Методология
ControlMapping группирует требования безопасности в 50 тем (Шифрование, Многофакторная аутентификация, Реагирование на инциденты, …) и показывает, какое требование каждого стандарта покрывает каждую тему. Эта страница объясняет, откуда взято каждое сопоставление, чтобы вы могли оценить, насколько на него можно полагаться.
Значение глифов
Одни и те же пять глифов означают одно и то же на каждой странице. Каждый сопровождается подписью; цвет служит лишь дополнительным признаком.
- Определение темы: результаты NIST CSF 2.0, которые определяют тему.
- Соответствия: опубликованная таблица соответствий (NIST, ENISA, CIS, PCI SSC) устанавливает связь.
- Редакционные материалы: суждение ControlMapping там, где таблицы соответствий не существует; причина показана.
- : лишь разделяет один результат CSF 2.0: стоит проверить, но это не сопоставление.
- Нет сопоставления в наших данных: в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии.
Сопоставление — это Соответствия или Редакционные материалы: два требования отобраны в одну и ту же тему или связаны напрямую. Только сопоставления учитываются как покрытие в инструменте анализа разрывов, сравнениях и подсчётах. — это ориентир для проверки, но никогда не покрытие.
Нет сопоставления в наших данных означает, что в наших данных ничего не сопоставлено. Для большинства стандартов это, вероятно, новая работа, однако покрытие неравномерно: CIS v8.1: большинство связей CIS являются редакционными; опубликованная таблица соответствий CIS охватывает 49 из 153 защитных мер; SOC 2: связи SOC 2 только редакционные; GDPR: сопоставлены только статьи GDPR, касающиеся безопасности, и сделано это редакционно; Essential Eight: связи Essential Eight только редакционные; DORA: связи DORA редакционные, а её технические стандарты не сопоставлены; CPS 234: CPS 234 основан на принципах, и его связи редакционные; Cyber Essentials: Cyber Essentials охватывает только пять технических мер контроля. Считайте отсутствие сопоставления там «ещё не сопоставлено» и проверьте, прежде чем планировать бюджет.
1. NIST CSF 2.0 как центр
Каждая тема определяется одной или несколькими подкатегориями NIST Cybersecurity Framework 2.0 (например, Шифрование = PR.DS-01 данные в покое и PR.DS-02 данные в передаче). Выбор этих подкатегорий — наше редакционное решение, и оно показано на каждой странице темы.
2. Соответствия и редакционные материалы
Для каждого другого стандарта каждое требование, указанное для темы, проверяется по опубликованным таблицам соответствий из каталога NIST Online Informative References (OLIR):
- Соответствия: опубликованная таблица соответствий связывает это требование с одной из подкатегорий CSF темы — либо напрямую, либо через контроль SP 800-53, который сам связан. Связь показана, например, «Соответствия: PR.DS-01» или «Карта NIST HIPAA: SC-13».
- Редакционные материалы: ни одна опубликованная таблица соответствий не устанавливает связь, но мы считаем её релевантной; причина показана. Каждое сопоставление GDPR, SOC 2 и Essential Eight является редакционным: для них не существует таблиц соответствий с открытой лицензией.
Таблицы соответствий различаются по авторитетности. Наиболее весомы те, что подготовлены NIST или владельцем стандарта (CIS для CIS Controls). Таблица соответствий PCI DSS принадлежит самому PCI SSC. Таблицы соответствий ISO 27001 с CSF 2.0 были представлены независимыми сторонами, и NIST не проверяет на корректность представления, не подготовленные самим NIST. Связи ISO также сверяются с собственной картой NIST «SP 800-53 → ISO 27001». В таблице ниже указан каждый источник.
Связи через целые семейства контролей 800-53 (в более старых данных NIST некоторые подкатегории связаны со всеми семействами) не учитываются как доказательство. Связь CMMC, HIPAA или ISO, идущая через контроль SP 800-53, учитывается только в том случае, если сам этот контроль 800-53 связан с темой по таблице соответствий.
Из 968 сопоставлений требований за пределами CSF 2.0 475 подкреплены таблицей соответствий, а 493 являются редакционными.
