणामों के आधार पर), आवश्यकता पृष्ठों पर प्रति फ़्रेमवर्क 8 तक सीमित रहते हैं, और संक्षिप्त (collapsed) रखे जाते हैं। दो प्रकार के लिंक शोर मानकर हटा दिए जाते हैं: केवल CSF के सामान्य सुधार परिणामों (ID.IM) के माध्यम से साझा लिंक, और SP 800-53 "-1" नीति-और-प्रक्रिया नियंत्रण, जब तक साझा परिणाम नीति से संबंधित न हो (GV.PO)।
CMMC प्रैक्टिस अपने SP 800-171 Rev 3 समकक्ष या Appendix D के 800-53 नियंत्रणों के माध्यम से CSF 2.0 तक पहुँचती हैं, और HIPAA आवश्यकताएँ NIST के HIPAA → SP 800-53 क्रॉसवॉक के माध्यम से। डाउनलोड में हर आवश्यकता → CSF 2.0 लिंक शामिल है, ताकि आप काम की जाँच या विस्तार कर सकें।
4. हर ID सत्यापित है
यदि कोई आवश्यकता ID अपने फ़्रेमवर्क के कैटलॉग में मौजूद नहीं है या वापस ले ली गई है, तो बिल्ड विफल हो जाता है (उदाहरण के लिए, CSF 1.1 ID जैसे ID.BE-01, जिन्हें CSF 2.0 में वापस ले लिया गया था)।
5. स्रोत और संस्करण
| फ़्रेमवर्क | आवश्यकता कैटलॉग | उपयोग किया गया क्रॉसवॉक | मैपिंग (क्रॉसवॉक) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | CSF 2.0 का NIST CPRT निर्यात (वापस ली गई 1.1 उप-श्रेणियों सहित) | केंद्र: हर विषय CSF 2.0 उप-श्रेणियों द्वारा परिभाषित है | — |
| ISO/IEC 27001:2022 | Annex A नियंत्रण और क्लॉज़ संख्याएँ संक्षिप्त शीर्षकों सहित (मानक का पाठ ISO का कॉपीराइट है) | ISO/IEC 27001:2022 से CSF 2.0 (OLIR, स्वतंत्र प्रस्तुतकर्ता) और NIST का अपना SP 800-53 Rev 5 से ISO/IEC 27001:2022 मैपिंग | 105 (99) |
| CIS Controls v8.1 | CIS के शीर्षकों सहित CIS Controls v8.1 सुरक्षा उपाय (CC BY-NC-ND 4.0) | OLIR में CIS का अपना CIS Controls v8.1 से CSF 2.0 मैपिंग, जो 153 में से 49 सुरक्षा उपायों को कवर करती है; शेष संपादकीय हैं | 163 (40) |
| SOC 2 (Trust Services Criteria) | 2017 Trust Services Criteria ID (संशोधित focus बिंदु 2022) ControlMapping के अपने एक-पंक्ति सारांश सहित; मानदंड का पाठ AICPA का कॉपीराइट है | AICPA TSC मैपिंग प्रकाशित करता है (उदाहरण के लिए NIST 800-53 और ISO 27001 से), लेकिन खुले लाइसेंस के तहत नहीं, इसलिए यहाँ की सभी SOC 2 मैपिंग ControlMapping की संपादकीय हैं | 66 (0) |
| PCI DSS v4.0.1 | PCI DSS v4.0.1 आवश्यकता क्रमांकन (क्रॉसवॉक के विरुद्ध जाँचा गया) ControlMapping के अपने एक-पंक्ति सारांश सहित; आवश्यकता का पाठ PCI SSC का कॉपीराइट है | PCI SSC का अपना PCI DSS v4.0.1 से CSF 2.0 मैपिंग (Board of Advisors), जो NIST के CSF 2.0 informative references में प्रकाशित है | 95 (70) |
| CMMC Level 2 | SP 800-171 Rev 2 का NIST CPRT निर्यात (110 CMMC Level 2 प्रैक्टिस) DoD के CMMC Level 2 प्रैक्टिस नामों सहित | NIST SP 800-171 Rev 2 Appendix D (→ SP 800-53, Rev 4 ID Rev 5 में ले जाए गए), साथ ही मिलती Rev 3 आवश्यकता के माध्यम से SP 800-171 Rev 3 → SP 800-53 और CSF 2.0 → 800-171r3 संदर्भ | 72 (60) |
| NIST SP 800-53 Rev 5.2 | NIST OSCAL कैटलॉग, SP 800-53 Rev 5.2.0 (वापस लिए गए नियंत्रणों सहित) | NIST CSF 2.0 informative references (800-53 Rev 5.2.0 और 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): Security Rule मानक और कार्यान्वयन विनिर्देश। ID NIST के रूप का पालन करते हैं, जो मानकों पर CFR के अंतिम (1) को हटा देता है: यहाँ §164.310(a) का अर्थ है §164.310(a)(1) | NIST के HIPAA Security Rule से SP 800-53 Rev 5.1.1 क्रॉसवॉक (OLIR), विषय के क्रॉसवॉक-समर्थित 800-53 नियंत्रणों के माध्यम से | 47 (36) |
