cm/controlmapping
Русский
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
Источники
Сравнение

NIST CSF 2.0 и SP 800-53: результаты и лежащие в их основе меры контроля

NIST Cybersecurity Framework 2.0  ·  NIST SP 800-53 Rev 5.2  ·  данные на 2026-10-27

По параметру «Paul Gillet» · Обновлено 2026-10-17

NIST CSF 2.0 и SP 800-53 разработаны одной организацией и рассчитаны на совместную работу. CSF 2.0 описывает результаты: 106 подкатегорий, например «пользователи, службы и оборудование аутентифицированы». SP 800-53 — это каталог мер контроля, которые позволяют эти результаты достичь: 20 семейств, улучшения и, в SP 800-53B, базовые профили для систем с низким, умеренным и высоким уровнем воздействия. NIST публикует официальные соответствия между двумя документами; в этом сравнении используются именно они.

При переходе от 800-53 к CSF почти каждый результат оказывается охвачен: организация, применяющая базовый профиль 800-53, выполняет практически весь CSF 2.0. Немногочисленные исключения — результаты в области улучшения (ID.IM), которые требуют извлекать уроки из оценок и тестов, а не внедрять конкретную меру контроля.

При переходе от CSF к 800-53 большая часть каталога не связана ни с одним отдельным результатом CSF. Это ожидаемо: 800-53 гораздо более детализирован, включает меры в области приватности и специфичные для федеральных органов меры, а многие меры косвенно поддерживают результаты. ControlMapping перечисляет только базовые меры контроля; улучшения указываются там, где их использует тема.

Кратко

NIST CSF 2.0800-53
Что это такоеРезультаты (чего необходимо достичь)Меры контроля (как этого достичь)
Объём106 подкатегорийОколо 300 базовых мер контроля плюс улучшения
Обязателен дляПо умолчанию никогоФедеральных систем США (FISMA), FedRAMP
Базовые профилиПрофили, которые определяете выБазовые профили для низкого, умеренного, высокого уровней и для приватности (SP 800-53B)

Основные выводы

  • Используйте CSF для задания направления и отчётности; используйте 800-53, когда нужны конкретные меры контроля, поддающиеся оценке.
  • Федеральные системы США и FedRAMP требуют 800-53; одного CSF там недостаточно.
  • Связи CSF ↔ 800-53, приведённые здесь, принадлежат самому NIST.

Скачать это сравнение (CSV) Открыть в анализе разрывов →

Есть NIST CSF 2.0 → нужен 800-53

300 треб. сопоставлено: 88 · 110 косвенно связано · 102 без сопоставления Открыть в представлении разрывов →

Из 300 требований NIST SP 800-53 Rev 5.2 88 сопоставлены с чем-либо в NIST CSF 2.0, 110 связаны лишь косвенно, а для 102 в наших данных нет сопоставления.

