Общее ядро: требования безопасности, общие для всех стандартов
Если сопоставить одиннадцать стандартов безопасности друг с другом, в каждом из них обнаруживается небольшое общее ядро. Если вы начинаете программу или одновременно работаете с несколькими стандартами, с этого ядра и стоит начать.
В этом материале рассматриваются 11 фреймворков, которые ControlMapping сопоставил на момент написания. С тех пор DORA, CPS 234, Cyber Essentials были добавлены 2026-10-27; их страницы и матрица покрытия уже включают их.
Организации редко подчиняются только одному стандарту безопасности. Компания-разработчик ПО продаёт американским клиентам, которым нужен отчёт SOC 2, и европейским, которым нужен ISO 27001; платёжный провайдер добавляет PCI DSS; цифровой провайдер ЕС теперь подпадает под NIS2. Каждый стандарт приходит со своей структурой, нумерацией и терминологией, и легко прийти к выводу, что для каждого из них нужна отдельная программа.
Это не так. Под различиями в нумерации скрывается большая общая часть, и небольшая её часть общая для всех стандартов, которые мы сопоставляем. Мы искали темы, которым соответствует сопоставленное требование во всех одиннадцати: NIST CSF 2.0, NIST SP 800-53, ISO 27001, CIS Controls, SOC 2, PCI DSS, CMMC Level 2, Правило безопасности HIPAA, GDPR, NIS2 и Essential Eight от ASD.
Пять тем, общих для всех стандартов
У 5 из 50 тем есть сопоставленное требование во всех фреймворках 11. На странице каждой темы перечислены идентификаторы требований каждого фреймворка и доказательства для каждой связи.
Это и есть общее ядро: управление активами, управление уязвимостями, резервное копирование и восстановление, реагирование на инциденты и уведомление об инцидентах. У каждого из одиннадцати стандартов есть как минимум одно требование по каждой из этих тем, даже у GDPR, который является законом о конфиденциальности, и у Essential Eight, представляющего собой короткий перечень технических мер снижения рисков.
Список намеренно короткий. Многие другие темы, например контроль доступа, журналирование и шифрование, охвачены десятью из одиннадцати стандартов, а большинство стандартов имеют гораздо больше общих тем, чем пять. Но эти пять тем — единственные, которые не пропускает ни один стандарт.
Почему именно эти пять
Они повторяют жизненный цикл инцидента. Нельзя защитить то, о существовании чего вы не знаете (управление активами). Большинство атак по-прежнему использует известные слабости (управление уязвимостями). Когда что-то идёт не так, нужно восстановить системы и данные (резервное копирование и восстановление), справиться с инцидентом (реагирование на инциденты) и сообщить тем, кому нужно знать: руководству, клиентам, регуляторам (уведомление об инцидентах).
Стандарты расходятся почти во всём остальном: считать ли управление системой менеджмента или набором результатов, насколько предписывающими должны быть технические меры, как часто что-то должно происходить. По этим пяти темам они сходятся, потому что без них остальное не работает.
Одна тема, разная глубина
Общая тема не означает одинакового требования. Возьмём управление уязвимостями:
| Стандарт | Управление уязвимостями | Связь |
|---|---|---|
| NIST CSF 2.0 | ID.RA-01ID.RA-08 | Определение темы |
| ISO 27001 | A.8.8 | Соответствия |
| CIS v8.1 | CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5 | Соответствия |
| SOC 2 | CC7.1 | Редакционные материалы |
| PCI DSS | 6.3.111.3.111.3.2 | Соответствия |
| CMMC | RA.L2-3.11.2RA.L2-3.11.3 | Соответствия |
| 800-53 | RA-5CA-8 | Соответствия |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Соответствия |
| GDPR | Art.32(1)(d) | Редакционные материалы |
| NIS2 | 6.56.10 | Соответствия |
| Essential Eight | ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702 | Редакционные материалы |
Полные подробности и обоснование каждой связи: Управление уязвимостями по фреймворкам →
Требование A.8.8 ISO 27001 предписывает получать информацию о технических уязвимостях, оценивать свою подверженность угрозам и принимать соответствующие меры, а сроки оставляет на усмотрение вашей оценки рисков. PCI DSS требует внутреннего сканирования каждые три месяца и после значимых изменений (11.3.1), внешнего сканирования силами Approved Scanning Vendor (11.3.2), а также установки критических и высокоприоритетных обновлений в течение месяца с момента выпуска (6.3.3). Essential Eight устанавливает сроки установки обновлений, которые ужесточаются на каждом уровне зрелости. HIPAA затрагивает эту тему через требования к анализу рисков и управлению рисками, а не через отдельное требование о уязвимостях.
