Blog
Blog
Analisis berdasarkan data crosswalk, panduan praktis, dan opini dari Paul Gillet. Feed RSS
Analisis
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.
Analisis · 2026-10-13Persyaratan MFA dibandingkan di 11 kerangka kerja keamananKerangka kerja mana yang mewajibkan MFA, untuk siapa, dan seberapa ketat: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, dan HIPAA dibandingkan berdampingan.
Analisis · 2026-09-29Aturan Keamanan HIPAA melalui kacamata NIST CSF 2.0Program NIST CSF 2.0 memetakan hampir setiap persyaratan Aturan Keamanan HIPAA. Apa yang tetap berlaku, dua yang tidak, dan apa yang ditambahkan CSF di luar HIPAA.
Analisis · 2026-09-15Perbandingan persyaratan enkripsi: apa yang ditetapkan kerangka kerja dan apa yang mereka serahkan kepada AndaCara ISO 27001, PCI DSS, CMMC, HIPAA, GDPR dan NIS2 mengatur enkripsi data diam, enkripsi data dalam transit, dan manajemen kunci, beserta ID persyaratannya.
Analisis · 2026-08-18Persyaratan respons insiden dibandingkan lintas kerangka kerjaRencana respons insiden, pengujian, dan tenggat waktu pelaporan dibandingkan lintas ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC dan HIPAA.
Analisis · 2026-08-04Keamanan fisik lintas kerangka kerja: topik yang dilupakanPersyaratan keamanan fisik dibandingkan di ISO 27001, PCI DSS, CMMC, HIPAA dan SOC 2, serta cara perusahaan berbasis cloud-first memenuhinya.
Analisis · 2026-07-02Persyaratan pencatatan log dan retensi log dibandingkanPencatatan audit dan retensi log dibandingkan di ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC dan NIST, termasuk beberapa periode retensi tetap.
Analisis · 2026-05-19Seberapa banyak PCI DSS v4.0.1 yang sebenarnya dicakup oleh ISO 27001?ISO 27001 memetakan kurang dari sepertiga persyaratan PCI DSS v4.0.1. Di mana letak tumpang tindihnya, mengapa sebagian besar PCI merupakan pekerjaan baru bahkan bagi ISMS, dan cara merencanakannya.
Analisis · 2026-04-07Pasal-pasal keamanan GDPR yang dipetakan: sisi keamanan dari undang-undang privasiGDPR adalah undang-undang privasi, tetapi Pasal 5, 25, 28, 32 hingga 35, dan 37 hingga 39 membebankan kewajiban keamanan. Bagaimana pasal-pasal tersebut dipetakan ke ISO 27001 dan NIST, serta apa yang tidak tercakup oleh ISMS.
Analisis · 2026-02-24Persyaratan backup dan pemulihan lintas kerangka kerjaFrekuensi backup, perlindungan, dan pengujian pemulihan dibandingkan di ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight, dan NIST.
Analisis · 2026-01-06CMMC Level 2 ke SP 800-53: isi Appendix D dari NISTSetiap praktik CMMC Level 2 ditelusuri ke SP 800-53 melalui Appendix D SP 800-171. Cara kerja pemetaan, perubahan Rev 5, dan satu praktik yang tersisa.
Analisis · 2025-11-25Topik keamanan yang paling sedikit diwajibkan oleh kerangka kerja, dan mengapa hal itu pentingKeamanan DNS, intelijen ancaman, keamanan API, dan perlindungan aplikasi web adalah topik yang paling sedikit diwajibkan oleh kerangka kerja. Mengapa demikian, dan mengapa hal itu bukan izin untuk melewatkannya.
Analisis · 2025-10-14Apa yang dicakup ISO 27001 dalam NIS2, poin demi poinISO 27001 memetakan setiap poin Peraturan Pelaksana NIS2, namun sertifikasi saja tidak sama dengan kepatuhan NIS2. Apa yang dapat diterapkan, apa yang tidak, dan mengapa.
