Il problema dei crosswalk dei fornitori che non si possono verificare

Le piattaforme di automazione della conformità hanno reso molto più semplice gestire programmi multi-framework. La maggior parte di esse fa leva su una promessa centrale: implementi un controllo una sola volta e questo soddisfa SOC 2, ISO 27001, NIST, HIPAA e altri, perché il crosswalk della piattaforma lo dice. Se chiedi alla piattaforma da dove deriva una specifica mappatura, rispetto a quale versione è stata costruita e perché i due requisiti sono equivalenti, la risposta spesso è il silenzio.

Questo è un problema, e non un problema puramente formale.

Le mappature non verificabili spostano il rischio su di te

Quando una piattaforma ti dice che il tuo controllo degli accessi soddisfa un requisito di un framework a cui sei appena soggetto, e sbaglia, il rilievo di audit è tuo, non del fornitore. Ti sei affidato a una mappatura che non potevi ispezionare. Gli auditor non accettano « lo strumento l'ha mappato » come giustificazione: leggono il requisito e verificano se il tuo controllo lo soddisfa.

Le mappature diventano obsolete senza segnalarlo

I framework cambiano. CSF 2.0 ha ritirato 79 sottocategorie di CSF 1.1 (dove sono finite); ISO 27001:2022 ha rinumerato l'Annex A; PCI DSS v4.0 ha aggiunto decine di requisiti. Un crosswalk che non è versionato e non è validato rispetto ai cataloghi correnti si deteriora. Un crosswalk privo di etichette si deteriora senza che nessuno se ne accorga.

« Mappato » nasconde il tipo di mappatura

Un collegamento tra due requisiti può significare che sono equivalenti, oppure che uno è un sottoinsieme dell'altro, oppure solo che condividono un tema. La nostra analisi di quanta parte delle mappature si basi su evidenze pubblicate ha rilevato che una quota rilevante delle mappature, ovunque si trovino, sono valutazioni discrezionali e non crosswalk pubblicati:

Framework	Mappature	Crosswalk	Redazione	Quota del crosswalk
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tutti	829	475	354	57%

Le valutazioni discrezionali non sono un male. Lo sono quelle non etichettate.

Cosa pretendere da qualsiasi crosswalk

1. Fonte per ogni collegamento: un crosswalk ufficiale (NIST, ENISA, il titolare del framework) oppure il giudizio del fornitore.
2. Una motivazione per ogni valutazione discrezionale, visibile a te.
3. Versioni di entrambi i framework e la data dell'ultima validazione.
4. Il significato di « mappato »: equivalente, parziale o correlato.
5. Esportazione: la possibilità di estrarre la mappatura e verificarla autonomamente.

Se un fornitore non è in grado di fornire questi elementi, usa le sue mappature come indicazioni e non come risposte.

Come testare un crosswalk ricevuto

Non devi sottoporre a audit un intero crosswalk per giudicarlo. Basta un campione:

1. Scegli dieci collegamenti a caso dal framework che conosci meglio.
2. Leggi entrambi i testi dei requisiti per ciascuno.
3. Classifica ogni collegamento: equivalente, parzialmente sovrapposto, semplicemente correlato oppure errato.
4. Verifica due casi sensibili alla versione, ad esempio un identificativo di CSF 1.1 o un numero di controllo di ISO 27001:2013.

Se la maggior parte dei collegamenti regge e le versioni sono aggiornate, il crosswalk è probabilmente utilizzabile come guida. Se diversi collegamenti sono errati o obsoleti, considera l'intero documento come non verificato. Anche i nostri dati sono aperti allo stesso test: ogni pagina di requisito, come ISO 27001 A.8.8, mostra la base e la motivazione di ciascun collegamento.

Punti chiave

• Le mappature non verificabili spostano il rischio di audit su di te.
• Pretendi fonte, versione, significato e motivazione per ogni collegamento.
• Sottoponi a test a campione qualsiasi crosswalk prima di affidartici.

Perché pubblichiamo le nostre

ControlMapping esiste in parte proprio a causa di questo problema. Ogni collegamento è etichettato come crosswalk o come Redazione, ogni collegamento di Redazione ha la sua motivazione, ogni ID è validato rispetto al catalogo ufficiale a ogni build e l'intero dataset è scaricabile con una licenza aperta. Non è l'unico modo di procedere, ma è lo standard a cui riteniamo che il settore dovrebbe attenersi. Consulta la metodologia e i download.

Domande

I crosswalk delle piattaforme di conformità sono accurati?

Alcuni sono curati con attenzione; altri no. Senza fonti, versioni e motivazioni visibili per ogni mappatura, non puoi distinguerli, e gli auditor non accetteranno « lo dice lo strumento » come giustificazione.

Cosa dovrebbe mostrare un crosswalk affidabile?

Per ogni collegamento: la fonte (un crosswalk ufficiale o il giudizio del fornitore), le versioni di entrambi i framework, il significato del collegamento (equivalente o semplicemente correlato) e una motivazione quando si tratta di una valutazione discrezionale.

Cos'è NIST OLIR?

Il programma Online Informative References di NIST: un catalogo di crosswalk tra i framework NIST e altri standard. Le proposte di terze parti sono verificate per il formato, non per la correttezza.