Perché etichettiamo ogni mappatura come "crosswalk" o "redazione"

Ogni mappatura su ControlMapping riporta uno di due contrassegni. Crosswalk indica che a sostegno del link c'è un crosswalk pubblicato: NIST, ENISA, CIS o PCI SSC hanno indicato che questi requisiti sono correlati. Redazione indica che si tratta di un nostro giudizio, con la motivazione documentata. È la scelta progettuale più importante del sito e nasce da un'osservazione semplice: la maggior parte delle mappature tra framework in circolazione non permette di capire quale sia quale.

Il problema che risolve

Una mappatura è un'affermazione: "questo requisito è correlato a quello". Alcune affermazioni si basano su crosswalk ufficiali che hanno attraversato una consultazione pubblica. Altre sono il giudizio di un singolo analista. Entrambe possono essere corrette. Ma quando appaiono identiche, ogni mappatura eredita l'affidabilità di quella migliore, e ogni errore si nasconde tra le altre. È così che le organizzazioni finiscono per dire agli auditor che un controllo "soddisfa" un requisito perché uno strumento lo ha detto.

Cosa rendono possibile le etichette

• Puoi valutare le prove. Un link crosswalk dalla mappatura ufficiale di NIST è solido; un link Redazione è un'opinione motivata da verificare.
• Gli errori diventano individuabili. Quando verifichiamo i nostri dati per cercare errori, etichette e motivazioni ne permettono un rapido reperimento e correzione. Un crosswalk senza etichetta non offre nulla su cui lavorare a chi revisiona.
• Onestà sui limiti. Alcuni framework non hanno alcun crosswalk apertamente licenziato (SOC 2, GDPR, Essential Eight). Etichettare come Redazione tutti i loro link lo dichiara apertamente, invece di suggerire un'autorità che non esiste.

Ecco come si presenta oggi la ripartizione:

Framework	Mappature	Crosswalk	Redazione	Quota del crosswalk
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Tutti	829	475	354	57%

Perché non pubblicare solo i link crosswalk?

Perché i crosswalk hanno delle lacune. La mappatura pubblicata da CIS copre 49 dei 153 safeguard; quella di PCI SSC omette alcuni requisiti fondamentali; per SOC 2 non ne abbiamo nessuno utilizzabile. Un sito che mostrasse solo i link crosswalk indicherebbe SOC 2 come non mappato e gran parte di CIS come mancante, il che sarebbe meno utile e, a suo modo, fuorviante. I link Redazione colmano le lacune, etichettati in modo che tu sappia su cosa fai affidamento.

Le regole dietro le etichette

• Un link Redazione ha sempre una motivazione.
• Un link conta come crosswalk solo se il crosswalk lo sostiene davvero: i riferimenti a livello di famiglia e le catene che passano per link Redazione non contano.
• Ogni ID di requisito viene validato rispetto al catalogo ufficiale a ogni build.
• "Correlazione debole" è mostrata separatamente e non viene mai conteggiata come copertura.

Come appare un link Redazione

Un link Redazione non è mai una semplice linea tra due ID. Ognuno riporta una breve motivazione che chiunque può verificare. Ad esempio, SOC 2 CC4.1 (valutazioni continue e separate del controllo interno) è collegato alla clausola 9.2 di ISO 27001 (audit interno) con la nota che entrambi richiedono una valutazione indipendente dell'efficacia dei controlli, attraverso monitoraggio, audit interno e revisione indipendente. Chi non è d'accordo può vedere esattamente cosa abbiamo assunto e dircelo. Guardalo nella pagina del requisito CC4.1.

Punti chiave

• Le etichette ti permettono di valutare le prove di ogni mappatura.
• I link Redazione colmano lacune reali nei crosswalk pubblicati, con motivazioni.
• Ogni mappatura di compliance dovrebbe mostrare la propria fonte.

Cosa chiedo a tutti gli altri

Etichetta le tue mappature. Costa quasi nulla e cambia quanto chiunque possa fidarsi di esse. Se sviluppi strumenti di compliance, mostra la fonte di ogni link; se li acquisti, chiedila. La nostra metodologia spiega ogni regola e i download includono la base di ogni mappatura, così puoi verificare il nostro lavoro e dirci dove sbagliamo.

Domande

Cosa significa un link crosswalk su ControlMapping?

Un crosswalk pubblicato da una fonte autorevole (NIST, ENISA, CIS o PCI SSC) sostiene il link, direttamente o attraverso un controllo SP 800-53 a sua volta collegato tramite crosswalk.

Cosa significa un link Redazione?

Nessun crosswalk pubblicato sostiene il link, ma ControlMapping giudica i requisiti correlati; la motivazione è sempre mostrata, così puoi verificarla.

Posso suggerire una correzione a una mappatura?

Sì. Ogni pagina di requisito ha un link che spiega come segnalare una mappatura errata o mancante; includi gli ID, il framework che ti aspettavi e la tua fonte.