Mengapa kami memberi label pada setiap pemetaan sebagai "crosswalk" atau "editorial"

Setiap pemetaan di ControlMapping membawa salah satu dari dua tanda. Crosswalk berarti sebuah crosswalk yang dipublikasikan mendukung tautan tersebut: NIST, ENISA, CIS atau PCI SSC menyatakan bahwa persyaratan-persyaratan ini saling terkait. Editorial berarti itu adalah penilaian kami, dengan alasannya tertulis. Ini adalah keputusan desain paling penting di situs ini, dan berasal dari satu pengamatan sederhana: sebagian besar pemetaan kerangka kerja yang beredar tidak memberi cara untuk membedakan mana yang mana.

Masalah yang dipecahkannya

Pemetaan adalah sebuah klaim: "persyaratan ini terkait dengan persyaratan itu." Beberapa klaim bertumpu pada crosswalk resmi yang melalui konsultasi publik. Yang lain adalah penilaian satu analis. Keduanya bisa benar. Namun ketika keduanya tampak identik, setiap pemetaan mewarisi kredibilitas yang terbaik, dan setiap kesalahan tersembunyi di antara sisanya. Begitulah organisasi berakhir dengan memberi tahu auditor bahwa sebuah kontrol "memenuhi" persyaratan hanya karena sebuah alat mengatakannya.

Yang dimungkinkan oleh label

• Anda dapat menimbang bukti. Tautan crosswalk dari pemetaan NIST sendiri itu kuat; tautan editorial adalah opini beralasan yang perlu diperiksa.
• Kesalahan menjadi mudah ditemukan. Ketika kami mengaudit data kami sendiri untuk mencari kesalahan, label dan alasannya membuatnya cepat ditemukan dan diperbaiki. Crosswalk yang tidak berlabel tidak memberi peninjau apa pun untuk dikerjakan.
• Kejujuran tentang batasan. Beberapa kerangka kerja tidak memiliki crosswalk berlisensi terbuka sama sekali (SOC 2, GDPR, Essential Eight). Memberi label setiap tautan mereka sebagai editorial menyatakan hal itu secara langsung, alih-alih menyiratkan otoritas yang tidak ada.

Beginilah pembagiannya saat ini:

Kerangka kerja	Pemetaan	Crosswalk	Editorial	Porsi crosswalk
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Semua	829	475	354	57%

Mengapa tidak hanya menerbitkan tautan crosswalk?

Karena crosswalk memiliki celah. Pemetaan CIS yang dipublikasikan mencakup 49 dari 153 safeguard; PCI SSC menghilangkan beberapa persyaratan inti; SOC 2 tidak memiliki satu pun yang dapat kami gunakan. Situs yang hanya menampilkan tautan crosswalk akan menampilkan SOC 2 sebagai tanpa pemetaan dan sebagian besar CIS sebagai hilang, yang kurang berguna dan, dengan caranya sendiri, menyesatkan. Tautan editorial mengisi celah tersebut, diberi label agar Anda tahu apa yang Anda andalkan.

Aturan di balik label

• Tautan editorial selalu memiliki alasan.
• Sebuah tautan dihitung sebagai crosswalk hanya jika crosswalk benar-benar mendukungnya: referensi tingkat keluarga dan rantai melalui tautan editorial tidak dihitung.
• Setiap ID persyaratan divalidasi terhadap katalog resmi pada setiap build.
• "Terkait secara longgar" ditampilkan terpisah dan tidak pernah dihitung sebagai cakupan.

Seperti apa tautan editorial

Tautan editorial tidak pernah hanya sebuah garis antara dua ID. Setiap tautan membawa alasan singkat yang dapat diperiksa siapa pun. Misalnya, SOC 2 CC4.1 (evaluasi berkelanjutan dan terpisah atas kontrol internal) ditautkan ke klausul ISO 27001 9.2 (audit internal) dengan catatan bahwa keduanya memerlukan evaluasi independen atas apakah kontrol berfungsi, melalui pemantauan, audit internal dan tinjauan independen. Pembaca yang tidak setuju dapat melihat persis apa yang kami asumsikan dan memberi tahu kami. Lihat di halaman persyaratan CC4.1.

Poin-poin utama

• Label memungkinkan Anda menimbang bukti setiap pemetaan.
• Tautan editorial mengisi celah nyata dalam crosswalk yang dipublikasikan, disertai alasan.
• Setiap pemetaan kepatuhan seharusnya menunjukkan sumbernya.

Yang saya harapkan dari semua pihak lain

Beri label pada pemetaan Anda. Biayanya hampir tidak ada dan mengubah seberapa besar kepercayaan yang dapat diberikan orang kepadanya. Jika Anda membangun alat kepatuhan, tampilkan sumber setiap tautan; jika Anda membelinya, mintalah. Metodologi kami menjelaskan setiap aturan, dan unduhan menyertakan dasar setiap pemetaan sehingga Anda dapat memeriksa pekerjaan kami, dan memberi tahu kami di mana kami keliru.

Pertanyaan

Apa arti tautan crosswalk di ControlMapping?

Crosswalk yang dipublikasikan dari sumber resmi (NIST, ENISA, CIS atau PCI SSC) mendukung tautan tersebut, secara langsung atau melalui kontrol SP 800-53 yang itu sendiri ditautkan dengan crosswalk.

Apa arti tautan editorial?

Tidak ada crosswalk yang dipublikasikan yang membentuk tautan ini, tetapi ControlMapping menilai persyaratan tersebut terkait; alasannya selalu ditampilkan sehingga Anda dapat memeriksanya.

Bisakah saya mengusulkan koreksi pada suatu pemetaan?

Bisa. Setiap halaman persyaratan memiliki tautan yang menjelaskan cara melaporkan pemetaan yang salah atau hilang; sertakan ID, kerangka kerja yang Anda harapkan, dan sumber Anda.