Блог
Блог
Аналитика на основе данных о соответствиях, практических руководств и мнений автора: Paul Gillet. RSS-лента
Аналитика
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.
Аналитика · 2026-10-13Требования к MFA в 11 стандартах безопасности: сравнениеКакие стандарты требуют MFA, для кого и насколько строго: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 и HIPAA в сравнении бок о бок.
Аналитика · 2026-09-29Правило безопасности HIPAA через призму NIST CSF 2.0Программа на базе NIST CSF 2.0 сопоставляется почти с каждым требованием Правила безопасности HIPAA. Что переходит без изменений, два требования, которые не переходят, и что CSF добавляет сверх HIPAA.
Аналитика · 2026-09-15Что стандарты требуют к шифрованию и что оставляют вамКак ISO 27001, PCI DSS, CMMC, HIPAA, GDPR и NIS2 регулируют шифрование данных в покое и при передаче, а также управление ключами, с номерами требований.
Аналитика · 2026-08-18Требования к реагированию на инциденты в сравнении по стандартамПланы реагирования на инциденты, тестирование и сроки уведомлений в сравнении по ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, CMMC и HIPAA.
Аналитика · 2026-08-04Физическая безопасность в стандартах: тема, о которой забывают облачные компанииСравнение требований к физической безопасности в ISO 27001, PCI DSS, CMMC, HIPAA и SOC 2 и способы их выполнения облачными компаниями.
Аналитика · 2026-07-02Требования к логированию и срокам хранения логов: сравнениеСравнение требований к аудиторскому логированию и срокам хранения логов в ISO 27001, PCI DSS, CIS, SOC 2, HIPAA, CMMC и NIST, включая немногие фиксированные сроки хранения.
Аналитика · 2026-05-19Какую часть PCI DSS v4.0.1 ISO 27001 реально покрывает?ISO 27001 сопоставляется менее чем с третью требований PCI DSS v4.0.1. Где пересечения, почему большая часть PCI — новая работа даже для организации с СУИБ и как к этому подготовиться.
Аналитика · 2026-04-07Статьи GDPR о безопасности: защитная часть закона о приватностиGDPR — закон о приватности, но статьи 5, 25, 28, 32–35 и 37–39 возлагают обязанности по безопасности. Как они соотносятся с ISO 27001 и NIST и что упускает СУИБ.
Аналитика · 2026-02-24Требования к резервному копированию и восстановлению в сравнении стандартовЧастота резервного копирования, защита копий и тестирование восстановления в сравнении ISO 27001, CIS, PCI DSS, HIPAA, SOC 2, NIS2, Essential Eight и NIST.
Аналитика · 2026-01-06CMMC Level 2 и SP 800-53: что сообщает Приложение D NISTКаждая практика CMMC Level 2 через Приложение D к SP 800-171 восходит к NIST SP 800-53. Как устроена карта, изменения Rev 5 и единственная практика, которая не сопоставлена.
Аналитика · 2025-11-25Темы безопасности, которые реже всего требуют стандарты, и почему это важноDNS, анализ угроз, безопасность API и веб-приложений — темы, которые реже всего требуют стандарты. Почему так и почему это не повод их пропускать.
Аналитика · 2025-10-14Что ISO 27001 покрывает в NIS2, пункт за пунктомISO 27001 соотносится с каждым пунктом Регламента о реализации NIS2, однако одной только сертификации недостаточно для соответствия NIS2. Что переносится, что нет и почему.
Аналитика · 2025-08-27Соответствия или суждение: что опирается на публикацииМы пометили каждое сопоставление стандартов как опубликованное соответствие или редакционное суждение. Как это соотношение варьируется по стандартам и почему это важно для вас.
Аналитика · 2025-07-15Общее ядро: требования безопасности, общие для всех стандартовПять тем безопасности встречаются во всех 11 крупных стандартах, от ISO 27001 и SOC 2 до NIS2 и Essential Eight. Что они собой представляют и почему их стоит внедрять первыми.
Аналитика · 2025-06-03Разрыв в CIS Controls: почему лишь 49 из 153 мер защиты имеют опубликованные соответствияОпубликованное CIS соответствие NIST CSF 2.0 охватывает лишь 49 из 153 мер защиты CIS Controls v8.1. Почему так и что это значит для ваших соответствий CIS.
Аналитика · 2025-04-17Риски поставщиков и цепочки поставок: кто что требуетТребования к безопасности поставщиков и цепочек поставок в ISO 27001, SOC 2, PCI DSS, NIS2, GDPR, HIPAA и NIST CSF 2.0 в сравнении.
