Metodologi
ControlMapping mengelompokkan persyaratan keamanan ke dalam 50 topik (Enkripsi, Autentikasi Multi-Faktor, Respons Insiden, …) dan menunjukkan persyaratan mana dalam setiap kerangka kerja yang mencakup setiap topik. Halaman ini menjelaskan asal setiap pemetaan agar Anda dapat menilai seberapa jauh pemetaan tersebut dapat diandalkan.
Memahami glyph
Kelima glyph memiliki arti yang sama di setiap halaman. Setiap glyph disertai label; warna hanya sebagai cadangan.
- Definisi topik: hasil NIST CSF 2.0 yang mendefinisikan topik tersebut.
- Crosswalk: crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) membuat tautan tersebut.
- Editorial: penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan.
- : hanya berbagi hasil CSF 2.0: layak diperiksa, tetapi bukan pemetaan.
- Tidak ada pemetaan dalam data kami: tidak ada yang dipetakan dalam data kami; sering kali merupakan pekerjaan baru, tetapi periksa catatan cakupannya.
Pemetaan adalah Crosswalk atau Editorial: kedua persyaratan dikurasi ke dalam topik yang sama, atau dihubungkan secara langsung. Hanya pemetaan yang dihitung sebagai cakupan, dalam alat analisis kesenjangan, perbandingan, dan penghitungan. adalah petunjuk yang perlu diperiksa, bukan cakupan.
Tidak ada pemetaan dalam data kami berarti tidak ada yang dipetakan dalam data kami. Untuk sebagian besar kerangka kerja, hal ini kemungkinan merupakan pekerjaan baru, tetapi cakupannya tidak merata: CIS v8.1: sebagian besar tautan CIS bersifat editorial; crosswalk CIS yang dipublikasikan mencakup 49 dari 153 safeguard; SOC 2: tautan SOC 2 hanya bersifat editorial; GDPR: hanya pasal keamanan GDPR yang dipetakan, secara editorial; Essential Eight: tautan Essential Eight hanya bersifat editorial; DORA: tautan DORA bersifat editorial, dan standar teknisnya tidak dipetakan; CPS 234: CPS 234 berbasis prinsip dan tautannya bersifat editorial; Cyber Essentials: Cyber Essentials hanya mencakup lima kontrol teknis. Anggap tidak adanya pemetaan di sana sebagai "belum dipetakan", dan periksa sebelum menyusun anggaran.
1. NIST CSF 2.0 sebagai pusat
Setiap topik didefinisikan oleh satu atau lebih subkategori NIST Cybersecurity Framework 2.0 (misalnya, Enkripsi = PR.DS-01 data-at-rest dan PR.DS-02 data-in-transit). Pemilihan subkategori tersebut merupakan keputusan editorial kami, dan ditampilkan di setiap halaman topik.
2. Crosswalk vs editorial
Untuk setiap kerangka kerja lainnya, setiap persyaratan yang tercantum pada suatu topik diperiksa terhadap crosswalk yang dipublikasikan dari katalog Online Informative References (OLIR) milik NIST:
- Crosswalk: crosswalk yang dipublikasikan menghubungkan persyaratan tersebut dengan salah satu subkategori CSF topik, baik secara langsung maupun melalui kontrol SP 800-53 yang juga terhubung. Tautan ditampilkan, misalnya "Crosswalk: PR.DS-01" atau "Pemetaan HIPAA NIST: SC-13".
- Editorial: tidak ada crosswalk yang dipublikasikan yang membuat tautan tersebut, tetapi kami menilai relevan, dan alasannya ditampilkan. Setiap pemetaan GDPR, SOC 2, dan Essential Eight bersifat editorial karena tidak ada crosswalk berlisensi terbuka untuk kerangka kerja tersebut.
Crosswalk berbeda dalam otoritasnya. Crosswalk dari NIST atau pemilik kerangka kerja (CIS untuk CIS Controls) memiliki kekuatan tertinggi. Crosswalk PCI DSS adalah milik PCI SSC sendiri. Crosswalk ISO 27001 ke CSF 2.0 diajukan oleh pihak independen, dan NIST tidak memverifikasi pengajuan non-NIST untuk ketepatannya. Tautan ISO juga diperiksa terhadap pemetaan NIST sendiri dari 800-53 ke ISO 27001. Tabel di bawah ini menyebutkan setiap sumber.
Tautan melalui seluruh famili kontrol 800-53 (data lama NIST menghubungkan beberapa subkategori ke setiap famili) tidak dihitung sebagai bukti. Tautan CMMC, HIPAA, atau ISO yang melalui kontrol SP 800-53 hanya dihitung jika kontrol 800-53 tersebut sendiri terhubung dengan crosswalk ke topik.
Dari 968 pemetaan persyaratan di luar CSF 2.0, 475 didukung oleh crosswalk dan 493 bersifat editorial.
