Часто задаваемые вопросы

Использование ControlMapping

Что такое ControlMapping?

Это бесплатный справочник, который показывает, какие требования безопасности переносятся между стандартами 14: NIST CSF 2.0, ISO 27001, SOC 2, PCI DSS, NIS2, CMMC, HIPAA, GDPR, NIST SP 800-53, CIS Controls и Essential Eight. Он охватывает 1 421 требований, сгруппированных по 50 темам безопасности, и для каждой связи показано, на чём она основана.

Как провести анализ разрывов?

Откройте анализ разрывов, выберите стандарт, который у вас уже есть, и стандарт, который нужно получить. Каждое требование нужного вам стандарта отображается как сопоставленное (по опубликованному соответствию или по нашему редакционному решению), косвенно связанное или со статусом «Нет сопоставления в наших данных». Строки без сопоставления, вероятно, потребуют новой работы. Выгрузите результат в CSV с пустыми столбцами «Владелец», «Статус» и «Доказательства», чтобы использовать его как трекер.

Что означают символы?

Соответствия (сплошной квадрат): связь установлена опубликованным соответствием (от NIST, ENISA, CIS или PCI SSC). Редакционные материалы (контурный квадрат): наше суждение там, где опубликованного соответствия не существует; причина всегда указана. Косвенно связано (янтарное кольцо): две записи разделяют только один результат NIST CSF 2.0, поэтому перед использованием проверьте связь. Нет сопоставления в наших данных (тире): обычно это новая работа, однако покрытие для некоторых стандартов неполное. Ромб отмечает результаты CSF, которые определяют тему. См. методологию.

Что такое тема?

Тема безопасности, например шифрование, многофакторная аутентификация или реагирование на инциденты. Каждая тема определяется результатами NIST CSF 2.0 и перечисляет требование из каждого стандарта, который её охватывает. Страницы тем — самый быстрый способ увидеть один вопрос во всех стандартах.

Можно ли скачать данные?

Да. На странице загрузки доступно полное соответствие в форматах CSV, Excel и JSON по лицензии CC BY 4.0; лицензии материалов третьих сторон указаны в каждом файле.

Является ли ControlMapping бесплатным?

Да: без учётной записи и без платной подписки. Данные можно свободно использовать повторно по лицензии CC BY 4.0.

Точность и источники

Насколько точно сопоставление?

Каждый идентификатор требования сверяется с официальным каталогом стандарта при сборке сайта, а отозванные идентификаторы прерывают сборку. Связи с пометкой «соответствие» основаны на опубликованных соответствиях; связи с пометкой «редакционный материал» отражают наше суждение, и у каждой указана причина. Соответствия показывают, что требования относятся к связанным результатам, но не то, что выполнение одного из них автоматически выполняет другое. Поэтому используйте сайт для планирования и перед опорой на него при аудите сверяйте данные с текстом первоисточника.

Откуда берутся соответствия?

NIST (информативные ссылки CSF 2.0, SP 800-53 → ISO 27001, HIPAA → SP 800-53, SP 800-171 Appendix D), ENISA (NIS2 → ISO 27001 и CSF 2.0), CIS (CIS Controls → CSF 2.0) и PCI SSC (PCI DSS → CSF 2.0). Для SOC 2, GDPR и Essential Eight нет соответствия с открытой лицензией, поэтому эти связи являются редакционными. В методологии указан каждый источник и его версия.

Почему я не вижу полный текст требований ISO, PCI или SOC 2?

Этот текст защищён авторским правом ISO, PCI SSC и AICPA. Мы показываем идентификаторы, названия требований ISO, а также наши собственные краткие описания для PCI DSS и SOC 2. Текст NIST, HIPAA, NIS2 и Essential Eight отображается в пределах, которые допускает его лицензия.

Я нашёл ошибку. Как сообщить о ней?

Используйте ссылку «Сообщить об ошибке» на странице любого требования или см. страницу о проекте.

Стандарты

В чём разница между SOC 2 и ISO 27001?

ISO 27001 завершается сертификатом на систему менеджмента информационной безопасности, который выдаёт аккредитованный орган по сертификации и который действует три года. SOC 2 завершается отчётом: мнением фирмы CPA о ваших контролях, обычно за период от 3 до 12 месяцев (Type II). Их меры безопасности во многом совпадают; ISO добавляет систему менеджмента, а SOC 2 — дополнительные критерии доступности, конфиденциальности, целостности обработки и конфиденциальности персональных данных. См. ISO 27001 и SOC 2.

Нужен ли SOC 2 Type I или Type II?

Большинство заказчиков просят Type II, который проверяет, работали ли контроли в течение определённого периода. Type I охватывает только проектирование контролей на конкретный момент времени; он полезен как первый шаг, пока идёт период Type II. См. руководство по SOC 2.

Достаточно ли сертификата ISO 27001 для соответствия NIS2?

Сам по себе — нет. ENISA сопоставляет каждую техническую меру из Имплементационного регламента NIS2 с ISO 27001, поэтому сертифицированные организации уже выполнили значительную часть работы. Однако NIS2 добавляет сроки уведомления об инцидентах (24 часа, 72 часа, один месяц), обучение руководства и подотчётность руководства, а также регистрацию в национальном органе. См. руководство по NIS2.

В чём разница между NIST CSF и NIST SP 800-53?

CSF 2.0 описывает результаты (106 подкатегорий) и для большинства организаций является добровольным. SP 800-53 — это каталог контролей, которые обеспечивают эти результаты; он обязателен для федеральных систем США и лежит в основе FedRAMP. NIST публикует официальное соответствие между ними, которое использует этот сайт.

Кому нужен CMMC Level 2?

Подрядчикам и субподрядчикам Министерства обороны США, которые работают с контролируемой неклассифицированной информацией (CUI). Level 2 включает 110 требований NIST SP 800-171 Rev 2, которые оцениваются либо самостоятельно, либо, для большинства контрактов с CUI, аккредитованным сторонним оценщиком (C3PAO).

Существует ли сертификация для NIST CSF, HIPAA или Essential Eight?

Официальной нет. NIST CSF и Essential Eight оцениваются, но не сертифицируются; HIPAA контролирует Управление по гражданским правам HHS. Для всех трёх существуют сторонние подтверждения, но ни одно из них не является официальным сертификатом.