Metodologia
ControlMapping raggruppa i requisiti di sicurezza in 50 argomenti (Crittografia, Autenticazione a più fattori, Risposta agli incidenti, …) e mostra quale requisito di ciascun framework copre ciascun argomento. Questa pagina spiega da dove proviene ogni mappatura, così da poter valutare quanto affidarsi ad essa.
Come leggere i simboli
I stessi cinque simboli hanno lo stesso significato in ogni pagina. Ciascuno è accompagnato da un'etichetta; il colore è solo un supporto.
- Definizione dell'argomento: risultati di NIST CSF 2.0 che definiscono l'argomento.
- Crosswalk: un crosswalk pubblicato (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento.
- Redazione: il giudizio di ControlMapping in assenza di un crosswalk; viene mostrata la motivazione.
- : condivide solo un risultato di CSF 2.0: da verificare, ma non è una mappatura.
- Nessuna mappatura nei nostri dati: nulla è mappato nei nostri dati; spesso si tratta di lavoro nuovo, ma consultare le note sulla copertura.
Una mappatura è Crosswalk oppure Redazione: i due requisiti sono selezionati nello stesso argomento oppure collegati direttamente. Solo le mappature contano come copertura nello strumento di gap analysis, nei confronti e nei conteggi. è una pista da verificare, mai una copertura.
Nessuna mappatura nei nostri dati significa che nei nostri dati non è mappato nulla. Per la maggior parte dei framework si tratta probabilmente di lavoro nuovo, ma la copertura è disomogenea: CIS v8.1: la maggior parte dei collegamenti CIS è di redazione; il crosswalk pubblicato da CIS copre 49 dei 153 safeguard; SOC 2: i collegamenti SOC 2 sono solo di redazione; GDPR: sono mappati solo gli articoli sulla sicurezza del GDPR, in via redazionale; Essential Eight: i collegamenti Essential Eight sono solo di redazione; DORA: i collegamenti DORA sono di redazione e le sue norme tecniche non sono mappate; CPS 234: CPS 234 è basato su principi e i suoi collegamenti sono di redazione; Cyber Essentials: Cyber Essentials copre solo cinque controlli tecnici. Considerare l'assenza di mappatura come "non ancora mappato" e verificare prima di pianificare il budget.
1. NIST CSF 2.0 è il fulcro
Ogni argomento è definito da una o più sottocategorie del NIST Cybersecurity Framework 2.0 (ad esempio, Crittografia = PR.DS-01 dati a riposo e PR.DS-02 dati in transito). La scelta di tali sottocategorie è una decisione redazionale di ControlMapping ed è indicata in ogni pagina dell'argomento.
2. Crosswalk vs redazione
Per ogni altro framework, ciascun requisito associato a un argomento è verificato rispetto ai crosswalk pubblicati nel catalogo NIST Online Informative References (OLIR):
- Crosswalk: un crosswalk pubblicato collega quel requisito a una delle sottocategorie CSF dell'argomento, direttamente oppure attraverso un controllo SP 800-53 a sua volta collegato. Il collegamento è indicato, ad esempio, "Crosswalk: PR.DS-01" oppure "NIST HIPAA map: SC-13".
- Redazione: nessun crosswalk pubblicato stabilisce il collegamento, ma riteniamo che sia pertinente, e la motivazione è indicata. Ogni mappatura di GDPR, SOC 2 ed Essential Eight è di redazione: per essi non esiste alcun crosswalk con licenza aperta.
I crosswalk differiscono per autorevolezza. Quelli di NIST o del titolare del framework (CIS per i CIS Controls) sono i più solidi. Il crosswalk per PCI DSS è di PCI SSC stessa. I crosswalk ISO 27001 verso CSF 2.0 sono stati inviati da soggetti indipendenti, e NIST non verifica la correttezza dei contributi non NIST. I collegamenti ISO sono inoltre verificati rispetto alla mappatura propria di NIST da 800-53 a ISO 27001. La tabella sottostante indica ciascuna fonte.
I collegamenti attraverso intere famiglie di controlli 800-53 (i dati meno recenti di NIST collegano alcune sottocategorie a tutte le famiglie) non sono considerati prove. Un collegamento CMMC, HIPAA o ISO che passa attraverso un controllo SP 800-53 è valido solo se quel controllo 800-53 è a sua volta collegato tramite crosswalk all'argomento.
Delle 968 mappature dei requisiti esterne a CSF 2.0, 475 sono supportate da un crosswalk e 493 sono di redazione.