Analisis · 2025-08-27Crosswalk atau penilaian? Seberapa besar pemetaan kerangka kerja yang didasarkan pada bukti terbitanKami memberi label pada setiap pemetaan kerangka kerja sebagai crosswalk terbitan atau penilaian Editorial. Bagaimana pembagiannya berbeda antar kerangka kerja, dan mengapa hal itu penting bagi Anda.
Analisis · 2025-07-15Inti bersama: persyaratan keamanan di setiap kerangka kerjaLima topik keamanan muncul di seluruh 11 kerangka kerja utama, dari ISO 27001 dan SOC 2 hingga NIS2 dan Essential Eight. Apa saja topik tersebut, dan mengapa perlu dibangun terlebih dahulu.
Analisis · 2025-06-03Celah CIS Controls: mengapa hanya 49 dari 153 safeguard memiliki crosswalk yang dipublikasikanPemetaan CIS yang dipublikasikan ke NIST CSF 2.0 hanya mencakup 49 dari 153 safeguard CIS Controls v8.1. Mengapa demikian, dan apa artinya bagi pemetaan CIS yang Anda andalkan.
Analisis · 2025-04-17Risiko vendor dan rantai pasok: siapa mewajibkan apaPersyaratan keamanan pemasok dan rantai pasok dibandingkan di ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA dan NIST CSF 2.0.
Analisis · 2025-04-02Kriteria SOC 2 tanpa padanan ISO 27001, dan alasan keberadaannyaSebagian besar kriteria SOC 2 dipetakan ke ISO 27001, tetapi Processing Integrity dan sebagian besar kriteria Privacy tidak. Mana saja, mengapa, dan apa yang harus dilakukan jika termasuk dalam lingkup.
Analisis · 2025-03-04NIST CSF 1.1 ke 2.0: ke mana subkategori yang ditarik dipindahkanNIST menarik 79 subkategori CSF 1.1 dalam CSF 2.0, dengan memindahkan atau menggabungkannya ke subkategori lain. Tabel lengkap tujuan masing-masing subkategori, serta cara memperbarui pemetaan lama.
Analisis · 2025-01-21Fungsi Mengatur NIST CSF 2.0: kerangka kerja mana yang sudah mencakupnya?CSF 2.0 menambahkan fungsi Mengatur untuk strategi risiko, peran, kebijakan, pengawasan, dan risiko rantai pasok. Kerangka kerja mana yang sudah mencakupnya, dan apa kesenjangannya.
Analisis · 2024-12-05Kerangka kerja keamanan mana yang menjadi titik awal terbaik? Kami mengukurnyaKami mengukur seberapa besar cakupan sepuluh kerangka kerja lain oleh masing-masing dari 11 kerangka kerja keamanan. SP 800-53 dan ISO 27001 memimpin, tetapi siapa yang bertanya yang menentukan.
Analisis · 2024-10-22Essential Eight vs ISO 27001: Mengapa Sebagian Besar Hanya "Terkait secara longgar"ISO 27001 secara prinsip mencakup setiap strategi Essential Eight, tetapi sebagian besar kontrol ASD hanya terkait secara longgar dengan Annex A. Inilah artinya bagi Anda.Panduan
Panduan · 2026-09-01Mempersiapkan penilaian CMMC Level 2 ketika Anda sudah menjalankan SP 800-53Cara organisasi yang sudah menjalankan NIST SP 800-53 dapat mempersiapkan penilaian CMMC Level 2: cakupan CUI, SSP, penggunaan ulang bukti, dan jebakan yang perlu dihindari.
Panduan · 2026-07-21Cara membaca crosswalk, dan kapan tidak boleh memercayainyaApa yang dan tidak diungkapkan crosswalk kerangka kerja: jenis relasi, arah, versi, granularitas, penyusun, dan pemeriksaan sebelum Anda mengandalkannya.
Panduan · 2026-06-03Dari ISO 27001 ke NIS2: rencana praktis untuk menutup kesenjanganRencana langkah demi langkah bagi organisasi bersertifikasi ISO 27001 yang kini tunduk pada NIS2: ruang lingkup, registrasi, tugas manajemen, pelaporan, dan langkah teknis yang lebih mendalam.
