すべてのマッピングに「対応表」または「編集」のラベルを付けている理由

ControlMapping のすべてのマッピングには、2種類のマークのいずれかが付いています。「対応表」は、公表された対応表がそのリンクを裏付けていることを意味します。NIST、ENISA、CIS、PCI SSC のいずれかが、これらの要件が関連すると示しているということです。「編集」は、当サイトの判断であり、その理由を明記していることを意味します。これはサイトで最も重要な設計上の判断であり、流通しているフレームワークのマッピングの多くが、どちらであるかを見分ける手段を提供していないという単純な問題認識から生まれました。

解決しようとしている問題

マッピングは一つの主張です。「この要件はあの要件に関連する」という主張です。一部の主張は、公開コメントを経た公式の対応表に基づいています。ほかは、一人のアナリストの判断に過ぎません。どちらも正しい可能性があります。しかし両者が同じように見えるとき、すべてのマッピングは最も信頼できるものの信用性を引き継ぎ、誤りはその他の中に紛れ込みます。組織が、ツールがそう言ったからという理由で、統制が要件を「満たしている」と監査人に説明してしまうのは、こうして起きるのです。

ラベルによって可能になること

• 根拠を比較検討できます。 NIST 自身のマッピングによる対応表リンクは強い根拠です。編集リンクは、検証すべき理由付きの意見です。
• 誤りを発見しやすくなります。 当サイトのデータの誤りを監査するとき、ラベルと理由があるため、誤りを素早く特定して修正できます。ラベルのない対応表では、レビュアーは手がかりを得られません。
• 限界について正直であること。 公開ライセンスの対応表が全く存在しないフレームワークもあります（SOC 2、GDPR、Essential Eight）。それらのリンクをすべて編集とラベル付けすることで、存在しない権威を暗示するのではなく、その事実をそのまま示します。

現在の内訳は次のとおりです。

フレームワーク	マッピング	対応表	編集	対応表の割合
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
すべて	829	475	354	57%

なぜ対応表のリンクだけを公開しないのか

対応表には欠落があるからです。CIS の公表マッピングは 153 のセーフガードのうち 49 をカバーしています。PCI SSC のマッピングは、いくつかの中核的な要件を含んでいません。SOC 2 については、当サイトが使える対応表はありません。対応表のリンクだけを表示するサイトでは、SOC 2 はマッピングなしとして、CIS の大半は欠落として表示されることになります。それはあまり役に立たず、別の意味で誤解を招きます。編集リンクがそのギャップを埋めており、何を頼りにしているのかがわかるようラベルが付けられています。

ラベルの背後にあるルール

• 編集リンクには必ず理由があります。
• リンクが対応表としてカウントされるのは、対応表が実際にそれを裏付けている場合だけです。フレームワーク単位の参照や、編集リンクを介した連鎖はカウントしません。
• すべての要件 ID は、ビルドのたびに公式カタログと照合して検証されます。
• 「緩やかに関連」は別に表示され、カバレッジとしては数えません。

編集リンクの例

編集リンクは、2つの ID の間を結ぶ線にとどまりません。それぞれに、誰でも確認できる短い理由が付いています。たとえば、SOC 2 CC4.1（内部統制の継続的かつ独立した評価）を、ISO 27001 の箇条 9.2（内部監査）にリンクしています。注記では、両者が、モニタリング、内部監査、独立したレビューを通じて、統制が機能しているかどうかの独立した評価を求めている、と説明しています。同意しない読者は、当サイトが何を前提としたかを正確に確認し、指摘を寄せることができます。CC4.1 要件のページで確認できます。

要点

• ラベルにより、各マッピングの根拠を比較検討できます。
• 編集リンクは、公表された対応表の実際のギャップを、理由を添えて埋めます。
• すべてのコンプライアンスのマッピングは、その出典を示すべきです。

他の皆さんへのお願い

マッピングにはラベルを付けてください。ほとんどコストはかからず、どれだけ信頼できるかが変わります。コンプライアンスツールを作るなら、各リンクの出典を示してください。購入するなら、それを求めてください。当サイトの方法論では、すべてのルールを説明しています。ダウンロードには、すべてのマッピングの根拠が含まれているので、当サイトの作業内容を確認でき、誤りがあればお知らせください。

よくある質問

ControlMapping で対応表のリンクとは何を意味しますか？

公的で権威ある情報源（NIST、ENISA、CIS、PCI SSC のいずれか）による公表された対応表が、そのリンクを裏付けています。直接的に、または、それ自体が対応表でリンクされた SP 800-53 統制を介して裏付けます。

編集リンクとは何を意味しますか？

そのリンクを裏付ける公表された対応表はありませんが、ControlMapping が要件同士は関連すると判断しています。理由は常に表示されるので、確認できます。

マッピングの修正を提案できますか？

はい。すべての要件ページには、誤った、または欠けているマッピングを報告する方法を説明するリンクがあります。ID、想定していたフレームワーク、出典を含めてください。