Вероятно, новая работа: требования 800-53 без сопоставления с NIST CSF 2.0 (102)
800-53ТребованиеСовпадениеNIST CSF 2.0Доказательства
AC Access Control · 6
AC-8System Use NotificationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AC-11Device LockНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AC-21Information SharingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AC-22Publicly Accessible ContentНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AC-23Data Mining ProtectionНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AC-25Reference MonitorНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AT Awareness and Training · 2
AT-4Training RecordsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AT-6Training FeedbackНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AU Audit and Accountability · 5
AU-4Audit Log Storage CapacityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AU-5Response to Audit Logging Process FailuresНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AU-8Time StampsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AU-10Non-repudiationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
AU-14Session AuditНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CA Assessment, Authorization and Monitoring · 2
CA-5Plan of Action and MilestonesНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CA-6AuthorizationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CM Configuration Management · 1
CM-14Signed ComponentsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CP Contingency Planning · 4
CP-3Contingency TrainingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CP-11Alternate Communications ProtocolsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CP-12Safe ModeНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
CP-13Alternative Security MechanismsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
IR Incident Response · 1
IR-9Information Spillage ResponseНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MA Maintenance · 3
MA-4Nonlocal MaintenanceНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MA-5Maintenance PersonnelНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MA-7Field MaintenanceНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP Media Protection · 6
MP-2Media AccessНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP-3Media MarkingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP-4Media StorageНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP-5Media TransportНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP-6Media SanitizationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
MP-7Media UseНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PE Physical and Environmental Protection · 4
PE-16Delivery and RemovalНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PE-17Alternate Work SiteНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PE-21Electromagnetic Pulse ProtectionНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PE-22Component MarkingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PL Planning · 5
PL-4Rules of BehaviorНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PL-7Concept of OperationsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PL-9Central ManagementНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PL-10Baseline SelectionНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PL-11Baseline TailoringНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM Program Management · 9
PM-10Authorization ProcessНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-14Testing, Training, and MonitoringНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-17Protecting Controlled Unclassified Information on External SystemsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-20Dissemination of Privacy Program InformationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-21Accounting of DisclosuresНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-25Minimization of Personally Identifiable Information Used in Testing, Training, and ResearchНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-26Complaint ManagementНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-27Privacy ReportingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PM-32PurposingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS Personnel Security · 6
PS-2Position Risk DesignationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS-3Personnel ScreeningНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS-4Personnel TerminationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS-5Personnel TransferНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS-6Access AgreementsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PS-8Personnel SanctionsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT PII Processing and Transparency · 7
PT-2Authority to Process Personally Identifiable InformationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-3Personally Identifiable Information Processing PurposesНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-4ConsentНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-5Privacy NoticeНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-6System of Records NoticeНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-7Specific Categories of Personally Identifiable InformationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
PT-8Computer Matching RequirementsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
RA Risk Assessment · 1
RA-6Technical Surveillance Countermeasures SurveyНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SA System and Services Acquisition · 5
SA-2Allocation of ResourcesНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SA-16Developer-provided TrainingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SA-20Customized Development of Critical ComponentsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SA-21Developer ScreeningНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SA-23SpecializationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC System and Communications Protection · 22
