Как провести анализ разрывов между стандартами и вести трекер

Каждый второй стандарт начинается с одного и того же вопроса: сколько из этого у нас уже есть? Анализ разрывов на него отвечает. Если его провести плохо, получится таблица, в которой всё помечено как «частично соответствует», и её больше никто не открывает. Если провести хорошо, получится список задач с ответственными и оценкой затрат. Вот метод, который мы бы использовали.

Шаг 1: зафиксируйте область и направление

У анализа разрывов есть направление: есть стандарт (или ваши текущие меры контроля), нужен другой. Запишите оба с версиями и организационную область: какое юрлицо, какие услуги и площадки. Анализы разрывов чаще всего дают сбой из-за того, что области не совпадают, например когда сертификат ISO охватывает одну продуктовую линейку, а сравнивается он с обязательством NIS2 для всего юрлица.

Шаг 2: составьте сравнение требование к требованию

Начинайте с сопоставления, а не с чистого листа. Анализ разрывов на ControlMapping перечисляет каждое требование нужного стандарта, и для каждого указано соответствие в том, который у вас есть:

• сопоставлено: опубликованное соответствие или наше редакционное решение связывает его с тем, что у вас есть.
• косвенно связано: требование лишь разделяет с чем-то из имеющегося общий результат. Считайте, что это, вероятно, новая работа.
• нет сопоставления в наших данных: вероятно, новая работа, если только покрытие этого стандарта не частичное.

Например, переход от ISO 27001 к NIS2:

Из 49 пункты требований NIS2 49 (100%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 0 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Шаг 3: проверьте соответствия на практике

Сопоставление говорит, что два требования связаны. Оно не говорит, что ваша реализация выполняет оба. Для каждой сопоставленной строки задайте себе вопросы:

1. Мы действительно делаем то, с чем сопоставили? Сопоставление с ISO A.8.8 помогает, только если управление уязвимостями у вас работает.
2. Новое требование конкретнее? Сроки, периодичность, названные методы и область часто отличаются.
3. Связь редакционная? Проверьте указанное обоснование и решите, согласны ли вы с ним.

Отметьте каждую строку как выполнено, выполнено частично или не выполнено. Будьте честны: мягкий анализ разрывов лишь переносит обнаружение проблем на аудит.

Шаг 4: экспортируйте в трекер

Нажмите e в представлении разрывов (или кнопку «Экспорт CSV»), чтобы скачать результат. Каждая строка содержит требование, его раздел, соответствие, основание и причину, а также четыре пустых столбца для работы: ответственный, статус внедрения, ссылка на доказательство и примечания. Откройте файл в таблицах или импортируйте его в вашу GRC-систему.

Шаг 5: превратите строки в работу

• Группируйте по ответственному и теме, а не по номеру требования: «договоры с поставщиками» — это одна задача, которая может закрыть шесть строк.
• Оцените каждую группу и поставьте их в последовательность: изменения в управлении и политиках обычно разблокируют техническую работу.
• Заполняйте столбец доказательств по ходу дела, чтобы трекер стал вашим аудиторским файлом.
• Повторяйте анализ при изменении любого из стандартов; наш обновляется вместе с данными.

Ключевые выводы

• Сначала зафиксируйте область и направление: есть A, нужен B, с версиями.
• Начинайте с сопоставления, затем проверяйте каждое соответствие по тому, что вы реально делаете.
• Экспортируйте результат в трекер со столбцами ответственного, статуса и доказательств и превращайте строки в сгруппированную работу.

Частые ошибки

• Сравнение с устаревшей версией (CSF 1.1, ISO 27001:2013, PCI DSS v3.2.1).
• Считать «косвенно связано» покрытым.
• Полностью игнорировать требования вне сопоставления: юридические обязательства, например сроки сообщения об инцидентах, часто не входят ни в один каталог мер контроля.

Примеры разбора см. в ISO 27001 и NIS2 пункт за пунктом и в сравнениях; каждое из них представляет собой готовый двусторонний анализ разрывов.

Вопросы

Что такое анализ разрывов комплаенса?

Сравнение требование к требованию того, что вы уже делаете (или стандарта, который уже выполняете), с требованиями нужного стандарта; определяет, что покрыто, что покрыто частично и чего не хватает.

Сколько времени занимает анализ разрывов?

Сопоставление можно получить за минуты с помощью инструмента вроде анализа разрывов ControlMapping. Проверка его по вашим фактическим мерам контроля и доказательствам и есть основная работа; обычно это от нескольких дней до нескольких недель в зависимости от области.

Что означает «косвенно связано» в анализе разрывов?

Два требования разделяют только результат NIST CSF 2.0; никто не сопоставлял их друг с другом. Считайте это поводом для проверки и, как правило, новой работой, а не покрытием.