Por que rotulamos cada mapeamento como "Correspondência" ou "Editorial"

Cada mapeamento no ControlMapping traz uma de duas marcas. Correspondência significa que uma correspondência publicada sustenta o link: NIST, ENISA, CIS ou PCI SSC afirmaram que esses requisitos se relacionam. Editorial significa que é nosso julgamento, com o motivo registrado por escrito. É a decisão de design mais importante do site, e ela surgiu de uma observação simples: a maioria dos mapeamentos de frameworks em circulação não oferece como saber qual é qual.

O problema que ela resolve

Um mapeamento é uma afirmação: "este requisito se relaciona com aquele". Algumas afirmações se baseiam em correspondências oficiais que passaram por consulta pública. Outras são o julgamento de um único analista. Ambas podem estar certas. Mas, quando parecem idênticas, cada mapeamento herda a credibilidade do melhor deles, e cada erro se esconde entre os demais. É assim que organizações acabam dizendo a auditores que um controle "atende" a um requisito porque uma ferramenta disse isso.

O que os rótulos tornam possível

• Você pode pesar as evidências. Um link de correspondência do próprio mapeamento do NIST é forte; um link editorial é uma opinião fundamentada que deve ser verificada.
• Erros passam a ser localizáveis. Quando auditamos nossos próprios dados em busca de erros, os rótulos e os motivos facilitam localizá-los e corrigi-los. Uma correspondência sem rótulo não oferece nada para o revisor trabalhar.
• Honestidade sobre limites. Alguns frameworks não têm nenhuma correspondência com licença aberta (SOC 2, RGPD [GDPR], Essential Eight). Rotular como editorial todos os links desses frameworks diz isso diretamente, em vez de sugerir uma autoridade que não existe.

Eis como a divisão se apresenta hoje:

Framework	Mapeamentos	Correspondência	Editorial	Parcela de correspondência
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Todos	829	475	354	57%

Por que não publicar apenas links de correspondência?

Porque as correspondências publicadas têm lacunas. O mapeamento publicado pela CIS cobre 49 de 153 salvaguardas; o da PCI SSC omite alguns requisitos centrais; o SOC 2 não tem nenhum que possamos usar. Um site que mostrasse apenas links de correspondência exibiria o SOC 2 como sem mapeamento e a maior parte do CIS como ausente, o que é menos útil e, à sua maneira, enganoso. Os links editoriais preenchem essas lacunas, rotulados para que você saiba em que está se apoiando.

As regras por trás dos rótulos

• Um link editorial sempre tem um motivo.
• Um link só conta como correspondência se a correspondência realmente o sustentar: referências em nível de família e cadeias que passam por links editoriais não contam.
• Cada ID de requisito é validado contra o catálogo oficial a cada build.
• "Vagamente relacionado" é exibido separadamente e nunca contabilizado como cobertura.

Como é um link editorial

Um link editorial nunca é apenas uma linha entre dois IDs. Cada um traz um motivo curto que qualquer pessoa pode verificar. Por exemplo, o SOC 2 CC4.1 (avaliações contínuas e separadas do controle interno) está vinculado à cláusula 9.2 da ISO 27001 (auditoria interna), com a nota de que ambos exigem avaliação independente de se os controles funcionam, por meio de monitoramento, auditoria interna e revisão independente. Um leitor que discorde pode ver exatamente o que assumimos e nos dizer. Veja na página do requisito CC4.1.

Principais conclusões

• Os rótulos permitem pesar a evidência de cada mapeamento.
• Links editoriais preenchem lacunas reais das correspondências publicadas, com motivos.
• Todo mapeamento de conformidade deve mostrar sua fonte.

O que eu pediria a todos os demais

Rotule seus mapeamentos. Isso custa quase nada e muda o quanto qualquer pessoa pode confiar neles. Se você desenvolve ferramentas de conformidade, mostre a fonte de cada link; se você as compra, peça isso. Nossa metodologia explica cada regra, e os downloads incluem a base de cada mapeamento para que você possa verificar nosso trabalho e nos dizer onde estamos errados.

Perguntas

O que significa um link de correspondência no ControlMapping?

Uma correspondência publicada de uma fonte autorizada (NIST, ENISA, CIS ou PCI SSC) sustenta o link, diretamente ou por meio de um controle SP 800-53 que é ele mesmo vinculado por correspondência.

O que significa um link editorial?

Nenhuma correspondência publicada sustenta o link, mas o ControlMapping julga que os requisitos estão relacionados; o motivo é sempre exibido, para que você possa verificá-lo.

Posso sugerir uma correção para um mapeamento?

Sim. Cada página de requisito tem um link que explica como informar um mapeamento incorreto ou ausente; inclua os IDs, o framework que você esperava e sua fonte.