Metodologia
A ControlMapping agrupa os requisitos de segurança em 50 tópicos (Criptografia, Autenticação Multifator, Resposta a Incidentes, …) e mostra qual requisito de cada framework cobre cada tópico. Esta página explica a origem de cada mapeamento, para que você possa avaliar até que ponto confiar nele.
Como ler os glifos
Os mesmos cinco glifos têm o mesmo significado em todas as páginas. Cada um traz um rótulo; a cor é apenas um reforço.
- Definição de tópico: resultados do NIST CSF 2.0 que definem o tópico.
- Correspondência: uma correspondência publicada (NIST, ENISA, CIS, PCI SSC) estabelece o vínculo.
- Editorial: julgamento editorial da ControlMapping quando não existe correspondência; o motivo é exibido.
- : compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento.
- Sem mapeamento em nossos dados: nada mapeado em nossos dados; frequentemente trata-se de trabalho novo, mas verifique as notas de cobertura.
Um mapeamento é Correspondência ou Editorial: os dois requisitos são reunidos com curadoria no mesmo tópico, ou vinculados diretamente. Somente os mapeamentos contam como cobertura, na ferramenta de análise de lacunas, nas comparações e nas contagens. é uma pista a verificar, nunca cobertura.
Sem mapeamento em nossos dados significa que nada está mapeado em nossos dados. Para a maioria dos frameworks, isso provavelmente representa trabalho novo, mas a cobertura é desigual: CIS v8.1: a maioria dos vínculos com o CIS é editorial; a correspondência publicada pelo CIS cobre 49 de 153 salvaguardas; SOC 2: os vínculos com o SOC 2 são apenas editoriais; GDPR: somente os artigos de segurança do GDPR estão mapeados, de forma editorial; Essential Eight: os vínculos com o Essential Eight são apenas editoriais; DORA: os vínculos com o DORA são editoriais, e seus padrões técnicos não estão mapeados; CPS 234: o CPS 234 é baseado em princípios e seus vínculos são editoriais; Cyber Essentials: o Cyber Essentials cobre apenas cinco controles técnicos. Trate a ausência de mapeamento nesses casos como "ainda não mapeado" e verifique antes de orçar.
1. O NIST CSF 2.0 é o centro
Cada tópico é definido por uma ou mais subcategorias do NIST Cybersecurity Framework 2.0 (por exemplo, Criptografia = PR.DS-01 dados em repouso e PR.DS-02 dados em trânsito). A escolha dessas subcategorias é uma decisão editorial nossa, e isso é exibido em todas as páginas de tópico.
2. Correspondência versus editorial
Para todos os demais frameworks, cada requisito listado em um tópico é verificado em relação às correspondências publicadas no catálogo Online Informative References (OLIR) do NIST:
- Correspondência: uma correspondência publicada vincula esse requisito a uma das subcategorias CSF do tópico, diretamente ou por meio de um controle SP 800-53 que também esteja vinculado. O vínculo é exibido, por exemplo, "Correspondência: PR.DS-01" ou "Mapa NIST HIPAA: SC-13".
- Editorial: nenhuma correspondência publicada estabelece o vínculo, mas consideramos que ele é relevante, e o motivo é exibido. Todos os mapeamentos de GDPR, SOC 2 e Essential Eight são editoriais: não existe correspondência com licença aberta para eles.
As correspondências diferem em autoridade. As elaboradas pelo NIST ou pelo proprietário do framework (CIS para os CIS Controls) são as mais fortes. A correspondência do PCI DSS é própria do PCI SSC. As correspondências do ISO 27001 com o CSF 2.0 foram enviadas por partes independentes, e o NIST não verifica a exatidão de envios que não sejam dele. Os vínculos com a ISO também são conferidos com o próprio mapeamento do NIST entre 800-53 e ISO 27001. A tabela abaixo identifica cada fonte.
Vínculos por meio de famílias inteiras de controles 800-53 (os dados mais antigos do NIST vinculam algumas subcategorias a todas as famílias) não são considerados evidência. Um vínculo de CMMC, HIPAA ou ISO que passe por um controle SP 800-53 só conta se esse controle 800-53 também estiver vinculado por correspondência ao tópico.
Dos 968 mapeamentos de requisitos fora do CSF 2.0, 475 são respaldados por uma correspondência e 493 são editoriais.