3. Relazioni tra requisiti
Le pagine dei requisiti, i confronti, lo strumento di gap analysis e i download mettono in relazione i requisiti tra i vari framework. Due requisiti sono mappati quando:
- entrambi sono selezionati nello stesso argomento di ControlMapping (curato e validato come sopra). Il collegamento è Crosswalk quando entrambe le selezioni sono supportate da crosswalk in quell'argomento, e Redazione altrimenti; oppure
- una mappatura a coppie li collega direttamente: la tabella ENISA da NIS2 a ISO 27001, il crosswalk NIST da HIPAA a SP 800-53, la mappatura NIST da SP 800-53 a ISO 27001 oppure, per CMMC, i riferimenti NIST dell'Appendice D di SP 800-171r2 e da SP 800-171r3 a SP 800-53 (tutti Crosswalk). Laddove non esiste alcun crosswalk, un ristretto insieme di coppie redazionali di ControlMapping (ad esempio SOC 2 CC4.1 ↔ ISO 27001 Clausola 9.2) colma lacune evidenti; ciascuna riporta la propria motivazione (Redazione).
In caso contrario, due requisiti collegati alla stessa sottocategoria di NIST CSF 2.0 sono mostrati come : affrontano risultati correlati, ma l'uno non soddisfa l'altro. Queste piste sono ordinate (prima quelle supportate da crosswalk, poi per risultati condivisi), limitate a 8 per framework nelle pagine dei requisiti e mantenute compresse. Due tipi di collegamento sono esclusi come rumore: quelli condivisi solo attraverso i generici risultati di miglioramento di CSF (ID.IM) e i controlli SP 800-53 di tipo "-1" di politica e procedure, salvo che il risultato condiviso sia di natura politica (GV.PO).
Le pratiche CMMC raggiungono CSF 2.0 tramite il loro equivalente SP 800-171 Rev 3 oppure tramite i controlli 800-53 dell'Appendice D, e i requisiti HIPAA tramite il crosswalk NIST da HIPAA a SP 800-53. I download includono ogni collegamento da requisito a CSF 2.0, così da poter verificare o estendere il lavoro.
4. Ogni ID è validato
La compilazione fallisce se un ID di requisito non esiste nel catalogo del suo framework o è stato ritirato (ad esempio, gli ID di CSF 1.1 come ID.BE-01, ritirati in CSF 2.0).
5. Fonti e versioni
| Framework | Catalogo dei requisiti | Crosswalk utilizzato | Mappature (crosswalk) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Esportazione NIST CPRT di CSF 2.0 (incluse le sottocategorie 1.1 ritirate) | Il fulcro: ogni argomento è definito dalle sottocategorie di CSF 2.0 | — |
| ISO/IEC 27001:2022 | Numeri di controllo dell'Allegato A e delle clausole con titoli brevi (il testo della norma è protetto da copyright ISO) | ISO/IEC 27001:2022 verso CSF 2.0 (OLIR, contributori indipendenti) e la mappatura propria di NIST da SP 800-53 Rev 5 a ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | Safeguard di CIS Controls v8.1 con i titoli di CIS (CC BY-NC-ND 4.0) | La mappatura propria di CIS da CIS Controls v8.1 a CSF 2.0 in OLIR, che copre 49 dei 153 safeguard; i restanti sono di redazione | 163 (40) |
| SOC 2 (Trust Services Criteria) | ID dei Trust Services Criteria 2017 (punti di attenzione rivisti 2022) con sintesi di una riga proprie di ControlMapping; il testo dei criteri è protetto da copyright AICPA | AICPA pubblica mappature dei TSC (ad esempio verso NIST 800-53 e ISO 27001), ma non con licenza aperta, quindi tutte le mappature SOC 2 qui sono di redazione di ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Numerazione dei requisiti PCI DSS v4.0.1 (verificata rispetto al crosswalk) con sintesi di una riga proprie di ControlMapping; il testo dei requisiti è protetto da copyright PCI SSC | La mappatura propria di PCI SSC da PCI DSS v4.0.1 a CSF 2.0 (Board of Advisors), pubblicata nei riferimenti informativi di CSF 2.0 di NIST | 95 (70) |
| CMMC Level 2 | Esportazione NIST CPRT di SP 800-171 Rev 2 (le 110 pratiche CMMC Level 2) con i nomi delle pratiche CMMC Level 2 del DoD | Appendice D di NIST SP 800-171 Rev 2 (→ SP 800-53, ID Rev 4 riportati a Rev 5), più i riferimenti SP 800-171 Rev 3 → SP 800-53 e CSF 2.0 → 800-171r3 attraverso il requisito Rev 3 corrispondente | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Catalogo NIST OSCAL, SP 800-53 Rev 5.2.0 (inclusi i controlli ritirati) | Riferimenti informativi NIST CSF 2.0 (800-53 Rev 5.2.0 e 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): standard e specifiche di implementazione della Security Rule. Gli ID seguono la forma NIST, che omette il (1) finale del CFR sugli standard: §164.310(a) qui corrisponde a §164.310(a)(1) | Crosswalk NIST dalla HIPAA Security Rule a SP 800-53 Rev 5.1.1 (OLIR), tramite i controlli 800-53 supportati da crosswalk dell'argomento | 47 (36) |
