Зачем открытые бесплатные данные о соответствии

Вот странный факт об индустрии compliance. Десятки тысяч организаций должны соответствовать более чем одному стандарту информационной безопасности. Каждой из них нужно понимать, как эти стандарты связаны между собой. И почти каждая создаёт или покупает это знание отдельно: таблица консультанта, закрытое соответствие платформы или работа аналитика по выходным. Одно и то же сопоставление строится снова и снова, редко проверяется и никогда не публикуется.

Сопоставление — это общеизвестное знание под видом коммерческой тайны

Связь между A.8.24 стандарта ISO 27001 и требованием 3.5.1 PCI DSS не является коммерческой тайной. Это факт о двух опубликованных документах, одинаковый для всех. Рассматривать его как закрытые данные значит создавать три проблемы:

• Дублирование. Индустрия многократно платит за одну и ту же работу.
• Ошибки сохраняются. Закрытое сопоставление проверяет его владелец, если вообще кто-то. Публичное проверяет каждый, кто его использует.
• Отсутствие подотчётности. Нельзя оценить сопоставление, которое не видно, поэтому нельзя отличить добросовестное от небрежного. Мы писали о проблеме соответствий, которые нельзя проверить.

Государственный сектор уже это понимает

Самые авторитетные соответствия уже бесплатны. NIST публикует информационные ссылки CSF 2.0 и сопоставления SP 800-53 в открытом доступе и ведёт каталог представленных соответствий. ENISA опубликовала сопоставление NIS2 с ISO 27001 и CSF. ASD публикует ISM, включая меры Essential Eight, по открытой лицензии. Это одни из самых используемых документов по compliance в мире именно потому, что ими может пользоваться каждый.

Что изменит открытость

• Инструменты конкурируют за удобство, а не за накопление данных. Ценность переходит к рабочим процессам, доказательствам и автоматизации, где ей и место.
• Сопоставления улучшаются быстрее. Ошибки, о которых сообщают пользователи, исправляются для всех.
• Небольшие организации получают то же качество, что и крупные, не платя за платформу, чтобы узнать, как связаны два стандарта.
• Аудиторы и регуляторы могут проверить логику сопоставления, а не принимать его на веру.

Где проходят границы

Открытость имеет пределы. ISO, PCI SSC и AICPA владеют текстом своих стандартов, и это нужно уважать: открытые данные сопоставления могут включать идентификаторы, краткие названия и обоснования, не воспроизводя требования, защищённые авторским правом. А бесплатность не означает отсутствие источников; открытые данные, которые скрывают происхождение, — это просто другой вид чёрного ящика.

Что нужно хорошим открытым данным о compliance

Одной открытости недостаточно. Чтобы данные о сопоставлении действительно были полезны как общий ресурс, им нужно:

• Стабильные идентификаторы, соответствующие официальным каталогам и проверяемые при каждом изменении любого из стандартов.
• Происхождение каждой связи: какое соответствие или какое суждение использовано и почему.
• Версии каждого стандарта с явно обработанными отозванными требованиями.
• Машиночитаемые форматы (CSV, электронные таблицы, JSON) наряду с веб-страницами.
• Понятную лицензию, допускающую повторное использование, в том числе коммерческое, с учётом прав третьих сторон.
• Способ сообщать об ошибках и журнал исправлений.

Именно к такому стандарту мы стремимся. Методология объясняет, как каждый пункт реализован здесь.

Основные выводы

• Организации заново строят одни и те же сопоставления стандартов в закрытом виде, снова и снова.
• Самые авторитетные соответствия (NIST, ENISA, ASD) уже бесплатны и являются самыми используемыми.
• Открытые данные проверяются и исправляются; закрытые сопоставления устаревают незамеченными.
• Открытость должна учитывать авторское право на стандарты и всегда показывать происхождение.
• Бесплатные данные всё равно требуют поддержки: проверки по актуальным каталогам при каждом изменении.

Что делаем мы

Загрузки ControlMapping публикуют полное соответствие (каждую тему, связь требований, основание и причину) по лицензии CC BY 4.0, с соблюдением лицензий третьих сторон. Методология документирует каждый источник и правило. Это небольшой вклад, но это та модель, которой, на мой взгляд, должны следовать данные о compliance: открытые, с источниками, с версиями и свободные для улучшения. Если вы нашли ошибку, сообщите нам, чтобы её исправили для всех.

Вопросы

Можно ли свободно использовать данные ControlMapping?

Да. Собственные материалы ControlMapping (определения тем, выбор сопоставлений, редакционные заметки и наши сводки) распространяются по CC BY 4.0. Материалы третьих сторон сохраняют собственную лицензию: содержимое NIST относится к общественному достоянию, названия CIS распространяются по CC BY-NC-ND, а текст ISO, PCI и AICPA не воспроизводится.

Почему не все соответствия стандартов открыты?

Некоторые владельцы стандартов лицензируют свои стандарты и сопоставления на коммерческой основе, а многие поставщики рассматривают свои соответствия как средство дифференциации продукта.

Можно ли использовать данные ControlMapping в коммерческом продукте?

Собственные материалы ControlMapping распространяются по CC BY 4.0, что допускает коммерческое использование при условии указания авторства. Материалы третьих сторон сохраняют собственную лицензию; например, названия мер защиты CIS распространяются по CC BY-NC-ND.