Más allá de los mapeos cruzados en hojas de cálculo
Jonathan BezdekCTO
8 Min. de lectura
Las organizaciones rara vez operan bajo un único marco de ciberseguridad.
Un proveedor de SaaS puede necesitar ISO 27001 para su sistema de gestión de seguridad de la información, SOC 2 para satisfacer las expectativas del cliente, GDPR para obligaciones de privacidad y NIS2 debido a su sector o base de clientes. Es posible que un proveedor de defensa deba considerar NIST SP 800-171, CMMC, los requisitos contractuales y sus controles existentes basados en ISO al mismo tiempo.
El problema es que estos marcos no son completamente independientes. Con frecuencia piden a las organizaciones que realicen actividades similares utilizando terminología, estructuras y niveles de detalle diferentes.
Aquí es donde el mapeo cruzado de marcos se vuelve valioso.
Sin embargo, identificar requisitos similares es sólo el comienzo. Para que el mapeo cruzado sea confiable, reutilizable y adecuado para la automatización, las organizaciones también necesitan saber de dónde surgió una relación, qué tan fuerte es, a qué versiones del marco se aplica y dónde persisten brechas importantes.
Dos iniciativas del NIST son particularmente relevantes para este desafío: la Programa Nacional de Referencias Informativas en Línea, mejor conocido como OLIR, y el Modelo de mapeo de control OSCAL.
Abordan diferentes partes del mismo problema.
Por qué el cumplimiento de múltiples marcos genera trabajo innecesario
Los programas de cumplimiento tradicionales a menudo se organizan en torno a marcos individuales.
Una hoja de cálculo contiene los controles ISO 27001. Otro rastrea los requisitos de NIS2. Un tercero se mantiene para un cuestionario de cliente o una próxima auditoría SOC 2. Entre ellos se copian pruebas, políticas, descripciones de control y notas de implementación.
Esto facilita tratar cada nuevo marco como un programa de cumplimiento completamente nuevo.
Mapeo cruzado identifica requisitos comunes o superpuestos para que los controles y la evidencia existentes, como políticas, registros, capturas de pantalla y procedimientos, puedan reutilizarse cuando corresponda. Los beneficios prácticos van más allá de la reducción del trabajo duplicado. El mapeo cruzado también puede mejorar la preparación de auditorías, la presentación de informes, la visibilidad de los riesgos y la capacidad de responder a los cambios regulatorios.
El resultado más valioso a menudo no es la superposición en sí misma, sino el delta.
Un proceso de respuesta a incidentes puede respaldar los requisitos de ISO 27001, SOC 2 y NIS2. Eso no significa que los requisitos sean idénticos. Un marco puede requerir cronogramas de presentación de informes específicos, otro puede centrarse en las responsabilidades de gobernanza y otro puede esperar evidencia particular durante una auditoría.
Por lo tanto, un mapeo útil debe responder a dos preguntas:
- ¿Qué se puede reutilizar?
- ¿Qué falta todavía?
Esta distinción separa un mapeo cruzado fiable de una simple tabla de controles supuestamente equivalentes.
¿Qué es OLIR?
OLIR significa Referencia Informativa en Línea y es parte del Programa Nacional de Referencias Informativas en Línea del NIST.
El programa permite a los expertos en la materia describir las relaciones entre elementos de sus propios estándares, marcos, productos u orientación y elementos de documentos NIST compatibles. Estos documentos del NIST se denominan documentos focales y pueden incluir publicaciones como el Marco de ciberseguridad del NIST, NIST SP 800-53 o el Marco de gestión de riesgos de IA del NIST.
Un OLIR podría, por ejemplo, conectar un requisito de un marco industrial a una subcategoría NIST CSF 2.0.
OLIR ofrece más que una estructura de hoja de cálculo. Proporciona:
- Un enfoque estandarizado para expresar afirmaciones de mapeo
- Plantillas para documentos focales NIST compatibles
- Metadatos sobre la organización remitente y los documentos mapeados
- Un catálogo público centralizado
- Estados de publicación borrador y final
- Un proceso de revisión pública
- Información sobre si el mapeo fue creado por el propietario de un documento o por un tercero
NIST distingue entre tres estilos de mapeo OLIR: cruces de conceptos, mapeos de relaciones de teoría de conjuntos y mapeos de relaciones de apoyo.
