Cara menjalankan analisis kesenjangan antara dua kerangka kerja, dan mengubahnya menjadi tracker

Setiap kali menambah kerangka kerja kedua, pertanyaan pertamanya selalu sama: seberapa banyak yang sudah kami miliki? Analisis kesenjangan menjawab pertanyaan itu. Jika dilakukan dengan buruk, hasilnya adalah spreadsheet yang menandai "sebagian patuh" untuk semua hal dan tidak pernah dibuka lagi. Jika dilakukan dengan baik, hasilnya adalah daftar tugas beserta biayanya dan pemiliknya. Berikut metode yang akan kami gunakan.

Langkah 1: tetapkan ruang lingkup dan arah

Analisis kesenjangan memiliki arah: sudah memiliki kerangka kerja (atau kontrol Anda saat ini), membutuhkan kerangka kerja lain. Tuliskan keduanya beserta versinya, serta ruang lingkup organisasi: entitas, layanan, dan lokasi yang dicakup. Analisis kesenjangan paling sering gagal karena kedua ruang lingkupnya tidak selaras, misalnya sertifikat ISO yang hanya mencakup satu lini produk dibandingkan dengan kewajiban NIS2 untuk seluruh entitas.

Langkah 2: buat perbandingan persyaratan demi persyaratan

Mulailah dari pemetaan, bukan dari lembar kosong. Analisis kesenjangan ControlMapping mencantumkan setiap persyaratan dari kerangka kerja yang Anda butuhkan, masing-masing dengan kecocokannya dalam kerangka kerja yang sudah Anda miliki:

• Dipetakan: sebuah Crosswalk yang dipublikasikan atau penilaian editorial kami menghubungkannya dengan sesuatu yang sudah Anda miliki.
• Terkait secara longgar: hanya berbagi suatu hasil dengan sesuatu yang sudah Anda miliki. Perlakukan sebagai pekerjaan baru yang kemungkinan besar masih diperlukan.
• Tidak ada pemetaan dalam data kami: kemungkinan merupakan pekerjaan baru, kecuali cakupan kerangka kerja tersebut hanya sebagian.

Sebagai contoh, dari ISO 27001 ke NIS2:

Dari 49 poin persyaratan NIS2, 49 (100%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 0 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Langkah 3: validasi kecocokan terhadap kondisi nyata

Sebuah pemetaan menyatakan bahwa dua persyaratan saling terkait. Pemetaan tidak menyatakan bahwa implementasi Anda memenuhi keduanya. Untuk setiap baris yang dipetakan, tanyakan:

1. Apakah kami benar-benar melakukan hal yang dipetakan? Pemetaan ke ISO A.8.8 hanya membantu jika manajemen kerentanan Anda berjalan dengan baik.
2. Apakah persyaratan baru lebih spesifik? Tenggat waktu, frekuensi, teknik yang disebutkan secara khusus, dan ruang lingkup sering kali berbeda.
3. Apakah tautannya bersifat editorial? Periksa alasan yang ditampilkan dan tentukan apakah Anda setuju.

Tandai setiap baris sebagai terpenuhi, terpenuhi sebagian atau tidak terpenuhi. Bersikaplah jujur: analisis kesenjangan yang terlalu longgar hanya memindahkan temuan ke tahap audit.

Langkah 4: ekspor sebagai tracker

Tekan e di tampilan kesenjangan (atau tombol Ekspor CSV) untuk mengunduh hasilnya. Setiap baris berisi persyaratan, bagiannya, kecocokan, dasar, dan alasannya, ditambah empat kolom kosong untuk pekerjaan: pemilik, status implementasi, referensi bukti, dan catatan. Buka di spreadsheet Anda atau impor ke alat GRC Anda.

Langkah 5: ubah baris menjadi pekerjaan

• Kelompokkan berdasarkan pemilik dan tema, bukan berdasarkan nomor persyaratan: "kontrak pemasok" adalah satu tugas yang mungkin menutup enam baris.
• Perkirakan setiap kelompok dan urutkan: perubahan tata kelola dan kebijakan biasanya membuka jalan bagi pekerjaan teknis.
• Isi kolom bukti sepanjang proses, sehingga tracker menjadi berkas audit Anda.
• Jalankan ulang analisis ketika salah satu kerangka kerja berubah; milik kami diperbarui ketika datanya berubah.

Poin utama

• Tetapkan ruang lingkup dan arah terlebih dahulu: sudah memiliki A, membutuhkan B, beserta versinya.
• Mulai dari pemetaan, lalu validasi setiap kecocokan terhadap apa yang benar-benar Anda lakukan.
• Ekspor hasilnya sebagai tracker dengan kolom pemilik, status, dan bukti, lalu ubah baris menjadi pekerjaan yang dikelompokkan.

Kesalahan umum

• Membandingkan dengan versi yang sudah digantikan (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1).
• Menganggap "terkait secara longgar" sebagai sudah tercakup.
• Mengabaikan persyaratan di luar pemetaan sama sekali: kewajiban hukum seperti tenggat pelaporan insiden sering berada di luar katalog kontrol mana pun.

Untuk contoh lengkap, lihat ISO 27001 vs NIS2 poin demi poin dan perbandingan, yang masing-masing merupakan analisis kesenjangan dua arah yang sudah siap pakai.

Pertanyaan

Apa itu analisis kesenjangan kepatuhan?

Perbandingan persyaratan demi persyaratan antara apa yang sudah Anda lakukan (atau kerangka kerja yang sudah Anda penuhi) dengan persyaratan kerangka kerja yang Anda butuhkan, untuk mengidentifikasi apa yang tercakup, sebagian tercakup, dan belum ada.

Berapa lama analisis kesenjangan berlangsung?

Pemetaannya dapat dihasilkan dalam hitungan menit dengan alat seperti analisis kesenjangan ControlMapping. Memvalidasinya terhadap kontrol dan bukti Anda yang sebenarnya adalah pekerjaan utamanya, biasanya memakan waktu beberapa hari hingga beberapa minggu tergantung pada ruang lingkup.

Apa arti 'terkait secara longgar' dalam analisis kesenjangan?

Kedua persyaratan hanya berbagi satu hasil NIST CSF 2.0; tidak ada yang memetakan keduanya satu sama lain. Perlakukan sebagai petunjuk yang perlu diperiksa, dan biasanya sebagai pekerjaan baru, bukan sebagai cakupan.