NIST CSF 1.1 ke 2.0: ke mana subkategori yang ditarik dipindahkan
Jika kebijakan, alat, atau kuesioner Anda masih mengacu pada pengenal CSF 1.1 seperti PR.AC-1 atau ID.BE-2, pengenal tersebut menunjuk ke subkategori yang sudah tidak ada. Berikut tujuan masing-masing subkategori tersebut.
NIST menerbitkan CSF 2.0 pada Februari 2024 dengan fungsi baru Tata Kelola dan inti kerangka kerja yang disusun ulang. Banyak subkategori CSF 1.1 tidak bertahan dalam bentuk lamanya: subkategori tersebut dipindahkan ke pengenal baru atau digabungkan ke subkategori yang lebih luas. NIST mencatat tujuan setiap subkategori dalam catatan penarikan pada data CSF 2.0-nya.
Hal ini lebih penting daripada kedengarannya. Kebijakan, daftar risiko, alat GRC, kuesioner vendor, dan banyak sekali spreadsheet masih mengacu pada pengenal CSF 1.1. Pemetaan ke subkategori yang ditarik tidak disadari sebagai kesalahan; itu adalah tautan yang mengarah ke tempat kosong. Itulah sebabnya build ControlMapping gagal untuk ID yang ditarik mana pun.
Tabel lengkap
Setiap subkategori CSF 1.1 yang ditarik NIST pada 2.0, beserta apa yang menurut NIST terjadi padanya:
| CSF 1.1 | Apa yang terjadi di CSF 2.0 (NIST) |
|---|---|
| DE.AE-01 | Diintegrasikan ke dalam ID.AM-03 |
| DE.AE-05 | Dipindahkan ke DE.AE-08 |
| DE.CM-04 | Diintegrasikan ke dalam DE.CM-01, DE.CM-09 |
| DE.CM-05 | Diintegrasikan ke dalam DE.CM-01, DE.CM-09 |
| DE.CM-07 | Diintegrasikan ke dalam DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09 |
| DE.CM-08 | Diintegrasikan ke dalam ID.RA-01 |
| DE.DP-01 | Diintegrasikan ke dalam GV.RR-02 |
| DE.DP-02 | Diintegrasikan ke dalam DE.AE |
| DE.DP-03 | Diintegrasikan ke dalam ID.IM-02 |
| DE.DP-04 | Diintegrasikan ke dalam DE.AE-06 |
| DE.DP-05 | Diintegrasikan ke dalam ID.IM, ID.IM-03 |
| ID.AM-06 | Diintegrasikan ke dalam GV.RR-02, GV.SC-02 |
| ID.BE-01 | Diintegrasikan ke dalam GV.OC-05 |
| ID.BE-02 | Diintegrasikan ke dalam GV.OC-01 |
| ID.BE-03 | Diintegrasikan ke dalam GV.OC-01 |
| ID.BE-04 | Diintegrasikan ke dalam GV.OC-04, GV.OC-05 |
| ID.BE-05 | Diintegrasikan ke dalam GV.OC-04 |
| ID.GV-01 | Diintegrasikan ke dalam GV.PO, GV.PO-01, GV.PO-02 |
| ID.GV-02 | Diintegrasikan ke dalam GV.OC-02, GV.RR, GV.RR-02 |
| ID.GV-03 | Dipindahkan ke GV.OC-03 |
| ID.GV-04 | Dipindahkan ke GV.RM-04 |
| ID.RM-01 | Diintegrasikan ke dalam GV.RM-01, GV.RM-06, GV.RR-03 |
| ID.RM-02 | Diintegrasikan ke dalam GV.RM-02, GV.RM-04 |
| ID.RM-03 | Dipindahkan ke GV.RM-02 |
| ID.SC-01 | Diintegrasikan ke dalam GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10 |
| ID.SC-02 | Diintegrasikan ke dalam GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10 |
| ID.SC-03 | Dipindahkan ke GV.SC-05 |
| ID.SC-04 | Diintegrasikan ke dalam GV.SC-07, ID.RA-10 |