3. Связи между требованиями
Страницы требований, сравнения, инструмент анализа разрывов и загрузки связывают требования разных стандартов. Два требования считаются сопоставленными, когда:
- оба выбраны в одну и ту же тему ControlMapping (отобраны и проверены, как описано выше). Связь имеет тип Соответствия, если обе позиции в этой теме подкреплены таблицами соответствий, и Редакционные материалы в остальных случаях; либо
- попарное сопоставление связывает их напрямую: таблица ENISA «NIS2 → ISO 27001», карта NIST «HIPAA → SP 800-53», сопоставление NIST «SP 800-53 → ISO 27001» или, для CMMC, приложение D к SP 800-171r2 и ссылки SP 800-171r3 → SP 800-53 (все — Соответствия). Там, где таблицы соответствий не существует, небольшой набор редакционных пар ControlMapping (например, SOC 2 CC4.1 ↔ ISO 27001 пункт 9.2) заполняет очевидные пробелы; каждая пара сопровождается причиной (Редакционные материалы).
В остальных случаях два требования, связанные с одной и той же подкатегорией NIST CSF 2.0, показываются как : они относятся к близким результатам, но одно не выполняет другое. Эти ориентиры ранжируются (сначала подкреплённые таблицами соответствий, затем по числу общих результатов), на страницах требований ограничиваются 8 на стандарт и остаются свёрнутыми. Два типа связей отбрасываются как шум: связи, общие только через общие результаты совершенствования CSF (ID.IM), и политические контроли SP 800-53 «-1» (политики и процедуры), если общий результат не является политическим (GV.PO).
Практики CMMC выходят на CSF 2.0 через их аналог SP 800-171 Rev 3 или через контроли 800-53 из приложения D, а требования HIPAA — через таблицу соответствий NIST «HIPAA → SP 800-53». В загрузках есть каждая связь «требование → CSF 2.0», так что вы можете проверить или дополнить работу.
4. Каждый идентификатор проверяется
Сборка завершается ошибкой, если какой-либо идентификатор требования отсутствует в каталоге своего стандарта или отозван (например, идентификаторы CSF 1.1 вроде ID.BE-01, которые были отозваны в CSF 2.0).
5. Источники и версии
| Стандарт | Каталог требований | Используемое соответствие | Сопоставления (соответствия) |
|---|---|---|---|
| NIST Cybersecurity Framework 2.0 | Выгрузка CSF 2.0 из NIST CPRT (включая отозванные подкатегории 1.1) | Центр: каждая тема определяется подкатегориями CSF 2.0 | — |
| ISO/IEC 27001:2022 | Номера контролей Приложения A и пунктов с краткими названиями (текст стандарта защищён авторским правом ISO) | ISO/IEC 27001:2022 → CSF 2.0 (OLIR, независимые авторы представлений) и собственная карта NIST «SP 800-53 Rev 5 → ISO/IEC 27001:2022» | 105 (99) |
| CIS Controls v8.1 | Защитные меры CIS Controls v8.1 с названиями CIS (CC BY-NC-ND 4.0) | Собственная карта CIS Controls v8.1 → CSF 2.0 от CIS в OLIR, которая охватывает 49 из 153 защитных мер; остальные — редакционные | 163 (40) |
| SOC 2 (Trust Services Criteria) | Идентификаторы Критериев доверия услуг 2017 года (пересмотренные точки внимания 2022 года) с собственными однострочными описаниями ControlMapping; текст критериев защищён авторским правом AICPA | AICPA публикует сопоставления TSC (например, с NIST 800-53 и ISO 27001), но не по открытой лицензии, поэтому все сопоставления SOC 2 здесь — редакционные ControlMapping | 66 (0) |
| PCI DSS v4.0.1 | Нумерация требований PCI DSS v4.0.1 (сверена с таблицей соответствий) с собственными однострочными описаниями ControlMapping; текст требований защищён авторским правом PCI SSC | Собственная карта PCI SSC «PCI DSS v4.0.1 → CSF 2.0» (Board of Advisors), опубликованная в информационных ссылках NIST CSF 2.0 | 95 (70) |
| CMMC Level 2 | Выгрузка SP 800-171 Rev 2 из NIST CPRT (110 практик CMMC Level 2) с названиями практик CMMC Level 2 от DoD | Приложение D к NIST SP 800-171 Rev 2 (→ SP 800-53, идентификаторы Rev 4, перенесённые в Rev 5), а также ссылки SP 800-171 Rev 3 → SP 800-53 и CSF 2.0 → 800-171r3 через соответствующее требование Rev 3 | 72 (60) |
| NIST SP 800-53 Rev 5.2 | Каталог NIST OSCAL, SP 800-53 Rev 5.2.0 (включая отозванные контроли) | Информационные ссылки NIST CSF 2.0 (800-53 Rev 5.2.0 и 5.1.1) | 120 (106) |
