Crosswalk atau penilaian? Seberapa besar pemetaan kerangka kerja yang didasarkan pada bukti terbitan

Setiap platform kepatuhan, spreadsheet konsultan, dan alat audit disertai pemetaan antar kerangka kerja. Jarang sekali mereka menjelaskan dari mana pemetaan tersebut berasal. Sebagian disalin dari crosswalk resmi; banyak lainnya merupakan penilaian terbaik seseorang, dibuat sekali dan tidak pernah ditinjau ulang. Keduanya bisa bermanfaat, tetapi Anda sebaiknya tahu mana yang Anda andalkan.

ControlMapping memberi label pada setiap tautan: crosswalk jika didukung oleh crosswalk terbitan, dan Editorial jika merupakan penilaian kami dengan alasan yang dinyatakan. Berikut pembagiannya.

Angka-angkanya

Kerangka kerja	Pemetaan	Crosswalk	Editorial	Porsi crosswalk
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Semua	829	475	354	57%

Secara keseluruhan, sedikit lebih dari separuh pemetaan topik kami didukung oleh crosswalk terbitan. Sisanya bersifat Editorial. Pembagiannya sangat bervariasi menurut kerangka kerja.

Mengapa pembagiannya berbeda

Beberapa kerangka kerja memiliki crosswalk otoritatif. NIST menerbitkan referensi resmi dari CSF 2.0 ke SP 800-53, dan dari SP 800-53 ke ISO 27001. ENISA, badan Uni Eropa, menerbitkan pemetaan dari setiap poin Implementing Regulation NIS2 ke ISO 27001 dan CSF 2.0. Lampiran D SP 800-171 NIST memetakan persyaratan CMMC ke SP 800-53. Pemetaan untuk kerangka kerja ini sebagian besar didukung crosswalk.

Beberapa crosswalk bersifat parsial. Pemetaan CIS sendiri dalam katalog NIST hanya mencakup 49 dari 153 safeguard CIS; pemetaan PCI SSC ke CSF 2.0 tidak mencakup beberapa persyaratan inti, seperti persyaratan MFA. Semua di luar itu bersifat Editorial.

Beberapa kerangka kerja tidak memiliki crosswalk yang dapat kami gunakan. Tidak ada crosswalk berlisensi terbuka untuk SOC 2, GDPR, atau Essential Eight. Setiap tautan untuk kerangka kerja tersebut bersifat Editorial, yang tidak berarti keliru, tetapi itu berarti sebuah opini yang seharusnya dapat Anda periksa.

Mengapa ini penting

• Otoritasnya berbeda. Crosswalk NIST atau ENISA telah melalui konsultasi publik dan digunakan di seluruh industri. Pemetaan Editorial adalah pandangan satu analis. Ketika auditor bertanya mengapa Anda memperlakukan dua persyaratan sebagai setara, jawaban "pemetaan NIST menyatakan demikian" jauh lebih kuat.
• Crosswalk juga tidak membuktikan kepatuhan. Bahkan crosswalk resmi hanya menyatakan bahwa dua persyaratan membahas hasil yang terkait. Crosswalk tidak menyatakan bahwa implementasi Anda terhadap satu persyaratan memenuhi persyaratan lainnya.
• Pemetaan tanpa label menyembunyikan kesalahan. Jika Anda tidak bisa mengetahui dari mana pemetaan berasal, Anda tidak bisa mengetahui kapan pemetaan itu keliru. Ketika kami mengaudit data kami sendiri, labellah yang membuat kesalahan dalam pemetaan Editorial mudah ditemukan dan diperbaiki.

Poin-poin utama

• Hanya sedikit lebih dari separuh pemetaan topik kami yang didasarkan pada crosswalk terbitan; sisanya merupakan penilaian Editorial.
• Proporsinya bervariasi menurut kerangka kerja: tinggi untuk NIST, NIS2, dan CMMC, nol untuk SOC 2, GDPR, dan Essential Eight.
• Penilaian tidak salah, tetapi seharusnya diberi label dan dijelaskan.
• Tanyakan sumber, versi, makna, dan alasan setiap pemetaan sebelum mengandalkannya.

Yang perlu ditanyakan terhadap setiap pemetaan

1. Apa sumbernya? Crosswalk resmi, pemilik kerangka kerja, atau penilaian seseorang?
2. Apakah alasannya terlihat? Tautan Editorial seharusnya menjelaskan alasannya.
3. Versi yang mana? Pemetaan terhadap versi yang sudah digantikan (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) bisa sangat keliru.
4. Apa arti "dipetakan"? Setara, tumpang tindih sebagian, atau hanya terkait?

Metodologi kami mencantumkan setiap sumber dan versi, setiap halaman persyaratan menampilkan dasar dari setiap tautan, dan unduhan menyertakan kolom bukti sehingga Anda dapat memeriksa pekerjaan kami.

Pertanyaan

Apa itu crosswalk kerangka kerja?

Pemetaan terbitan antara persyaratan dari dua kerangka kerja, misalnya pemetaan NIST dari SP 800-53 ke ISO 27001. Pemetaan ini menunjukkan bahwa persyaratan membahas hasil yang terkait, bukan bahwa pemenuhan satu persyaratan otomatis memenuhi yang lain.

Mengapa pemetaan SOC 2 bersifat Editorial?

AICPA menerbitkan pemetaan dari Trust Services Criteria ke kerangka kerja lain, tetapi tidak di bawah lisensi terbuka, sehingga ControlMapping tidak dapat menggunakannya sebagai bukti. Setiap tautan SOC 2 adalah penilaian kami, dengan alasan yang ditampilkan.

Apakah pemetaan Editorial kurang akurat dibandingkan crosswalk?

Belum tentu; penilaian ahli bisa lebih presisi daripada crosswalk terbitan yang bersifat umum. Perbedaannya terletak pada otoritas dan kemampuan untuk diperiksa, itulah sebabnya tautan Editorial selalu harus disertai alasan.