Аналитика · 2025-04-02Критерии SOC 2 без аналога в ISO 27001: почему они существуютБольшинство критериев SOC 2 сопоставляются с ISO 27001, но Целостность обработки и большинство критериев Privacy — нет. Какие именно, почему и что делать, если они входят в область проверки.
Аналитика · 2025-03-04NIST CSF 1.1 → 2.0: куда делись отозванные подкатегорииNIST отозвал 79 подкатегорий CSF 1.1 в CSF 2.0, перенеся их или объединив с другими. Здесь полная таблица того, куда попала каждая из них, и порядок обновления старых сопоставлений.
Аналитика · 2025-01-21Функция «Управлять» в NIST CSF 2.0: какие стандарты её уже покрывают?В CSF 2.0 добавлена функция «Управлять» для стратегии управления рисками, ролей, политики, надзора и риска цепочки поставок. Какие стандарты её уже покрывают и где пробелы.
Аналитика · 2024-12-05Какой стандарт безопасности лучше выбрать первым? Мы измерилиМы измерили, какую долю каждого из десяти других стандартов покрывает каждый из 11 стандартов безопасности. SP 800-53 и ISO 27001 лидируют, но решает то, кто задаёт вопрос.
Аналитика · 2024-10-22Essential Eight и ISO 27001: почему большинство связей «косвенные»ISO 27001 в принципе охватывает каждую стратегию Essential Eight, однако большинство мер ASD лишь косвенно связаны с Приложением A. Что это значит для вас.Пошаговые инструкции
Пошаговые инструкции · 2026-09-01Подготовка к оценке CMMC Level 2 при уже действующем SP 800-53Как организациям, уже работающим с NIST SP 800-53, готовиться к оценке CMMC Level 2: область CUI, SSP, повторное использование доказательств и ошибки.
Пошаговые инструкции · 2026-07-21Как читать соответствия стандартов и когда им не доверятьЧто сопоставление стандартов показывает и чего не показывает: типы связей, направление, версии, детализация и авторство, а также проверки перед использованием.
Пошаговые инструкции · 2026-06-03От ISO 27001 к NIS2: практический план закрытия разрывовПошаговый план для организации, сертифицированной по ISO 27001, которая теперь подпадает под NIS2: область применения, регистрация, обязанности руководства, отчётность и более глубокие меры.
Пошаговые инструкции · 2026-04-21Комплексная проверка поставщиков: один процесс для нескольких стандартовОдин процесс проверки поставщиков для ISO 27001, SOC 2, PCI DSS, GDPR, HIPAA и NIS2: распределение по уровням, отчёты об уверенности, договоры и мониторинг.
Пошаговые инструкции · 2026-03-10От анализа разрывов к плану: владельцы, доказательства, срокиКак превратить анализ разрывов по стандарту в план проекта: направления работ, последовательность, оценки, владельцы и доказательства, отслеживаемые до аудита.
Пошаговые инструкции · 2026-01-21Доказательства управления изменениями, принимаемые аудиторамиКакие доказательства управления изменениями пройдут проверки по SOC 2 (CC8.1), ISO 27001 (A.8.32), PCI DSS и NIS2: от pull request до экстренных изменений.
Пошаговые инструкции · 2025-12-09Проверки доступа пользователей, которые устраивают любого аудитораКак проводить проверку доступа пользователей, чтобы пройти аудит ISO 27001, SOC 2, PCI DSS, HIPAA и CMMC: охват, частота, проверяющие, доказательства.
Пошаговые инструкции · 2025-10-28Как провести анализ разрывов между стандартами и вести трекерПрактический метод анализа разрывов между двумя стандартами информационной безопасности: определение области, изучение каждого соответствия, проверка связей и превращение результата в трекер.
Пошаговые инструкции · 2025-09-11Одна оценка рисков для ISO 27001, SOC 2 и HIPAAКак провести одну оценку рисків информационной безопасности, которая соответствует требованиям ISO 27001, SOC 2 и Правила безопасности HIPAA, и что проверяет каждый аудит.
Пошаговые инструкции · 2025-07-29Выбор целевого уровня зрелости Essential EightКак выбрать целевой уровень зрелости Essential Eight: что защищает каждый уровень, кому нужен Уровень 2 или 3 и как переходить между уровнями.
Пошаговые инструкции · 2025-06-17Составление Заявления о применимости, которое выдержит аудитКак составить Заявление о применимости ISO/IEC 27001:2022: что оно должно содержать, как обосновывать исключения и какие замечания аудита встречаются чаще всего.
Пошаговые инструкции · 2025-05-20Отчётность перед советом директоров по профилям NIST CSF 2.0Как использовать текущий и целевой профили NIST CSF 2.0 для отчётности совету директоров о кибербезопасности: что показывать и как связать с стандартами.
