Inti bersama: persyaratan keamanan di setiap kerangka kerja
Ketika sebelas kerangka kerja keamanan dipetakan satu sama lain, sebuah inti kecil muncul di setiap kerangka kerja tersebut. Jika Anda memulai sebuah program, atau mengelola beberapa kerangka kerja sekaligus, inti inilah tempat untuk memulai.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Organisasi jarang hanya tunduk pada satu kerangka kerja keamanan. Sebuah perusahaan perangkat lunak menjual ke pelanggan AS yang menginginkan laporan SOC 2 dan pelanggan Eropa yang menginginkan ISO 27001; penyedia pembayaran menambahkan PCI DSS; penyedia layanan digital di UE kini tunduk pada NIS2. Setiap kerangka kerja datang dengan struktur, penomoran, dan kosakata tersendiri, sehingga mudah menyimpulkan bahwa setiap kerangka kerja berarti program yang terpisah.
Nyatanya tidak. Di balik penomoran yang berbeda, terdapat banyak kesamaan, dan sebagian kecil darinya dimiliki oleh setiap kerangka kerja yang kami petakan. Kami mencari topik yang memiliki persyaratan terpetakan di kesebelas kerangka kerja: NIST CSF 2.0, NIST SP 800-53, ISO 27001, CIS Controls, SOC 2, PCI DSS, CMMC Level 2, HIPAA Security Rule, GDPR, NIS2, dan Essential Eight milik ASD.
Lima topik di setiap kerangka kerja
5 dari 50 topik memiliki persyaratan terpetakan di semua kerangka kerja 11. Setiap halaman topik mencantumkan ID persyaratan setiap kerangka kerja dan bukti untuk setiap tautan.
Itulah inti bersama: manajemen aset, manajemen kerentanan, cadangan dan pemulihan, respons insiden, dan pelaporan insiden. Setiap dari kesebelas kerangka kerja memiliki setidaknya satu persyaratan di masing-masing topik, bahkan GDPR, yang merupakan undang-undang privasi, dan Essential Eight, yang merupakan daftar pendek mitigasi teknis.
Daftar ini memang sengaja dibuat pendek. Banyak topik lain, seperti kontrol akses, logging, dan enkripsi, dicakup oleh sepuluh dari sebelas kerangka kerja, dan sebagian besar kerangka kerja memiliki lebih dari lima topik bersama. Namun kelima topik ini adalah topik yang tidak ditinggalkan oleh kerangka kerja mana pun.
Mengapa lima ini
Kelimanya mengikuti siklus hidup insiden. Anda tidak dapat melindungi apa yang tidak Anda ketahui keberadaannya (manajemen aset). Sebagian besar serangan masih mengeksploitasi kelemahan yang sudah diketahui (manajemen kerentanan). Ketika terjadi masalah, Anda perlu memulihkan sistem dan data (cadangan dan pemulihan), menangani insiden (respons insiden), dan memberi tahu pihak yang perlu mengetahuinya: manajemen, pelanggan, regulator (pelaporan insiden).
Kerangka kerja berbeda pendapat tentang hampir semua hal lainnya: apakah tata kelola adalah sistem manajemen atau serangkaian hasil, seberapa preskriptif kontrol teknis seharusnya, dan seberapa sering sesuatu harus dilakukan. Pada kelima topik ini mereka sepakat, karena tanpanya bagian lainnya tidak berfungsi.
Topik yang sama, kedalaman yang berbeda
Topik yang sama tidak berarti persyaratan yang identik. Ambil contoh manajemen kerentanan:
| Kerangka kerja | Manajemen Kerentanan | Tautan |
|---|---|---|
| NIST CSF 2.0 | ID.RA-01ID.RA-08 | Definisi topik |
| ISO 27001 | A.8.8 | Crosswalk |
| CIS v8.1 | CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5 | Crosswalk |
| SOC 2 | CC7.1 | Editorial |
| PCI DSS | 6.3.111.3.111.3.2 | Crosswalk |
| CMMC | RA.L2-3.11.2RA.L2-3.11.3 | Crosswalk |
| 800-53 | RA-5CA-8 | Crosswalk |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Crosswalk |
| GDPR | Art.32(1)(d) | Editorial |
| NIS2 | 6.56.10 | Crosswalk |
| Essential Eight | ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702 | Editorial |
Detail lengkap dan alasan untuk setiap tautan: Manajemen Kerentanan di seluruh kerangka kerja →
A.8.8 dari ISO 27001 meminta Anda memperoleh informasi tentang kerentanan teknis, mengevaluasi paparan Anda, dan mengambil tindakan yang sesuai, serta menyerahkan waktunya pada penilaian risiko Anda. PCI DSS mensyaratkan pemindaian internal setiap tiga bulan dan setelah perubahan signifikan (11.3.1), pemindaian eksternal oleh Approved Scanning Vendor (11.3.2), dan penambalan kerentanan berkeparahan kritis dan tinggi dalam sebulan sejak dirilis (6.3.3). Essential Eight menetapkan batas waktu penambalan yang semakin ketat di setiap tingkat kematangan. HIPAA menjangkau topik ini melalui persyaratan analisis risiko dan manajemen risikonya, bukan persyaratan yang khusus untuk kerentanan.