SC-2Separation of System and User FunctionalityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-10Network DisconnectНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-15Collaborative Computing Devices and ApplicationsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-17Public Key Infrastructure CertificatesНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-18Mobile CodeНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-23Session AuthenticityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-25Thin NodesНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-26DecoysНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-27Platform-independent ApplicationsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-29HeterogeneityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-30Concealment and MisdirectionНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-31Covert Channel AnalysisНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-37Out-of-band ChannelsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-38Operations SecurityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-41Port and I/O Device AccessНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-42Sensor Capability and DataНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-44Detonation ChambersНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-45System Time SynchronizationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-46Cross Domain Policy EnforcementНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-47Alternate Communications PathsНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-48Sensor RelocationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SC-50Software-enforced Separation and Policy EnforcementНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI System and Information Integrity · 10
SI-6Security and Privacy Function VerificationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-11Error HandlingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-14Non-persistenceНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-15Information Output FilteringНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-17Fail-safe ProceduresНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-19De-identificationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-20TaintingНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-21Information RefreshНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-22Information DiversityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SI-23Information FragmentationНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SR Supply Chain Risk Management · 3
SR-4ProvenanceНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SR-7Supply Chain Operations SecurityНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
SR-9Tamper Resistance and DetectionНет сопоставления в наших данных—В наших данных нет сопоставления с NIST CSF 2.0.
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (110)
800-53ТребованиеСовпадениеNIST CSF 2.0Доказательства
AC Access Control · 11
AC-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
AC-5Separation of DutiesКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AC-7Unsuccessful Logon AttemptsКосвенно связаноPR.AA-03Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
AC-9Previous Logon NotificationКосвенно связаноDE.CM-09Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление
AC-10Concurrent Session ControlКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AC-12Session TerminationКосвенно связаноPR.AA-03Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
AC-14Permitted Actions Without Identification or AuthenticationКосвенно связаноPR.AA-01Совпадает только CSF PR.AA-01: связь косвенная, это не сопоставление
AC-16Security and Privacy AttributesКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AC-17Remote AccessКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AC-18Wireless AccessКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AC-24Access Control DecisionsКосвенно связаноPR.AA-05Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
AT Awareness and Training · 1
AT-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
AU Audit and Accountability · 3
AU-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
AU-9Protection of Audit InformationКосвенно связаноPR.DS-10Совпадает только CSF PR.DS-10: связь косвенная, это не сопоставление
AU-16Cross-organizational Audit LoggingКосвенно связаноPR.DS-02Совпадает только CSF PR.DS-02: связь косвенная, это не сопоставление
CA Assessment, Authorization and Monitoring · 3
CA-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
CA-3Information ExchangeКосвенно связаноID.AM-03PR.DS-01PR.DS-02+1Совпадает только CSF ID.AM-03, PR.DS-01, PR.DS-02: связь косвенная, это не сопоставление
CA-9Internal System ConnectionsКосвенно связаноID.AM-03Совпадает только CSF ID.AM-03: связь косвенная, это не сопоставление
CM Configuration Management · 9
CM-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
CM-3Configuration Change ControlКосвенно связаноDE.CM-01DE.CM-09ID.RA-07+1Совпадает только CSF DE.CM-01, DE.CM-09, ID.RA-07: связь косвенная, это не сопоставление
CM-4Impact AnalysesКосвенно связаноID.RA-07PR.PS-01Совпадает только CSF ID.RA-07, PR.PS-01: связь косвенная, это не сопоставление
CM-5Access Restrictions for ChangeКосвенно связаноPR.PS-01Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление
CM-9Configuration Management PlanКосвенно связаноID.AM-08PR.PS-01Совпадает только CSF ID.AM-08, PR.PS-01: связь косвенная, это не сопоставление
CM-10Software Usage RestrictionsКосвенно связаноDE.CM-03DE.CM-09PR.PS-01Совпадает только CSF DE.CM-03, DE.CM-09, PR.PS-01: связь косвенная, это не сопоставление
CM-11User-installed SoftwareКосвенно связаноDE.CM-03DE.CM-09PR.PS-01+1Совпадает только CSF DE.CM-03, DE.CM-09, PR.PS-01: связь косвенная, это не сопоставление
CM-12Information LocationКосвенно связаноID.AM-07Совпадает только CSF ID.AM-07: связь косвенная, это не сопоставление
CM-13Data Action MappingКосвенно связаноID.AM-07ID.AM-08Совпадает только CSF ID.AM-07, ID.AM-08: связь косвенная, это не сопоставление
CP Contingency Planning · 3
CP-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
CP-4Contingency Plan TestingКосвенно связаноRC.RP-03Совпадает только CSF RC.RP-03: связь косвенная, это не сопоставление
CP-8Telecommunications ServicesКосвенно связаноPR.IR-04Совпадает только CSF PR.IR-04: связь косвенная, это не сопоставление
IA Identification and Authentication · 11
IA-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
IA-3Device Identification and AuthenticationКосвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-4Identifier ManagementКосвенно связаноPR.AA-01Совпадает только CSF PR.AA-01: связь косвенная, это не сопоставление
