Kerangka kerja keamanan mana yang menjadi titik awal terbaik? Kami mengukurnya
Jika Anda hanya bisa menerapkan satu kerangka kerja terlebih dahulu, pilihlah yang paling banyak membawa Anda menuju kerangka kerja lainnya. Kami mengukur seberapa jauh setiap kerangka kerja membawa Anda.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
"Kerangka kerja mana yang sebaiknya kita mulai?" adalah salah satu pertanyaan pertama yang dihadapi setiap program keamanan, dan jawaban yang biasa beredar hanyalah opini. Kami ingin angka: jika Anda menerapkan kerangka kerja X, berapa banyak dari kerangka kerja lain yang sudah tercakup?
ControlMapping memetakan persyaratan dari sebelas kerangka kerja satu sama lain, sehingga kami dapat mengukurnya. Untuk setiap kerangka kerja, kami mengambil setiap kerangka kerja lain secara bergantian dan menghitung berapa banyak persyaratannya yang memiliki setidaknya satu pemetaan ke kerangka kerja pertama, lalu merata-ratakannya dari sepuluh kerangka kerja tersebut.
Peringkatnya
| Jika Anda memiliki | Rata-rata porsi kerangka kerja lain yang dipetakan | Mencakup sebagian besar | Cakupan paling sedikit dari |
|---|---|---|---|
| 800-53 | 80% | CIS v8.1 (100%) | PCI DSS (30%) |
| ISO 27001 | 69% | CIS v8.1 (100%) | PCI DSS (30%) |
| PCI DSS | 66% | CIS v8.1 (95%) | 800-53 (28%) |
| SOC 2 | 64% | CIS v8.1 (98%) | 800-53 (26%) |
| NIST CSF 2.0 | 62% | CIS v8.1 (100%) | 800-53 (29%) |
| NIS2 | 61% | CIS v8.1 (94%) | 800-53 (25%) |
| CMMC | 58% | CIS v8.1 (93%) | PCI DSS (26%) |
| HIPAA | 50% | GDPR (92%) | PCI DSS (20%) |
| CIS v8.1 | 44% | NIS2 (69%) | 800-53 (21%) |
| GDPR | 37% | NIS2 (59%) | Essential Eight (12%) |
| Essential Eight | 24% | CIS v8.1 (50%) | 800-53 (9%) |
Bagian = persyaratan dari kerangka kerja lain dengan setidaknya satu pemetaan (crosswalk atau editorial) ke kerangka ini, dirata-ratakan dari 10 kerangka kerja lainnya. Dihitung secara langsung dari data yang sama dengan analisis celah.
Dua kerangka kerja menonjol. NIST SP 800-53 memetakan porsi terbesar dari seluruh kerangka kerja lain, dan itu tidak mengherankan: ia adalah katalog ratusan kontrol yang disusun untuk mencakup hampir setiap topik keamanan dan privasi, dan NIST menerbitkan pemetaan resmi darinya ke CSF 2.0 dan ISO 27001. ISO 27001 berada di posisi berikutnya, karena Lampiran A mencakup wilayah yang sama pada tingkat yang lebih tinggi dan klausul sistem manajemen menambahkan tata kelola yang disentuh sebagian besar kerangka kerja.
Di ujung lain, Essential Eight memetakan paling sedikit, memang dirancang demikian. Ia terdiri dari delapan strategi mitigasi yang terarah, bukan program lengkap, sehingga penerapannya membiarkan sebagian besar kerangka kerja lain tidak tersentuh. GDPR rendah karena alasan serupa: hanya pasal-pasal keamanannya yang masuk dalam cakupan.
Baca angkanya dengan cermat
Tiga hal yang perlu diingat:
- Dipetakan tidak sama dengan terpenuhi. Pemetaan berarti dua persyaratan membahas subjek yang sama. Kontrol kerentanan ISO 27001 dan persyaratan pemindaian triwulanan PCI DSS memang dipetakan, tetapi memenuhi yang pertama tidak memenuhi yang kedua.
