Crosswalk o giudizio? Quanta parte delle mappature tra framework si basa su evidenze pubblicate

Ogni piattaforma di compliance, foglio di calcolo di una società di consulenza e strumento di audit include mappature tra framework. Raramente indicano da dove provengono. Alcune sono copiate da crosswalk ufficiali; molte sono il miglior giudizio di qualcuno, formulato una volta e mai rivisto. Entrambe possono essere utili, ma dovresti sapere su quale ti stai basando.

ControlMapping etichetta ogni collegamento: crosswalk quando un crosswalk pubblicato lo supporta, editoriale quando si tratta del nostro giudizio con una motivazione dichiarata. Ecco la ripartizione.

I numeri

Framework	Mappature	Crosswalk	Redazione	Quota del crosswalk
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tutti	829	475	354	57%

Nel complesso, poco più della metà delle nostre mappature per argomento è supportata da un crosswalk pubblicato. Le restanti sono editoriali. La ripartizione varia enormemente a seconda del framework.

Perché la ripartizione varia

Alcuni framework dispongono di crosswalk autorevoli. NIST pubblica riferimenti ufficiali dal CSF 2.0 all'SP 800-53 e dall'SP 800-53 alla ISO 27001. ENISA, l'agenzia dell'UE, pubblica una mappatura di ogni punto del Regolamento di esecuzione NIS2 verso ISO 27001 e CSF 2.0. L'Appendice D dell'SP 800-171 di NIST mappa i requisiti di CMMC rispetto all'SP 800-53. Le mappature per questi framework sono in gran parte supportate da crosswalk.

Alcuni crosswalk sono parziali. La mappatura di CIS nel catalogo di NIST copre solo 49 dei 153 safeguard CIS; la mappatura di PCI SSC verso il CSF 2.0 omette alcuni requisiti fondamentali, come i requisiti MFA. Tutto ciò che va oltre è editoriale.

Alcuni framework non hanno crosswalk utilizzabili. Non esiste alcun crosswalk con licenza aperta per SOC 2, GDPR o Essential Eight. Ogni collegamento per questi è editoriale, il che non lo rende sbagliato, ma lo rende un'opinione che dovresti poter verificare.

Perché conta

• L'autorevolezza differisce. Un crosswalk di NIST o ENISA è stato sottoposto a consultazione pubblica ed è utilizzato in tutto il settore. Una mappatura editoriale è il punto di vista di un singolo analista. Quando un auditor chiede perché hai trattato due requisiti come equivalenti, "la mappatura di NIST lo dice" è una risposta più solida.
• Anche i crosswalk non dimostrano la conformità. Persino un crosswalk ufficiale dice soltanto che due requisiti affrontano esiti correlati. Non dice che la tua implementazione di uno soddisfi l'altro.
• Le mappature senza etichetta nascondono errori. Se non riesci a capire da dove proviene una mappatura, non puoi capire quando è sbagliata. Quando verifichiamo i nostri dati, sono proprio le etichette a rendere rapida l'individuazione e la correzione degli errori nelle mappature editoriali.

Punti chiave

• Solo poco più della metà delle nostre mappature per argomento si basa su un crosswalk pubblicato; le restanti sono giudizio editoriale.
• La quota varia per framework: alta per NIST, NIS2 e CMMC, pari a zero per SOC 2, GDPR ed Essential Eight.
• Il giudizio non è sbagliato, ma dovrebbe essere etichettato e spiegato.
• Prima di farvi affidamento, chiedi a ogni mappatura la sua fonte, versione, significato e ragionamento.

Cosa chiedere a ogni mappatura

1. Qual è la fonte? Un crosswalk ufficiale, il titolare del framework o il giudizio di qualcuno?
2. Il ragionamento è visibile? Un collegamento editoriale dovrebbe spiegare il perché.
3. Quale versione? Le mappature verso versioni superate (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) possono essere gravemente errate.
4. Cosa significa "mappato"? Equivalente, parzialmente sovrapposto o semplicemente correlato?

La nostra metodologia indica ogni fonte e versione, ogni pagina di requisito mostra la base di ciascun collegamento e i download includono la colonna delle evidenze, così puoi verificare il nostro lavoro.

Domande

Che cos'è un crosswalk tra framework?

Una mappatura pubblicata tra i requisiti di due framework, come la mappatura di NIST dell'SP 800-53 verso la ISO 27001. Indica che i requisiti affrontano esiti correlati, non che soddisfare l'uno soddisfi l'altro.

Perché le mappature SOC 2 sono editoriali?

L'AICPA pubblica mappature dai Trust Services Criteria verso altri framework, ma non con una licenza aperta, quindi ControlMapping non può usarle come evidenza. Ogni collegamento SOC 2 è il nostro giudizio, con la motivazione indicata.

Le mappature editoriali sono meno accurate dei crosswalk?

Non necessariamente; un giudizio di esperti può essere più preciso di un crosswalk pubblicato e generico. La differenza sta nell'autorevolezza e nella verificabilità, motivo per cui i collegamenti editoriali dovrebbero sempre riportare una motivazione.