IA-5Authenticator ManagementКосвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-6Authentication FeedbackКосвенно связаноPR.AA-01Совпадает только CSF PR.AA-01: связь косвенная, это не сопоставление
IA-7Cryptographic Module AuthenticationКосвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-8Identification and Authentication (Non-organizational Users)Косвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-10Adaptive AuthenticationКосвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-11Re-authenticationКосвенно связаноPR.AA-01PR.AA-03Совпадает только CSF PR.AA-01, PR.AA-03: связь косвенная, это не сопоставление
IA-12Identity ProofingКосвенно связаноPR.AA-02Совпадает только CSF PR.AA-02: связь косвенная, это не сопоставление
IA-13Identity Providers and Authorization ServersКосвенно связаноPR.AA-04PR.AA-05Совпадает только CSF PR.AA-04, PR.AA-05: связь косвенная, это не сопоставление
IR Incident Response · 1
IR-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
MA Maintenance · 4
MA-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
MA-2Controlled MaintenanceКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
MA-3Maintenance ToolsКосвенно связаноPR.PS-02Совпадает только CSF PR.PS-02: связь косвенная, это не сопоставление
MA-6Timely MaintenanceКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
MP Media Protection · 2
MP-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
MP-8Media DowngradingКосвенно связаноPR.DS-01Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление
PE Physical and Environmental Protection · 12
PE-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
PE-4Access Control for TransmissionКосвенно связаноPR.AA-06Совпадает только CSF PR.AA-06: связь косвенная, это не сопоставление
PE-5Access Control for Output DevicesКосвенно связаноPR.AA-06Совпадает только CSF PR.AA-06: связь косвенная, это не сопоставление
PE-9Power Equipment and CablingКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PE-10Emergency ShutoffКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PE-11Emergency PowerКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PE-12Emergency LightingКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PE-15Water Damage ProtectionКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PE-18Location of System ComponentsКосвенно связаноPR.AA-06PR.IR-02Совпадает только CSF PR.AA-06, PR.IR-02: связь косвенная, это не сопоставление
PE-19Information LeakageКосвенно связаноPR.AA-06Совпадает только CSF PR.AA-06: связь косвенная, это не сопоставление
PE-20Asset Monitoring and TrackingКосвенно связаноDE.CM-02PR.AA-06Совпадает только CSF DE.CM-02, PR.AA-06: связь косвенная, это не сопоставление
PE-23Facility LocationКосвенно связаноPR.IR-02Совпадает только CSF PR.IR-02: связь косвенная, это не сопоставление
PL Planning · 2
PL-2System Security and Privacy PlansКосвенно связаноID.AM-03ID.AM-08Совпадает только CSF ID.AM-03, ID.AM-08: связь косвенная, это не сопоставление
PL-8Security and Privacy ArchitecturesКосвенно связаноID.AM-03Совпадает только CSF ID.AM-03: связь косвенная, это не сопоставление
PM Program Management · 10
PM-3Information Security and Privacy ResourcesКосвенно связаноGV.RM-03GV.RR-03PR.IR-04Совпадает только CSF GV.RM-03, GV.RR-03, PR.IR-04: связь косвенная, это не сопоставление
PM-7Enterprise ArchitectureКосвенно связаноID.AM-03Совпадает только CSF ID.AM-03: связь косвенная, это не сопоставление
PM-8Critical Infrastructure PlanКосвенно связаноGV.OC-04RC.RP-04Совпадает только CSF GV.OC-04, RC.RP-04: связь косвенная, это не сопоставление
PM-13Security and Privacy WorkforceКосвенно связаноGV.RR-02GV.RR-04Совпадает только CSF GV.RR-02, GV.RR-04: связь косвенная, это не сопоставление
PM-18Privacy Program PlanКосвенно связаноDE.AE-04GV.OC-02GV.OV-01+4Совпадает только CSF DE.AE-04, GV.OC-02, GV.OV-01: связь косвенная, это не сопоставление
PM-19Privacy Program Leadership RoleКосвенно связаноGV.OV-02GV.RR-01GV.RR-02+1Совпадает только CSF GV.OV-02, GV.RR-01, GV.RR-02: связь косвенная, это не сопоставление
PM-22Personally Identifiable Information Quality ManagementКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
PM-23Data Governance BodyКосвенно связаноGV.RR-01GV.RR-02ID.AM-08Совпадает только CSF GV.RR-01, GV.RR-02, ID.AM-08: связь косвенная, это не сопоставление
PM-24Data Integrity BoardКосвенно связаноGV.RR-01GV.RR-02Совпадает только CSF GV.RR-01, GV.RR-02: связь косвенная, это не сопоставление
PM-31Continuous Monitoring StrategyКосвенно связаноGV.OV-01GV.OV-02GV.SC-03+2Совпадает только CSF GV.OV-01, GV.OV-02, GV.SC-03: связь косвенная, это не сопоставление
PS Personnel Security · 2
PS-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
PS-7External Personnel SecurityКосвенно связаноDE.CM-06GV.RR-04Совпадает только CSF DE.CM-06, GV.RR-04: связь косвенная, это не сопоставление
PT PII Processing and Transparency · 1
PT-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
RA Risk Assessment · 3
RA-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
RA-8Privacy Impact AssessmentsКосвенно связаноID.RA-04Совпадает только CSF ID.RA-04: связь косвенная, это не сопоставление
RA-10Threat HuntingКосвенно связаноDE.AE-06DE.AE-07Совпадает только CSF DE.AE-06, DE.AE-07: связь косвенная, это не сопоставление
SA System and Services Acquisition · 6
SA-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
SA-5System DocumentationКосвенно связаноID.AM-02ID.RA-09Совпадает только CSF ID.AM-02, ID.RA-09: связь косвенная, это не сопоставление
SA-10Developer Configuration ManagementКосвенно связаноID.RA-09PR.PS-02PR.PS-03+1Совпадает только CSF ID.RA-09, PR.PS-02, PR.PS-03: связь косвенная, это не сопоставление
SA-17Developer Security and Privacy Architecture and DesignКосвенно связаноID.RA-09PR.PS-06Совпадает только CSF ID.RA-09, PR.PS-06: связь косвенная, это не сопоставление
SA-22Unsupported System ComponentsКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
SA-24Design For Cyber ResiliencyКосвенно связаноGV.RM-03PR.IR-03PR.PS-06Совпадает только CSF GV.RM-03, PR.IR-03, PR.PS-06: связь косвенная, это не сопоставление
SC System and Communications Protection · 16
SC-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
SC-3Security Function IsolationКосвенно связаноPR.PS-03Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление
SC-4Information in Shared System ResourcesКосвенно связаноPR.DS-01PR.DS-02PR.DS-10+1Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление
