Qual framework de segurança é o melhor ponto de partida? Nós medimos

«Qual framework devemos adotar primeiro?» é uma das primeiras perguntas que qualquer programa de segurança enfrenta, e as respostas usuais são opiniões. Queríamos um número: se você implementar o framework X, quanto de cada um dos outros frameworks você já cobriu?

A ControlMapping mapeia os requisitos de onze frameworks entre si, por isso podemos medir isso. Para cada framework, tomamos cada um dos outros frameworks em sequência e contamos quantos de seus requisitos têm pelo menos um mapeamento para o primeiro; depois calculamos a média entre os dez.

O ranking

Se você tem	Percentagem média de outros frameworks mapeados	Cobre a maior parte de	Cobre menos de
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

Proporção = requisitos do outro framework com pelo menos um mapeamento (crosswalk ou editorial) para este, em média sobre os outros 10. Calculado em tempo real a partir dos mesmos dados que o análise de lacunas.

Dois frameworks se destacam. O NIST SP 800-53 mapeia para a maior parcela de tudo o mais, o que não surpreende: trata-se de um catálogo de centenas de controles escritos para cobrir quase todos os tópicos de segurança e privacidade, e o NIST publica mapeamentos oficiais dele para o CSF 2.0 e para a ISO 27001. A ISO 27001 vem em seguida, porque o Anexo A cobre o mesmo terreno em um nível mais alto, e as cláusulas do sistema de gestão acrescentam governança que a maioria dos frameworks toca.

Na outra ponta, o Essential Eight mapeia para a menor parcela, por desenho. São oito estratégias de mitigação direcionadas, não um programa completo; implementá-lo deixa intocada a maior parte de qualquer outro framework. O RGPD [GDPR] tem índice baixo por razão semelhante: apenas seus artigos de segurança estão no escopo.

Leia os números com cuidado

Três pontos para ter em mente:

• Mapeado não significa atendido. Um mapeamento indica que dois requisitos tratam do mesmo assunto. O controle de vulnerabilidades da ISO 27001 e o requisito de varredura trimestral do PCI DSS estão mapeados, mas atender o primeiro não satisfaz o segundo.
• Frameworks granulares parecem fáceis de cobrir. Quase todos os frameworks parecem cobrir praticamente todos os CIS Controls. O CIS tem 153 salvaguardas específicas, então a maioria dos frameworks as toca no nível de tópico, e a maior parte dos vínculos com o CIS é julgamento editorial nosso, porque a correspondência publicada pelo CIS cobre apenas 49 salvaguardas. Trate a coluna CIS como “tocado”, não como “concluído”.
• Frameworks específicos parecem difíceis de cobrir. PCI DSS e SP 800-53 são os mais difíceis de cobrir para os demais, porque contêm muitos requisitos detalhados que frameworks mais amplos não explicitam.

Quem pergunta decide

A medição indica qual framework oferece a base mais ampla. Ela não indica qual você precisa, e isso geralmente resolve a questão:

• Clientes corporativos dos EUA pedem um relatório SOC 2. Se um negócio depende disso, comece por aí.
• Clientes internacionais, licitações e reguladores pedem a certificação ISO 27001.
• Trabalho federal nos EUA exige SP 800-53 (e FedRAMP para nuvem); contratos de defesa exigem CMMC Level 2.
• Pagamentos com cartão exigem PCI DSS, independentemente do resto.
• Provedores digitais da UE e setores críticos precisam de NIS2.
• Ninguém está pedindo ainda? ISO 27001 ou NIST CSF 2.0 oferecem a base mais ampla. O CSF é gratuito e mais leve para começar; a ISO acrescenta um certificado quando você precisar dele. O SP 800-53 cobre mais, mas seu tamanho o torna um primeiro passo pesado para a maioria das empresas privadas.

Depois expanda, não recomece

Seja qual for o framework inicial, o segundo custa menos que o primeiro. Execute uma análise de lacunas do framework que você tem para aquele de que precisa, e você obtém a lista, requisito por requisito, do que é aproveitado e do que é novo, com as evidências de cada vínculo. As comparações cobrem os pares mais comuns com mais profundidade, como ISO 27001 vs SOC 2 e NIST CSF vs ISO 27001.

Como medimos

Para cada par ordenado de frameworks, usamos o mesmo cálculo da análise de lacunas: um requisito conta como mapeado quando é curado no mesmo tópico da ControlMapping que um requisito do outro framework, ou quando está vinculado diretamente a ele por uma correspondência publicada ou por um vínculo editorial com justificativa declarada. Requisitos que apenas compartilham um resultado do NIST CSF 2.0 (“vagamente relacionado”) não contam. Os números acima são calculados em tempo real a partir dos dados atuais; veja a metodologia.

Perguntas

Qual framework de segurança cobre a maior parte dos outros?

Nos dados da ControlMapping, o NIST SP 800-53 cobre, em média, a maior parcela dos requisitos dos outros frameworks, seguido pela ISO 27001. Um mapeamento significa que os requisitos tratam de resultados relacionados, não que um satisfaz o outro.

Uma pequena empresa deve começar pela ISO 27001 ou pelo SOC 2?

Comece pelo que seus clientes pedem. Se ninguém estiver pedindo ainda, a ISO 27001 ou o NIST CSF oferecem a base mais ampla; o SOC 2 é o caminho mais rápido para um relatório se um negócio nos EUA depender dele.