Соответствие требованиям
Обеспечение соответствия применимым требованиям в сфере кибербезопасности.
Тема Соответствие требованиям определена результатами NIST CSF 2.0: GV.OC-03 (Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed); GV.OV-03 (Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, PCI DSS, 800-53 и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, CMMC, HIPAA, GDPR, DORA и CPS 234. Нет сопоставления в наших данных В наших данных нет сопоставления для CIS v8.1, Essential Eight и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.OC-03GV.OV-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed; Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Определение темы | GV.OC-03 GV.OV-03 |
| ISO 27001 | A.5.31A.5.36Clause 9.1 | Legal, statutory, regulatory and contractual requirements; Compliance with policies, rules and standards for information security; Monitoring, measurement, analysis and evaluation | Соответствия | A.5.31: via GV.OC-03 A.5.36: Compliance with policies, rules and standards is the Annex A control for checking internal compliance; not linked in the OLIR mapping. Clause 9.1: via GV.OV-03; NIST 800-53 map: PM-6 |
| CIS v8.1 | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование CIS v8.1 не сопоставлено с этой темой. |
| SOC 2 | CC4.1CC4.2 | Ongoing and/or separate evaluations of controls; Communicating and remediating control deficiencies | Редакционные материалы | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.4.2 | Service providers: quarterly reviews of operational tasks | Соответствия | 12.4.2: via GV.OV-03 |
| CMMC | CA.L2-3.12.1 | Security Control Assessment | Редакционные материалы | CA.L2-3.12.1: Periodically assess security controls: CMMC's compliance-checking practice; NIST's crosswalk only reaches it via CA-2, itself an editorial pick here. |
| 800-53 | CA-2PM-4PM-6 | Control Assessments; Plan of Action and Milestones Process; Measures of Performance | Соответствия | CA-2: Control assessments are how compliance with requirements is checked; NIST's CSF 2.0 references don't link CA-2 to GV.OC-03/GV.OV-03. PM-4: via GV.OV-03 PM-6: via GV.OV-03 |
| HIPAA | §164.308(a)(8) | Evaluation | Редакционные материалы | §164.308(a)(8): Evaluation (periodic technical and non-technical evaluation); NIST maps it to CA-2, itself an editorial pick for this topic. |
| GDPR | Art.5(2) | Principles relating to processing of personal data | Редакционные материалы | Art.5(2): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.22.3 | Compliance monitoring; Independent review of information and network security | Соответствия | 2.2: via ENISA ISO map: A.5.31, A.5.36 2.3: Independent review of network and information security; ENISA links it to GV.OV-02. |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.6(6)Art.6(7)Art.5(2)(f) | ICT risk management framework; ICT risk management framework; Governance and organisation | Редакционные материалы | Art.6(6): The ICT risk management framework is subject to regular internal audit. Art.6(7): A formal follow-up process to verify and remediate critical ICT audit findings. Art.5(2)(f): The management body approves and reviews ICT internal audit plans. |
| CPS 234 | Para 32Para 33Para 34 | Internal audit reviews control design and effectiveness; Assurance provided by appropriately skilled personnel; Internal audit assesses third-party assurance relied on | Редакционные материалы | Para 32: Internal audit reviews the design and operating effectiveness of information security controls. Para 33: Control assurance is provided by appropriately skilled personnel. Para 34: Internal audit assesses the third-party assurance it relies on. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Соответствие требованиям»
Управление соответствием требованиям предполагает выявление всех применимых правовых, регуляторных, договорных и отраслевых требований в сфере кибербезопасности и внедрение мер контроля для их выполнения. Сюда относится отслеживание обязательств по стандартам, таким как GDPR, HIPAA, PCI DSS и SOX, ведение доказательной базы соответствия через документацию и журналы аудита, а также проведение периодических внутренних аудитов или оценок разрывов. Зрелая программа соответствия переходит от реактивного формального выполнения требований к проактивной интеграции регуляторных требований в повседневные операции по информационной безопасности.