SC-6Resource AvailabilityКосвенно связаноPR.IR-03Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление
SC-11Trusted PathКосвенно связаноPR.DS-02PR.DS-10Совпадает только CSF PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление
SC-16Transmission of Security and Privacy AttributesКосвенно связаноPR.DS-02Совпадает только CSF PR.DS-02: связь косвенная, это не сопоставление
SC-24Fail in Known StateКосвенно связаноPR.DS-10PR.IR-03Совпадает только CSF PR.DS-10, PR.IR-03: связь косвенная, это не сопоставление
SC-32System PartitioningКосвенно связаноPR.DS-01PR.DS-10Совпадает только CSF PR.DS-01, PR.DS-10: связь косвенная, это не сопоставление
SC-34Non-modifiable Executable ProgramsКосвенно связаноDE.CM-09PR.PS-05Совпадает только CSF DE.CM-09, PR.PS-05: связь косвенная, это не сопоставление
SC-35External Malicious Code IdentificationКосвенно связаноDE.CM-09Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление
SC-36Distributed Processing and StorageКосвенно связаноPR.IR-03Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление
SC-39Process IsolationКосвенно связаноPR.DS-01PR.DS-10PR.IR-03+1Совпадает только CSF PR.DS-01, PR.DS-10, PR.IR-03: связь косвенная, это не сопоставление
SC-40Wireless Link ProtectionКосвенно связаноPR.DS-02PR.DS-10Совпадает только CSF PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление
SC-43Usage RestrictionsКосвенно связаноPR.DS-01PR.DS-02PR.DS-10Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление
SC-49Hardware-enforced Separation and Policy EnforcementКосвенно связаноPR.PS-03Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление
SC-51Hardware-based ProtectionКосвенно связаноPR.PS-03Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление
SI System and Information Integrity · 5
SI-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
SI-12Information Management and RetentionКосвенно связаноID.AM-07ID.AM-08Совпадает только CSF ID.AM-07, ID.AM-08: связь косвенная, это не сопоставление
SI-13Predictable Failure PreventionКосвенно связаноPR.IR-03Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление
SI-16Memory ProtectionКосвенно связаноPR.DS-10Совпадает только CSF PR.DS-10: связь косвенная, это не сопоставление
SI-18Personally Identifiable Information Quality OperationsКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
SR Supply Chain Risk Management · 5
SR-1Policy and ProceduresКосвенно связаноGV.PO-01GV.PO-02Совпадает только CSF GV.PO-01, GV.PO-02: связь косвенная, это не сопоставление
SR-5Acquisition Strategies, Tools, and MethodsКосвенно связаноGV.OC-02GV.OC-05GV.SC-02+5Совпадает только CSF GV.OC-02, GV.OC-05, GV.SC-02: связь косвенная, это не сопоставление
SR-8Notification AgreementsКосвенно связаноGV.OC-02GV.SC-08RC.CO-03+3Совпадает только CSF GV.OC-02, GV.SC-08, RC.CO-03: связь косвенная, это не сопоставление
SR-10Inspection of Systems or ComponentsКосвенно связаноGV.SC-05ID.RA-09Совпадает только CSF GV.SC-05, ID.RA-09: связь косвенная, это не сопоставление
SR-12Component DisposalКосвенно связаноID.AM-08Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
Сопоставлено (88)
800-53ТребованиеСовпадениеNIST CSF 2.0Доказательства
AC Access Control · 6
AC-2Account ManagementСоответствияPR.AA-01PR.AA-05Та же тема: Контроль доступа
AC-3Access EnforcementСоответствияPR.AA-01PR.AA-03PR.AA-04+2Та же тема: Контроль доступа, Нулевое доверие
AC-4Information Flow EnforcementСоответствияID.AM-03PR.AA-03PR.AA-04+5Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие
AC-6Least PrivilegeСоответствияPR.AA-03PR.AA-04PR.AA-05+1Та же тема: Нулевое доверие
AC-19Access Control for Mobile DevicesСоответствияPR.AA-05PR.PS-01Та же тема: Безопасность мобильных устройств
AC-20Use of External SystemsСоответствияID.AM-04PR.IR-01PR.PS-01Та же тема: Безопасность облачных сред
AT Awareness and Training · 2
AT-2Literacy Training and AwarenessСоответствияPR.AT-01PR.AT-02Та же тема: Осведомлённость и обучение
AT-3Role-based TrainingСоответствияPR.AT-01PR.AT-02Та же тема: Осведомлённость и обучение
AU Audit and Accountability · 7
AU-2Event LoggingСоответствияDE.AE-03PR.PS-04Та же тема: Логирование и аудит
AU-3Content of Audit RecordsСоответствияDE.AE-03PR.PS-04Та же тема: Логирование и аудит
AU-6Audit Record Review, Analysis, and ReportingСоответствияDE.AE-02DE.AE-03DE.AE-04+3Та же тема: Обнаружение аномалий, SIEM / SOC
AU-7Audit Record Reduction and Report GenerationСоответствияRS.AN-03RS.AN-06RS.AN-07Та же тема: Криминалистический анализ
AU-11Audit Record RetentionСоответствияDE.AE-03PR.PS-04Та же тема: Логирование и аудит
AU-12Audit Record GenerationСоответствияDE.AE-03PR.PS-04Та же тема: Логирование и аудит
AU-13Monitoring for Information DisclosureСоответствияDE.CM-03GV.RR-04Та же тема: Внутренние угрозы
CA Assessment, Authorization and Monitoring · 3
CA-2Control AssessmentsРедакционные материалыGV.OC-03GV.OV-03Та же тема: Соответствие требованиям (выбор редакции)
CA-7Continuous MonitoringСоответствияDE.CM-01DE.CM-03DE.CM-09Та же тема: Непрерывный мониторинг
CA-8Penetration TestingСоответствияID.RA-01ID.RA-08Та же тема: Управление уязвимостями
CM Configuration Management · 4
CM-2Baseline ConfigurationСоответствияPR.PS-01Та же тема: Безопасная конфигурация
CM-6Configuration SettingsСоответствияPR.PS-01Та же тема: Безопасная конфигурация
CM-7Least FunctionalityСоответствияPR.PS-01Та же тема: Безопасная конфигурация
CM-8System Component InventoryСоответствияID.AM-01ID.AM-02ID.AM-04+1Та же тема: Управление активами
CP Contingency Planning · 5
CP-2Contingency PlanСоответствияID.IM-04RC.RP-01RC.RP-02Та же тема: Планирование восстановления
CP-6Alternate Storage SiteСоответствияPR.DS-11RC.RP-03Та же тема: Резервное копирование и восстановление
CP-7Alternate Processing SiteРедакционные материалыGV.OC-04PR.IR-03RC.RP-02+2Та же тема: Непрерывность бизнеса, Аварийное восстановление (выбор редакции)
CP-9System BackupСоответствияPR.DS-11RC.RP-03Та же тема: Резервное копирование и восстановление
CP-10System Recovery and ReconstitutionСоответствияID.IM-04PR.IR-03RC.CO-03+4Та же тема: Планирование восстановления, Аварийное восстановление, Коммуникации и восстановление
IA Identification and Authentication · 2
IA-2Identification and Authentication (Organizational Users)СоответствияPR.AA-03PR.AA-04PR.AA-05+1Та же тема: Нулевое доверие
IA-9Service Identification and AuthenticationСоответствияPR.AA-03PR.IR-01PR.PS-06Та же тема: Безопасность API
IR Incident Response · 7
IR-2Incident Response TrainingРедакционные материалыID.IM-04RS.MA-01RS.MA-02+2Та же тема: Реагирование на инциденты (выбор редакции)
