オープンで無償のコンプライアンスデータを求める理由

コンプライアンス業界には、おかしな事実があります。数万の組織が複数のセキュリティフレームワークに対応しています。それぞれが、それらのフレームワーク同士がどう関係するかを知る必要があります。ところが、ほぼすべての組織がその知識を個別に作成するか購入しています。コンサルタントの表計算ファイル、プラットフォームの独自の対応表、アナリストの週末の作業などです。同じマッピングが何度も作り直され、ほとんど検証されず、共有されることもありません。

マッピングは実は共通知識である

ISO 27001のA.8.24がPCI DSS 3.5.1に関係するかどうかは、企業秘密ではありません。これは公開された二つの文書に関する事実であり、誰にとっても同じです。これを独自データとして扱うと、三つの問題が生じます：

• 重複。 業界は同じ作業に何度も対価を払っています。
• 誤りが残り続ける。 非公開のマッピングは、チェックされるとしても所有者によるものだけです。公開されたものは、それを使う全員がチェックします。
• 説明責任がない。 見えないマッピングは評価できないため、丁寧に作られたものと雑に作られたものを区別できません。チェックできない対応表の問題について書いたことがあります。

公共部門はすでにそれを実践している

最も権威ある対応表は、すでに無償で提供されています。NISTはCSF 2.0の情報参照（informative references）とSP 800-53のマッピングを公開し、提出された対応表のカタログも運営しています。ENISAはNIS2とISO 27001、CSFのマッピングを公表しました。ASDは、Essential Eightの管理策を含むISMを、オープンライセンスの下で公開しています。これらは誰でも利用できるからこそ、世界で最も広く使われているコンプライアンス文書の一つです。

オープン化が変えること

• ツールは、データの囲い込みではなく使いやすさで競うようになります。 価値はワークフロー、証跡、自動化へと移ります。それこそが本来の場所です。
• マッピングはより速く改善されます。 ユーザーが報告した誤りは、全員のために修正されます。
• 小規模組織も大企業と同じ品質を得られます。 二つのフレームワークの関係を知るために、プラットフォームへ費用を払う必要はありません。
• 監査人や規制当局は、信頼するのではなく、マッピングの根拠を検証できます。

限界

オープン化には限界があります。ISO、PCI SSC、AICPAは各自の規格本文の権利を有しており、それは尊重されるべきです。オープンなマッピングデータは、著作権で保護された要件を複製せずに、識別子、短いタイトル、根拠を共有できます。また、無償であることは出典がないことを意味しません。出典を隠すオープンデータは、別の種類のブラックボックスにすぎません。

優れたオープンなコンプライアンスデータに必要なもの

オープンであるだけでは十分ではありません。マッピングデータが共有資源として真に有用であるためには、次が必要です：

• 安定した識別子。 公式カタログと一致し、いずれかのフレームワークが変わるたびに検証されること。
• リンクごとの出典。 どの対応表に基づくか、またはどの判断によるものか、そしてその理由。
• バージョン管理。 各フレームワークのバージョンと、廃止された要件の明示的な扱い。
• 機械可読な形式（CSV、表計算ファイル、JSON）。Webページに加えて提供されること。
• 明確なライセンス。 商用利用を含む再利用を認め、第三者の権利を尊重するものであること。
• 誤りの報告手段と、訂正の記録。

当サイトはこの基準を満たすよう努めています。方法論では、各項目がここでどのように扱われているかを説明しています。

要点

• 組織は同じフレームワークのマッピングを、非公開で何度も作り直しています。
• 最も権威ある対応表（NIST、ENISA、ASD）はすでに無償であり、最も広く利用されています。
• オープンなデータは検証され修正されますが、非公開のマッピングは人知れず劣化します。
• オープン化は規格の著作権を尊重し、常に出典を示す必要があります。
• 無償のデータにも保守が必要です。変更のたびに最新のカタログに照らして検証しなければなりません。

当サイトの取り組み

ControlMappingのダウンロードでは、対応表の全体（すべてのトピック、要件リンク、根拠、理由）をCC BY 4.0で公開しています。第三者のライセンスは尊重しています。方法論では、すべての出典と規則を文書化しています。小さな貢献ですが、コンプライアンスデータがそうあるべきだと私が考えるモデルです。つまり、オープンで、出典が明示され、バージョン管理され、誰もが自由に改善できるものです。誤りを見つけたらご連絡ください。全員のために修正します。

よくある質問

ControlMappingのデータは再利用自由ですか？

はい。ControlMapping独自の成果物（トピックの定義、マッピングの選定、編集注記、当サイトの要約）はCC BY 4.0です。第三者の素材はそれぞれのライセンスに従います。NISTのコンテンツはパブリックドメインであり、CISのタイトルはCC BY-NC-NDであり、ISO、PCI、AICPAの本文は掲載していません。

なぜすべてのフレームワークの対応表がオープンではないのですか？

一部のフレームワーク所有者は、規格とマッピングを商業ライセンスで提供しており、多くのベンダーは対応表を製品の差別化要素として扱っています。

ControlMappingのデータを商用製品で使えますか？

ControlMapping独自の成果物はCC BY 4.0で、表示を条件に商用利用が認められています。第三者の素材はそれぞれのライセンスに従います。例えば、CISのセーフガードのタイトルはCC BY-NC-NDです。