Пошаговые инструкции · 2025-05-01Определение границ первого отчёта SOC 2 без лишних обязательствКак определить границы первого отчёта SOC 2: какая система, какие Trust Services Criteria, исключения (carve-out) и контроли пользовательских организаций, а также дорогостоящие ошибки в определении границ.
Пошаговые инструкции · 2025-03-18Сопоставление одного набора политик с несколькими стандартами без их переписыванияКак структурировать один набор политик безопасности, который отвечает требованиям ISO 27001, SOC 2, NIST, PCI DSS и NIS2, и что каждый стандарт требует зафиксировать в письменном виде.
Пошаговые инструкции · 2025-02-04Построение процедуры отчётности об инцидентах для сроков NIS2 в 24 и 72 часаКак построить процедуру отчётности о существенных инцидентах NIS2: определение существенности, предварительное уведомление в течение 24 часов, уведомление в течение 72 часов и итоговый отчёт в течение одного месяца.
Пошаговые инструкции · 2024-12-24Повторное использование доказательств для SOC 2, ISO 27001 и PCI DSSКакие аудиторские доказательства подходят сразу для SOC 2, ISO 27001 и PCI DSS, что нужно каждому аудитору и как собрать их один раз.
Пошаговые инструкции · 2024-11-06Один набор контролей для SOC 2 и ISO 27001 без двойной работыКак вести SOC 2 и ISO 27001 по одному набору контролей: что совпадает, что добавляет каждый стандарт, как строить контроли и доказательства и согласовать аудиты.Мнение
Мнение · 2026-06-17Зачем мы маркируем каждое сопоставление как «соответствие» или «редакционный материал»Почему ControlMapping помечает каждое сопоставление стандартов как опубликованное соответствие или редакционное суждение и зачем нужны видимые источники.
Мнение · 2026-05-05Зачем открытые бесплатные данные о соответствииСопоставления стандартов чаще всего закрыты в платных инструментах и таблицах. Почему эти данные должны быть открытыми и бесплатными.
Мнение · 2026-03-24Что 20 лет в кибербезопасности научили меня об аудитахУроки из двух десятилетий аудитов безопасности: доказательства важнее рассказа, область аудита определяет всё, а средства контроля выходят из строя, когда за них никто не отвечает.
Мнение · 2026-02-05Политики ИБ, написанные ИИ: полезная экономия или риск для аудита?Генеративный ИИ может подготовить черновики политик ИБ за считаные минуты. Разберём, где это помогает, где порождает замечания аудита и как использовать его, не получая пустых документов.
Мнение · 2025-12-23Комплаенс — не безопасность, но соответствия помогают обоимПочему аудиты не делают организацию защищённой, где комплаенс и безопасность совпадают и как сопоставление стандартов освобождает время для защиты.
Мнение · 2025-11-11Не покупайте инструменты комплаенса, пока не написаны политикиПочему организации, которые покупают инструменты комплаенса или безопасности до того, как решат, как будут работать, часто получают «полку» неиспользуемого ПО, и в каком порядке действовать, чтобы этого избежать.
Мнение · 2025-09-25Проблема непроверяемых соответствий у поставщиковПлатформы комплаенса связывают один контроль с множеством стандартов через соответствия, которые никто не может проверить. Почему это риск и что требовать.
Мнение · 2025-08-12NIS2: ответственность руководства и поведение советов директоровNIS2 обязывает органы управления утверждать меры кибербезопасности, контролировать их и проходить обучение, при этом предусматривая ответственность. Изменит ли это поведение советов директоров и что им следует делать.
Мнение · 2025-07-01Нужна ли малой компании ISO 27001?Когда ISO 27001 оправдана для малой компании, когда сначала должны идти SOC 2 или техническая базовая линия и как поддерживать сертификацию соразмерно масштабу бизнеса.
Мнение · 2025-02-18Усталость от стандартов: выберите опорный стандарт и сопоставьте с ним все остальныеОрганизации, которым нужно выполнять требования нескольких стандартов безопасности, выгорают, проводя каждую проверку отдельно. Почему выбор одного опорного стандарта и сопоставление с ним остальных работает лучше.
Мнение · 2025-01-07Должны ли организации за пределами Австралии использовать Essential Eight?Essential Eight от ASD — австралийский базовый набор с универсальными рекомендациями. Почему организации в других странах могут его внедрять и как он сочетается с ISO или NIST.
Мнение · 2024-11-20Почему вопрос «Вы сертифицированы по SOC 2?» задан неверноСертификата SOC 2 не существует. Что на самом деле спрашивает этот вопрос, что показывает отчёт SOC 2 и чего он не показывает, и какие вопросы лучше задавать поставщикам.