| HIPAA Security Rule | NIST SP 800-66r2 (CPRT): стандарты Правила безопасности и спецификации реализации. Идентификаторы следуют форме NIST, которая опускает завершающее (1) у стандартов из CFR: §164.310(a) здесь — это §164.310(a)(1) | Таблица соответствий NIST «HIPAA Security Rule → SP 800-53 Rev 5.1.1» (OLIR) через подкреплённые таблицами соответствий контроли 800-53 темы | 47 (36) |
| GDPR | Статьи GDPR, содержащие обязательства по безопасности (ст. 5, 24–25, 28–30, 32–35, 37–39) | Не существует (GDPR — закон о конфиденциальности), поэтому все сопоставления GDPR редакционные | 34 (0) |
| NIS2 Implementing Regulation (EU) 2024/2690 | 49 пунктов требований Приложения к Имплементационному регламенту Комиссии (EU) 2024/2690 с названиями ENISA | Официальная таблица сопоставления ENISA (v1.2) от каждого пункта к NIST CSF 2.0 и ISO/IEC 27001:2022; нормализована (например, отозванные идентификаторы CSF 1.1 перенесены по данным NIST), а общие связи улучшения ID.IM используются только тогда, когда больше ничего не сопоставлено | 65 (64) |
| ASD Essential Eight | 126 мер контроля из Информационного руководства по безопасности (ISM), которые ASD помечает уровнями зрелости Essential Eight (ISM, сентябрь 2026, CC BY 4.0), сгруппированных по восьми стратегиям ASD | Нет: ASD не публикует таблиц соответствий Essential Eight/ISM с NIST или ISO, поэтому связи стратегия → CSF 2.0 и сопоставления тем — редакционные ControlMapping. Назначение мер стратегиям следует Модели зрелости Essential Eight ASD | 62 (0) |
| DORA (Regulation (EU) 2022/2554) | Регламент (EU) 2022/2554 в редакции, опубликованной в Official Journal (Publications Office): 22 статьи, обязательные для финансовых организаций, с текстом их пунктов и подпунктов | Не существует, поэтому все сопоставления DORA редакционные, выполнены на уровне пункта или подпункта с обоснованием для каждого | 93 (0) |
| APRA CPS 234 Information Security | Прудициальный стандарт APRA CPS 234 в редакции, зарегистрированной в Federal Register of Legislation (F2018L01745, CC BY 4.0): операционные пункты с 13 по 36, с краткими названиями ControlMapping | Не существует, поэтому все сопоставления CPS 234 редакционные | 35 (0) |
| UK Cyber Essentials (NCSC) | Cyber Essentials Requirements for IT Infrastructure v3.3 от NCSC (апрель 2026): пять тематических групп технических мер контроля (авторское право Короны: только названия) | Не существует, поэтому все сопоставления Cyber Essentials редакционные, каждое с указанием конкретного требования | 11 (0) |
Исходные данные получены 2026-10-16; сопоставления построены 2026-10-27.
6. Известные пробелы
- Отображение CSF от PCI SSC опускает некоторые базовые требования, включая требования MFA (8.4.x) и большую часть мер сетевой безопасности требования 1. Там, где мы их включаем, они помечены как редакционные.
- Таблица соответствий CIS в OLIR охватывает только 49 из 153 защитных мер CIS v8.1, поэтому многие сопоставления CIS редакционные. CIS публикует более полное сопоставление за формой загрузки, которое не включено.
- Таблица соответствий NIST для HIPAA сопоставляет с SP 800-53, поэтому требование HIPAA считается подкреплённым таблицей соответствий, только если оно выходит на один из связанных по таблице соответствий контролей 800-53 темы.
- CMMC Level 2 основан на SP 800-171 Rev 2. Её официальные связи идут из собственного приложения D Rev 2 (которое называет контроли SP 800-53 Rev 4; семь, отозванных в Rev 5, следуют по ссылкам NIST «включено в», а SC-19 для VoIP не имеет преемника) и из соответствующего требования Rev 3. Rev 3 переформулировала некоторые требования, поэтому связь с Rev 3 является доказательством той же темы, а не идентичной формулировки.
- У некоторых тем нет эквивалентного требования в стандарте. Например, у CMMC Level 2 нет практики планирования восстановления, а у CIS v8.1 нет защитной меры управления. Эти пробелы реальны, а не являются упущениями.
7. Не является юридической консультацией по соответствию
Таблицы соответствий показывают, где стандарты решают схожие задачи. Они не доказывают, что выполнение одного требования удовлетворяет другому. Сверяйтесь с официальным текстом каждого стандарта и с вашим аудитором или оценщиком.