Jadi inti bersama memberi tahu Anda apa yang diharapkan oleh setiap kerangka kerja untuk Anda lakukan, bukan seberapa banyak. Ketika membangun sebuah kontrol, rancanglah sesuai kerangka kerja yang paling ketat yang Anda patuhi, dan yang lain biasanya akan mengikuti.
Seperti apa wujudnya dalam praktik
- Manajemen aset: satu inventaris perangkat keras, perangkat lunak, layanan cloud, dan penyimpanan data, dengan pemilik, dijaga tetap mutakhir dengan alat penemuan, bukan hanya spreadsheet.
- Manajemen kerentanan: pemindaian terjadwal (internal dan eksternal), penilaian tingkat keparahan, batas waktu perbaikan berdasarkan tingkat keparahan, dan bukti bahwa batas waktu tersebut terpenuhi.
- Cadangan dan pemulihan: cadangan data, perangkat lunak, dan konfigurasi, dilindungi dari perubahan dan penghapusan, dengan pemulihan yang diuji sesuai jadwal.
- Respons insiden: rencana tertulis dengan peran, tingkat keparahan, dan eskalasi, dilatih setidaknya sekali setahun.
- Pelaporan insiden: prosedur yang menjelaskan siapa yang harus diberi tahu, dalam batas waktu berapa, dan oleh siapa: manajemen internal, pelanggan berdasarkan kontrak, dan regulator (misalnya, peringatan dini 24 jam NIS2 atau pemberitahuan 72 jam GDPR kepada otoritas pengawas).
Mengapa inti ini penting
Jika Anda memulai program keamanan, bangunlah kelima topik ini terlebih dahulu. Ini adalah persyaratan yang akan Anda temui di setiap kerangka kerja yang mungkin Anda adopsi nanti, sehingga pekerjaan tersebut tidak pernah sia-sia.
Jika Anda sudah mengelola beberapa kerangka kerja, gunakan inti ini sebagai tulang punggung satu kumpulan kontrol bersama: satu kontrol untuk masing-masing topik ini, dipetakan ke setiap kerangka kerja yang Anda patuhi, dengan bukti yang dikumpulkan sekali. Gagasan yang sama berlaku untuk topik yang dimiliki oleh sepuluh, sembilan, atau delapan kerangka kerja. Matriks cakupan kami menampilkan seluruh lima puluh topik terhadap kesebelas kerangka kerja, dan analisis kesenjangan menunjukkan, persyaratan demi persyaratan, apa yang berlaku di antara dua kerangka kerja mana pun.
Cara kami mengukurnya
Setiap topik di ControlMapping didefinisikan oleh hasil NIST CSF 2.0, dan mencantumkan persyaratan di setiap kerangka kerja yang membahasnya. Sebuah tautan diberi label crosswalk ketika crosswalk yang dipublikasikan (dari NIST, ENISA, CIS, atau PCI SSC) mendukungnya, dan editorial ketika merupakan penilaian kami, dengan alasan yang ditampilkan. Tautan SOC 2, GDPR, dan Essential Eight selalu bersifat editorial, karena tidak ada crosswalk berlisensi terbuka untuk kerangka kerja tersebut. Metode lengkapnya ada di halaman metodologi, dan setiap angka di atas berasal dari data langsung, sehingga akan diperbarui ketika pemetaan berubah.
Pertanyaan
Kontrol keamanan apa saja yang diwajibkan oleh setiap kerangka kerja?
Dalam data ControlMapping, lima topik memiliki persyaratan terpetakan di seluruh 11 kerangka kerja: manajemen aset, manajemen kerentanan, cadangan dan pemulihan, respons insiden, dan pelaporan insiden. Rumusan dan kedalamannya berbeda di setiap kerangka kerja.
Apakah memenuhi versi satu kerangka kerja otomatis memenuhi yang lain?
Tidak otomatis. Pemetaan berarti persyaratan membahas topik yang sama; salah satunya bisa jauh lebih spesifik (PCI DSS dan Essential Eight menetapkan batas waktu dan frekuensi yang dibiarkan ISO 27001 kepada Anda). Periksa teks setiap kerangka kerja.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.