Masalah dengan crosswalk vendor yang tidak bisa Anda periksa
Sebagian besar platform kepatuhan hadir dengan crosswalk proprietary yang memetakan satu kontrol ke belasan kerangka kerja. Tanyakan dari mana asal setiap baris, dan Anda sering kali tidak mendapat jawaban.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Platform otomasi kepatuhan telah membuat program multi-kerangka kerja jauh lebih mudah dijalankan. Sebagian besar menawarkan janji utama: terapkan satu kontrol sekali, dan kontrol itu memenuhi SOC 2, ISO 27001, NIST, HIPAA dan lainnya, karena crosswalk platform menyatakan demikian. Tanyakan kepada platform dari mana asal pemetaan tertentu, terhadap versi yang mana, dan mengapa kedua persyaratan tersebut setara. Jawabannya sering kali berupa keheningan.
Ini masalah, dan bukan masalah sepele.
Pemetaan yang tidak dapat diverifikasi memindahkan risiko kepada Anda
Ketika platform memberi tahu Anda bahwa kontrol akses Anda memenuhi persyaratan dalam kerangka kerja yang baru berlaku bagi Anda, dan ternyata keliru, temuan audit menjadi tanggung jawab Anda, bukan vendor. Anda mengandalkan pemetaan yang tidak bisa Anda periksa. Auditor tidak menerima alasan "alat sudah memetakannya"; mereka membaca persyaratan dan menguji apakah kontrol Anda memenuhinya.
Pemetaan diam-diam menjadi usang
Kerangka kerja berubah. CSF 2.0 menarik 79 subkategori CSF 1.1 (ke mana mereka dipindahkan); ISO 27001:2022 memberi nomor ulang Lampiran A; PCI DSS v4.0 menambahkan puluhan persyaratan. Crosswalk yang tidak diberi versi dan tidak divalidasi terhadap katalog terkini akan membusuk. Crosswalk yang tidak diberi label membusuk tanpa terlihat.
"Dipetakan" menyembunyikan jenis pemetaannya
Sebuah garis di antara dua persyaratan bisa berarti keduanya setara, atau salah satunya merupakan subset dari yang lain, atau hanya bahwa keduanya berbagi tema. Analisis kami sendiri tentang seberapa banyak pemetaan yang bersandar pada bukti yang dipublikasikan menemukan bahwa sebagian besar pemetaan di mana pun merupakan keputusan berdasarkan penilaian, bukan crosswalk yang dipublikasikan:
| Kerangka kerja | Pemetaan | Crosswalk | Editorial | Porsi crosswalk |
|---|---|---|---|---|
| NIS2 | 65 | 64 | 1 | 98% |
| ISO 27001 | 105 | 99 | 6 | 94% |
| 800-53 | 120 | 106 | 14 | 88% |
| CMMC | 72 | 60 | 12 | 83% |
| HIPAA | 47 | 36 | 11 | 77% |
| PCI DSS | 95 | 70 | 25 | 74% |
| CIS v8.1 | 163 | 40 | 123 | 25% |
| SOC 2 | 66 | 0 | 66 | 0% |
| GDPR | 34 | 0 | 34 | 0% |
| Essential Eight | 62 | 0 | 62 | 0% |
| Semua | 829 | 475 | 354 | 57% |
Keputusan berdasarkan penilaian tidak buruk. Yang bermasalah adalah yang tidak diberi label.
Apa yang harus dituntut dari crosswalk apa pun
- Sumber per tautan: crosswalk resmi (NIST, ENISA, pemilik kerangka kerja) atau penilaian vendor.
- Alasan untuk setiap keputusan berdasarkan penilaian, yang terlihat oleh Anda.
- Versi kedua kerangka kerja, dan tanggal terakhir divalidasi.
- Arti "dipetakan": setara, sebagian, atau terkait secara longgar.
- Ekspor: kemampuan untuk mengeluarkan pemetaan dan memeriksanya sendiri.
Jika vendor tidak dapat menyediakan hal-hal ini, gunakan pemetaan mereka sebagai petunjuk, bukan jawaban.
Cara menguji crosswalk yang diberikan kepada Anda
Anda tidak perlu mengaudit seluruh crosswalk untuk menilainya. Ambil sampelnya:
- Pilih sepuluh tautan secara acak dari kerangka kerja yang paling Anda kuasai.
- Baca kedua teks persyaratan untuk setiap tautan.
- Klasifikasikan setiap tautan: setara, tumpang tindih sebagian, terkait secara longgar, atau keliru.
- Periksa dua kasus yang sensitif terhadap versi, misalnya pengenal CSF 1.1 atau nomor kontrol ISO 27001:2013.
Jika sebagian besar tautan teruji dan versinya mutakhir, crosswalk tersebut kemungkinan dapat dipakai sebagai panduan. Jika beberapa keliru atau usang, perlakukan seluruhnya sebagai belum terverifikasi. Data kami sendiri terbuka untuk uji yang sama: setiap halaman persyaratan, seperti ISO 27001 A.8.8, menampilkan dasar dan alasan setiap tautan.
Poin utama
- Pemetaan yang tidak dapat diverifikasi memindahkan risiko audit kepada Anda.
- Tuntut sumber, versi, arti, dan alasan untuk setiap tautan.
- Uji sampel crosswalk apa pun sebelum mengandalkannya.
Mengapa kami mempublikasikan milik kami
ControlMapping ada sebagian karena masalah ini. Setiap tautan diberi label Crosswalk atau Editorial, setiap tautan Editorial memiliki alasannya, setiap ID divalidasi terhadap katalog resmi pada setiap build, dan seluruh dataset dapat diunduh di bawah lisensi terbuka. Ini bukan satu-satunya cara, tetapi inilah standar yang menurut kami sebaiknya dipegang industri. Lihat metodologi dan unduhan.
Pertanyaan
Apakah crosswalk platform kepatuhan akurat?
Sebagian dipelihara dengan cermat; sebagian lainnya tidak. Tanpa sumber, versi, dan alasan yang terlihat untuk setiap pemetaan, Anda tidak bisa membedakannya, dan auditor tidak akan menerima 'alatnya yang menyatakan demikian' sebagai justifikasi.
Apa yang seharusnya ditampilkan oleh crosswalk yang dapat dipercaya?
Untuk setiap tautan: sumbernya (crosswalk resmi atau penilaian vendor), versi kedua kerangka kerja, arti tautan (setara atau terkait secara longgar), dan alasan jika itu merupakan keputusan berdasarkan penilaian.
Apa itu NIST OLIR?
Program Online Informative References milik NIST: katalog crosswalk antara kerangka kerja NIST dan standar lain. Pengajuan dari pihak ketiga diperiksa formatnya, bukan kebenarannya.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-13Persyaratan MFA dibandingkan di 11 kerangka kerja keamananKerangka kerja mana yang mewajibkan MFA, untuk siapa, dan seberapa ketat: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, dan HIPAA dibandingkan berdampingan.
Analisis · 2026-09-29Aturan Keamanan HIPAA melalui kacamata NIST CSF 2.0Program NIST CSF 2.0 memetakan hampir setiap persyaratan Aturan Keamanan HIPAA. Apa yang tetap berlaku, dua yang tidak, dan apa yang ditambahkan CSF di luar HIPAA.