Oltre le mappature incrociate nei fogli di calcolo

Le organizzazioni raramente operano nell’ambito di un unico quadro di sicurezza informatica.

Un fornitore SaaS potrebbe aver bisogno della ISO 27001 per il suo sistema di gestione della sicurezza delle informazioni, della SOC 2 per soddisfare le aspettative dei clienti, del GDPR per gli obblighi sulla privacy e della NIS2 a causa del suo settore o della sua base di clienti. Un fornitore della difesa potrebbe dover considerare allo stesso tempo NIST SP 800-171, CMMC, requisiti contrattuali e i controlli esistenti basati su ISO.

Il problema è che questi quadri non sono completamente indipendenti. Chiedono spesso alle organizzazioni di svolgere attività simili utilizzando terminologia, strutture e livelli di dettaglio diversi.

È qui che la mappatura incrociata dei framework diventa preziosa.

Tuttavia, identificare requisiti simili è solo l’inizio. Per rendere la mappatura incrociata affidabile, riutilizzabile e adatta all’automazione, le organizzazioni devono anche sapere da dove proviene una relazione, quanto è forte, a quali versioni del framework si applica e dove rimangono lacune importanti.

Due iniziative del NIST sono particolarmente rilevanti per questa sfida: la Programma nazionale di riferimenti informativi online, meglio conosciuto come OLIR, e il Modello di mappatura del controllo OSCAL.

Affrontano parti diverse dello stesso problema.

Perché la conformità multi-framework crea lavoro non necessario

I programmi di conformità tradizionali sono spesso organizzati attorno a quadri individuali.

Un foglio di calcolo contiene i controlli ISO 27001. Un altro tiene traccia dei requisiti NIS2. Un terzo viene mantenuto per un questionario cliente o per un imminente audit SOC 2. Evidenze, policy, descrizioni dei controlli e note di implementazione vengono copiate tra loro.

Ciò rende facile trattare ogni nuovo framework come un programma di conformità completamente nuovo.

Mappatura incrociata identifica requisiti comuni o sovrapposti in modo che i controlli e le prove esistenti, come politiche, registri, schermate e procedure, possano essere riutilizzati ove appropriato. I vantaggi pratici vanno oltre la riduzione del lavoro duplicato. La mappatura incrociata può anche migliorare la preparazione dell’audit, il reporting, la visibilità del rischio e la capacità di rispondere ai cambiamenti normativi.

Il risultato più prezioso spesso non è la sovrapposizione stessa, ma il delta.

Un processo di risposta agli incidenti può supportare i requisiti ISO 27001, SOC 2 e NIS2. Ciò non significa che i requisiti siano identici. Un quadro può richiedere scadenze specifiche per la rendicontazione, un altro può concentrarsi sulle responsabilità di governance e un altro ancora può aspettarsi prove particolari durante un audit.

Una mappatura utile deve quindi rispondere a due domande:

1. Cosa può essere riutilizzato?
2. Cosa manca ancora?

Questa distinzione separa una mappatura incrociata affidabile da una semplice tabella di controlli apparentemente equivalenti.

Cos'è l'OLIR?

OLIR sta per Online Informative Reference e fa parte del Programma nazionale di riferimenti informativi online del NIST.

Il programma consente agli esperti in materia di descrivere le relazioni tra elementi dei propri standard, quadri di riferimento, prodotti o linee guida ed elementi dei documenti NIST supportati. Questi documenti NIST sono definiti documenti focali e possono includere pubblicazioni come il NIST Cybersecurity Framework, NIST SP 800-53 o il NIST IA Risk Management Framework.

Un OLIR potrebbe, ad esempio, collegare un requisito da un quadro di settore a una sottocategoria NIST CSF 2.0.

OLIR offre più di una struttura di foglio di calcolo. Fornisce:

• Un approccio standardizzato per esprimere asserzioni di mappatura
• Modelli per i documenti focali NIST supportati
• Metadati sull'organizzazione richiedente e sui documenti mappati
• Un catalogo pubblico centralizzato
• Stati di pubblicazione bozza e definitiva
• Un processo di revisione pubblica
• Informazioni sul fatto che la mappatura sia stata creata dal proprietario di un documento o da una terza parte

Il NIST distingue tra tre stili di mappatura OLIR: mappature concettuali, mappature di relazioni basate sulla teoria degli insiemi e mappature di relazioni di supporto.

