Domande frequenti

Utilizzo di ControlMapping

Che cos'è ControlMapping?

Un riferimento gratuito che mostra quali requisiti di sicurezza si trasferiscono tra 14 framework: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, GDPR, NIST SP 800-53, CIS Controls ed Essential Eight. Copre 1421 requisiti, raggruppati in 50 argomenti di sicurezza, e ogni link mostra la sua origine.

Come eseguo una gap analysis?

Apri la gap analysis e scegli il framework che hai e quello che ti serve. Ogni requisito del framework di destinazione è elencato come mappato (tramite un crosswalk pubblicato o per giudizio editoriale), come Correlazione debole oppure come Nessuna mappatura nei nostri dati. Le righe senza mappatura rappresentano probabilmente il nuovo lavoro da svolgere. Esporta il risultato come CSV con colonne vuote per responsabile, stato ed evidenze, da usare come tracker.

Che cosa significano i simboli?

Crosswalk (quadrato pieno): un crosswalk pubblicato (di NIST, ENISA, CIS o PCI SSC) crea il collegamento. Redazione (quadrato vuoto): giudizio editoriale dove non esiste alcun crosswalk; la motivazione è sempre indicata. Correlazione debole (anello ambra): le due voci condividono solo un risultato di NIST CSF 2.0, quindi verificate prima di farvi affidamento. Nessuna mappatura nei nostri dati (trattino): di solito si tratta di nuovo lavoro, ma la copertura è parziale per alcuni framework. Un rombo indica i risultati CSF che definiscono un argomento. Vedi la metodologia.

Che cos'è un argomento?

Un argomento di sicurezza, come Crittografia, Autenticazione a più fattori o Risposta agli incidenti. Ogni argomento è definito da risultati di NIST CSF 2.0 e riporta il requisito di ogni framework che lo tratta. Le pagine degli argomenti sono il modo più rapido per vedere un singolo tema di sicurezza in tutti i framework.

Posso scaricare i dati?

Sì. La pagina downloads offre il crosswalk completo in CSV, Excel e JSON con licenza CC BY 4.0, con le licenze del materiale di terze parti indicate in ogni file.

ControlMapping è gratuito?

Sì: nessun account e nessun paywall. I dati sono riutilizzabili gratuitamente con licenza CC BY 4.0.

Accuratezza e fonti

Quanto è accurata la mappatura?

Ogni ID di requisito viene verificato rispetto al catalogo ufficiale del framework al momento della creazione del sito, e gli ID ritirati fanno fallire la build. I link etichettati come crosswalk provengono da crosswalk pubblicati; quelli etichettati come Redazione sono giudizi editoriali, ciascuno con una motivazione. I crosswalk indicano che i requisiti trattano risultati correlati, non che soddisfare l'uno soddisfi anche l'altro; usate quindi il sito per pianificare e verificate il testo della fonte prima di affidarvi a esso per un audit.

Da dove provengono i crosswalk?

NIST (riferimenti informativi di CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Appendice D), ENISA (NIS2 → ISO 27001 e CSF 2.0), CIS (CIS Controls → CSF 2.0) e PCI SSC (PCI DSS → CSF 2.0). SOC 2, GDPR ed Essential Eight non hanno un crosswalk con licenza aperta, quindi questi link sono di Redazione. La metodologia indica ogni fonte e versione.

Perché non riesco a vedere il testo completo dei requisiti ISO, PCI o SOC 2?

Tale testo è protetto da copyright di ISO, PCI SSC e AICPA. Mostriamo gli ID, i titoli ISO e i nostri brevi riepiloghi per PCI DSS e SOC 2. Il testo di NIST, HIPAA, NIS2 ed Essential Eight è mostrato nei limiti consentiti dalla rispettiva licenza.

Ho trovato un errore. Come lo segnalo?

Usate il link «segnala un errore» presente in ogni pagina dei requisiti, oppure consultate la pagina chi siamo.

Framework

Qual è la differenza tra SOC 2 e ISO 27001?

ISO 27001 si conclude con un certificato per un sistema di gestione della sicurezza delle informazioni, rilasciato da un organismo di certificazione accreditato e valido per tre anni. SOC 2 si conclude con un report: il parere di uno studio CPA sui controlli, di solito riferito a un periodo da 3 a 12 mesi (Tipo II). I loro controlli di sicurezza si sovrappongono ampiamente; ISO aggiunge il sistema di gestione, mentre SOC 2 aggiunge i criteri facoltativi di disponibilità, riservatezza, integrità del trattamento e privacy. Vedi ISO 27001 vs SOC 2.

Serve SOC 2 Tipo I o Tipo II?

La maggior parte dei clienti richiede Tipo II, che verifica se i controlli hanno funzionato per un periodo. Tipo I copre solo la progettazione in un dato momento; è utile come primo passo mentre è in corso il periodo di Tipo II. Vedi la guida a SOC 2.

La certificazione ISO 27001 soddisfa NIS2?

Non di per sé. ENISA mappa ogni misura tecnica del Regolamento di esecuzione NIS2 su ISO 27001, quindi le organizzazioni certificate hanno già svolto gran parte del lavoro, ma NIS2 aggiunge le scadenze per la notifica degli incidenti (24 ore, 72 ore, un mese), la formazione e la responsabilità della direzione e la registrazione presso l'autorità nazionale. Vedi la guida a NIS2.

Qual è la differenza tra NIST CSF e NIST SP 800-53?

CSF 2.0 descrive risultati (106 sottocategorie) ed è volontario per la maggior parte delle organizzazioni. SP 800-53 è un catalogo di controlli che consente di conseguire tali risultati, obbligatorio per i sistemi federali statunitensi e base di FedRAMP. NIST pubblica la mappatura ufficiale tra i due, che questo sito utilizza.

Chi ha bisogno del CMMC Livello 2?

Appaltatori e subappaltatori del DoD statunitense che trattano Informazioni Non Classificate Controllate (CUI). Il Livello 2 comprende i 110 requisiti di NIST SP 800-171 Rev 2, valutati tramite autovalutazione oppure, per la maggior parte dei contratti CUI, da un valutatore terzo accreditato (C3PAO).

Esiste una certificazione per NIST CSF, HIPAA o Essential Eight?

Nessuna certificazione ufficiale. NIST CSF ed Essential Eight vengono valutati, non certificati; HIPAA è applicata dall'Office for Civil Rights dell'HHS. Esistono attestazioni di parti terze per tutti e tre, ma nessuna è un certificato ufficiale.