Panduan · 2026-04-21Due diligence vendor: satu proses untuk banyak kerangka kerjaSatu proses due diligence vendor untuk ISO 27001, SOC 2, PCI DSS, GDPR, HIPAA dan NIS2: penjenjangan, laporan asurans, kontrak, dan pemantauan.
Panduan · 2026-03-10Dari laporan kesenjangan ke rencana proyek: pemilik, bukti, dan jadwalCara mengubah analisis kesenjangan kerangka kerja menjadi rencana proyek: alur kerja, urutan, estimasi, pemilik, dan bukti yang dilacak hingga audit.
Panduan · 2026-01-21Bukti manajemen perubahan yang diterima auditorBukti manajemen perubahan yang lolos audit SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS dan NIS2, dari pull request hingga perubahan darurat.
Panduan · 2025-12-09Tinjauan akses pengguna yang memuaskan setiap auditorCara menjalankan tinjauan akses pengguna yang lolos audit ISO 27001, SOC 2, PCI DSS, HIPAA dan CMMC: lingkup, frekuensi, peninjau, dan bukti.
Panduan · 2025-10-28Cara menjalankan analisis kesenjangan antara dua kerangka kerja, dan mengubahnya menjadi trackerMetode praktis analisis kesenjangan antara dua kerangka kerja keamanan: penentuan ruang lingkup, membaca setiap kecocokan, memvalidasi tautan, dan mengubahnya menjadi tracker.
Panduan · 2025-09-11Satu risk assessment untuk ISO 27001, SOC 2 dan HIPAACara menjalankan satu penilaian risiko keamanan informasi yang memenuhi ISO 27001, SOC 2 dan HIPAA Security Rule, serta apa yang diperiksa oleh setiap audit.
Panduan · 2025-07-29Memilih target tingkat kematangan Essential Eight AndaCara memilih target tingkat kematangan Essential Eight: apa yang dilindungi oleh setiap tingkat, siapa yang membutuhkan Level Two atau Three, dan cara meningkatkannya.
Panduan · 2025-06-17Menulis Statement of Applicability yang lolos auditCara menulis Statement of Applicability ISO 27001:2022: isi yang wajib ada, pembenaran pengecualian, dan temuan audit yang umum.
Panduan · 2025-05-20Pelaporan kepada dewan dengan profil NIST CSF 2.0Cara menggunakan Profil Saat Ini dan Profil Target NIST CSF 2.0 untuk melaporkan keamanan siber kepada dewan: apa yang perlu ditampilkan dan cara menghubungkannya dengan kerangka kerja Anda.
Panduan · 2025-05-01Menentukan cakupan laporan SOC 2 pertama tanpa berjanji terlalu banyakCara menentukan cakupan laporan SOC 2 pertama: sistem, Trust Services Criteria, carve-out, user entity controls, serta kesalahan cakupan yang mahal.
Panduan · 2025-03-18Memetakan satu kumpulan kebijakan ke beberapa kerangka kerja tanpa menulis ulangCara menyusun satu kumpulan kebijakan keamanan yang memenuhi ISO 27001, SOC 2, NIST, PCI DSS, dan NIS2, serta apa yang diwajibkan setiap kerangka kerja secara tertulis.
Panduan · 2025-02-04Menyusun prosedur pelaporan insiden untuk tenggat 24 dan 72 jam NIS2Cara menyusun prosedur pelaporan insiden signifikan NIS2: menentukan signifikansi, peringatan dini 24 jam, pemberitahuan 72 jam, dan laporan akhir satu bulan.
Panduan · 2024-12-24Bukti yang Dapat Dipakai Ulang: SOC 2, ISO 27001, PCI DSSBukti audit mana yang sekaligus memenuhi SOC 2, ISO 27001 dan PCI DSS, apa yang dibutuhkan setiap auditor yang tidak dibutuhkan auditor lain, dan cara mengumpulkannya sekali saja.
