Проблема непроверяемых соответствий у поставщиков

Платформы автоматизации комплаенса существенно упростили ведение программ, охватывающих несколько стандартов. Большинство из них продаёт главное обещание: внедрите контроль один раз, и он выполнит требования SOC 2, ISO 27001, NIST, HIPAA и других, потому что так говорит соответствие платформы. Спросите платформу, откуда взято конкретное сопоставление, с какой версией оно сверено и почему два требования эквивалентны, и зачастую в ответ будет молчание.

Это проблема, и не педантичная.

Непроверяемые сопоставления переносят риск на вас

Когда платформа утверждает, что ваш контроль доступа выполняет требование стандарта, которому вы недавно начали подлежать, и ошибается, замечание аудита адресовано вам, а не поставщику. Вы опирались на сопоставление, которое не могли проверить. Аудиторы не принимают «инструмент так сопоставил» в качестве обоснования; они читают требование и проверяют, выполняет ли ваш контроль его.

Сопоставления незаметно устаревают

Стандарты меняются. CSF 2.0 отменил 79 подкатегорий CSF 1.1 (куда они перешли); ISO 27001:2022 перенумеровал Приложение A; PCI DSS v4.0 добавил десятки требований. Соответствие, которое не версионируется и не сверяется с актуальными каталогами, устаревает. Неподписанное соответствие устаревает незаметно.

«Сопоставлено» скрывает тип связи

Связь между двумя требованиями может означать, что они эквивалентны, что одно является подмножеством другого или что у них лишь общая тема. Наш собственный анализ того, насколько сопоставления опираются на опубликованные данные, показал, что значительная доля сопоставлений в целом основана на экспертных оценках, а не на опубликованных соответствиях:

Стандарт	Сопоставления	Соответствия	Редакционные материалы	Доля соответствий
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Все	829	475	354	57%

Экспертные оценки сами по себе не плохи. Плохи неподписанные.

Что требовать от любого соответствия

1. Источник каждой связи: официальное соответствие (NIST, ENISA, владелец стандарта) или экспертная оценка поставщика.
2. Обоснование каждой экспертной оценки, видимое для вас.
3. Версии обоих стандартов и дату последней проверки.
4. Что означает «сопоставлено»: эквивалентно, частично или связано.
5. Экспорт: возможность выгрузить сопоставление и проверить его самостоятельно.

Если поставщик не может предоставить это, используйте его сопоставления как подсказки, а не как ответы.

Как проверить полученное соответствие

Чтобы оценить соответствие, не нужно проверять его целиком. Проверьте выборочно:

1. Выберите десять связей случайным образом из стандарта, который знаете лучше всего.
2. Прочитайте тексты обоих требований для каждой.
3. Классифицируйте каждую связь: эквивалентна, частично пересекается, лишь связана или ошибочна.
4. Проверьте два случая, чувствительных к версиям, например идентификатор CSF 1.1 или номер контроля ISO 27001:2013.

Если большинство связей выдерживает проверку и версии актуальны, соответствие, вероятно, пригодно как ориентир. Если несколько связей ошибочны или устарели, считайте всё соответствие непроверенным. Наши собственные данные открыты для такой же проверки: каждая страница требования, например ISO 27001 A.8.8, показывает основание и обоснование каждой связи.

Ключевые выводы

• Непроверяемые сопоставления переносят аудиторский риск на вас.
• Требуйте источник, версию, значение и обоснование для каждой связи.
• Выборочно проверяйте любое соответствие перед тем, как на него полагаться.

Почему мы публикуем своё

ControlMapping отчасти появился из-за этой проблемы. Каждая связь помечена как соответствие или редакционный материал, у каждой редакционной связи есть обоснование, каждый идентификатор проверяется по официальному каталогу при каждой сборке, а весь набор данных доступен для загрузки по открытой лицензии. Это не единственный способ, но, по нашему мнению, именно к такому стандарту отрасли стоит стремиться. См. методологию и загрузки.

Вопросы

Точны ли соответствия в платформах комплаенса?

Одни поддерживаются тщательно, другие нет. Без видимых источников, версий и обоснований для каждого сопоставления вы не можете понять, какие именно, а аудиторы не примут «так сказал инструмент» в качестве обоснования.

Каким должно быть надёжное соответствие?

Для каждой связи: источник (официальное соответствие или экспертная оценка поставщика), версии обоих стандартов, значение связи (эквивалентна или лишь связана) и обоснование, если это экспертная оценка.

Что такое NIST OLIR?

Программа NIST Online Informative References: каталог соответствий между стандартами NIST и другими стандартами. Представления от третьих сторон проверяются на соответствие формату, а не на корректность.