Зачем мы маркируем каждое сопоставление как «соответствие» или «редакционный материал»

Каждое сопоставление на ControlMapping имеет одну из двух отметок. «Соответствия» означает, что связь подтверждена опубликованным соответствием: NIST, ENISA, CIS или PCI SSC заявили, что эти требования связаны. «Редакционные материалы» означает, что это наше суждение, с записанной причиной. Это самое важное проектное решение на сайте, и оно возникло из простого наблюдения: большинство сопоставлений стандартов, которые сегодня в обращении, не дают возможности понять, какое из них какое.

Какую проблему это решает

Сопоставление — это утверждение: «это требование относится к тому». Некоторые утверждения опираются на официальные соответствия, прошедшие публичное обсуждение. Другие — это суждение одного аналитика. Оба могут быть верны. Но когда они выглядят одинаково, каждое сопоставление наследует доверие к лучшему из них, а каждая ошибка прячется среди остальных. Так организации и приходят к тому, что говорят аудиторам, будто контроль «выполняет» требование, потому что так сказал инструмент.

Что дают метки

• Вы можете взвесить доказательства. Связь из собственного соответствия NIST сильна; редакционная связь — это обоснованное мнение, которое нужно проверить.
• Ошибки легко найти. Когда мы проверяем собственные данные на ошибки, метки и причины позволяют быстро их найти и исправить. Немаркированное соответствие не даёт проверяющему ничего, за что можно зацепиться.
• Честность об ограничениях. У некоторых стандартов нет открыто лицензированного соответствия вовсе (SOC 2, GDPR, Essential Eight). Пометка всех их связей как редакционных прямо говорит об этом, а не создаёт видимость несуществующего авторитета.

Вот как выглядит разделение сегодня:

Стандарт	Сопоставления	Соответствия	Редакционные материалы	Доля соответствий
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
Все	829	475	354	57%

Почему не публиковать только связи соответствий?

Потому что у опубликованных соответствий есть пробелы. Сопоставление CIS охватывает 49 из 153 мер защиты; у PCI SSC пропущены некоторые ключевые требования; для SOC 2 у нас нет пригодного соответствия вообще. Сайт, показывающий только связи соответствий, отображал бы SOC 2 как несопоставленный, а большую часть CIS — как отсутствующую, что менее полезно и по-своему вводит в заблуждение. Редакционные связи заполняют пробелы и помечены, чтобы вы знали, на что опираетесь.

Правила, стоящие за метками

• У редакционной связи всегда есть причина.
• Связь считается соответствием, только если опубликованное соответствие действительно её подтверждает: ссылки на уровне семейств и цепочки через редакционные связи не учитываются.
• Каждый идентификатор требования проверяется по официальному каталогу при каждой сборке.
• «Косвенно связано» показывается отдельно и никогда не учитывается как покрытие.

Как выглядит редакционная связь

Редакционная связь никогда не бывает просто линией между двумя идентификаторами. У каждой есть краткая причина, которую может проверить любой. Например, SOC 2 CC4.1 (текущие и отдельные оценки внутреннего контроля) связан с пунктом 9.2 ISO 27001 (внутренний аудит) с пометкой, что оба требуют независимой оценки того, работают ли контроли, через мониторинг, внутренний аудит и независимую проверку. Читатель, который не согласен, может увидеть, что именно мы предположили, и сообщить нам. Посмотреть можно на странице требования CC4.1.

Ключевые выводы

• Метки позволяют взвесить доказательства каждого сопоставления.
• Редакционные связи заполняют реальные пробелы в опубликованных соответствиях, с указанием причин.
• Каждое сопоставление для соответствия требованиям должно показывать свой источник.

Чего я бы попросил у всех остальных

Помечайте свои сопоставления. Это почти ничего не стоит и меняет то, насколько им можно доверять. Если вы создаёте инструменты для соответствия требованиям, показывайте источник каждой связи; если покупаете их, требуйте этого. Наша методология объясняет каждое правило, а загрузки содержат основу каждого сопоставления, чтобы вы могли проверить нашу работу и сообщить, где мы ошибаемся.

Вопросы

Что означает связь «соответствие» на ControlMapping?

Опубликованное соответствие от авторитетного источника (NIST, ENISA, CIS или PCI SSC) подтверждает связь напрямую или через контроль NIST SP 800-53, который сам связан соответствием.

Что означает редакционная связь?

Опубликованного соответствия, устанавливающего связь, нет, но ControlMapping считает требования связанными; причина всегда показана, чтобы вы могли её проверить.

Могу ли я предложить исправление сопоставления?

Да. На каждой странице требования есть ссылка с описанием того, как сообщить о неверном или отсутствующем сопоставлении; укажите идентификаторы, ожидаемый стандарт и ваш источник.