| ID.SC-05 | Diintegrasikan ke dalam GV.SC-08, ID.IM-02 |
| PR.AC-01 | Diintegrasikan ke dalam PR.AA-01, PR.AA-05 |
| PR.AC-02 | Dipindahkan ke PR.AA-06 |
| PR.AC-03 | Diintegrasikan ke dalam PR.AA-03, PR.AA-05, PR.IR-01 |
| PR.AC-04 | Dipindahkan ke PR.AA-05 |
| PR.AC-05 | Diintegrasikan ke dalam PR.IR-01 |
| PR.AC-06 | Dipindahkan ke PR.AA-02 |
| PR.AC-07 | Dipindahkan ke PR.AA-03 |
| PR.AT-03 | Diintegrasikan ke dalam PR.AT-01, PR.AT-02 |
| PR.AT-04 | Diintegrasikan ke dalam PR.AT-02 |
| PR.AT-05 | Diintegrasikan ke dalam PR.AT-02 |
| PR.DS-03 | Diintegrasikan ke dalam ID.AM-08, PR.PS-03 |
| PR.DS-04 | Dipindahkan ke PR.IR-04 |
| PR.DS-05 | Diintegrasikan ke dalam PR.DS-01, PR.DS-02, PR.DS-10 |
| PR.DS-06 | Diintegrasikan ke dalam PR.DS-01, DE.CM-09 |
| PR.DS-07 | Diintegrasikan ke dalam PR.IR-01 |
| PR.DS-08 | Diintegrasikan ke dalam ID.RA-09, DE.CM-09 |
| PR.IP-01 | Diintegrasikan ke dalam PR.PS-01 |
| PR.IP-02 | Diintegrasikan ke dalam ID.AM-08, PR.PS-06 |
| PR.IP-03 | Diintegrasikan ke dalam PR.PS-01, ID.RA-07 |
| PR.IP-04 | Dipindahkan ke PR.DS-11 |
| PR.IP-05 | Dipindahkan ke PR.IR-02 |
| PR.IP-06 | Diintegrasikan ke dalam ID.AM-08 |
| PR.IP-07 | Diintegrasikan ke dalam ID.IM, ID.IM-03 |
| PR.IP-08 | Dipindahkan ke ID.IM-03 |
| PR.IP-09 | Dipindahkan ke ID.IM-04 |
| PR.IP-10 | Diintegrasikan ke dalam ID.IM-02, ID.IM-04 |
| PR.IP-11 | Dipindahkan ke GV.RR-04 |
| PR.IP-12 | Diintegrasikan ke dalam ID.RA-01, PR.PS-02 |
| PR.MA-01 | Diintegrasikan ke dalam ID.AM-08, PR.PS-03 |
| PR.MA-02 | Diintegrasikan ke dalam ID.AM-08, PR.PS-02 |
| PR.PT-01 | Diintegrasikan ke dalam PR.PS-04 |
| PR.PT-02 | Diintegrasikan ke dalam PR.DS-01, PR.PS-01 |
| PR.PT-03 | Diintegrasikan ke dalam PR.PS-01 |
| PR.PT-04 | Diintegrasikan ke dalam PR.AA-06, PR.IR-01 |
| PR.PT-05 | Dipindahkan ke PR.IR-03 |
| RC.CO-01 | Diintegrasikan ke dalam RC.CO-04 |
| RC.CO-02 | Diintegrasikan ke dalam RC.CO-04 |
| RC.IM-01 | Diintegrasikan ke dalam ID.IM-03, ID.IM-04 |
| RC.IM-02 | Diintegrasikan ke dalam ID.IM-03 |
| RS.AN-01 | Diintegrasikan ke dalam RS.MA-02 |
| RS.AN-02 | Diintegrasikan ke dalam RS.MA-02, RS.MA-03, RS.MA-04 |
| RS.AN-04 | Dipindahkan ke RS.MA-03 |
| RS.AN-05 | Dipindahkan ke ID.RA-08 |
| RS.CO-01 | Diintegrasikan ke dalam PR.AT-01 |
| RS.CO-04 | Diintegrasikan ke dalam RS.MA-01, RS.MA-04 |
| RS.CO-05 | Diintegrasikan ke dalam RS.CO-03 |
| RS.IM-01 | Diintegrasikan ke dalam ID.IM-03, ID.IM-04 |
| RS.IM-02 | Diintegrasikan ke dalam ID.IM-03 |
| RS.MI-03 | Diintegrasikan ke dalam ID.RA-06 |
| RS.RP-01 | Diintegrasikan ke dalam RS.MA-01 |
Pola utama
- ID.BE (Lingkungan Bisnis) dan ID.GV (Tata Kelola) pindah ke fungsi baru Tata Kelola, menjadi GV.OC (Konteks Organisasi), GV.RR, GV.PO, dan GV.OV.