Per i passaggi incrociati di conformità dettagliati, le mappature della teoria degli insiemi sono particolarmente interessanti. Invece di limitarsi a dire che due requisiti sono correlati, possono descrivere se uno è uguale a, un sottoinsieme, un soprainsieme o si interseca parzialmente con un altro.

OLIR fornisce quindi due cose che mancano a molti progetti di mappatura interna: contenuto di mappatura rilevabile e una struttura di governance attorno a quel contenuto.

Cos'è il modello di mappatura del controllo OSCAL?

OSCAL, l'Open Security Controls Assessment Language, fornisce modelli leggibili dalla macchina per rappresentare cataloghi di controlli, profili, piani di sicurezza del sistema, piani di valutazione, risultati di valutazione e relative informazioni di conformità.

Il modello di mappatura dei controlli OSCAL estende tale ecosistema fornendo una rappresentazione strutturata delle relazioni tra controlli ed elementi di controllo provenienti da diverse fonti documentali.

A differenza di una mappatura incrociata narrativa, il modello è progettato per essere elaborato dal software. Può essere rappresentato in JSON, YAML o XML e mappare controlli o singole dichiarazioni di controllo da cataloghi e profili OSCAL.

I suoi tipi di relazione includono:

• equal-to
• equivalent-to
• subset-of
• superset-of
• intersects-with
• no-relationship

Il modello può anche descrivere se una mappatura era basata su somiglianza sintattica, significato semantico o risultato funzionale.

Ciò è importante perché due requisiti possono sembrare simili pur producendo risultati operativi diversi. Al contrario, i requisiti che utilizzano un linguaggio completamente diverso possono comunque svolgere quasi la stessa funzione di sicurezza.

Il modello può inoltre registrare provenienza, parti responsabili, stato, affidabilità, copertura, lacune e se la mappatura è stata prodotta manualmente, automaticamente o tramite un processo ibrido. È quindi adatto non solo a visualizzare mappature incrociate, ma anche all’analisi automatizzata delle lacune, all’analisi dell’impatto delle modifiche, alla convalida e al riutilizzo nei flussi di lavoro di conformità.

OLIR e OSCAL non sono approcci concorrenti

È forte la tentazione di chiedersi se un'organizzazione debba utilizzare OLIR o il modello di mappatura dei controlli OSCAL.

In pratica risolvono diversi problemi.

OLIR è principalmente un programma, un catalogo, un processo di invio e una fonte di asserzioni di mappatura. Aiuta le organizzazioni a trovare e pubblicare mappature che coinvolgono i documenti focali del NIST.

Il modello di mappatura del controllo OSCAL è un modello di dati tecnici. Determina come le relazioni di mappatura possono essere archiviate, scambiate, convalidate ed elaborate all'interno di un sistema.

L'OLIR può indicare a una piattaforma che un esperto o un'organizzazione ha affermato una relazione particolare. OSCAL può rendere tale relazione parte di un sistema di conformità più ampio e computabile.

OSCAL ha anche una portata più generale. Una raccolta di mappature OSCAL può connettere qualsiasi catalogo o profilo OSCAL adatto. Non è limitato alle relazioni che coinvolgono un documento focale del NIST.

Ciò significa che un'organizzazione potrebbe utilizzare OSCAL per rappresentare relazioni dirette come:

• Protezione IT BSI secondo ISO 27001
• NIS2 secondo ISO 27001
• DORA ad una libreria di controllo interno
• Requisiti specifici del cliente ai controlli organizzativi esistenti

Queste mappature non si qualificherebbero necessariamente come presentazioni ufficiali dell'OLIR, ma potrebbero comunque utilizzare concetti di relazione comparabili ed essere archiviate in modo coerente tramite OSCAL.

Come i due possono lavorare insieme

Un'implementazione pratica potrebbe trattare OLIR come una delle numerose fonti di mappatura esterne e OSCAL come la rappresentazione interna canonica.

