O caso para dados de conformidade abertos e gratuitos

Eis um fato curioso sobre o setor de conformidade. Dezenas de milhares de organizações precisam atender a mais de um framework de segurança. Cada uma delas precisa entender como esses frameworks se relacionam. E quase todas constroem ou compram esse conhecimento separadamente: a planilha de um consultor, a correspondência proprietária de uma plataforma, o fim de semana de um analista. O mesmo mapeamento, refeito uma e outra vez, raramente verificado e nunca compartilhado.

O mapeamento é conhecimento comum disfarçado

Saber se o A.8.24 da ISO 27001 se relaciona com o 3.5.1 do PCI DSS não é segredo comercial. É um fato sobre dois documentos publicados, o mesmo para todos. Tratá-lo como dado proprietário cria três problemas:

• Duplicação. O setor paga várias vezes pelo mesmo trabalho.
• Erros persistem. Um mapeamento privado é verificado pelo dono, se alguém o verificar. Um mapeamento público é verificado por todos que o utilizam.
• Falta de responsabilização. Não se pode avaliar um mapeamento que não se pode ver, por isso não há como distinguir um cuidadoso de um descuidado. Já escrevemos sobre o problema das correspondências que você não pode verificar.

O setor público já entende isso

As correspondências mais autorizadas já são gratuitas. O NIST publica abertamente as referências informativas do CSF 2.0 e seus mapeamentos do SP 800-53, e mantém um catálogo de correspondências enviadas. A ENISA publicou seu mapeamento da NIS2 para a ISO 27001 e o CSF. A ASD publica o ISM, incluindo os controles do Essential Eight, sob uma licença aberta. Esses estão entre os documentos de conformidade mais usados no mundo justamente porque qualquer pessoa pode usá-los.

O que o modelo aberto mudaria

• Ferramentas competem por usabilidade, não por acúmulo de dados. O valor passa para o fluxo de trabalho, as evidências e a automação, onde deve estar.
• Mapeamentos melhoram mais rápido. Erros reportados pelos usuários são corrigidos para todos.
• Organizações pequenas obtêm a mesma qualidade das grandes, sem precisar pagar por uma plataforma para descobrir como dois frameworks se relacionam.
• Auditores e reguladores podem verificar o raciocínio por trás de um mapeamento, em vez de aceitá-lo por confiança.

Onde estão os limites

A abertura tem limites. A ISO, o PCI SSC e o AICPA são donos do texto de seus padrões, e isso deve ser respeitado: dados de mapeamento abertos podem compartilhar identificadores, títulos curtos e justificativas sem reproduzir requisitos protegidos por direitos autorais. E gratuito não significa sem fonte; dados abertos que ocultam sua procedência são apenas outro tipo de caixa-preta.

O que dados de conformidade abertos de qualidade precisam ter

Abertura, por si só, não basta. Para que dados de mapeamento sejam realmente úteis como recurso compartilhado, eles precisam de:

• Identificadores estáveis que correspondam aos catálogos oficiais, validados sempre que qualquer um dos frameworks mudar.
• Procedência por vínculo: qual correspondência ou qual julgamento, e por quê.
• Versões de cada framework, com os requisitos retirados tratados de forma explícita.
• Formatos legíveis por máquina (CSV, planilhas, JSON), além de páginas web.
• Uma licença clara que permita a reutilização, inclusive comercial, respeitando os direitos de terceiros.
• Um canal para reportar erros, e um registro das correções.

Esse é o padrão que procuramos atender. A metodologia explica como cada item é tratado aqui.

Principais conclusões

• As organizações refazem os mesmos mapeamentos de frameworks de forma privada, repetidas vezes.
• As correspondências mais autorizadas (NIST, ENISA, ASD) já são gratuitas, e são as mais usadas.
• Dados abertos são verificados e corrigidos; mapeamentos privados se deterioram sem que ninguém perceba.
• A abertura deve respeitar os direitos autorais dos padrões e sempre mostrar a procedência.
• Dados gratuitos ainda exigem manutenção: validação contra os catálogos atuais a cada mudança.

O que fazemos

Os downloads da ControlMapping publicam a correspondência completa (cada tópico, vínculo de requisito, base e motivo) sob a CC BY 4.0, respeitando as licenças de terceiros. A metodologia documenta cada fonte e regra. É uma contribuição modesta, mas é o modelo que acredito que os dados de conformidade devem seguir: abertos, com fontes, versionados e gratuitos para melhoria. Se você encontrar um erro, avise-nos, para que seja corrigido para todos.

Perguntas

Os dados da ControlMapping podem ser reutilizados livremente?

Sim. O trabalho próprio da ControlMapping (definições de tópicos, escolhas de mapeamento, notas editoriais e nossos resumos) está sob a CC BY 4.0. Material de terceiros mantém a própria licença: o conteúdo do NIST é de domínio público, os títulos do CIS são CC BY-NC-ND, e textos da ISO, do PCI e do AICPA não são reproduzidos.

Por que nem todas as correspondências entre frameworks são abertas?

Alguns proprietários de frameworks licenciam seus padrões e mapeamentos comercialmente, e muitos fornecedores tratam suas correspondências como diferencial de produto.

Posso usar dados da ControlMapping em um produto comercial?

O trabalho próprio da ControlMapping está sob a CC BY 4.0, que permite uso comercial com atribuição de autoria. Material de terceiros mantém a própria licença; por exemplo, os títulos de salvaguardas do CIS são CC BY-NC-ND.