Pertanyaan yang sering diajukan

Cara Menggunakan ControlMapping

Apa itu ControlMapping?

Referensi gratis yang menunjukkan persyaratan keamanan mana yang berlaku lintas 14 kerangka kerja: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, GDPR, NIST SP 800-53, CIS Controls, dan Essential Eight. Situs ini mencakup 1.421 persyaratan, dikelompokkan ke dalam 50 topik keamanan, dan setiap tautan menunjukkan asalnya.

Bagaimana cara menjalankan analisis kesenjangan?

Buka analisis kesenjangan, lalu pilih kerangka kerja yang Anda miliki dan yang Anda butuhkan. Setiap persyaratan dari kerangka kerja yang Anda butuhkan ditampilkan sebagai terpetakan (melalui crosswalk yang dipublikasikan atau berdasarkan penilaian editorial kami), terkait secara longgar, atau tidak ada pemetaan dalam data kami. Baris tanpa pemetaan kemungkinan merupakan pekerjaan baru bagi Anda. Ekspor hasilnya sebagai CSV dengan kolom pemilik, status, dan bukti dibiarkan kosong untuk digunakan sebagai pelacak.

Apa arti simbol-simbolnya?

Crosswalk (kotak padat): crosswalk yang dipublikasikan (dari NIST, ENISA, CIS, atau PCI SSC) membuat tautan tersebut. Editorial (kotak berbingkai): penilaian kami jika tidak ada crosswalk; alasannya selalu ditampilkan. Terkait secara longgar (cincin amber): keduanya hanya berbagi satu hasil NIST CSF 2.0, jadi periksa dulu sebelum mengandalkannya. Tidak ada pemetaan dalam data kami (tanda hubung): biasanya merupakan pekerjaan baru, tetapi cakupannya sebagian untuk beberapa kerangka kerja. Belah ketupat menandai hasil CSF yang mendefinisikan sebuah topik. Lihat metodologi.

Apa itu topik?

Subjek keamanan seperti Enkripsi, Autentikasi Multi-Faktor, atau Respons Insiden. Setiap topik didefinisikan oleh hasil NIST CSF 2.0, dan mencantumkan persyaratan di setiap kerangka kerja yang membahasnya. Halaman topik merupakan cara tercepat untuk melihat satu subjek di seluruh kerangka kerja.

Bisakah saya mengunduh datanya?

Bisa. Halaman unduhan menyediakan crosswalk lengkap dalam format CSV, Excel, dan JSON di bawah CC BY 4.0, dengan lisensi materi pihak ketiga dicantumkan di setiap berkas.

Apakah ControlMapping gratis?

Ya: tanpa akun dan tanpa paywall. Data dapat digunakan kembali secara bebas di bawah CC BY 4.0.

Akurasi dan sumber

Seberapa akurat pemetaannya?

Setiap ID persyaratan diperiksa terhadap katalog resmi kerangka kerja saat situs dibangun, dan ID yang telah dicabut akan menggagalkan proses build. Tautan berlabel crosswalk berasal dari crosswalk yang dipublikasikan; tautan berlabel editorial merupakan penilaian kami, masing-masing disertai alasan. Crosswalk menunjukkan bahwa persyaratan membahas hasil yang terkait, bukan bahwa memenuhi satu persyaratan berarti memenuhi yang lain. Gunakan situs ini untuk perencanaan dan konfirmasikan dengan teks sumber sebelum mengandalkannya untuk audit.

Dari mana asal crosswalk?

NIST (informative references CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Lampiran D), ENISA (NIS2 → ISO 27001 dan CSF 2.0), CIS (CIS Controls → CSF 2.0), dan PCI SSC (PCI DSS → CSF 2.0). SOC 2, GDPR, dan Essential Eight tidak memiliki crosswalk berlisensi terbuka, sehingga tautan tersebut bersifat editorial. Metodologi menyebutkan setiap sumber dan versinya.

Mengapa saya tidak bisa melihat teks lengkap persyaratan ISO, PCI, atau SOC 2?

Teks tersebut merupakan hak cipta ISO, PCI SSC, dan AICPA. Kami menampilkan ID, judul ISO, serta ringkasan singkat kami sendiri untuk PCI DSS dan SOC 2. Teks NIST, HIPAA, NIS2, dan Essential Eight ditampilkan sejauh lisensinya memungkinkan.

Saya menemukan kesalahan. Bagaimana cara melaporkannya?

Gunakan tautan laporkan kesalahan di halaman persyaratan mana pun, atau lihat halaman tentang.

Kerangka kerja

Apa perbedaan antara SOC 2 dan ISO 27001?

ISO 27001 berakhir dengan sertifikat untuk sistem manajemen keamanan informasi, yang diterbitkan oleh badan sertifikasi terakreditasi dan berlaku selama tiga tahun. SOC 2 berakhir dengan laporan: opini firma CPA atas kontrol Anda, biasanya mencakup periode 3 hingga 12 bulan (Tipe II). Kontrol keamanan keduanya sangat tumpang tindih; ISO menambahkan sistem manajemen, dan SOC 2 menambahkan kriteria opsional untuk ketersediaan, kerahasiaan, integritas pemrosesan, dan privasi. Lihat ISO 27001 vs SOC 2.

Apakah saya memerlukan SOC 2 Tipe I atau Tipe II?

Sebagian besar pelanggan meminta Tipe II, yang menguji apakah kontrol beroperasi selama suatu periode. Tipe I hanya mencakup desain pada satu titik waktu; ini berguna sebagai langkah awal selagi periode Tipe II berjalan. Lihat panduan SOC 2.

Apakah sertifikasi ISO 27001 memenuhi NIS2?

Tidak dengan sendirinya. ENISA memetakan setiap langkah teknis dalam Peraturan Pelaksana NIS2 ke ISO 27001, sehingga organisasi yang bersertifikat telah menyelesaikan sebagian besar pekerjaan, tetapi NIS2 menambahkan tenggat pelaporan insiden (24 jam, 72 jam, satu bulan), pelatihan dan akuntabilitas manajemen, serta pendaftaran pada otoritas nasional. Lihat panduan NIS2.

Apa perbedaan antara NIST CSF dan NIST SP 800-53?

CSF 2.0 menjelaskan hasil (106 subkategori) dan bersifat sukarela bagi sebagian besar organisasi. SP 800-53 adalah katalog kontrol yang mencapai hasil tersebut, wajib bagi sistem federal AS dan menjadi dasar FedRAMP. NIST menerbitkan pemetaan resmi di antara keduanya, yang digunakan oleh situs ini.

Siapa yang memerlukan CMMC Level 2?

Kontraktor dan subkontraktor Departemen Pertahanan AS yang menangani Controlled Unclassified Information (CUI). Level 2 terdiri dari 110 persyaratan NIST SP 800-171 Rev 2, dinilai melalui penilaian mandiri atau, untuk sebagian besar kontrak CUI, oleh penilai pihak ketiga terakreditasi (C3PAO).

Apakah ada sertifikasi untuk NIST CSF, HIPAA, atau Essential Eight?

Tidak ada yang resmi. NIST CSF dan Essential Eight dinilai, bukan disertifikasi; HIPAA ditegakkan oleh Office for Civil Rights HHS. Atestasi pihak ketiga tersedia untuk ketiganya, tetapi tidak ada yang merupakan sertifikat resmi.