Topik keamanan yang paling sedikit diwajibkan oleh kerangka kerja, dan mengapa hal itu penting
Beberapa topik keamanan muncul di hampir setiap kerangka kerja. Yang lain hanya diwajibkan oleh segelintir. Kesenjangan tersebut banyak mengungkap tentang cara kerangka kerja menua, dan tentang risiko yang bisa terlewat oleh program yang berfokus pada kepatuhan.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Program keamanan yang hanya dibangun dari persyaratan kepatuhan cenderung paling kuat di area yang disepakati oleh kerangka kerja dan paling lemah di area yang tidak disinggung sama sekali. Kami memeringkat seluruh lima puluh topik ControlMapping berdasarkan jumlah dari sebelas kerangka kerja yang memetakan persyaratan ke topik tersebut. Bagian bawah daftar ini adalah tempat program yang berbasis kerangka kerja paling mungkin memiliki titik buta.
Topik yang paling sedikit diwajibkan
| Topik | Dipetakan dalam | Tidak ada pemetaan dalam |
|---|---|---|
| Keamanan DNS | 4 dari 11 | SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight |
| Intelijen Ancaman | 5 dari 11 | CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight |
| Keamanan API | 5 dari 11 | SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight |
| Lingkungan Bisnis | 5 dari 11 | CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight |
| WAF | 6 dari 11 | CMMC, HIPAA, GDPR, NIS2, Essential Eight |
| Forensik | 7 dari 11 | CIS v8.1, HIPAA, GDPR, Essential Eight |
| Keamanan Seluler | 7 dari 11 | PCI DSS, GDPR, NIS2, Essential Eight |
| Keamanan Web | 7 dari 11 | HIPAA, GDPR, NIS2, Essential Eight |
| Komunikasi | 7 dari 11 | PCI DSS, HIPAA, GDPR, Essential Eight |
| Ancaman Orang Dalam | 8 dari 11 | CIS v8.1, SOC 2, Essential Eight |
Mengapa topik-topik ini luput
Kerangka kerja ditulis pada tingkat di atas teknologi. ISO 27001, SOC 2 dan GDPR menjelaskan hasil ("melindungi informasi dalam jaringan", "pengembangan yang aman") yang berlaku untuk teknologi apa pun, sehingga jarang menyebut DNS, API, atau web application firewall secara eksplisit. Topik-topik tersebut tercakup secara implisit, melalui kontrol yang luas, jika penilaian risiko Anda memasukkannya.
Kerangka kerja tertinggal dari lanskap ancaman. Banyak yang disusun ketika perimeter masih berupa firewall dan aplikasi berupa perangkat lunak yang terpasang di perangkat. API, aplikasi web yang dihosting di cloud, dan penyalahgunaan DNS menjadi jalur serangan umum lebih cepat daripada standar direvisi. ISO 27001:2022 menambahkan intelijen ancaman dan penyaringan web sebagai kontrol baru; CSF 2.0 memperkuat keamanan rantai pasok dan keamanan platform. Yang lain belum menyesuaikan diri.
Sebagian topik adalah konteks, bukan kontrol. "Lingkungan bisnis" (memahami misi, pemangku kepentingan, dan ketergantungan Anda) merupakan dasar tata kelola. Kerangka kerja mengasumsikannya, bukan mewajibkannya.
Mengapa ini penting
Penyerang tidak membaca kerangka kerja. Beberapa topik yang paling sedikit diwajibkan termasuk yang paling sering dieksploitasi dalam praktik: API yang terekspos, aplikasi web yang rentan, dan manipulasi DNS. Program yang hanya menerapkan apa yang diminta auditor bisa lulus setiap audit dan tetap membiarkan celah-celah ini terbuka.
Topik di bagian bawah daftar adalah tempat penilaian risiko Anda sendiri harus melakukan pekerjaan yang tidak dilakukan oleh kerangka kerja.
Poin-poin utama
- Keamanan DNS, intelijen ancaman, keamanan API, dan perlindungan aplikasi web adalah topik yang paling sedikit diwajibkan oleh kerangka kerja yang kami petakan.
- Hal ini sebagian besar karena kerangka kerja ditulis di atas teknologi dan direvisi secara lambat, bukan karena topik-topik ini kurang penting.
- Beberapa topik yang paling sedikit diwajibkan termasuk jalur serangan yang paling sering dieksploitasi dalam praktik.
- Penilaian risiko Anda sendiri harus mencakup hal-hal yang ditinggalkan kerangka kerja, dan keputusan yang beralasan harus dicatat, apa pun hasilnya.
Yang perlu dilakukan
- Periksa bagian bawah daftar terhadap permukaan serangan Anda sendiri. Jika Anda menjalankan API publik atau aplikasi web, keamanan API dan keamanan web tetap penting, terlepas dari apa yang dikatakan kerangka kerja Anda.
- Gunakan kerangka kerja yang paling spesifik dan mencakup suatu topik sebagai standar Anda, meskipun Anda belum tersertifikasi terhadapnya. CIS Controls dan PCI DSS sering kali lebih spesifik daripada ISO 27001 pada topik teknis; halaman topik menunjukkan siapa mewajibkan apa.
- Catat keputusannya. Jika penilaian risiko Anda menyimpulkan bahwa suatu topik tidak berlaku, tuliskan alasannya. Auditor menerima pengecualian yang beralasan; penyerang tidak peduli dengan keduanya.
matriks cakupan menampilkan seluruh lima puluh topik terhadap seluruh sebelas kerangka kerja sekaligus. Untuk ujung daftar yang sebaliknya, lihat topik yang dimiliki bersama oleh setiap kerangka kerja.
Pertanyaan
Topik keamanan apa yang paling sedikit diwajibkan oleh kerangka kerja?
Dalam data ControlMapping, keamanan DNS, intelijen ancaman, keamanan API, lingkungan bisnis, dan web application firewall memiliki pemetaan paling sedikit dari 11 kerangka kerja.
Jika kerangka kerja tidak mewajibkan suatu kontrol, bolehkah saya melewatkannya?
Dari sisi kepatuhan, mungkin; dari sisi keamanan, jarang. Sebagian besar kerangka kerja berbasis risiko, jadi topik yang tidak ada biasanya berarti 'tercakup oleh penilaian risiko Anda', bukan 'tidak perlu'.
Kerangka kerja mana yang paling baik mencakup keamanan API?
Tidak ada yang mencakupnya secara menyeluruh. Kontrol keamanan perangkat lunak aplikasi dalam CIS Controls serta persyaratan pengembangan aman dan aplikasi web yang menghadap publik dalam PCI DSS termasuk yang paling spesifik; OWASP API Security Top 10 adalah referensi teknis yang lazim digunakan.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.