Усталость от стандартов: выберите опорный стандарт и сопоставьте с ним все остальные

Спросите любого руководителя по комплаенсу в растущей компании, как выглядит его год, и вы услышите список: период наблюдения SOC 2, инспекционный аудит ISO, новый регламент, оценка PCI и постоянный поток анкет заказчиков, каждая со своей нумерацией и терминологией. Команды выгорают не потому, что какой-то один стандарт необоснован, а потому, что они ведут несколько программ, которые по сути требуют одного и того же.

Структурное решение

Выберите один опорный стандарт. Определите свои контроли один раз, своими словами, и организуйте их вокруг этого опорного стандарта. Затем сопоставьте с ним каждый внешний стандарт. Новый стандарт перестаёт быть новой программой; он превращается в упражнение по сопоставлению плюс несколько действительно новых требований.

Так построен и сам ControlMapping: NIST CSF 2.0 служит опорным стандартом, каждая тема определяется через результаты CSF, а остальные десять стандартов сопоставлены с этими темами. Это работает, потому что CSF широк, стабилен и сопоставлен NIST и другими организациями почти со всем остальным.

Выбор опорного стандарта

• NIST CSF 2.0, если вам нужна нейтральная, основанная на результатах структура, которую понимают руководители и которая имеет официальные сопоставления с SP 800-53, ISO 27001 и многими другими.
• ISO 27001, если вы всё равно проходите сертификацию по нему: Приложение A вместе с вашим Заявлением о применимости становится основой контролей.
• SP 800-53, если вы эксплуатируете федеральные системы; это самый всеобъемлющий стандарт, и он сопоставляется с большинством других, как показал наш анализ отправной точки.

Не делайте опорным узкий или предписывающий стандарт: Essential Eight и PCI DSS — отличные стандарты, но они охватывают недостаточно других, чтобы на них можно было построить программу.

Что меняется, когда есть опорный стандарт

• Новые стандарты обходятся дешевле. Проведите анализ разрывов от опорного стандарта к новому; большинство требований сопоставляются, и только оставшаяся часть требует новой работы.
• Доказательства собираются один раз и помечаются тегами для каждого стандарта, которому они служат.
• Анкеты заполняются быстрее: вы отвечаете из своего набора контролей, ссылаясь на сопоставленное требование.
• Отчётность для совета директоров согласована, использует одну терминологию, каким бы ни был календарь аудитов.

Например, при опорном стандарте NIST CSF 2.0:

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть NIST CSF 2.0 → нужен NIS2	45 из 49 (92%)	3	1	отчёт →
Есть NIS2 → нужен NIST CSF 2.0	85 из 106 (80%)	12	9	отчёт →

Как это настроить

1. Опишите свои контроли своими словами, по одному на каждое решение, которое принимает организация: кто, что, как часто и какие нужны доказательства.
2. Сопоставьте каждый контроль с опорным стандартом (например, с его подкатегориями CSF 2.0), а затем с каждым стандартом, перед которым вы отчитываетесь.
3. Храните сопоставления в одном месте с указанием источника каждой связи, чтобы их можно было проверять и обновлять.
4. Назначайте владельцев для каждого контроля, а не для каждого стандарта.
5. Пересматривайте сопоставления при изменении любого стандарта, а не перестраивайте программы заново.

Основные усилия приходятся на начало: первое сопоставление требует реальной работы, но каждый последующий стандарт и каждая анкета используют его повторно. В наших загрузках есть готовое сопоставление с опорным стандартом CSF 2.0, с которого можно начать.

Ключевые выводы

• Усталость от стандартов возникает из-за того, что на каждый стандарт ведётся отдельная программа.
• Выберите широкий, хорошо сопоставленный опорный стандарт (NIST CSF 2.0, ISO 27001 или SP 800-53) и сопоставьте с ним всё остальное.
• Тогда новый стандарт потребует анализа разрывов и только действительно новых требований.

Чего это не решает

Опорный стандарт не устраняет специфичные для конкретного стандарта требования: сроки отчётности, особые периодичности, юридические обязательства. Он лишь делает их видимыми как исключения, вместо того чтобы прятать их в дублирующей работе.

Усталость от стандартов — проблема проектирования. Исправьте проект, и большая часть усталости уйдёт вместе с ней. Начните с матрицы покрытия, которая показывает все одиннадцать стандартов относительно одного опорного стандарта.

Вопросы

Какой стандарт лучше всего подходит в качестве опорного?

Тот, который широк, стабилен и хорошо сопоставлен с другими. NIST CSF 2.0 — сильный выбор, потому что NIST и другие организации публикуют сопоставления с ним; ISO 27001 хорошо подходит организациям, которые всё равно проходят сертификацию по нему.

Что такое общая система контролей?

Единый набор внутренних контролей, каждый из которых сопоставлен с требованиями, которые он выполняет, во всех внешних стандартах, перед которыми отчитывается организация.

Может ли инструмент GRC выступать в роли опорного стандарта?

Инструмент GRC может хранить опорный стандарт и сопоставления, но сам выбор опорного стандарта — это проектное решение: единая структура, вокруг которой организованы ваши контроли. Сначала выберите его, затем настраивайте инструмент.