3. Hubungan persyaratan-ke-persyaratan
Halaman persyaratan, perbandingan, alat analisis kesenjangan, dan unduhan menghubungkan persyaratan lintas kerangka kerja. Dua persyaratan dipetakan ketika:
- keduanya merupakan pilihan dalam topik ControlMapping yang sama (dikurasi dan divalidasi seperti di atas). Tautannya adalah Crosswalk jika kedua pilihan didukung crosswalk dalam topik tersebut, dan Editorial jika tidak; atau
- pemetaan berpasangan menghubungkannya secara langsung: tabel NIS2 → ISO 27001 dari ENISA, crosswalk HIPAA → SP 800-53 dari NIST, pemetaan SP 800-53 → ISO 27001 dari NIST, atau, untuk CMMC, Lampiran D SP 800-171r2 dari NIST dan referensi SP 800-171r3 → SP 800-53 (semuanya Crosswalk). Jika tidak ada crosswalk, sejumlah kecil pasangan editorial ControlMapping (misalnya SOC 2 CC4.1 ↔ ISO 27001 Klausul 9.2) mengisi celah yang jelas; setiap pasangan disertai alasannya (Editorial).
Selain itu, dua persyaratan yang terhubung ke subkategori NIST CSF 2.0 yang sama ditampilkan sebagai : keduanya membahas hasil yang berkaitan, tetapi salah satunya tidak memenuhi yang lain. Petunjuk ini diurutkan (yang didukung crosswalk lebih dulu, kemudian berdasarkan jumlah hasil yang dibagi), dibatasi maksimal 8 per kerangka kerja pada halaman persyaratan, dan disembunyikan secara default. Dua jenis tautan dibuang sebagai noise: tautan yang hanya dibagi melalui hasil peningkatan umum CSF (ID.IM), dan kontrol kebijakan-dan-prosedur SP 800-53 "-1" kecuali hasil yang dibagi adalah hasil kebijakan (GV.PO).
Praktik CMMC mencapai CSF 2.0 melalui padanan SP 800-171 Rev 3 mereka atau kontrol 800-53 dari Lampiran D, dan persyaratan HIPAA melalui crosswalk HIPAA → SP 800-53 dari NIST. Unduhan mencakup setiap tautan persyaratan → CSF 2.0, sehingga Anda dapat memeriksa atau memperluas pekerjaan ini.
4. Setiap ID divalidasi
Proses build gagal jika ada ID persyaratan yang tidak ada dalam katalog kerangka kerjanya atau telah dicabut (misalnya, ID CSF 1.1 seperti ID.BE-01 yang dicabut dalam CSF 2.0).
5. Sumber dan versi
| Kerangka kerja | Katalog persyaratan | Crosswalk yang digunakan | Pemetaan (crosswalk) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Ekspor NIST CPRT dari CSF 2.0 (termasuk subkategori 1.1 yang dicabut) | Pusat: setiap topik didefinisikan oleh subkategori CSF 2.0 | — |
| ISO/IEC 27001:2022 | Nomor kontrol Lampiran A dan nomor klausul dengan judul singkat (teks standar merupakan hak cipta ISO) | ISO/IEC 27001:2022 ke CSF 2.0 (OLIR, pengaju independen) dan pemetaan NIST sendiri dari SP 800-53 Rev 5 ke ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | Safeguard CIS Controls v8.1 dengan judul dari CIS (CC BY-NC-ND 4.0) | Pemetaan CIS Controls v8.1 ke CSF 2.0 milik CIS sendiri dalam OLIR, yang mencakup 49 dari 153 safeguard; sisanya bersifat editorial | 163 (40) |
| SOC 2 (Trust Services Criteria) | ID Trust Services Criteria 2017 (titik fokus yang direvisi 2022) dengan ringkasan satu baris buatan ControlMapping sendiri; teks kriteria merupakan hak cipta AICPA | AICPA menerbitkan pemetaan TSC (misalnya ke NIST 800-53 dan ISO 27001), tetapi tidak dengan lisensi terbuka, sehingga semua pemetaan SOC 2 di sini bersifat editorial ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Penomoran persyaratan PCI DSS v4.0.1 (diperiksa terhadap crosswalk) dengan ringkasan satu baris buatan ControlMapping sendiri; teks persyaratan merupakan hak cipta PCI SSC | Pemetaan PCI DSS v4.0.1 ke CSF 2.0 milik PCI SSC sendiri (Board of Advisors), dipublikasikan dalam referensi informatif CSF 2.0 NIST | 95 (70) |
| CMMC Level 2 | Ekspor NIST CPRT dari SP 800-171 Rev 2 (110 praktik CMMC Level 2) dengan nama praktik CMMC Level 2 dari DoD | Lampiran D SP 800-171 Rev 2 dari NIST (→ SP 800-53, ID Rev 4 dibawa ke Rev 5), ditambah referensi SP 800-171 Rev 3 → SP 800-53 dan CSF 2.0 → 800-171r3 melalui persyaratan Rev 3 yang sesuai | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Katalog OSCAL NIST, SP 800-53 Rev 5.2.0 (termasuk kontrol yang dicabut) | Referensi informatif NIST CSF 2.0 (800-53 Rev 5.2.0 dan 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): standar Security Rule dan spesifikasi implementasi. ID mengikuti format NIST, yang menghilangkan (1) di akhir standar pada CFR: §164.310(a) di sini adalah §164.310(a)(1) | Crosswalk NIST dari HIPAA Security Rule ke SP 800-53 Rev 5.1.1 (OLIR), melalui kontrol 800-53 topik yang didukung crosswalk | 47 (36) |