Para los mapeos cruzados de cumplimiento detallados, los mapeos basados en teoría de conjuntos son especialmente interesantes. En lugar de limitarse a indicar que dos requisitos están relacionados, pueden describir si uno es igual, subconjunto, superconjunto o se solapa parcialmente con otro.
Por lo tanto, OLIR proporciona dos cosas de las que carecen muchos proyectos de mapeo interno: contenido de mapeo reconocible y una estructura de gobernanza en torno a ese contenido.
¿Qué es el modelo de mapeo de control OSCAL?
OSCAL, El lenguaje abierto de evaluación de controles de seguridad proporciona modelos legibles por máquina para representar catálogos de control, perfiles, planes de seguridad del sistema, planes de evaluación, resultados de evaluación e información de cumplimiento relacionada.
El modelo de mapeo de controles OSCAL amplía ese ecosistema al proporcionar una representación estructurada de las relaciones entre controles y elementos de control de diferentes fuentes documentales.
A diferencia de un mapeo cruzado narrativo, el modelo está diseñado para ser procesado por software. Puede representarse en JSON, YAML o XML y mapear controles o declaraciones de control individuales de catálogos y perfiles OSCAL.
Sus tipos de relación incluyen:
equal-toequivalent-tosubset-ofsuperset-ofintersects-withno-relationship
El modelo también puede describir si un mapeo se basó en similitud sintáctica, significado semántico o resultado funcional.
Esto es importante porque dos requisitos pueden parecer similares y al mismo tiempo producir resultados operativos diferentes. Por el contrario, los requisitos que utilizan un lenguaje completamente diferente pueden cumplir casi la misma función de seguridad.
Además, el modelo puede capturar la procedencia, las partes responsables, el estado, la confianza, la cobertura, las lagunas y si el mapeo se produjo de forma manual, automática o mediante un proceso híbrido. Esto lo hace adecuado no solo para mostrar mapeos cruzados, sino también para automatizar el análisis de brechas, el análisis del impacto de los cambios, la validación y la reutilización en distintos flujos de trabajo de cumplimiento.
OLIR y OSCAL no son enfoques competitivos
Es tentador preguntar si una organización debería utilizar OLIR o el modelo de mapeo de control OSCAL.
En la práctica, resuelven diferentes problemas.
OLIR es principalmente un programa, catálogo, proceso de envío y fuente de aserciones cartográficas. Ayuda a las organizaciones a encontrar y publicar mapeos que involucran documentos focales del NIST.
El modelo de mapeo de control OSCAL es un modelo de datos técnicos. Determina cómo se pueden almacenar, intercambiar, validar y procesar las relaciones de mapeo dentro de un sistema.
OLIR puede indicarle a una plataforma que un experto u organización ha afirmado una relación particular. OSCAL puede hacer que esa relación forme parte de un sistema de cumplimiento computable más amplio.
OSCAL también tiene un alcance más general. Una colección de mapeo OSCAL puede conectar cualquier catálogo o perfil OSCAL adecuado. No se limita a relaciones que involucran un documento focal del NIST.
Esto significa que una organización podría usar OSCAL para representar relaciones directas como:
- BSI IT-Grundschutz según ISO 27001
- NIS2 a ISO 27001
- DORA a una biblioteca de control interno
- Requisitos específicos del cliente para los controles organizacionales existentes
Estas asignaciones no necesariamente calificarían como envíos oficiales de OLIR, pero aún podrían usar conceptos de relación comparables y almacenarse de manera consistente a través de OSCAL.
Cómo los dos pueden trabajar juntos
Una implementación práctica podría tratar a OLIR como una de varias fuentes de mapeo externas y a OSCAL como la representación interna canónica.
Mapeos OLIR
Mapeos cruzados de BSI o normativos
Mapeos proporcionados por editores
Mapeos creados por expertos
Mapeos específicos de clientes
Sugerencias de mapeo generadas por IA
↓
Importación y normalización
↓
Resolución de marcos y versiones
↓
Colecciones de mapeo OSCAL
↓
Revisión, aprobación y confianza
↓
Análisis de brechas, reutilización de evidencias y análisis de impactoAl importar un OLIR, una plataforma identificaría el documento de referencia y el documento focal, resolvería sus identificadores de elementos con los catálogos OSCAL correspondientes y traduciría cada relación en una entrada de mapeo OSCAL.
