Perguntas frequentes

Como usar o ControlMapping

O que é o ControlMapping?

Uma referência gratuita que mostra quais requisitos de segurança se correspondem entre os 14 frameworks: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, RGPD (GDPR), NIST SP 800-53, CIS Controls e Essential Eight. Ele abrange 1.421 requisitos, agrupados em 50 tópicos de segurança, e cada link mostra sua origem.

Como faço uma análise de lacunas?

Abra a análise de lacunas, escolha o framework que você tem e o que precisa atender. Cada requisito do framework necessário aparece como mapeado (por uma correspondência publicada ou pelo nosso juízo editorial), vagamente relacionado ou sem mapeamento em nossos dados. As linhas sem mapeamento são provavelmente trabalho novo. Exporte o resultado como CSV com as colunas de responsável, status e evidências em branco para usar como planilha de acompanhamento.

O que significam os símbolos?

Correspondência (quadrado preenchido): uma correspondência publicada (da NIST, ENISA, CIS ou PCI SSC) estabelece o vínculo. Editorial (quadrado vazado): nosso juízo onde não existe correspondência; o motivo é sempre exibido. Vagamente relacionado (anel âmbar): os dois apenas compartilham um resultado do NIST CSF 2.0, então verifique antes de confiar. Sem mapeamento em nossos dados (traço): geralmente trabalho novo, mas a cobertura é parcial para alguns frameworks. Um losango marca os resultados do CSF que definem um tópico. Veja a metodologia.

O que é um tópico?

Um assunto de segurança, como Criptografia, Autenticação Multifator ou Resposta a Incidentes. Cada tópico é definido por resultados do NIST CSF 2.0 e lista o requisito de cada framework que o aborda. As páginas de tópico são a forma mais rápida de ver um mesmo assunto em todos os frameworks.

Posso baixar os dados?

Sim. A página de downloads disponibiliza a correspondência completa em CSV, Excel e JSON sob a licença CC BY 4.0, com as licenças de material de terceiros indicadas em cada arquivo.

O ControlMapping é gratuito?

Sim: sem conta e sem cobrança de acesso. Os dados podem ser reutilizados gratuitamente sob a licença CC BY 4.0.

Precisão e fontes

Qual é a precisão do mapeamento?

Cada ID de requisito é verificado contra o catálogo oficial do framework no momento em que o site é gerado, e IDs retirados fazem a geração falhar. Links marcados como correspondência vêm de correspondências publicadas; links marcados como editorial refletem nosso juízo, cada um com um motivo. As correspondências indicam que os requisitos tratam de resultados relacionados, não que atender a um satisfaz o outro; use o site para planejar e confirme com o texto da fonte antes de se basear nele em uma auditoria.

De onde vêm as correspondências?

NIST (referências informativas do CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Apêndice D), ENISA (NIS2 → ISO 27001 e CSF 2.0), CIS (CIS Controls → CSF 2.0) e PCI SSC (PCI DSS → CSF 2.0). SOC 2, RGPD e Essential Eight não têm correspondência publicada sob licença aberta, por isso esses links são editoriais. A metodologia indica cada fonte e versão.

Por que não consigo ver o texto completo dos requisitos de ISO, PCI ou SOC 2?

Esse texto tem direitos autorais da ISO, do PCI SSC e da AICPA. Exibimos os IDs, os títulos da ISO e nossos próprios resumos curtos para PCI DSS e SOC 2. O texto de NIST, HIPAA, NIS2 e Essential Eight é exibido quando sua licença permite.

Encontrei um erro. Como o reporto?

Use o link para reportar erro em qualquer página de requisito, ou veja a página sobre.

Frameworks

Qual é a diferença entre SOC 2 e ISO 27001?

A ISO 27001 resulta em um certificado para um sistema de gestão de segurança da informação, emitido por um organismo de certificação acreditado e válido por três anos. O SOC 2 resulta em um relatório: um parecer de uma firma de CPA sobre seus controles, normalmente em um período de 3 a 12 meses (Tipo II). Os controles de segurança se sobrepõem muito; a ISO acrescenta o sistema de gestão, e o SOC 2 acrescenta critérios opcionais de disponibilidade, confidencialidade, integridade de processamento e privacidade. Veja ISO 27001 vs SOC 2.

Preciso de SOC 2 Tipo I ou Tipo II?

A maioria dos clientes pede o Tipo II, que testa se os controles funcionaram ao longo de um período. O Tipo I cobre apenas o desenho em um ponto no tempo; é útil como primeiro passo enquanto o período do Tipo II transcorre. Veja o guia do SOC 2.

A certificação ISO 27001 atende ao NIS2?

Não por si só. A ENISA mapeia cada medida técnica do Regulamento de Execução do NIS2 para a ISO 27001, então organizações certificadas já fizeram grande parte do trabalho, mas o NIS2 acrescenta prazos de notificação de incidentes (24 horas, 72 horas, um mês), treinamento e responsabilização da gestão e registro na autoridade nacional. Veja o guia do NIS2.

Qual é a diferença entre NIST CSF e NIST SP 800-53?

O CSF 2.0 descreve resultados (106 subcategorias) e é voluntário para a maioria das organizações. O SP 800-53 é um catálogo de controles que alcançam esses resultados, obrigatório para sistemas federais dos EUA e base do FedRAMP. O NIST publica o mapeamento oficial entre eles, que este site utiliza.

Quem precisa do CMMC Level 2?

Contratados e subcontratados do Departamento de Defesa dos EUA que tratam Informação Não Classificada Controlada (CUI). O Level 2 são os 110 requisitos do NIST SP 800-171 Rev 2, avaliados por autoavaliação ou, para a maioria dos contratos CUI, por um avaliador terceiro acreditado (C3PAO).

Existe certificação para NIST CSF, HIPAA ou Essential Eight?

Não há uma oficial. O NIST CSF e o Essential Eight são avaliados, não certificados; a HIPAA é aplicada pelo Escritório de Direitos Civis do HHS. Existem atestações de terceiros para as três, mas nenhuma é um certificado oficial.