Il caso per dati di conformità aperti e gratuiti

Ecco un fatto curioso del settore della conformità. Decine di migliaia di organizzazioni devono rispondere a più di un framework di sicurezza. Ognuna di esse deve sapere come quei framework si relazionano tra loro. E quasi tutte costruiscono o acquistano questa conoscenza separatamente: il foglio di calcolo di un consulente, il crosswalk proprietario di una piattaforma, il fine settimana di un analista. La stessa mappatura, ricostruita più e più volte, raramente verificata, mai condivisa.

La mappatura è una conoscenza comune travestita

Che l'A.8.24 della ISO 27001 si relazioni al requisito 3.5.1 della PCI DSS non è un segreto commerciale. È un fatto relativo a due documenti pubblicati, uguale per tutti. Trattarlo come un dato proprietario crea tre problemi:

• Duplicazione. Il settore paga più volte per lo stesso lavoro.
• Gli errori persistono. Una mappatura privata viene verificata dal suo proprietario, se qualcuno la verifica. Una mappatura pubblica viene verificata da chiunque la usi.
• Assenza di responsabilità. Non si può valutare una mappatura che non si può vedere, quindi non si può distinguere una mappatura accurata da una superficiale. Abbiamo scritto di il problema dei crosswalk che non si possono verificare.

Il settore pubblico lo ha già capito

I crosswalk più autorevoli sono già gratuiti. NIST pubblica apertamente i propri riferimenti informativi del CSF 2.0 e le proprie mappature SP 800-53, e gestisce un catalogo di crosswalk inviati. ENISA ha pubblicato la propria mappatura della NIS2 verso ISO 27001 e CSF. ASD pubblica l'ISM, inclusi i controlli dell'Essential Eight, con una licenza aperta. Questi sono tra i documenti di conformità più utilizzati al mondo proprio perché chiunque può usarli.

Cosa cambierebbe con l'apertura

• Gli strumenti competono sulla facilità d'uso, non sull'accumulo di dati. Il valore si sposta su flusso di lavoro, evidenze e automazione, dove deve stare.
• Le mappature migliorano più in fretta. Gli errori segnalati dagli utenti vengono corretti per tutti.
• Le organizzazioni piccole ottengono la stessa qualità di quelle grandi, senza pagare una piattaforma per scoprire come si relazionano due framework.
• Auditor e autorità di vigilanza possono verificare il ragionamento alla base di una mappatura, invece di accettarla sulla fiducia.

Dove sono i limiti

L'apertura ha dei limiti. ISO, PCI SSC e AICPA detengono i diritti sul testo dei propri standard, e questo va rispettato: i dati di mappatura aperti possono condividere identificativi, titoli brevi e motivazioni senza riprodurre requisiti protetti da copyright. E gratuito non significa privo di fonti; dati aperti che nascondono la propria provenienza sono solo un altro tipo di scatola nera.

Cosa richiedono dati di conformità aperti di qualità

L'apertura da sola non basta. Perché i dati di mappatura siano davvero utili come risorsa condivisa, occorre:

• Identificativi stabili che corrispondano ai cataloghi ufficiali, validati ogni volta che cambia uno dei due framework.
• Provenienza per ogni collegamento: quale crosswalk o quale giudizio, e perché.
• Versioni di ogni framework, con i requisiti ritirati gestiti in modo esplicito.
• Formati leggibili dalle macchine (CSV, fogli di calcolo, JSON) oltre alle pagine web.
• Una licenza chiara che consenta il riutilizzo, anche commerciale, nel rispetto dei diritti di terzi.
• Un modo per segnalare gli errori e un registro delle correzioni.

Questo è lo standard che cerchiamo di rispettare. La metodologia spiega come ogni voce viene gestita qui.

Punti chiave

• Le organizzazioni ricostruiscono in privato le stesse mappature tra framework, più e più volte.
• I crosswalk più autorevoli (NIST, ENISA, ASD) sono già gratuiti e sono quelli più utilizzati.
• I dati aperti vengono verificati e corretti; le mappature private si deteriorano senza essere viste.
• L'apertura deve rispettare il copyright degli standard e mostrare sempre la provenienza.
• I dati gratuiti richiedono comunque manutenzione: validazione rispetto ai cataloghi correnti a ogni modifica.

Cosa facciamo

I download di ControlMapping pubblicano il crosswalk completo (ogni argomento, collegamento di requisito, base e motivazione) con licenza CC BY 4.0, nel rispetto delle licenze di terzi. La metodologia documenta ogni fonte e regola. È un contributo modesto, ma è il modello che ritengo debbano seguire i dati di conformità: aperti, documentati, versionati e liberi di essere migliorati. Se trovi un errore, segnalacelo, così viene corretto per tutti.

Domande

I dati di ControlMapping sono gratuiti da riutilizzare?

Sì. Il lavoro proprio di ControlMapping (definizioni degli argomenti, scelte di mappatura, note editoriali e nostri riepiloghi) è soggetto a CC BY 4.0. Il materiale di terzi mantiene la propria licenza: i contenuti NIST sono di pubblico dominio, i titoli CIS sono CC BY-NC-ND, mentre i testi di ISO, PCI e AICPA non vengono riprodotti.

Perché non tutti i crosswalk tra framework sono aperti?

Alcuni titolari di framework concedono in licenza commerciale i propri standard e le proprie mappature, e molti fornitori considerano i propri crosswalk un elemento di differenziazione del prodotto.

Posso usare i dati di ControlMapping in un prodotto commerciale?

Il lavoro proprio di ControlMapping è soggetto a CC BY 4.0, che consente l'uso commerciale con attribuzione. Il materiale di terzi mantiene la propria licenza; ad esempio, i titoli delle safeguard CIS sono CC BY-NC-ND.