El OLIR original debe permanecer adjunto como procedencia. Los usuarios deberían poder ver:
- ¿Quién creó el mapeo?
- ¿Qué versiones se compararon?
- Si el editor era propietario de alguna de las fuentes
- Si el mapeo es borrador o final
- ¿Qué método de mapeo se utilizó?
- Si ha sido revisado internamente
Esto hace que las asignaciones sean rastreables en lugar de tratarlas como hechos universales.
El mapeo cruzado no debería convertirse en una equivalencia ciega
La automatización crea el riesgo de que las organizaciones comiencen a tratar las asignaciones como prueba de que una implementación satisface automáticamente todos los requisitos relacionados.
Esa conclusión rara vez está justificada.
Un mapeo cruzado describe las relaciones entre requisitos. No demuestra automáticamente que una organización haya implementado esos requisitos de forma eficaz.
Las pruebas también pueden ser reutilizables sin ser suficientes. Una política de respaldo podría admitir varios marcos, pero un marco podría requerir además pruebas de restauración, objetivos de recuperación definidos, períodos de retención específicos o evidencia de revisión por parte de la gerencia.
Por lo tanto, un mapeo cruzado confiable requiere:
- Granularidad a nivel de declaración siempre que sea posible
- Versiones de marco explícitas
- Tipos de relaciones documentadas
- Descripciones de brechas
- Procedencia
- Niveles de confianza
- Revisión humana para decisiones consecuentes
Las relaciones derivadas requieren especial cautela. OLIR puede generar mapeos de relaciones derivadas entre dos documentos de referencia comparando cómo se relacionan ambos con un documento focal compartido del NIST. NIST los describe como puntos de partida no autoritativos, no como mapeos cruzados directos verificados.
Pueden acelerar el análisis, pero deberían generar tareas de revisión, no reclamos automáticos de cumplimiento.
De mapeos cruzados estáticos a una infraestructura de cumplimiento reutilizable
El argumento práctico a favor del mapeo cruzado es convincente: las organizaciones no deberían crear repetidamente los mismos controles, reunir la misma evidencia y mantener programas de cumplimiento desconectados para cada marco. Un repositorio centralizado y una automatización escalable pueden reducir la duplicación y hacer que las brechas sean más visibles.
El siguiente paso es hacer que esos mapeos cruzados sean portátiles, versionados y legibles por máquinas.
OLIR puede proporcionar conocimiento cartográfico existente, gobernanza de publicaciones y una ruta para contribuir con nuevos mapeos orientados al NIST. El modelo de mapeo de control de OSCAL puede convertir esas relaciones en objetos estructurados que las herramientas de cumplimiento pueden validar, consultar, ampliar y conectar a flujos de trabajo de evaluación más amplios.
En Secani, vemos a OSCAL como la base técnica canónica. OLIR no es un modelo competidor, sino una fuente valiosa que puede enriquecerlo.
La oportunidad a largo plazo es mayor que mostrar que dos controles se superponen. Se trata de crear una capa de mapeo confiable que muestre qué se puede reutilizar, qué queda sin cubrir, por qué existe una relación, quién la aprobó y cómo una actualización del marco afecta al resto del programa de cumplimiento.
Así es como el mapeo cruzado pasa de una colección de hojas de cálculo a una infraestructura de cumplimiento reutilizable.
Crea flujos de cumplimiento auditables
Secani conecta Scopes, evidencias, tareas y agentes de IA en un espacio de trabajo compartido.
Artículos relacionados
Todos los artículosOSCAL
Contamos todas las restricciones en OSCAL 1.2.2. Los 348 de ellos.
Cada validador de OSCAL pretende validar OSCAL. Enumeramos las 348 apariciones de restricciones en las fuentes del NIST, probamos o excluimos cada una y luego realizamos la comparación con la CLI de Java de verdad.
OSCAL
¿Qué es OSCAL?
OSCAL convierte los documentos de cumplimiento en datos estructurados: ocho modelos de documentos, tres formatos y un ecosistema que se está convirtiendo en el estándar de regulación.
OSCAL
FedRAMP se vuelve legible por máquina
Con RFC-0024 y las Reglas Consolidadas 2026, FedRAMP hace que los datos de autorización estructurados sean obligatorios. Los plazos están escalonados y la dirección es inequívoca.