Таким образом, общее ядро показывает, что ожидает от вас каждый стандарт, но не насколько. Создавая меру контроля, проектируйте её под самый строгий из стандартов, которым вы подчиняетесь, и остальные, как правило, будут выполнены автоматически.
Как это выглядит на практике
- Управление активами: единый реестр аппаратного обеспечения, программного обеспечения, облачных сервисов и хранилищ данных с указанием владельцев, который поддерживается в актуальном состоянии инструментами обнаружения, а не только таблицами.
- Управление уязвимостями: плановое сканирование (внутреннее и внешнее), оценка степени критичности, сроки устранения в зависимости от критичности и подтверждение того, что сроки соблюдаются.
- Резервное копирование и восстановление: резервные копии данных, программного обеспечения и конфигураций, защищённые от изменения и удаления, с плановым тестированием восстановления.
- Реагирование на инциденты: письменный план с распределением ролей, уровнями серьёзности и эскалацией, который отрабатывается не реже одного раза в год.
- Уведомление об инцидентах: процедура, определяющая, кто, в какой срок и кем должен быть уведомлён: внутреннее руководство, клиенты по договору и регуляторы (например, предварительное предупреждение NIS2 в течение 24 часов или уведомление надзорного органа по GDPR в течение 72 часов).
Почему это общее ядро важно
Если вы начинаете программу информационной безопасности, сначала внедрите эти пять тем. Это требования, с которыми вы столкнётесь в любом стандарте, который можете принять позже, поэтому работа никогда не пропадёт зря.
Если вы уже работаете с несколькими стандартами, используйте ядро как основу общего набора мер: по одной мере на каждую из этих тем, сопоставленную со всеми стандартами, которым вы подчиняетесь, с однократным сбором доказательств. Та же идея распространяется на темы, общие для десяти, девяти или восьми стандартов. В нашей матрице покрытия все пятьдесят тем показаны относительно всех одиннадцати стандартов, а анализ разрывов показывает, требование за требованием, что переносится между любыми двумя стандартами.
Как мы это измеряли
Каждая тема в ControlMapping определяется результатами NIST CSF 2.0 и перечисляет требование каждого стандарта, которое её охватывает. Связь помечается как «Соответствия», когда её подтверждает опубликованное соответствие (от NIST, ENISA, CIS или PCI SSC), и как «Редакционные материалы», когда она основана на нашем суждении; причина указывается. Связи для SOC 2, GDPR и Essential Eight всегда имеют статус «Редакционные материалы», поскольку для них не существует соответствий с открытой лицензией. Полное описание методики находится на странице методологии, а все приведённые выше цифры взяты из актуальных данных и обновляются при изменении сопоставлений.
Вопросы
Какие меры безопасности требуются всеми стандартами?
В данных ControlMapping пять тем имеют сопоставленное требование во всех 11 стандартах: управление активами, управление уязвимостями, резервное копирование и восстановление, реагирование на инциденты и уведомление об инцидентах. Точная формулировка и глубина различаются в зависимости от стандарта.
Выполнение версии одного стандарта автоматически закрывает требования других?
Не автоматически. Сопоставление означает, что требования относятся к одной теме; одно из них может быть гораздо конкретнее (PCI DSS и Essential Eight устанавливают сроки и периодичность, которые ISO 27001 оставляет на ваше усмотрение). Проверяйте текст каждого стандарта.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.