Panduan · 2024-11-06Satu set kontrol untuk SOC 2 dan ISO 27001: jalankan keduanya tanpa mengerjakan semuanya dua kaliCara menjalankan SOC 2 dan ISO 27001 dari satu set kontrol: apa saja yang tumpang tindih, apa yang ditambahkan masing-masing, cara menyusun kontrol dan bukti, serta cara menyelaraskan audit.Opini
Opini · 2026-06-17Mengapa kami memberi label pada setiap pemetaan sebagai "crosswalk" atau "editorial"Mengapa ControlMapping menandai setiap pemetaan sebagai crosswalk terbitan atau penilaian editorial, dan mengapa sumber yang jelas penting bagi data kepatuhan.
Opini · 2026-05-05Kasus untuk data kepatuhan yang terbuka dan gratisPemetaan kerangka kerja sebagian besar terkunci di dalam alat berbayar dan spreadsheet. Mengapa data pemetaan kepatuhan harus terbuka, bersumber, dan gratis untuk digunakan ulang.
Opini · 2026-03-24Pelajaran 20 tahun keamanan siber tentang auditPelajaran dari dua dekade audit keamanan: bukti lebih kuat daripada narasi, cakupan menentukan segalanya, dan kontrol gagal ketika tidak ada yang memilikinya.
Opini · 2026-02-05Kebijakan keamanan yang ditulis AI: jalan pintas yang berguna atau risiko audit?AI generatif dapat menyusun draf kebijakan keamanan dalam hitungan menit. Di mana hal itu membantu, di mana hal itu memunculkan temuan audit, dan cara memakainya tanpa menghasilkan kebijakan yang kosong.
Opini · 2025-12-23Kepatuhan bukan keamanan, tetapi crosswalk membantu keduanyaMengapa lolos audit tidak membuat organisasi aman, di mana kepatuhan dan keamanan selaras, dan bagaimana pemetaan kerangka kerja membebaskan waktu untuk keamanan.
Opini · 2025-11-11Berhenti membeli alat kepatuhan sebelum Anda menulis kebijakanMengapa organisasi yang membeli alat kepatuhan atau keamanan sebelum memutuskan cara mereka beroperasi sering berakhir dengan shelfware, dan urutan kerja yang menghindarinya.
Opini · 2025-09-25Masalah dengan crosswalk vendor yang tidak bisa Anda periksaPlatform kepatuhan memetakan satu kontrol ke banyak kerangka kerja dengan crosswalk yang tidak dapat diperiksa siapa pun. Mengapa hal itu berisiko, dan apa yang sebaiknya Anda tuntut sebagai gantinya.
Opini · 2025-08-12Tanggung jawab manajemen NIS2: akankah cara dewan bertindak berubah?NIS2 mewajibkan badan manajemen menyetujui, mengawasi, dan mengikuti pelatihan keamanan siber, disertai tanggung jawab hukum. Apakah itu akan mengubah perilaku dewan, dan apa yang seharusnya dilakukan dewan.
Opini · 2025-07-01Apakah perusahaan kecil memerlukan ISO 27001?Kapan ISO 27001 masuk akal bagi perusahaan kecil, kapan SOC 2 atau baseline teknis sebaiknya didahulukan, dan cara menjaga sertifikasi tetap proporsional.
Opini · 2025-02-18Kelelahan kerangka kerja: pilih satu kerangka kerja hub dan petakan semua yang lain ke sanaOrganisasi yang harus memenuhi beberapa kerangka kerja keamanan sering kelelahan karena menjalankan masing-masing secara terpisah. Mengapa memilih satu kerangka kerja hub dan memetakan yang lain ke sana justru lebih baik.
Opini · 2025-01-07Haruskah organisasi di luar Australia menggunakan Essential Eight?Essential Eight dari ASD adalah baseline Australia dengan saran yang bersifat universal. Mengapa organisasi di luar Australia mungkin mengadopsinya, dan bagaimana ia cocok dengan ISO atau NIST.
Opini · 2024-11-20Mengapa "apakah Anda bersertifikat SOC 2?" adalah pertanyaan yang keliruTidak ada sertifikasi SOC 2. Apa sebenarnya yang ditanyakan, apa yang ditunjukkan dan tidak ditunjukkan oleh laporan SOC 2, serta pertanyaan yang lebih baik untuk diajukan kepada vendor.