3. Relações entre requisitos
As páginas de requisitos, as comparações, a ferramenta de análise de lacunas e os downloads relacionam requisitos entre frameworks. Dois requisitos são mapeados quando:
- ambos são escolhidos no mesmo tópico da ControlMapping (com curadoria e validação, conforme descrito acima). O vínculo é Correspondência quando ambas as escolhas são respaldadas por correspondência nesse tópico, e Editorial caso contrário; ou
- um mapeamento par a par os vincula diretamente: a tabela da ENISA entre NIS2 e ISO 27001, a correspondência do NIST entre HIPAA e SP 800-53, o mapeamento do NIST entre SP 800-53 e ISO 27001 ou, para o CMMC, as referências do NIST no Apêndice D do SP 800-171r2 e no SP 800-171r3 para SP 800-53 (todas Correspondência). Onde não existe correspondência, um pequeno conjunto de pares editoriais da ControlMapping (por exemplo, SOC 2 CC4.1 ↔ ISO 27001 Cláusula 9.2) preenche lacunas óbvias; cada um traz seu motivo (Editorial).
Caso contrário, dois requisitos vinculados à mesma subcategoria do NIST CSF 2.0 são exibidos como : tratam de resultados relacionados, mas um não satisfaz o outro. Essas pistas são ordenadas (primeiro as respaldadas por correspondência, depois pelos resultados compartilhados), limitadas a 8 por framework nas páginas de requisitos e mantidas recolhidas. Dois tipos de vínculo são descartados como ruído: vínculos compartilhados apenas por meio dos resultados genéricos de melhoria do CSF (ID.IM) e os controles "-1" de políticas e procedimentos do SP 800-53, a menos que o resultado compartilhado seja de política (GV.PO).
As práticas do CMMC chegam ao CSF 2.0 por meio de seu equivalente no SP 800-171 Rev 3 ou pelos controles 800-53 do Apêndice D, e os requisitos do HIPAA pela correspondência do NIST entre HIPAA e SP 800-53. Os downloads incluem todos os vínculos de requisito com o CSF 2.0, para que você possa verificar ou ampliar o trabalho.
4. Todos os IDs são validados
A compilação falha se algum ID de requisito não existir no catálogo do framework ou tiver sido retirado (por exemplo, IDs do CSF 1.1, como ID.BE-01, que foram retirados no CSF 2.0).
5. Fontes e versões
| Framework | Catálogo de requisitos | Correspondência utilizada | Mapeamentos (correspondência) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Exportação do CSF 2.0 pelo NIST CPRT (incl. subcategorias 1.1 retiradas) | O centro: cada tópico é definido por subcategorias do CSF 2.0 | — |
| ISO/IEC 27001:2022 | Números dos controles do Anexo A e das cláusulas, com títulos curtos (o texto da norma é de direitos autorais da ISO) | ISO/IEC 27001:2022 para o CSF 2.0 (OLIR, envios independentes) e o próprio mapeamento do NIST entre SP 800-53 Rev 5 e ISO/IEC 27001:2022 | 105 (99) |
| CIS Controls v8.1 | Salvaguardas do CIS Controls v8.1 com os títulos do CIS (CC BY-NC-ND 4.0) | Mapeamento próprio do CIS, do CIS Controls v8.1 para o CSF 2.0, no OLIR, que cobre 49 de 153 salvaguardas; as demais são editoriais | 163 (40) |
| SOC 2 (Trust Services Criteria) | IDs dos Trust Services Criteria de 2017 (pontos de foco revisados de 2022) com resumos de uma linha próprios da ControlMapping; o texto dos critérios é de direitos autorais do AICPA | O AICPA publica mapeamentos dos TSC (por exemplo, para NIST 800-53 e ISO 27001), mas não sob licença aberta; por isso, todos os mapeamentos SOC 2 aqui são editoriais da ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Numeração de requisitos do PCI DSS v4.0.1 (verificada em relação à correspondência) com resumos de uma linha próprios da ControlMapping; o texto dos requisitos é de direitos autorais do PCI SSC | Mapeamento próprio do PCI SSC, do PCI DSS v4.0.1 para o CSF 2.0 (Board of Advisors), publicado nas referências informativas do CSF 2.0 do NIST | 95 (70) |
| CMMC Level 2 | Exportação do SP 800-171 Rev 2 pelo NIST CPRT (as 110 práticas do CMMC Level 2) com os nomes das práticas do CMMC Level 2 do DoD | Apêndice D do NIST SP 800-171 Rev 2 (→ SP 800-53, IDs da Rev 4 levados para a Rev 5), mais referências do SP 800-171 Rev 3 → SP 800-53 e do CSF 2.0 → 800-171r3 por meio do requisito correspondente da Rev 3 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Catálogo OSCAL do NIST, SP 800-53 Rev 5.2.0 (incl. controles retirados) | Referências informativas do NIST CSF 2.0 (800-53 Rev 5.2.0 e 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): padrões da Security Rule e especificações de implementação. Os IDs seguem a forma do NIST, que omite o (1) final do CFR nos padrões: §164.310(a) aqui é §164.310(a)(1) | Correspondência do NIST entre a HIPAA Security Rule e o SP 800-53 Rev 5.1.1 (OLIR), por meio dos controles 800-53 do tópico respaldados por correspondência | 47 (36) |