- ID.SC (Manajemen Risiko Rantai Pasok) menjadi GV.SC, diperluas menjadi sepuluh subkategori.
- PR.AC (Kontrol Akses) menjadi PR.AA (Manajemen Identitas, Autentikasi, dan Kontrol Akses), dengan segregasi jaringan pindah ke PR.IR.
- PR.IP (Proses Perlindungan Informasi) dipecah: hasil konfigurasi dan pemeliharaan pindah ke PR.PS (Keamanan Platform), sedangkan hasil peningkatan pindah ke ID.IM.
- DE.DP (Proses Deteksi) ditarik, dan hasilnya digabungkan ke DE.CM, DE.AE, dan ID.IM.
- Banyak subkategori RS dan RC digabungkan menjadi hasil yang lebih sedikit dan lebih luas di bawah RS.MA, RS.AN, RS.CO, dan RC.RP.
Cara memperbarui pemetaan lama
- Cari dokumen dan alat Anda untuk pengenal CSF, lalu periksa setiap pengenal dengan tabel di atas. Pengenal CSF 1.1 menggunakan satu digit (PR.AC-1); CSF 2.0 menggunakan dua digit (PR.AA-01).
- Ganti tautan “dipindahkan ke” secara langsung. Jika NIST menyatakan subkategori dipindahkan, pengenal baru merupakan penggantian langsung.
- Tinjau tautan “digabungkan ke”. Hasil 2.0 yang lebih luas mungkin mencakup lebih banyak hal daripada kontrol Anda; pastikan pemetaannya masih masuk akal.
- Tambahkan hasil Tata Kelola yang baru. CSF 2.0 memperkenalkan hasil yang tidak memiliki pendahulu di 1.1, terutama dalam manajemen risiko rantai pasok dan pengawasan.
Setiap subkategori CSF 2.0 memiliki halaman di sini beserta pemetaannya ke sepuluh kerangka kerja lain; mulailah dari Halaman kerangka kerja CSF 2.0. Untuk memahami penerapan fungsi Tata Kelola, lihat kerangka kerja mana saja yang mencakupnya. Catatan penarikan di atas berasal dari data CSF 2.0 milik NIST sendiri, melalui Cybersecurity and Privacy Reference Tool; lihat metodologi.
Pertanyaan
Apa yang menggantikan PR.AC dalam NIST CSF 2.0?
Sebagian besar subkategori PR.AC (Access Control) CSF 1.1 dipindahkan ke kategori baru PR.AA (Manajemen Identitas, Autentikasi, dan Kontrol Akses); catatan penarikan NIST memberikan tujuan pasti untuk setiap subkategori.
Apakah saya masih bisa menggunakan CSF 1.1?
Bisa, tetapi versi terbaru NIST adalah 2.0, dan crosswalk serta informative reference baru dipublikasikan untuk 2.0. Memperbarui referensi lama mencegah pemetaan yang diam-diam mengarah ke subkategori yang sudah ditarik.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.