[GW Question 8] Fare una categorizzazione esaustiva di tutti questi framework (cerco di usare il termine più generico possibile) è effettivamente difficile, e comunque le sovrapposizioni ci saranno sempre: tutti questi framework infatti sono nati per rispondere a esigenze diverse, in ambiti diversi e con idee e punti di vista diversi. Semplificando un po', il risultato è che dicono tutti un po' le stesse cose, ma lo dicono in modo diverso: che tu segua Cobit, ISO o NIST, la password deve sempre essere lunga e complessa, e meglio sarebbe utilizzare una autenticazione a due fattori.
Quello che cambia, come hai notato tu, è la finalità per cui sono nati questi framework: analizzare i rischi piuttosto che organizzare le funzioni aziendali piuttosto che definire un insieme di processi dimostrabili.
In linea generale, però, tutti questi framework (quelli citati nella slide in particolare) propongono una serie di controlli, più o meno dettagliati, che permettono di raggiungere gli obiettivi del framework stesso. I controlli si assomigliano un po' tutti, le differenze sono nei dettagli, nella selezione (es. ISO 27001 non approfondisce BC/DR, che stanno in un'altra norma ISO, mentre NIST la include), nel campo di applicazione (es. CSA STAR è specifico per il cloud) etc. In questo elenco stona un po' ITIL, che definisce dei processi, non proprio dei controlli, ma sono comunque dei processi la cui esistenza in altri framework diventa un controllo (es. incident management, change management, ...).
E comunque, il bello degli standard è che ce ne sono così tanti che puoi scegliere quello che più ti piace...