| GDPR | सुरक्षा दायित्व वाले GDPR अनुच्छेद (Arts. 5, 24–25, 28–30, 32–35, 37–39) | कोई मौजूद नहीं (GDPR एक गोपनीयता कानून है), इसलिए सभी GDPR मैपिंग संपादकीय हैं | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | Commission Implementing Regulation (EU) 2024/2690 के Annex के 49 आवश्यकता बिंदु, ENISA के शीर्षकों सहित | ENISA की आधिकारिक मैपिंग तालिका (v1.2) हर बिंदु से NIST CSF 2.0 और ISO/IEC 27001:2022 तक; सामान्यीकृत (उदाहरण के लिए वापस ली गई CSF 1.1 ID NIST के डेटा के माध्यम से स्थानांतरित), और सामान्य ID.IM सुधार लिंक केवल तब उपयोग किए गए जब और कुछ मैप न हो | 65 (64) |
| ASD Essential Eight | 126 Information Security Manual नियंत्रण जिन्हें ASD Essential Eight परिपक्वता स्तरों से टैग करता है (ISM सितंबर 2026, CC BY 4.0), ASD की आठ रणनीतियों द्वारा समूहित | कोई नहीं: ASD NIST या ISO के लिए Essential Eight/ISM क्रॉसवॉक प्रकाशित नहीं करता, इसलिए रणनीति → CSF 2.0 लिंक और विषय मैपिंग ControlMapping की संपादकीय हैं। नियंत्रण-से-रणनीति असाइनमेंट ASD के Essential Eight Maturity Model का अनुसरण करता है | 62 (0) |
| DORA (Regulation (EU) 2022/2554) | Regulation (EU) 2022/2554 जैसा Official Journal (Publications Office) में प्रकाशित है: वित्तीय संस्थाओं पर बाध्यकारी 22 अनुच्छेद, उनके पैराग्राफ और बिंदु पाठ सहित | कोई मौजूद नहीं, इसलिए सभी DORA मैपिंग संपादकीय हैं, पैराग्राफ या बिंदु स्तर पर, हर एक के कारण सहित | 93 (0) |
| APRA CPS 234 Information Security | APRA Prudential Standard CPS 234 जैसा Federal Register of Legislation (F2018L01745, CC BY 4.0) पर पंजीकृत है: परिचालन पैराग्राफ 13 से 36, ControlMapping के संक्षिप्त शीर्षकों सहित | कोई मौजूद नहीं, इसलिए सभी CPS 234 मैपिंग संपादकीय हैं | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (अप्रैल 2026): पाँच तकनीकी नियंत्रण विषय (Crown copyright: केवल नाम) | कोई मौजूद नहीं, इसलिए सभी Cyber Essentials मैपिंग संपादकीय हैं, हर एक विशिष्ट आवश्यकता का नाम देते हुए | 11 (0) |
स्रोत डेटा 2026-10-16 को प्राप्त किया गया; मैपिंग 2026-10-27 को बनाई गई।
6. ज्ञात कमियाँ
- PCI SSC के CSF मैपिंग में कुछ मूल आवश्यकताएँ छूट जाती हैं, जिनमें MFA आवश्यकताएँ (8.4.x) और आवश्यकता 1 के अधिकांश नेटवर्क सुरक्षा नियंत्रण शामिल हैं। जहाँ हम उन्हें शामिल करते हैं, उन्हें संपादकीय चिह्नित किया गया है।
- CIS का OLIR क्रॉसवॉक 153 में से केवल 49 CIS v8.1 सुरक्षा उपायों को कवर करता है, इसलिए CIS की कई मैपिंग संपादकीय हैं। CIS एक डाउनलोड फ़ॉर्म के पीछे एक अधिक पूर्ण मैपिंग प्रकाशित करता है, जो शामिल नहीं की गई है।
- NIST का HIPAA क्रॉसवॉक SP 800-53 से मैप करता है, इसलिए कोई HIPAA आवश्यकता तभी क्रॉसवॉक-समर्थित गिनी जाती है जब वह विषय के किसी क्रॉसवॉक-लिंक्ड 800-53 नियंत्रण तक पहुँचती है।
- CMMC Level 2, SP 800-171 Rev 2 है। इसके आधिकारिक लिंक Rev 2 के अपने Appendix D से आते हैं (जो SP 800-53 Rev 4 नियंत्रणों का नाम देता है; Rev 5 में वापस लिए गए सात नियंत्रण NIST के incorporated-into लिंक का अनुसरण करते हैं, और VoIP के लिए SC-19 का कोई उत्तराधिकारी नहीं है) और मिलती Rev 3 आवश्यकता से। Rev 3 ने कुछ आवश्यकताओं को फिर से लिखा है, इसलिए Rev 3 लिंक एक ही विषय का प्रमाण है, समान शब्दों का नहीं।
- कुछ विषयों का किसी फ़्रेमवर्क में समकक्ष आवश्यकता नहीं है। उदाहरण के लिए, CMMC Level 2 में कोई recovery-planning प्रैक्टिस नहीं है और CIS v8.1 में कोई governance सुरक्षा उपाय नहीं है। ये कमियाँ वास्तविक हैं, छूट नहीं।
7. अनुपालन संबंधी सलाह नहीं
क्रॉसवॉक दिखाते हैं कि फ़्रेमवर्क समान परिणामों को कहाँ संबोधित करते हैं। वे यह सिद्ध नहीं करते कि एक आवश्यकता को पूरा करने से दूसरी भी पूरी होती है। हर फ़्रेमवर्क के आधिकारिक पाठ से और अपने assessor या auditor से पुष्टि करें।