IR-3Incident Response TestingРедакционные материалыID.IM-04RS.MA-01RS.MA-02+2Та же тема: Реагирование на инциденты (выбор редакции)
IR-4Incident HandlingСоответствияID.IM-03ID.IM-04RC.RP-06+6Та же тема: Извлечённые уроки, Реагирование на инциденты
IR-5Incident MonitoringСоответствияDE.AE-03DE.AE-06DE.AE-08Та же тема: SIEM / SOC
IR-6Incident ReportingСоответствияRC.CO-03RC.CO-04RC.RP-05+1Та же тема: Коммуникации и восстановление
IR-7Incident Response AssistanceСоответствияRS.CO-03Та же тема: Коммуникация
IR-8Incident Response PlanСоответствияID.IM-04RS.MA-01RS.MA-02+2Та же тема: Реагирование на инциденты
PE Physical and Environmental Protection · 6
PE-2Physical Access AuthorizationsСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PE-3Physical Access ControlСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PE-6Monitoring Physical AccessСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PE-8Visitor Access RecordsСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PE-13Fire ProtectionСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PE-14Environmental ControlsСоответствияDE.CM-02PR.AA-06PR.IR-02Та же тема: Физическая безопасность
PL Planning · 1
PL-1Policy and ProceduresСоответствияGV.PO-01GV.PO-02Та же тема: Политика управления
PM Program Management · 13
PM-1Information Security Program PlanСоответствияGV.PO-01GV.PO-02Та же тема: Политика управления
PM-2Information Security Program Leadership RoleСоответствияGV.RR-01GV.RR-02GV.RR-03Та же тема: Роли и обязанности
PM-4Plan of Action and Milestones ProcessСоответствияGV.OC-03GV.OV-03Та же тема: Соответствие требованиям
PM-5System InventoryСоответствияID.AM-01ID.AM-02ID.AM-04+1Та же тема: Управление активами
PM-6Measures of PerformanceСоответствияGV.OC-03GV.OV-03Та же тема: Соответствие требованиям
PM-9Risk Management StrategyСоответствияGV.RM-01GV.RM-02GV.RM-03+1Та же тема: Управление рисками
PM-11Mission and Business Process DefinitionСоответствияGV.OC-01GV.OC-04GV.OC-05Та же тема: Бизнес-среда
PM-12Insider Threat ProgramРедакционные материалыDE.CM-03GV.RR-04Та же тема: Внутренние угрозы (выбор редакции)
PM-15Security and Privacy Groups and AssociationsСоответствияDE.AE-07ID.RA-02ID.RA-03Та же тема: Разведка угроз
PM-16Threat Awareness ProgramСоответствияDE.AE-07ID.RA-02ID.RA-03Та же тема: Разведка угроз
PM-28Risk FramingСоответствияGV.RM-01GV.RM-02GV.RM-03+1Та же тема: Управление рисками
PM-29Risk Management Program Leadership RolesСоответствияGV.RR-01GV.RR-02GV.RR-03Та же тема: Роли и обязанности
PM-30Supply Chain Risk Management StrategyСоответствияGV.SC-01GV.SC-03GV.SC-05+2Та же тема: Управление рисками цепочки поставок
PS Personnel Security · 1
PS-9Position DescriptionsРедакционные материалыGV.RR-01GV.RR-02GV.RR-03Та же тема: Роли и обязанности (выбор редакции)
RA Risk Assessment · 5
RA-2Security CategorizationСоответствияID.AM-05ID.AM-07Та же тема: Классификация данных
RA-3Risk AssessmentСоответствияID.RA-03ID.RA-04ID.RA-05+1Та же тема: Оценка рисков
RA-5Vulnerability Monitoring and ScanningСоответствияID.RA-01ID.RA-08Та же тема: Управление уязвимостями
RA-7Risk ResponseСоответствияGV.RM-01GV.RM-02GV.RM-03+5Та же тема: Управление рисками
RA-9Criticality AnalysisСоответствияGV.OC-01GV.OC-04GV.OC-05Та же тема: Бизнес-среда
SA System and Services Acquisition · 6
SA-3System Development Life CycleСоответствияPR.PS-06Та же тема: Безопасная разработка
SA-4Acquisition ProcessСоответствияDE.CM-06GV.SC-04GV.SC-06+2Та же тема: Управление рисками поставщиков
SA-8Security and Privacy Engineering PrinciplesСоответствияPR.PS-06Та же тема: Безопасная разработка
SA-9External System ServicesСоответствияDE.CM-06GV.SC-04GV.SC-06+5Та же тема: Управление рисками поставщиков
SA-11Developer Testing and EvaluationСоответствияPR.PS-06Та же тема: Безопасная разработка
SA-15Development Process, Standards, and ToolsСоответствияPR.PS-06Та же тема: Безопасная разработка
SC System and Communications Protection · 9
SC-5Denial-of-service ProtectionСоответствияPR.AA-03PR.IR-01PR.PS-06Та же тема: Безопасность API
SC-7Boundary ProtectionСоответствияDE.CM-01ID.AM-03PR.IR-01+1Та же тема: WAF, Межсетевой экран / сегментация сети, Безопасность веб-приложений
SC-8Transmission Confidentiality and IntegrityСоответствияPR.DS-01PR.DS-02PR.DS-10Та же тема: Шифрование, Защита данных
SC-12Cryptographic Key Establishment and ManagementСоответствияPR.DS-01PR.DS-02Та же тема: Шифрование
SC-13Cryptographic ProtectionСоответствияPR.DS-01PR.DS-02Та же тема: Шифрование
SC-20Secure Name/Address Resolution Service (Authoritative Source)Редакционные материалыDE.CM-01PR.IR-01Та же тема: Безопасность DNS (выбор редакции)
SC-21Secure Name/Address Resolution Service (Recursive or Caching Resolver)Редакционные материалыDE.CM-01PR.IR-01Та же тема: Безопасность DNS (выбор редакции)
SC-22Architecture and Provisioning for Name/Address Resolution ServiceРедакционные материалыDE.CM-01PR.IR-01Та же тема: Безопасность DNS (выбор редакции)
SC-28Protection of Information at RestСоответствияPR.DS-01PR.DS-02PR.DS-10Та же тема: Шифрование, Защита данных
SI System and Information Integrity · 7
SI-2Flaw RemediationСоответствияPR.PS-02Та же тема: Управление исправлениями
SI-3Malicious Code ProtectionСоответствияDE.CM-09PR.DS-02PR.PS-05Та же тема: Защита конечных точек, Безопасность электронной почты
SI-4System MonitoringСоответствияDE.AE-02DE.AE-04DE.CM-01+3Та же тема: Обнаружение вторжений, Обнаружение аномалий, Непрерывный мониторинг
SI-5Security Alerts, Advisories, and DirectivesСоответствияDE.AE-07ID.RA-02ID.RA-03Та же тема: Разведка угроз
SI-7Software, Firmware, and Information IntegrityСоответствияPR.DS-01PR.DS-02PR.DS-10Та же тема: Защита данных
SI-8Spam ProtectionРедакционные материалыDE.CM-09PR.DS-02Та же тема: Безопасность электронной почты (выбор редакции)
SI-10Information Input ValidationРедакционные материалыPR.AA-03PR.IR-01PR.PS-06Та же тема: Безопасность API, Безопасность веб-приложений (выбор редакции)
SR Supply Chain Risk Management · 4
SR-2Supply Chain Risk Management PlanСоответствияGV.SC-01GV.SC-03GV.SC-05+2Та же тема: Управление рисками цепочки поставок
SR-3Supply Chain Controls and ProcessesСоответствияGV.SC-01GV.SC-03GV.SC-05+2Та же тема: Управление рисками цепочки поставок
SR-6Supplier Assessments and ReviewsСоответствияDE.CM-06GV.SC-04GV.SC-06+2Та же тема: Управление рисками поставщиков
SR-11Component AuthenticityСоответствияGV.SC-01GV.SC-03GV.SC-05+2Та же тема: Управление рисками цепочки поставок

