Kasus untuk data kepatuhan yang terbuka dan gratis

Berikut fakta yang janggal tentang industri kepatuhan. Puluhan ribu organisasi harus memenuhi lebih dari satu kerangka kerja keamanan. Masing-masing perlu memahami bagaimana kerangka kerja tersebut saling berhubungan. Dan hampir setiap organisasi membangun atau membeli pengetahuan itu secara terpisah: spreadsheet konsultan, crosswalk proprietary milik platform, atau akhir pekan seorang analis. Pemetaan yang sama dibangun ulang berkali-kali, jarang diperiksa, dan tidak pernah dibagikan.

Pemetaan adalah pengetahuan umum yang tersamar

Apakah A.8.24 ISO 27001 berkaitan dengan PCI DSS 3.5.1 bukanlah rahasia dagang. Itu adalah fakta tentang dua dokumen yang telah dipublikasikan, dan berlaku sama bagi semua orang. Memperlakukannya sebagai data proprietary menimbulkan tiga masalah:

• Duplikasi. Industri membayar untuk pekerjaan yang sama berkali-kali.
• Kesalahan terus berlanjut. Pemetaan privat hanya diperiksa oleh pemiliknya, jika memang ada yang memeriksa. Pemetaan publik diperiksa oleh semua orang yang menggunakannya.
• Tidak ada akuntabilitas. Anda tidak dapat mengevaluasi pemetaan yang tidak bisa dilihat, sehingga Anda tidak bisa membedakan pemetaan yang cermat dari yang ceroboh. Kami telah menulis tentang masalah crosswalk yang tidak dapat Anda periksa.

Sektor publik sudah menerapkannya

Crosswalk yang paling otoritatif sudah gratis. NIST mempublikasikan informative references CSF 2.0 dan pemetaan SP 800-53 secara terbuka, serta mengelola katalog crosswalk yang dikirimkan. ENISA mempublikasikan pemetaan NIS2 ke ISO 27001 dan CSF. ASD mempublikasikan ISM, termasuk kontrol Essential Eight, di bawah lisensi terbuka. Dokumen-dokumen ini termasuk yang paling banyak digunakan di dunia kepatuhan justru karena siapa pun dapat menggunakannya.

Apa yang akan berubah jika terbuka

• Alat bersaing dari sisi kegunaan, bukan penimbunan data. Nilai bergeser ke alur kerja, bukti, dan otomatisasi, tempat nilai itu seharusnya berada.
• Pemetaan menjadi lebih baik lebih cepat. Kesalahan yang dilaporkan pengguna diperbaiki untuk semua orang.
• Organisasi kecil mendapatkan kualitas yang sama dengan organisasi besar, tanpa harus membayar platform hanya untuk mengetahui hubungan dua kerangka kerja.
• Auditor dan regulator dapat memeriksa penalaran di balik suatu pemetaan, alih-alih menerimanya begitu saja.

Di mana batasannya

Keterbukaan memiliki batas. ISO, PCI SSC, dan AICPA memiliki hak atas teks standar mereka, dan hal itu harus dihormati: data pemetaan terbuka dapat membagikan pengidentifikasi, judul singkat, dan alasan tanpa mereproduksi persyaratan yang dilindungi hak cipta. Dan gratis tidak berarti tanpa sumber; data terbuka yang menyembunyikan asal-usulnya hanyalah jenis kotak hitam yang berbeda.

Apa yang dibutuhkan data kepatuhan terbuka yang baik

Keterbukaan saja tidak cukup. Agar data pemetaan benar-benar berguna sebagai sumber daya bersama, data tersebut membutuhkan:

• Pengidentifikasi yang stabil yang cocok dengan katalog resmi, divalidasi setiap kali salah satu kerangka kerja berubah.
• Asal-usul (provenance) per tautan: crosswalk atau penilaian mana yang digunakan, dan mengapa.
• Versi dari setiap kerangka kerja, dengan persyaratan yang ditarik ditangani secara eksplisit.
• Format yang dapat dibaca mesin (CSV, spreadsheet, JSON) selain halaman web.
• Lisensi yang jelas yang memungkinkan penggunaan ulang, termasuk untuk tujuan komersial, sambil menghormati hak pihak ketiga.
• Cara melaporkan kesalahan, serta catatan koreksi.

Itulah standar yang kami upayakan. Metodologi menjelaskan bagaimana setiap item ditangani di sini.

Poin-poin utama

• Organisasi membangun ulang pemetaan kerangka kerja yang sama secara privat, berulang kali.
• Crosswalk yang paling otoritatif (NIST, ENISA, ASD) sudah gratis, dan itulah yang paling banyak digunakan.
• Data terbuka diperiksa dan dikoreksi; pemetaan privat membusuk tanpa terlihat.
• Keterbukaan harus menghormati hak cipta standar dan selalu menampilkan asal-usul (provenance).
• Data gratis tetap memerlukan pemeliharaan: validasi terhadap katalog terkini setiap kali ada perubahan.

Apa yang kami lakukan

Unduhan ControlMapping mempublikasikan crosswalk lengkap (setiap topik, tautan persyaratan, dasar, dan alasan) di bawah CC BY 4.0, dengan lisensi pihak ketiga tetap dihormati. Metodologi mendokumentasikan setiap sumber dan aturan. Ini kontribusi kecil, tetapi inilah model yang menurut saya seharusnya diikuti data kepatuhan: terbuka, bersumber, berversi, dan gratis untuk diperbaiki. Jika Anda menemukan kesalahan, beri tahu kami, agar kesalahan itu diperbaiki untuk semua orang.

Pertanyaan

Apakah data ControlMapping bebas digunakan ulang?

Ya. Karya ControlMapping sendiri (definisi topik, pilihan pemetaan, catatan editorial, dan ringkasan kami) berlisensi CC BY 4.0. Materi pihak ketiga tetap mengikuti lisensinya sendiri: konten NIST berada di domain publik, judul CIS berlisensi CC BY-NC-ND, dan teks ISO, PCI, serta AICPA tidak direproduksi.

Mengapa tidak semua crosswalk kerangka kerja bersifat terbuka?

Sebagian pemilik kerangka kerja melisensikan standar dan pemetaan mereka secara komersial, dan banyak vendor memperlakukan crosswalk mereka sebagai pembeda produk.

Bisakah saya menggunakan data ControlMapping dalam produk komersial?

Karya ControlMapping berlisensi CC BY 4.0, yang memungkinkan penggunaan komersial dengan atribusi. Materi pihak ketiga tetap mengikuti lisensinya sendiri; misalnya, judul safeguard CIS berlisensi CC BY-NC-ND.