Correspondência ou julgamento? Base publicada nos mapeamentos

Toda plataforma de conformidade, planilha de consultoria e ferramenta de auditoria traz mapeamentos entre frameworks. Raramente informam de onde esses mapeamentos vêm. Alguns são copiados de correspondências oficiais; muitos são o melhor julgamento de alguém, feito uma vez e nunca revisto. Ambos podem ser úteis, mas você deve saber em qual deles está se apoiando.

A ControlMapping rotula cada vínculo: correspondência quando uma correspondência publicada o sustenta, editorial quando se trata de nosso julgamento com um motivo declarado. Veja a divisão a seguir.

Os números

Framework	Mapeamentos	Correspondência	Editorial	Parcela de correspondência
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Todos	829	475	354	57%

No conjunto, pouco mais da metade de nossos mapeamentos de tópicos é respaldada por uma correspondência publicada. O restante é editorial. A divisão varia muito conforme o framework.

Por que a divisão varia

Alguns frameworks têm correspondências autoritativas. O NIST publica referências oficiais do CSF 2.0 para o SP 800-53 e do SP 800-53 para a ISO 27001. A ENISA, agência da UE, publica um mapeamento de cada ponto do Regulamento de Execução da NIS2 para a ISO 27001 e o CSF 2.0. O Apêndice D do SP 800-171 do NIST mapeia os requisitos do CMMC para o SP 800-53. Os mapeamentos desses frameworks são, em sua maioria, respaldados por correspondências.

Algumas correspondências são parciais. O mapeamento da própria CIS no catálogo do NIST cobre apenas 49 dos 153 safeguards da CIS; o mapeamento do PCI SSC para o CSF 2.0 omite alguns requisitos essenciais, como os requisitos de MFA. Tudo além deles é editorial.

Alguns frameworks não têm nenhuma correspondência que possamos usar. Não existe correspondência com licença aberta para SOC 2, RGPD (GDPR) ou Essential Eight. Todo vínculo desses é editorial, o que não o torna errado, mas o torna uma opinião que você deve poder verificar.

Por que isso importa

• A autoridade difere. Uma correspondência do NIST ou da ENISA passou por consulta pública e é usada em todo o setor. Um mapeamento editorial é a visão de um analista. Quando um auditor perguntar por que você tratou dois requisitos como equivalentes, "o mapeamento do NIST diz isso" é uma resposta mais forte.
• Correspondências também não comprovam conformidade. Mesmo uma correspondência oficial apenas diz que dois requisitos tratam de resultados relacionados. Não diz que a sua implementação de um atende ao outro.
• Mapeamentos sem rótulo escondem erros. Se você não consegue saber de onde veio um mapeamento, não consegue saber quando ele está errado. Quando auditamos nossos próprios dados, são os rótulos que tornam os erros em mapeamentos editoriais rápidos de encontrar e corrigir.

Principais conclusões

• Apenas pouco mais da metade de nossos mapeamentos de tópicos se apoia em uma correspondência publicada; o restante é julgamento editorial.
• A proporção varia por framework: alta para NIST, NIS2 e CMMC, zero para SOC 2, RGPD e Essential Eight.
• Julgamento não é errado, mas deve ser rotulado e explicado.
• Pergunte a qualquer mapeamento sua fonte, versão, significado e raciocínio antes de confiar nele.

O que perguntar sobre qualquer mapeamento

1. Qual é a fonte? Uma correspondência oficial, o dono do framework ou o julgamento de alguém?
2. O raciocínio está visível? Um vínculo editorial deve dizer por quê.
3. Qual versão? Mapeamentos contra versões substituídas (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) podem estar muito errados.
4. O que significa "mapeado"? Equivalente, parcialmente sobreposto ou apenas relacionado?

Nossa metodologia identifica cada fonte e versão, cada página de requisito mostra a base de cada vínculo, e os downloads incluem a coluna de evidência para que você possa verificar nosso trabalho.

Perguntas

O que é uma correspondência de framework?

Um mapeamento publicado entre os requisitos de dois frameworks, como o mapeamento do NIST do SP 800-53 para a ISO 27001. Ele mostra que os requisitos tratam de resultados relacionados, não que atender a um satisfaz o outro.

Por que os mapeamentos do SOC 2 são editoriais?

O AICPA publica mapeamentos dos Trust Services Criteria para outros frameworks, mas não sob licença aberta, por isso a ControlMapping não pode usá-los como evidência. Cada vínculo do SOC 2 é nosso julgamento, com o motivo exibido.

Mapeamentos editoriais são menos precisos do que correspondências?

Não necessariamente; um julgamento de especialista pode ser mais preciso do que uma correspondência publicada e ampla. A diferença está na autoridade e na verificabilidade, e é por isso que vínculos editoriais devem sempre trazer um motivo.