Есть 800-53 → нужен NIST CSF 2.0

106 треб. сопоставлено: 89 · 15 косвенно связано · 2 без сопоставления Открыть в представлении разрывов →

Из 106 требований NIST Cybersecurity Framework 2.0 89 сопоставлены с чем-либо в 800-53, 15 связаны лишь косвенно, а для 2 в наших данных нет сопоставления.

Вероятно, новая работа: требования NIST CSF 2.0 без сопоставления с 800-53 (2)
NIST CSF 2.0ТребованиеСовпадение800-53Доказательства
Identify (ID) · 2
ID.IM-01Improvements are identified from evaluationsНет сопоставления в наших данных—В наших данных нет сопоставления с 800-53.
ID.IM-02Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third partiesНет сопоставления в наших данных—В наших данных нет сопоставления с 800-53.
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (15)
NIST CSF 2.0ТребованиеСовпадение800-53Доказательства
Govern (GV) · 9
GV.OC-02Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and consideredКосвенно связаноPM-9PM-18PM-30+4Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление
GV.OV-01Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and directionКосвенно связаноPM-9PM-18PM-30+3Совпадает только CSF GV.OV-01: связь косвенная, это не сопоставление
GV.OV-02The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risksКосвенно связаноPM-9PM-19PM-30+3Совпадает только CSF GV.OV-02: связь косвенная, это не сопоставление
GV.RM-04Strategic direction that describes appropriate risk response options is established and communicatedКосвенно связаноPM-9PM-28PM-30+1Совпадает только CSF GV.RM-04: связь косвенная, это не сопоставление
GV.RM-05Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third partiesКосвенно связаноPM-9PM-30Совпадает только CSF GV.RM-05: связь косвенная, это не сопоставление
GV.RM-07Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussionsКосвенно связаноPM-9PM-18PM-28+2Совпадает только CSF GV.RM-07: связь косвенная, это не сопоставление
GV.SC-02Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externallyКосвенно связаноSR-2SR-3SR-5Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление
GV.SC-08Relevant suppliers and other third parties are included in incident planning, response, and recovery activitiesКосвенно связаноSA-4SA-9SR-2+2Совпадает только CSF GV.SC-08: связь косвенная, это не сопоставление
GV.SC-10Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreementКосвенно связаноPM-31RA-3RA-5+5Совпадает только CSF GV.SC-10: связь косвенная, это не сопоставление
Identify (ID) · 1
ID.RA-07Changes and exceptions are managed, assessed for risk impact, recorded, and trackedКосвенно связаноCA-7CM-3CM-4Совпадает только CSF ID.RA-07: связь косвенная, это не сопоставление
Protect (PR) · 3
PR.AA-02Identities are proofed and bound to credentials based on the context of interactionsКосвенно связаноIA-12Совпадает только CSF PR.AA-02: связь косвенная, это не сопоставление
PR.IR-04Adequate resource capacity to ensure availability is maintainedКосвенно связаноCP-6CP-7CP-8+2Совпадает только CSF PR.IR-04: связь косвенная, это не сопоставление
PR.PS-03Hardware is maintained, replaced, and removed commensurate with riskКосвенно связаноCM-7SA-10SC-3+3Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление
Respond (RS) · 2
RS.AN-08An incident's magnitude is estimated and validatedКосвенно связаноIR-4IR-8RA-3+1Совпадает только CSF RS.AN-08: связь косвенная, это не сопоставление
RS.MA-05The criteria for initiating incident recovery are appliedКосвенно связаноIR-4IR-8Совпадает только CSF RS.MA-05: связь косвенная, это не сопоставление
Сопоставлено (89)
NIST CSF 2.0ТребованиеСовпадение800-53Доказательства
Detect (DE) · 11
DE.AE-02Potentially adverse events are analyzed to better understand associated activitiesСоответствияAU-6SI-4Та же тема: Обнаружение аномалий, Обнаружение вторжений
DE.AE-03Information is correlated from multiple sourcesСоответствияAU-2AU-3AU-6+4Та же тема: Логирование и аудит, SIEM / SOC
DE.AE-04The estimated impact and scope of adverse events are understoodСоответствияAU-6SI-4Та же тема: Обнаружение аномалий
DE.AE-06Information on adverse events is provided to authorized staff and toolsСоответствияAU-6AU-6(3)IR-5Та же тема: SIEM / SOC
DE.AE-07Cyber threat intelligence and other contextual information are integrated into the analysisСоответствияPM-15PM-16SI-5Та же тема: Разведка угроз
DE.AE-08Incidents are declared when adverse events meet the defined incident criteriaСоответствияAU-6AU-6(3)IR-5Та же тема: SIEM / SOC
DE.CM-01Networks and network services are monitored to find potentially adverse eventsСоответствияCA-7SC-7SI-4+3Та же тема: Непрерывный мониторинг, WAF, Обнаружение вторжений
DE.CM-02The physical environment is monitored to find potentially adverse eventsСоответствияPE-2PE-3PE-6+3Та же тема: Физическая безопасность
DE.CM-03Personnel activity and technology usage are monitored to find potentially adverse eventsСоответствияAC-2(12)AU-13CA-7+2Та же тема: Внутренние угрозы, Непрерывный мониторинг
DE.CM-06External service provider activities and services are monitored to find potentially adverse eventsСоответствияSA-4SA-9SR-6Та же тема: Управление рисками поставщиков
DE.CM-09Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse eventsСоответствияAU-6CA-7CM-7(5)+3Та же тема: Обнаружение аномалий, Непрерывный мониторинг, Защита конечных точек
Govern (GV) · 22
GV.OC-01The organizational mission is understood and informs cybersecurity risk managementСоответствияPM-11RA-9Та же тема: Бизнес-среда
GV.OC-03Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managedСоответствияPM-4PM-6CA-2Та же тема: Соответствие требованиям
GV.OC-04Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicatedСоответствияCP-2(8)PM-11RA-9+1Та же тема: Непрерывность бизнеса, Бизнес-среда
GV.OC-05Outcomes, capabilities, and services that the organization depends on are understood and communicatedСоответствияPM-11RA-9Та же тема: Бизнес-среда
GV.OV-03Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments neededСоответствияPM-4PM-6CA-2Та же тема: Соответствие требованиям
GV.PO-01Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforcedСоответствияPL-1PM-1Та же тема: Политика управления
GV.PO-02Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational missionСоответствияPL-1PM-1Та же тема: Политика управления
GV.RM-01Risk management objectives are established and agreed to by organizational stakeholdersСоответствияPM-9PM-28RA-7Та же тема: Управление рисками
GV.RM-02Risk appetite and risk tolerance statements are established, communicated, and maintainedСоответствияPM-9PM-28RA-7Та же тема: Управление рисками
GV.RM-03Cybersecurity risk management activities and outcomes are included in enterprise risk management processesСоответствияPM-9PM-28RA-7Та же тема: Управление рисками
GV.RM-06A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicatedСоответствияPM-9PM-28RA-7Та же тема: Управление рисками
GV.RR-01Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improvingСоответствияPM-2PM-29PS-9Та же тема: Роли и обязанности
GV.RR-02Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforcedСоответствияPM-2PM-29PS-9Та же тема: Роли и обязанности
GV.RR-03Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policiesСоответствияPM-2PM-29PS-9Та же тема: Роли и обязанности
GV.RR-04Cybersecurity is included in human resources practicesСоответствияAC-2(12)AU-13PM-12Та же тема: Внутренние угрозы
GV.SC-01A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholdersСоответствияPM-30SR-2SR-3+1Та же тема: Управление рисками цепочки поставок
GV.SC-03Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processesСоответствияPM-30SR-2SR-3+1Та же тема: Управление рисками цепочки поставок
GV.SC-04Suppliers are known and prioritized by criticalityСоответствияSA-4SA-9SR-6Та же тема: Управление рисками поставщиков
GV.SC-05Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third partiesСоответствияPM-30SR-2SR-3+1Та же тема: Управление рисками цепочки поставок
GV.SC-06Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationshipsСоответствияSA-4SA-9SR-6Та же тема: Управление рисками поставщиков
GV.SC-07The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationshipСоответствияSA-4SA-9SR-6Та же тема: Управление рисками поставщиков
GV.SC-09Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycleСоответствияPM-30SR-2SR-3+1Та же тема: Управление рисками цепочки поставок
Identify (ID) · 18
ID.AM-01Inventories of hardware managed by the organization are maintainedСоответствияCM-8PM-5Та же тема: Управление активами
ID.AM-02Inventories of software, services, and systems managed by the organization are maintainedСоответствияCM-8PM-5Та же тема: Управление активами
