Какой стандарт безопасности лучше выбрать первым? Мы измерили

«Какой стандарт нам стоит внедрять первым?» — один из первых вопросов, с которым сталкивается любая программа безопасности, и обычно ответы представляют собой мнения. Нам нужна была цифра: если вы внедряете стандарт X, какую долю каждого другого стандарта вы уже охватили?

ControlMapping сопоставляет требования одиннадцати стандартов между собой, поэтому мы можем это измерить. Для каждого стандарта мы по очереди брали каждый другой стандарт и подсчитывали, сколько его требований имеют хотя бы одно сопоставление с первым, а затем усредняли результат по десяти стандартам.

Рейтинг

Если у вас есть	Средняя доля сопоставленных требований других фреймворков	Охватывает большую часть	Наименьшее покрытие среди
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

Доля = требования другого фреймворка, имеющие хотя бы одно сопоставление (crosswalk или editorial) с этим, усреднённая по другим 10. Рассчитывается в реальном времени на основе тех же данных, что и анализ разрывов.

Выделяются два стандарта. NIST SP 800-53 сопоставляется с наибольшей долей всего остального, и это неудивительно: это каталог из сотен мер контроля, написанных так, чтобы охватить почти все темы в области безопасности и приватности, а NIST публикует официальные сопоставления из него с CSF 2.0 и ISO 27001. ISO 27001 идёт следом, поскольку Приложение A охватывает ту же территорию на более высоком уровне, а пункты о системе менеджмента добавляют требования к управлению, которых касается большинство стандартов.

На другом конце шкалы Essential Eight сопоставляется с наименьшим объёмом, и это закономерно. Это восемь целевых стратегий снижения рисков, а не полноценная программа, поэтому его внедрение оставляет без изменений большую часть любого другого стандарта. GDPR находится внизу по схожей причине: в охват попадают только его статьи о безопасности.

Внимательно читайте цифры

Нужно помнить три момента:

• Сопоставление не означает выполнение. Сопоставление означает, что два требования относятся к одной теме. Контроль уязвимостей в ISO 27001 и требование ежеквартального сканирования в PCI DSS сопоставлены, но выполнение первого не удовлетворяет второе.
• Гранулярные стандарты кажутся легко покрываемыми. Почти каждый стандарт, как кажется, покрывает почти все CIS Controls. У CIS 153 конкретные меры защиты, поэтому большинство стандартов затрагивает каждую из них на уровне темы, а большинство связей с CIS являются нашим редакционным суждением, поскольку опубликованное соответствие CIS охватывает только 49 мер защиты. Относитесь к колонке CIS как к «затронуто», а не «выполнено».
• Конкретные стандарты кажутся трудными для покрытия. PCI DSS и SP 800-53 труднее всего покрыть другим стандартам, поскольку они содержат много подробных требований, которые более широкие стандарты не расписывают.

Решает то, кто спрашивает

Измерение показывает, какой стандарт даёт самую широкую основу. Оно не говорит, какой стандарт нужен вам, и обычно именно это решает вопрос:

• Корпоративные клиенты из США запрашивают отчёт SOC 2. Если от него зависит сделка, начинайте с него.
• Международные клиенты, тендеры и регуляторы запрашивают сертификацию ISO 27001.
• Работа с федеральными органами США означает SP 800-53 (и FedRAMP для облака); оборонные контракты означают CMMC Level 2.
• Платёжные карты означают PCI DSS, что бы вы ещё ни делали.
• Цифровые провайдеры ЕС и критические секторы нуждаются в NIS2.
• Пока никто не спрашивает? ISO 27001 или NIST CSF 2.0 дают самую широкую базу. CSF бесплатен и легче для старта; ISO добавляет сертификат, когда он понадобится. SP 800-53 охватывает больше всего, но его объём делает его тяжёлым первым шагом для большинства частных компаний.

Затем расширяйте, а не начинайте заново

Какой бы стандарт вы ни выбрали первым, второй обойдётся дешевле первого. Проведите анализ разрывов от имеющегося у вас стандарта к нужному, и вы получите поэтапный по требованиям список того, что переносится, а что является новым, с доказательствами для каждой связи. Сравнения подробнее раскрывают наиболее распространённые пары, например ISO 27001 vs SOC 2 и NIST CSF vs ISO 27001.

Как мы измеряли

Для каждой упорядоченной пары стандартов мы использовали тот же расчёт, что и в анализе разрывов: требование считается сопоставленным, если оно отнесено к той же теме ControlMapping, что и требование другого стандарта, или связано с ним напрямую через опубликованное соответствие либо редакционную связь с указанным обоснованием. Требования, которые лишь разделяют один и тот же результат NIST CSF 2.0 («косвенно связано»), не учитываются. Приведённые выше цифры вычисляются в реальном времени по текущим данным; см. методологию.

Вопросы

Какой стандарт безопасности охватывает больше всего остальных?

В данных ControlMapping NIST SP 800-53 в среднем охватывает наибольшую долю требований других стандартов, за ним следует ISO 27001. Сопоставление означает, что требования относятся к связанным результатам, а не что один стандарт выполняет другой.

Должна ли небольшая компания начинать с ISO 27001 или SOC 2?

Начинайте с того, что запрашивают ваши клиенты. Если пока никто не спрашивает, ISO 27001 или NIST CSF дают самую широкую базу; SOC 2 — самый быстрый путь к отчёту, если от него зависит сделка в США.