开放、免费合规数据的价值所在

合规行业有一个奇怪的现象。数以万计的机构需要应对不止一个安全框架。每家机构都需要了解这些框架之间的关系。而几乎每家机构都是分别构建或购买这类知识:咨询顾问的电子表格、平台的专有对照映射,或分析师的一个周末。同一份映射被一遍又一遍地重建,很少被核查,也从未被共享。

映射本是伪装成私有的公共知识

ISO 27001 的 A.8.24 是否与 PCI DSS 3.5.1 相关,并不是商业秘密。这是两份公开文件之间的事实,对所有人都一样。把它当作专有数据,会带来三个问题:

• 重复劳动。 行业为同一项工作多次付费。
• 错误长期存在。 私有映射只由其所有者核查(如果有人核查的话)。公开映射则由每一位使用者核查。
• 缺乏问责。 你无法评估看不见的映射,因此无法分辨严谨与草率。我们曾撰文讨论无法核查的对照映射问题。

公共部门已经这样做了

最具权威性的对照映射已经免费提供。NIST 公开发布其 CSF 2.0 信息性引用和 SP 800-53 映射,并维护一个已提交对照映射的目录。ENISA 发布了其 NIS2 与 ISO 27001 及 CSF 的映射。ASD 以开放许可发布 ISM,包括 Essential Eight 控制措施。这些文件恰恰因为任何人都能使用,而成为全球使用最广泛的合规文件之一。

开放将带来哪些改变

• 工具比拼的是易用性,而非数据垄断。 价值转向工作流、证据和自动化,这才是它应在的位置。
• 映射质量提升更快。 用户报告的错误会为所有人修复。
• 小型机构获得与大型机构同等的质量,无需为了弄清两套框架之间的关系而购买平台。
• 审计人员和监管机构可以核查映射背后的推理,而不必盲目信任。

局限在哪里

开放是有限度的。ISO、PCI SSC 和 AICPA 拥有其标准文本的版权,这一点应当尊重:开放的映射数据可以共享标识符、简短标题和理由,但不应复制受版权保护的要求原文。另外,免费并不等于无来源;隐藏出处的开放数据,只是另一种形式的黑箱。

优质开放合规数据需要什么

仅有开放还不够。要使映射数据真正成为有用的共享资源,它需要:

• 稳定的标识符,与官方目录保持一致,并在任一框架变更时进行验证。
• 逐条链接的来源说明:依据哪份对照映射或哪项判断,以及理由。
• 每个框架的版本,并明确处理已废止的要求。
• 机器可读格式(CSV、电子表格、JSON),而不仅仅是网页。
• 清晰的许可协议,允许复用(包括商业用途),同时尊重第三方权利。
• 错误报告渠道,以及更正记录。

这正是我们努力达到的标准。方法论说明了我们如何处理上述每一项。

核心要点

• 机构一再私下重建相同的框架映射。
• 最具权威性的对照映射(NIST、ENISA、ASD)已免费提供,也是使用最广泛的。
• 开放数据能被核查和更正;私有映射则在无人察觉中失效。
• 开放必须尊重标准的版权,并始终展示来源。
• 免费数据同样需要维护:每次变更都需对照现行目录进行验证。

我们的做法

ControlMapping 的下载页面以 CC BY 4.0 发布完整对照映射(包括每个主题、要求链接、依据和理由),并尊重第三方许可。方法论记录了每个来源和规则。这只是微薄的贡献,但我认为这正是合规数据应遵循的模式:开放、有来源、有版本,并可免费改进。如果你发现错误,请告诉我们,以便为所有人修正。

常见问题

ControlMapping 的数据可以免费复用吗?

可以。ControlMapping 自有的工作成果(主题定义、映射选择、编辑说明以及我们的摘要)采用 CC BY 4.0 许可。第三方材料保留其自身许可:NIST 内容属于公有领域,CIS 标题采用 CC BY-NC-ND,而 ISO、PCI 和 AICPA 的文本未被复制。

为什么并非所有框架对照映射都是开放的?

部分框架所有者对其标准和映射采取商业授权,许多厂商也把对照映射视为产品差异化的手段。

我可以在商业产品中使用 ControlMapping 的数据吗?

ControlMapping 自有的工作成果采用 CC BY 4.0 许可,允许在注明出处的前提下用于商业用途。第三方材料保留其自身许可;例如,CIS 安全措施标题采用 CC BY-NC-ND 许可。