| GDPR | Articoli del GDPR che contengono obblighi di sicurezza (artt. 5, 24–25, 28–30, 32–35, 37–39) | Non esiste (il GDPR è una normativa sulla privacy), quindi tutte le mappature GDPR sono di redazione | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | I 49 punti di requisito dell'Allegato del Regolamento di esecuzione della Commissione (UE) 2024/2690, con i titoli di ENISA | Tabella di mappatura ufficiale di ENISA (v1.2) da ciascun punto a NIST CSF 2.0 e ISO/IEC 27001:2022; normalizzata (ad esempio gli ID ritirati di CSF 1.1 spostati tramite i dati NIST), e collegamenti generici di miglioramento ID.IM usati solo quando non c'è altra mappatura | 65 (64) |
| ASD Essential Eight | I 126 controlli del Manuale di sicurezza delle informazioni (ISM) che ASD associa ai livelli di maturità di Essential Eight (ISM settembre 2026, CC BY 4.0), raggruppati secondo le otto strategie di ASD | Nessuno: ASD non pubblica alcun crosswalk Essential Eight/ISM verso NIST o ISO, quindi i collegamenti strategia → CSF 2.0 e le mappature degli argomenti sono di redazione di ControlMapping. L'assegnazione controllo-strategia segue il Modello di maturità Essential Eight di ASD | 62 (0) |
| DORA (Regolamento (UE) 2022/2554) | Regolamento (UE) 2022/2554 come pubblicato nella Gazzetta ufficiale (Ufficio delle pubblicazioni): i 22 articoli vincolanti per i soggetti finanziari, con il testo di paragrafi e punti | Non esiste, quindi tutte le mappature DORA sono di redazione, effettuate a livello di paragrafo o punto con una motivazione per ciascuna | 93 (0) |
| APRA CPS 234 Information Security | Standard prudenziale APRA CPS 234 come registrato nel Federal Register of Legislation (F2018L01745, CC BY 4.0): paragrafi operativi da 13 a 36, con titoli brevi propri di ControlMapping | Non esiste, quindi tutte le mappature CPS 234 sono di redazione | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (aprile 2026): i cinque temi di controllo tecnico (Crown copyright: solo i nomi) | Non esiste, quindi tutte le mappature Cyber Essentials sono di redazione, ciascuna con l'indicazione del requisito specifico | 11 (0) |
Dati di origine recuperati il 2026-10-16; mappature create il 2026-10-27.
6. Lacune note
- La mappatura CSF di PCI SSC omette alcuni requisiti fondamentali, tra cui i requisiti MFA (8.4.x) e gran parte dei controlli di sicurezza di rete del Requisito 1. Dove li includiamo, sono indicati come di redazione.
- Il crosswalk OLIR di CIS copre solo 49 dei 153 safeguard di CIS v8.1, quindi molte mappature CIS sono di redazione. CIS pubblica una mappatura più completa dietro un modulo di download, che non è incorporata.
- Il crosswalk HIPAA di NIST mappa verso SP 800-53, quindi un requisito HIPAA è considerato supportato da crosswalk solo quando raggiunge uno dei controlli 800-53 collegati tramite crosswalk dell'argomento.
- CMMC Level 2 corrisponde a SP 800-171 Rev 2. I suoi collegamenti ufficiali provengono dall'Appendice D di Rev 2 (che indica controlli SP 800-53 Rev 4; sette ritirati in Rev 5 seguono i collegamenti "incorporated into" di NIST, e SC-19 per VoIP non ha successore) e dal requisito Rev 3 corrispondente. Rev 3 ha riformulato alcuni requisiti, quindi un collegamento Rev 3 è una prova dello stesso argomento, non di una formulazione identica.
- Alcuni argomenti non hanno un requisito equivalente in un framework. Ad esempio, CMMC Level 2 non ha una pratica di pianificazione del ripristino e CIS v8.1 non ha un safeguard di governance. Queste lacune sono reali, non omissioni.
7. Non è una consulenza di conformità
I crosswalk mostrano dove i framework affrontano risultati simili. Non dimostrano che soddisfare un requisito ne soddisfi un altro. Verificare sul testo ufficiale di ciascun framework e con il proprio valutatore o revisore.