Quale framework di sicurezza è il punto di partenza migliore? Lo abbiamo misurato

"Con quale framework dovremmo iniziare?" è una delle prime domande che ogni programma di sicurezza deve affrontare, e le risposte abituali sono opinioni. Volevamo un numero: se implementi il framework X, quanta parte di ogni altro framework hai già coperto?

ControlMapping mette in relazione i requisiti di undici framework tra loro, quindi possiamo misurarlo. Per ogni framework, abbiamo preso ogni altro framework a turno e contato quanti dei suoi requisiti hanno almeno una mappatura verso il primo, poi abbiamo calcolato la media sui dieci.

La classifica

Se hai	Quota media di altri framework mappati	Copre gran parte di	Copre meno di
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

Quota = requisiti dell'altro framework con almeno una mappatura (crosswalk o editoriale) verso questo, con media calcolata su 10 altri framework. Calcolato in tempo reale dagli stessi dati di analisi del gap.

Due framework si distinguono. NIST SP 800-53 mappa la quota maggiore di tutto il resto, il che non sorprende: è un catalogo di centinaia di controlli scritti per coprire quasi ogni argomento di sicurezza e privacy, e NIST pubblica mappature ufficiali dal suo catalogo verso CSF 2.0 e ISO 27001. ISO 27001 viene subito dopo, perché l'Annex A copre lo stesso terreno a un livello più alto e le clausole del sistema di gestione aggiungono una governance che la maggior parte dei framework tocca.

All'estremo opposto, l'Essential Eight mappa la quota minore, per scelta progettuale. È costituito da otto strategie di mitigazione mirate, non da un programma completo, quindi implementarlo lascia intatta la maggior parte di qualsiasi altro framework. Anche GDPR è basso per un motivo simile: sono inclusi solo i suoi articoli sulla sicurezza.

Leggi i numeri con attenzione

Tre cose da tenere a mente:

• Mappato non significa soddisfatto. Una mappatura indica che due requisiti affrontano lo stesso argomento. Il controllo sulle vulnerabilità di ISO 27001 e il requisito di scansione trimestrale di PCI DSS sono mappati, ma soddisfare il primo non soddisfa il secondo.
• I framework granulari sembrano facili da coprire. Quasi ogni framework sembra coprire quasi tutti i CIS Controls. CIS ha 153 safeguard specifici, quindi la maggior parte dei framework ne tocca ciascuno a livello di argomento, e la maggior parte dei collegamenti CIS deriva dal nostro giudizio editoriale, perché il crosswalk pubblicato da CIS copre solo 49 safeguard. Interpreta la colonna CIS come "toccato", non come "fatto".
• I framework specifici sembrano difficili da coprire. PCI DSS e SP 800-53 sono i più difficili da coprire per gli altri, perché contengono molti requisiti dettagliati che i framework più ampi non specificano.

Chi lo chiede decide

La misurazione indica quale framework offre la base più ampia. Non ti dice quale ti serve, e di solito questo chiarisce la questione:

• I clienti enterprise statunitensi chiedono un report SOC 2. Se un contratto dipende da questo, parti da lì.
• I clienti internazionali, le gare d'appalto e le autorità di vigilanza chiedono la certificazione ISO 27001.
• Il lavoro federale statunitense richiede SP 800-53 (e FedRAMP per il cloud); i contratti della difesa richiedono CMMC Level 2.
• I pagamenti con carta richiedono PCI DSS, qualunque altra cosa tu faccia.
• I fornitori digitali UE e i settori critici hanno bisogno di NIS2.
• Nessuno lo chiede ancora? ISO 27001 o NIST CSF 2.0 offrono la base più ampia. CSF è gratuito e più leggero per iniziare; ISO aggiunge un certificato quando ti serve. SP 800-53 copre di più, ma le sue dimensioni ne fanno un primo passo pesante per la maggior parte delle aziende private.

Poi estendi, non ricominciare

Qualunque sia il punto di partenza, il secondo framework costa meno del primo. Esegui una gap analysis dal framework che hai a quello che ti serve, e otterrai l'elenco requisito per requisito di ciò che viene riutilizzato e di ciò che è nuovo, con le evidenze per ogni collegamento. I confronti approfondiscono le coppie più comuni, come ISO 27001 vs SOC 2 e NIST CSF vs ISO 27001.

Come l'abbiamo misurato

Per ogni coppia ordinata di framework abbiamo usato lo stesso calcolo della gap analysis: un requisito è considerato mappato quando è raccolto nello stesso argomento ControlMapping di un requisito dell'altro framework, oppure è collegato direttamente a esso da un crosswalk pubblicato o da un collegamento editoriale con una motivazione dichiarata. I requisiti che condividono solo un risultato di NIST CSF 2.0 ("correlazione debole") non vengono conteggiati. I numeri sopra sono calcolati in tempo reale dai dati correnti; vedi la metodologia.

Domande

Quale framework di sicurezza copre la maggior parte degli altri?

Nei dati di ControlMapping, NIST SP 800-53 copre in media la quota maggiore dei requisiti degli altri framework, seguito da ISO 27001. Una mappatura indica che i requisiti affrontano risultati correlati, non che uno soddisfi l'altro.

Una piccola azienda dovrebbe iniziare con ISO 27001 o SOC 2?

Inizia da ciò che chiedono i tuoi clienti. Se nessuno lo chiede ancora, ISO 27001 o NIST CSF offrono la base più ampia; SOC 2 è la strada più rapida verso un report se un contratto statunitense ne dipende.