- Kerangka kerja yang granular tampak mudah dicakup. Hampir setiap kerangka kerja tampak mencakup hampir seluruh CIS Controls. CIS memiliki 153 safeguard spesifik, sehingga sebagian besar kerangka kerja menyentuh masing-masing pada tingkat topik, dan sebagian besar tautan CIS merupakan penilaian editorial kami, karena crosswalk CIS yang dipublikasikan hanya mencakup 49 safeguard. Perlakukan kolom CIS sebagai "tersentuh", bukan "selesai".
- Kerangka kerja yang spesifik tampak sulit dicakup. PCI DSS dan SP 800-53 adalah yang paling sulit dicakup oleh kerangka kerja lain, karena keduanya memuat banyak persyaratan terperinci yang tidak dijabarkan oleh kerangka kerja yang lebih luas.
Siapa yang bertanya yang menentukan
Pengukuran ini menunjukkan kerangka kerja mana yang memberikan fondasi paling luas. Pengukuran ini tidak menunjukkan kerangka kerja mana yang Anda butuhkan, dan biasanya itulah yang menyelesaikan pertanyaan ini:
- Pelanggan perusahaan di AS meminta laporan SOC 2. Jika suatu kesepakatan bergantung padanya, mulailah dari sana.
- Pelanggan internasional, tender, dan regulator meminta sertifikasi ISO 27001.
- Pekerjaan federal AS berarti SP 800-53 (dan FedRAMP untuk cloud); kontrak pertahanan berarti CMMC Level 2.
- Pembayaran kartu berarti PCI DSS, apa pun yang lain Anda lakukan.
- Penyedia digital UE dan sektor kritis memerlukan NIS2.
- Belum ada yang bertanya? ISO 27001 atau NIST CSF 2.0 memberikan fondasi paling luas. CSF gratis dan lebih ringan untuk dimulai; ISO menambahkan sertifikat ketika Anda membutuhkannya. SP 800-53 mencakup paling banyak, tetapi ukurannya membuatnya menjadi langkah awal yang berat bagi sebagian besar perusahaan swasta.
Lalu perluas, jangan mulai ulang
Apa pun yang Anda mulai, kerangka kerja kedua akan lebih murah daripada yang pertama. Jalankan analisis kesenjangan dari kerangka kerja yang Anda miliki ke kerangka kerja yang Anda butuhkan, dan Anda akan mendapatkan daftar persyaratan demi persyaratan tentang apa yang dapat dibawa dan apa yang baru, beserta bukti untuk setiap tautan. Perbandingan membahas pasangan yang paling umum secara lebih mendalam, seperti ISO 27001 vs SOC 2 dan NIST CSF vs ISO 27001.
Cara kami mengukurnya
Untuk setiap pasangan kerangka kerja berurutan, kami menggunakan perhitungan yang sama dengan analisis kesenjangan: sebuah persyaratan dihitung sebagai dipetakan ketika ia dikurasi ke dalam topik ControlMapping yang sama dengan persyaratan dari kerangka kerja lain, atau ditautkan langsung ke salah satunya melalui crosswalk yang dipublikasikan atau tautan editorial dengan alasan yang dinyatakan. Persyaratan yang hanya berbagi hasil NIST CSF 2.0 ("Terkait secara longgar") tidak dihitung. Angka di atas dihitung secara langsung dari data terkini; lihat metodologi.
Pertanyaan
Kerangka kerja keamanan mana yang mencakup paling banyak kerangka kerja lain?
Dalam data ControlMapping, NIST SP 800-53 mencakup porsi terbesar dari persyaratan kerangka kerja lain secara rata-rata, diikuti oleh ISO 27001. Pemetaan berarti persyaratan membahas hasil yang terkait, bukan bahwa salah satunya memenuhi yang lain.
Apakah perusahaan kecil sebaiknya memulai dengan ISO 27001 atau SOC 2?
Mulailah dari apa yang diminta pelanggan Anda. Jika belum ada yang memintanya, ISO 27001 atau NIST CSF memberikan fondasi paling luas; SOC 2 adalah jalur tercepat menuju laporan jika suatu kesepakatan di AS bergantung padanya.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.