| GDPR | Artigos do GDPR que contêm obrigações de segurança (Arts. 5, 24–25, 28–30, 32–35, 37–39) | Não existe (o GDPR é uma lei de privacidade), por isso todos os mapeamentos GDPR são editoriais | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | Os 49 pontos de requisito do Anexo do Regulamento de Execução (UE) 2024/2690 da Comissão, com os títulos da ENISA | Tabela oficial de mapeamento da ENISA (v1.2) de cada ponto para o NIST CSF 2.0 e a ISO/IEC 27001:2022; normalizada (por exemplo, IDs retirados do CSF 1.1 migrados pelos dados do NIST), e vínculos genéricos de melhoria ID.IM usados somente quando nada mais está mapeado | 65 (64) |
| ASD Essential Eight | Os 126 controles do Information Security Manual que a ASD associa aos níveis de maturidade do Essential Eight (ISM setembro de 2026, CC BY 4.0), agrupados pelas oito estratégias da ASD | Nenhuma: a ASD não publica correspondência do Essential Eight/ISM com o NIST ou a ISO; por isso, os vínculos estratégia → CSF 2.0 e os mapeamentos de tópicos são editoriais da ControlMapping. A atribuição de controles às estratégias segue o Essential Eight Maturity Model da ASD | 62 (0) |
| DORA (Regulation (EU) 2022/2554) | Regulamento (UE) 2022/2554 conforme publicado no Jornal Oficial (Serviço das Publicações): os 22 artigos que vinculam as entidades financeiras, com o texto de seus parágrafos e pontos | Não existe, por isso todos os mapeamentos DORA são editoriais, feitos no nível de parágrafo ou ponto, com um motivo para cada um | 93 (0) |
| APRA CPS 234 Information Security | Norma Prudencial CPS 234 da APRA conforme registrada no Federal Register of Legislation (F2018L01745, CC BY 4.0): parágrafos operativos 13 a 36, com os títulos curtos da ControlMapping | Não existe, por isso todos os mapeamentos CPS 234 são editoriais | 35 (0) |
| UK Cyber Essentials (NCSC) | NCSC Cyber Essentials Requirements for IT Infrastructure v3.3 (abril de 2026): os cinco temas de controles técnicos (direitos da Coroa: apenas os nomes) | Não existe, por isso todos os mapeamentos Cyber Essentials são editoriais, cada um indicando o requisito específico | 11 (0) |
Dados de origem obtidos em 2026-10-16; mapeamentos gerados em 2026-10-27.
6. Lacunas conhecidas
- A correspondência do PCI SSC com o CSF omite alguns requisitos essenciais, incluindo os requisitos de MFA (8.4.x) e a maioria dos controles de segurança de rede do Requisito 1. Quando incluímos esses itens, eles são marcados como editoriais.
- A correspondência OLIR do CIS cobre apenas 49 dos 153 safeguards do CIS v8.1; por isso, muitos mapeamentos CIS são editoriais. O CIS publica um mapeamento mais completo atrás de um formulário de download, que não foi incorporado.
- A correspondência do NIST para HIPAA mapeia para o SP 800-53; por isso, um requisito HIPAA só é considerado respaldado por correspondência quando chega a um dos controles 800-53 vinculados por correspondência ao tópico.
- O CMMC Level 2 corresponde ao SP 800-171 Rev 2. Seus vínculos oficiais vêm do próprio Apêndice D da Rev 2 (que cita controles SP 800-53 Rev 4; sete retirados na Rev 5 seguem os vínculos "incorporated into" do NIST, e o SC-19 para VoIP não tem sucessor) e do requisito correspondente da Rev 3. A Rev 3 reescreveu alguns requisitos; portanto, um vínculo com a Rev 3 é evidência do mesmo tópico, não de redação idêntica.
- Alguns tópicos não têm requisito equivalente em um framework. Por exemplo, o CMMC Level 2 não tem prática de planejamento de recuperação, e o CIS v8.1 não tem salvaguarda de governança. Essas lacunas são reais, não omissões.
7. Não é aconselhamento de conformidade
As correspondências mostram onde os frameworks tratam de resultados semelhantes. Elas não provam que atender a um requisito satisfaz outro. Confirme com o texto oficial de cada framework e com seu avaliador ou auditor.