ID.AM-03Representations of the organization's authorized network communication and internal and external network data flows are maintainedСоответствияAC-4SC-7Та же тема: Межсетевой экран / сегментация сети
ID.AM-04Inventories of services provided by suppliers are maintainedСоответствияAC-20CM-8PM-5+1Та же тема: Безопасность облачных сред, Управление активами
ID.AM-05Assets are prioritized based on classification, criticality, resources, and impact on the missionСоответствияRA-2Та же тема: Классификация данных
ID.AM-07Inventories of data and corresponding metadata for designated data types are maintainedСоответствияRA-2Та же тема: Классификация данных
ID.AM-08Systems, hardware, software, services, and data are managed throughout their life cyclesСоответствияCM-8PM-5Та же тема: Управление активами
ID.IM-03Improvements are identified from execution of operational processes, procedures, and activitiesСоответствияIR-4Та же тема: Извлечённые уроки
ID.IM-04Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improvedСоответствияCP-2CP-10IR-4+3Та же тема: Планирование восстановления, Реагирование на инциденты
ID.RA-01Vulnerabilities in assets are identified, validated, and recordedСоответствияCA-8RA-5Та же тема: Управление уязвимостями
ID.RA-02Cyber threat intelligence is received from information sharing forums and sourcesСоответствияPM-15PM-16SI-5Та же тема: Разведка угроз
ID.RA-03Internal and external threats to the organization are identified and recordedСоответствияPM-15PM-16RA-3+2Та же тема: Разведка угроз, Оценка рисков
ID.RA-04Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recordedСоответствияRA-3RA-7Та же тема: Оценка рисков
ID.RA-05Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritizationСоответствияRA-3RA-7Та же тема: Оценка рисков
ID.RA-06Risk responses are chosen, prioritized, planned, tracked, and communicatedСоответствияRA-3RA-7Та же тема: Оценка рисков
ID.RA-08Processes for receiving, analyzing, and responding to vulnerability disclosures are establishedСоответствияCA-8RA-5Та же тема: Управление уязвимостями
ID.RA-09The authenticity and integrity of hardware and software are assessed prior to acquisition and useСоответствияPM-30SR-2SR-3+1Та же тема: Управление рисками цепочки поставок
ID.RA-10Critical suppliers are assessed prior to acquisitionСоответствияSA-4SA-9SR-6Та же тема: Управление рисками поставщиков
Protect (PR) · 19
PR.AA-01Identities and credentials for authorized users, services, and hardware are managed by the organizationСоответствияAC-2AC-3Та же тема: Контроль доступа
PR.AA-03Users, services, and hardware are authenticatedСоответствияAC-3AC-4AC-6+6Та же тема: Нулевое доверие
PR.AA-04Identity assertions are protected, conveyed, and verifiedСоответствияAC-3AC-4AC-6+1Та же тема: Нулевое доверие
PR.AA-05Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of dutiesСоответствияAC-2AC-2(7)AC-3+6Та же тема: Контроль доступа, Привилегированный доступ, Нулевое доверие
PR.AA-06Physical access to assets is managed, monitored, and enforced commensurate with riskСоответствияPE-2PE-3PE-6+3Та же тема: Физическая безопасность
PR.AT-01Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mindСоответствияAT-2AT-3Та же тема: Осведомлённость и обучение
PR.AT-02Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mindСоответствияAT-2AT-3Та же тема: Осведомлённость и обучение
PR.DS-01The confidentiality, integrity, and availability of data-at-rest are protectedСоответствияAC-4SC-7(10)SC-8+4Та же тема: DLP, Шифрование, Защита данных
PR.DS-02The confidentiality, integrity, and availability of data-in-transit are protectedСоответствияAC-4SC-7(10)SC-8+6Та же тема: DLP, Шифрование, Защита данных
PR.DS-10The confidentiality, integrity, and availability of data-in-use are protectedСоответствияAC-4SC-7(10)SC-8+2Та же тема: DLP, Защита данных
PR.DS-11Backups of data are created, protected, maintained, and testedСоответствияCP-6CP-9Та же тема: Резервное копирование и восстановление
PR.IR-01Networks and environments are protected from unauthorized logical access and usageСоответствияAC-3AC-4AC-6+10Та же тема: Нулевое доверие, Межсетевой экран / сегментация сети
PR.IR-02The organization's technology assets are protected from environmental threatsСоответствияPE-2PE-3PE-6+3Та же тема: Физическая безопасность
PR.IR-03Mechanisms are implemented to achieve resilience requirements in normal and adverse situationsСоответствияCP-2(8)CP-10CP-7Та же тема: Непрерывность бизнеса, Аварийное восстановление
PR.PS-01Configuration management practices are established and appliedСоответствияAC-19AC-19(5)AC-20+4Та же тема: Безопасность мобильных устройств, Безопасность облачных сред
PR.PS-02Software is maintained, replaced, and removed commensurate with riskСоответствияSI-2Та же тема: Управление исправлениями
PR.PS-04Log records are generated and made available for continuous monitoringСоответствияAU-2AU-3AU-11+1Та же тема: Логирование и аудит
PR.PS-05Installation and execution of unauthorized software are preventedСоответствияCM-7(5)SI-4SI-3Та же тема: Защита конечных точек
PR.PS-06Secure software development practices are integrated, and their performance is monitored throughout the software development life cycleСоответствияIA-9SA-3SA-8+5Та же тема: Безопасность API, Безопасная разработка
Recover (RC) · 8
RC.CO-03Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholdersСоответствияCP-10IR-6Та же тема: Коммуникации и восстановление
RC.CO-04Public updates on incident recovery are shared using approved methods and messagingСоответствияCP-10IR-6Та же тема: Коммуникации и восстановление
RC.RP-01The recovery portion of the incident response plan is executed once initiated from the incident response processСоответствияCP-2CP-10Та же тема: Планирование восстановления
RC.RP-02Recovery actions are selected, scoped, prioritized, and performedСоответствияCP-2CP-10CP-7Та же тема: Планирование восстановления, Аварийное восстановление
RC.RP-03The integrity of backups and other restoration assets is verified before using them for restorationСоответствияCP-6CP-9Та же тема: Резервное копирование и восстановление
RC.RP-04Critical mission functions and cybersecurity risk management are considered to establish post-incident operational normsСоответствияCP-2(8)CP-7Та же тема: Непрерывность бизнеса
RC.RP-05The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmedСоответствияCP-10IR-6CP-7Та же тема: Коммуникации и восстановление, Аварийное восстановление
RC.RP-06The end of incident recovery is declared based on criteria, and incident-related documentation is completedСоответствияIR-4Та же тема: Извлечённые уроки
Respond (RS) · 11
RS.AN-03Analysis is performed to establish what has taken place during an incident and the root cause of the incidentСоответствияAU-7SI-2(7)Та же тема: Криминалистический анализ
RS.AN-06Actions performed during an investigation are recorded, and the records' integrity and provenance are preservedСоответствияAU-7SI-2(7)Та же тема: Криминалистический анализ
RS.AN-07Incident data and metadata are collected, and their integrity and provenance are preservedСоответствияAU-7SI-2(7)Та же тема: Криминалистический анализ
RS.CO-02Internal and external stakeholders are notified of incidentsСоответствияIR-6Та же тема: Отчётность
RS.CO-03Information is shared with designated internal and external stakeholdersСоответствияIR-7Та же тема: Коммуникация
RS.MA-01The incident response plan is executed in coordination with relevant third parties once an incident is declaredСоответствияIR-4IR-8IR-2+1Та же тема: Реагирование на инциденты
RS.MA-02Incident reports are triaged and validatedСоответствияIR-4IR-8IR-2+1Та же тема: Реагирование на инциденты
RS.MA-03Incidents are categorized and prioritizedСоответствияIR-4IR-8IR-2+1Та же тема: Реагирование на инциденты
RS.MA-04Incidents are escalated or elevated as neededСоответствияIR-4IR-8IR-2+1Та же тема: Реагирование на инциденты
RS.MI-01Incidents are containedСоответствияIR-4Та же тема: Митигация
RS.MI-02Incidents are eradicatedСоответствияIR-4Та же тема: Митигация

По темам

Охватывают оба (50):

Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиРазведка угрозКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средБезопасность DNSWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеБезопасность APIВнутренние угрозыУправление рисками поставщиковФизическая безопасность

Вопросы

Нужны ли мне и CSF, и 800-53?

Федеральным системам нужен 800-53; CSF — полезный дополнительный уровень для коммуникации. Частные организации часто используют только CSF, заимствуя меры из 800-53там, где нужна детализация.

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.