| GDPR | Pasal GDPR yang memuat kewajiban keamanan (Pasal 5, 24–25, 28–30, 32–35, 37–39) | Tidak ada (GDPR adalah undang-undang privasi), sehingga semua pemetaan GDPR bersifat editorial | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | 49 poin persyaratan dalam Lampiran Peraturan Pelaksana Komisi (EU) 2024/2690, dengan judul dari ENISA | Tabel pemetaan resmi ENISA (v1.2) dari setiap poin ke NIST CSF 2.0 dan ISO/IEC 27001:2022; dinormalisasi (misalnya ID CSF 1.1 yang dicabut dipindahkan melalui data NIST), dan tautan peningkatan ID.IM umum hanya digunakan jika tidak ada hal lain yang dipetakan | 65 (64) |
| ASD Essential Eight | 126 kontrol Information Security Manual yang diberi tag oleh ASD dengan tingkat kematangan Essential Eight (ISM September 2026, CC BY 4.0), dikelompokkan berdasarkan delapan strategi ASD | Tidak ada: ASD tidak menerbitkan crosswalk Essential Eight/ISM ke NIST atau ISO, sehingga tautan strategi → CSF 2.0 dan pemetaan topik bersifat editorial ControlMapping. Penetapan kontrol ke strategi mengikuti Essential Eight Maturity Model dari ASD | 62 (0) |
| DORA (Regulation (EU) 2022/2554) | Regulation (EU) 2022/2554 sebagaimana diterbitkan dalam Official Journal (Publications Office): 22 pasal yang mengikat entitas keuangan, beserta teks paragraf dan poinnya | Tidak ada, sehingga semua pemetaan DORA bersifat editorial, dibuat pada tingkat paragraf atau poin dengan alasan untuk setiap pemetaan | 93 (0) |
| APRA CPS 234 Information Security | APRA Prudential Standard CPS 234 sebagaimana terdaftar di Federal Register of Legislation (F2018L01745, CC BY 4.0): paragraf operatif 13 sampai 36, dengan judul singkat ControlMapping | Tidak ada, sehingga semua pemetaan CPS 234 bersifat editorial | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (April 2026): lima tema kontrol teknis (hak cipta Crown: hanya nama) | Tidak ada, sehingga semua pemetaan Cyber Essentials bersifat editorial, masing-masing menyebutkan persyaratan spesifiknya | 11 (0) |
Data sumber diambil pada 2026-10-16; pemetaan dibangun pada 2026-10-27.
6. Celah yang diketahui
- Pemetaan CSF PCI SSC tidak mencakup beberapa persyaratan inti, termasuk persyaratan MFA (8.4.x) dan sebagian besar kontrol keamanan jaringan Persyaratan 1. Jika kami menyertakannya, ditandai sebagai editorial.
- Crosswalk OLIR CIS hanya mencakup 49 dari 153 safeguard CIS v8.1, sehingga banyak pemetaan CIS bersifat editorial. CIS menerbitkan pemetaan yang lebih lengkap di balik formulir unduhan, dan itu belum dimasukkan.
- Crosswalk HIPAA NIST memetakan ke SP 800-53, sehingga persyaratan HIPAA dihitung sebagai didukung crosswalk hanya jika terhubung ke salah satu kontrol 800-53 topik yang terhubung dengan crosswalk.
- CMMC Level 2 adalah SP 800-171 Rev 2. Tautan resminya berasal dari Lampiran D Rev 2 sendiri (yang menyebutkan kontrol SP 800-53 Rev 4; tujuh yang dicabut di Rev 5 mengikuti tautan incorporated-into NIST, dan SC-19 untuk VoIP tidak memiliki penerus) dan dari persyaratan Rev 3 yang sesuai. Rev 3 menulis ulang beberapa persyaratan, sehingga tautan Rev 3 adalah bukti topik yang sama, bukan redaksi yang identik.
- Beberapa topik tidak memiliki persyaratan setara dalam suatu kerangka kerja. Misalnya, CMMC Level 2 tidak memiliki praktik perencanaan pemulihan dan CIS v8.1 tidak memiliki safeguard tata kelola. Celah ini nyata, bukan kelalaian.
7. Bukan nasihat kepatuhan
Crosswalk menunjukkan kerangka kerja mana yang membahas hasil serupa. Crosswalk tidak membuktikan bahwa memenuhi satu persyaratan berarti memenuhi persyaratan lain. Pastikan dengan teks resmi setiap kerangka kerja dan dengan assessor atau auditor Anda.