Correspondências de fornecedores que você não consegue verificar

Plataformas de automação de conformidade tornaram os programas com múltiplos frameworks muito mais fáceis de operar. A maioria vende uma promessa central: implemente um controle uma vez e ele atende a SOC 2, ISO 27001, NIST, HIPAA e outros, porque a correspondência da plataforma assim indica. Pergunte à plataforma de onde veio um mapeamento específico, em qual versão ele se baseia e por que os dois requisitos são equivalentes, e a resposta costuma ser silêncio.

Isso é um problema, e não um problema pedante.

Mapeamentos não verificáveis transferem risco para você

Quando uma plataforma informa que seu controle de acesso atende a um requisito de um framework ao qual você acabou de ficar sujeito, e ela está errada, a constatação de auditoria é sua, não do fornecedor. Você confiou em um mapeamento que não podia inspecionar. Auditores não aceitam "a ferramenta mapeou" como justificativa; eles leem o requisito e testam se seu controle o atende.

Mapeamentos ficam desatualizados em silêncio

Os frameworks mudam. O CSF 2.0 retirou 79 subcategorias do CSF 1.1 (para onde foram); a ISO 27001:2022 renumerou o Anexo A; a PCI DSS v4.0 acrescentou dezenas de requisitos. Uma correspondência que não é versionada nem validada contra os catálogos atuais se deteriora. Uma correspondência sem rótulos se deteriora de forma invisível.

"Mapeado" oculta que tipo de mapeamento é

Uma ligação entre dois requisitos pode significar que eles são equivalentes, ou que um é subconjunto do outro, ou apenas que compartilham um tema. Nossa própria análise de quanto do mapeamento se apoia em evidência publicada constatou que uma grande parcela dos mapeamentos, em qualquer lugar, são julgamentos, e não correspondências publicadas:

Framework	Mapeamentos	Correspondência	Editorial	Parcela de correspondência
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Todos	829	475	354	57%

Os julgamentos não são ruins. Os não rotulados, sim.

O que exigir de qualquer correspondência

1. Fonte por vínculo: uma correspondência oficial (NIST, ENISA, o responsável pelo framework) ou o julgamento do fornecedor.
2. Um motivo para cada julgamento, visível para você.
3. Versões dos dois frameworks e a data da última validação.
4. O que "mapeado" significa: equivalente, parcial ou relacionado.
5. Exportação: a capacidade de extrair o mapeamento e verificá-lo você mesmo.

Se um fornecedor não puder oferecer isso, use os mapeamentos dele como indícios, não como respostas.

Como testar uma correspondência que você recebeu

Você não precisa auditar a correspondência inteira para avaliá-la. Faça uma amostragem:

1. Escolha dez vínculos aleatoriamente no framework que você conhece melhor.
2. Leia os dois textos de requisito de cada um.
3. Classifique cada vínculo: equivalente, parcialmente sobreposto, apenas relacionado ou incorreto.
4. Verifique dois casos sensíveis à versão, por exemplo um identificador do CSF 1.1 ou um número de controle da ISO 27001:2013.

Se a maioria dos vínculos se sustentar e as versões estiverem atualizadas, a correspondência provavelmente é utilizável como guia. Se vários estiverem errados ou desatualizados, trate tudo como não verificado. Nossos próprios dados estão abertos ao mesmo teste: cada página de requisito, como ISO 27001 A.8.8, mostra a base e o motivo de cada vínculo.

Principais conclusões

• Mapeamentos não verificáveis transferem o risco de auditoria para você.
• Exija fonte, versão, significado e justificativa para cada vínculo.
• Teste por amostragem qualquer correspondência antes de confiar nela.

Por que publicamos as nossas

A ControlMapping existe em parte por causa desse problema. Cada vínculo é rotulado como correspondência ou editorial, cada vínculo editorial tem seu motivo, cada ID é validado contra o catálogo oficial a cada build, e todo o conjunto de dados pode ser baixado sob uma licença aberta. Não é a única forma de fazer isso, mas é o padrão que achamos que o setor deveria adotar. Veja a metodologia e os downloads.

Perguntas

As correspondências das plataformas de conformidade são precisas?

Algumas são cuidadosamente mantidas; outras não. Sem fontes, versões e motivos visíveis para cada mapeamento, você não consegue distinguir as duas, e auditores não aceitarão 'a ferramenta diz isso' como justificativa.

O que uma correspondência confiável deve mostrar?

Para cada vínculo: a fonte (uma correspondência oficial ou o julgamento do fornecedor), as versões dos dois frameworks, o que o vínculo significa (equivalente ou apenas relacionado) e um motivo quando se tratar de um julgamento.

O que é o NIST OLIR?

Programa Online Informative References do NIST: um catálogo de correspondências entre frameworks do NIST e outros padrões. Submissões de terceiros são verificadas quanto ao formato, não quanto à correção.