Соответствия или суждение: что опирается на публикации

Каждая платформа комплаенса, консалтинговая таблица и инструмент аудита содержат сопоставления между стандартами. Редко указано, откуда они взялись. Часть скопирована из официальных соответствий; многие представляют собой чьё-то наилучшее суждение, составленное однажды и никогда не пересматривавшееся. И то и другое может быть полезно, но вам стоит знать, на что вы опираетесь.

ControlMapping помечает каждую связь: «соответствие», если её подтверждает опубликованное соответствие, и «редакционный материал», если это наше суждение с указанной причиной. Вот распределение.

Цифры

Стандарт	Сопоставления	Соответствия	Редакционные материалы	Доля соответствий
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Все	829	475	354	57%

В целом немногим более половины наших сопоставлений тем подкреплены опубликованным соответствием. Остальные являются редакционными материалами. Доля сильно различается в зависимости от стандарта.

Почему доля различается

У некоторых стандартов есть авторитетные соответствия. NIST публикует официальные соответствия от CSF 2.0 к SP 800-53 и от SP 800-53 к ISO 27001. ENISA, агентство ЕС, публикует сопоставление каждого пункта Implementing Regulation к NIS2 с ISO 27001 и CSF 2.0. Приложение D к SP 800-171 NIST сопоставляет требования CMMC с SP 800-53. Сопоставления для этих стандартов в основном подтверждены соответствиями.

Некоторые соответствия неполны. Собственное сопоставление CIS в каталоге NIST охватывает лишь 49 из 153 мер защиты CIS; сопоставление PCI SSC с CSF 2.0 не включает часть базовых требований, например требования MFA. Всё, что выходит за их пределы, является редакционным материалом.

Для некоторых стандартов нет пригодных для нас соответствий. Для SOC 2, GDPR и Essential Eight не существует соответствия с открытой лицензией. Каждая связь для них является редакционным материалом, что не делает её ошибочной, но означает, что это мнение, которое вы должны иметь возможность проверить.

Почему это важно

• Авторитетность различается. Соответствие NIST или ENISA прошло публичное обсуждение и используется по всей отрасли. Редакционное сопоставление является взглядом одного аналитика. Когда аудитор спрашивает, почему вы сочли два требования эквивалентными, ответ «так считает сопоставление NIST» убедительнее.
• Соответствия тоже не доказывают соблюдение. Даже официальное соответствие лишь говорит, что два требования касаются связанных результатов. Оно не говорит, что ваша реализация одного требования выполняет другое.
• Непомеченные сопоставления скрывают ошибки. Если вы не можете определить, откуда взялось сопоставление, вы не можете понять, когда оно неверно. При аудите наших собственных данных именно метки позволяют быстро находить и исправлять ошибки в редакционных сопоставлениях.

Главные выводы

• Лишь немногим более половины наших сопоставлений тем опираются на опубликованное соответствие; остальные являются редакционным суждением.
• Доля различается по стандартам: высокая для NIST, NIS2 и CMMC, нулевая для SOC 2, GDPR и Essential Eight.
• Суждение не обязательно ошибочно, но его следует помечать и объяснять.
• Прежде чем опираться на любое сопоставление, спросите о его источнике, версии, значении и обосновании.

Что спрашивать о любом сопоставлении

1. Каков источник? Официальное соответствие, владелец стандарта или чьё-то суждение?
2. Видно ли обоснование? Редакционная связь должна объяснять, почему она установлена.
3. Какая версия? Сопоставления с замещёнными версиями (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1) могут быть серьёзно неверными.
4. Что означает «сопоставлено»? Эквивалентность, частичное пересечение или лишь связь?

В нашей методологии назван каждый источник и версия, на каждой странице требования показана основа каждой связи, а в загрузках есть столбец с доказательствами, чтобы вы могли проверить нашу работу.

Вопросы

Что такое соответствие между стандартами?

Опубликованное сопоставление между требованиями двух стандартов, например сопоставление NIST SP 800-53 с ISO 27001. Оно показывает, что требования касаются связанных результатов, но не то, что выполнение одного удовлетворяет другому.

Почему сопоставления SOC 2 являются редакционными?

AICPA публикует сопоставления Trust Services Criteria с другими стандартами, но не по открытой лицензии, поэтому ControlMapping не может использовать их как доказательство. Каждая связь SOC 2 является нашим суждением с указанием причины.

Редакционные сопоставления менее точны, чем соответствия?

Не обязательно: экспертное суждение может быть точнее широкого опубликованного соответствия. Разница в авторитетности и возможности проверки, поэтому редакционные связи всегда должны содержать обоснование.