Mappature OLIR
Mappature BSI o normative
Mappature fornite dagli editori
Mappature create da esperti
Mappature specifiche dei clienti
Suggerimenti di mappatura generati dall’IA
                ↓
      Importazione e normalizzazione
                ↓
   Risoluzione di framework e versioni
                ↓
     Raccolte di mappature OSCAL
                ↓
     Revisione, approvazione e fiducia
                ↓
Analisi delle lacune, riutilizzo delle prove e analisi d’impatto

Quando si importa un OLIR, una piattaforma identifica il documento di riferimento e il documento focale, risolve i relativi identificatori di elemento rispetto ai corrispondenti cataloghi OSCAL e traduce ogni relazione in una voce di mappatura OSCAL.

L'OLIR originale dovrebbe rimanere allegato come provenienza. Gli utenti dovrebbero essere in grado di vedere:

• Chi ha creato la mappatura
• Quali versioni sono state confrontate
• Se l'editore possedeva una delle fonti
• Se la mappatura è bozza o definitiva
• Quale metodo di mappatura è stato utilizzato
• Se è stato rivisto internamente

Ciò rende le mappature tracciabili anziché trattarle come fatti universali.

La mappatura incrociata non dovrebbe diventare un’equivalenza cieca

L'automazione crea il rischio che le organizzazioni inizino a considerare le mappature come prova che un'implementazione soddisfa automaticamente tutti i requisiti correlati.

Questa conclusione è raramente giustificata.

Una mappatura incrociata descrive le relazioni tra i requisiti. Non dimostra automaticamente che un’organizzazione li abbia implementati in modo efficace.

Le prove possono anche essere riutilizzabili senza essere sufficienti. Una policy di backup potrebbe supportare diversi framework, ma un framework potrebbe inoltre richiedere test di ripristino, obiettivi di ripristino definiti, periodi di conservazione specifici o prove di revisione da parte della direzione.

Una mappatura incrociata affidabile richiede quindi:

• Granularità a livello di istruzione ove possibile
• Versioni esplicite del framework
• Tipi di relazione documentati
• Descrizioni delle lacune
• Provenienza
• Livelli di fiducia
• Revisione umana per decisioni consequenziali

Le relazioni derivate richiedono particolare cautela. OLIR può generare mappature di relazioni derivate tra due documenti di riferimento confrontando il modo in cui entrambi si riferiscono a un documento focale condiviso del NIST. Il NIST le descrive come punti di partenza non autoritativi, non come mappature incrociate dirette e verificate.

Possono accelerare l'analisi, ma dovrebbero generare attività di revisione, non dichiarazioni di conformità automatiche.

Dalle mappature incrociate statiche a un’infrastruttura di conformità riutilizzabile

L’argomentazione pratica a favore della mappatura incrociata è convincente: le organizzazioni non dovrebbero creare ripetutamente gli stessi controlli, raccogliere le stesse prove e mantenere programmi di conformità sconnessi per ogni framework. Un repository centralizzato e un’automazione scalabile possono ridurre le duplicazioni e rendere le lacune più visibili.

Il passo successivo consiste nel rendere queste mappature incrociate portabili, versionate e leggibili dalle macchine.

OLIR può fornire conoscenze di mappatura esistenti, governance della pubblicazione e un percorso per contribuire a nuove mappature orientate al NIST. Il modello di mappatura dei controlli OSCAL può trasformare tali relazioni in oggetti strutturati che gli strumenti di conformità possono convalidare, interrogare, estendere e connettere a flussi di lavoro di valutazione più ampi.

In Secani consideriamo OSCAL il fondamento tecnico canonico. L'OLIR non è un modello concorrente, ma una fonte preziosa che può arricchirlo.

L’opportunità a lungo termine è più ampia della semplice dimostrazione della sovrapposizione di due controlli. Si tratta di creare un livello di mappatura affidabile che mostri cosa può essere riutilizzato, cosa rimane scoperto, perché esiste una relazione, chi l'ha approvata e in che modo un aggiornamento del framework influisce sul resto del programma di conformità.

È così che la mappatura incrociata passa da una raccolta di fogli di calcolo a un'infrastruttura di conformità riutilizzabile.