哪个安全框架是最佳起点？我们对此做了测量

“我们应该从哪个框架开始？”是任何安全计划最先面对的问题之一，而通常的答案都只是个人观点。我们想要一个量化的答案：如果你落实了框架 X，那么其他每个框架中，你已经覆盖了多少？

ControlMapping 将十一个框架的要求彼此映射，因此我们可以对此进行测量。对每个框架，我们依次取其他每个框架，统计其中有多少条要求至少与该框架的一条要求存在映射，然后对十个框架取平均值。

排名

如果您已有	其他框架平均映射占比	涵盖大部分	覆盖最少的框架
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

占比 = 其他框架中与本框架至少存在一条映射（交叉对照或编辑判断）的要求所占比例，按其他 10 个框架取平均值。 由与 差距分析 相同的数据实时计算。

有两个框架尤为突出。NIST SP 800-53 与其他所有框架的映射覆盖比例最高，这并不意外：它是一个包含数百项控制措施的目录，旨在涵盖几乎所有安全与隐私主题，而且 NIST 官方发布了从它到 CSF 2.0 和 ISO 27001 的映射。ISO 27001 紧随其后，因为附录 A 在更高层面涵盖了相同的内容，而管理体系条款又增加了大多数框架都会涉及的治理要求。

另一端，Essential Eight 的映射覆盖最低，这是其设计使然。它是八项有针对性的缓解策略，而非完整的计划，因此落实它之后，其他任何框架的大部分内容仍然未被覆盖。GDPR 的覆盖率较低也是出于类似原因：只有其安全条款属于比较范围。

仔细解读这些数字

需要牢记三点：

• 映射不等于已满足。 映射仅表示两条要求针对同一主题。ISO 27001 的漏洞控制与 PCI DSS 的季度扫描要求之间存在映射，但满足前者并不等于满足后者。
• 细粒度框架看似容易覆盖。 几乎每个框架似乎都覆盖了 CIS Controls 的几乎全部内容。CIS 共有 153 项具体保障措施，因此大多数框架都会在主题层面涉及每一项；而且大多数 CIS 关联属于我们的编辑说明，因为 CIS 公布的对照映射只覆盖了 49 项保障措施。请将 CIS 一列理解为“有所涉及”，而非“已完成”。
• 具体框架看似难以覆盖。 PCI DSS 和 SP 800-53 是其他框架最难覆盖的两个，因为它们包含大量细致的要求，而更宽泛的框架并未明确列出这些内容。

决定因素是谁在要求

这项测量告诉你哪个框架提供最广泛的基础，但它无法告诉你你需要哪一个，而这通常才是问题的答案：

• 美国企业客户要求提供 SOC 2 报告。如果交易取决于此，就从它开始。
• 国际客户、招标方和监管机构要求 ISO 27001 认证。
• 美国联邦业务需要 SP 800-53（云服务则需 FedRAMP）；国防合同需要 CMMC Level 2。
• 银行卡支付业务需要 PCI DSS，无论你还做什么其他事情。
• 欧盟数字服务提供商和关键行业需要 NIS2。
• 暂时没有人提出要求？ ISO 27001 或 NIST CSF 2.0 提供最广泛的基础。CSF 免费且入门较轻；ISO 则在需要时提供认证证书。SP 800-53 覆盖面最广，但其规模使它对大多数私营企业而言是沉重的第一步。

然后扩展，而非重新开始

无论你从哪个框架开始，第二个框架都比第一个更省力。从你已有的框架到你所需的框架进行差距分析，你将获得逐条要求的清单，列明哪些内容可以沿用、哪些是新增的，并附有每项关联的证据。对比分析深入介绍了最常见的几组组合，例如 ISO 27001 与 SOC 2 以及 NIST CSF 与 ISO 27001。

我们的测量方法

对于每一对有序框架，我们采用与差距分析相同的计算方式：当一条要求被归入与另一框架某条要求相同的 ControlMapping 主题中，或者通过已公布的对照映射、或附有说明理由的编辑说明关联与其直接相连时，即视为已映射。仅与某个 NIST CSF 2.0 结果有共同点的要求（“弱相关”）不计入。上述数字根据当前数据实时计算；参见方法说明。

常见问题

哪个安全框架覆盖其他框架最多？

在 ControlMapping 的数据中，NIST SP 800-53 平均覆盖其他框架要求的比例最高，其次是 ISO 27001。映射表示各要求针对相关的结果，并不意味着一方可以满足另一方。

小型企业应从 ISO 27001 还是 SOC 2 开始？

从客户的要求出发。如果暂时没有人提出要求，ISO 27001 或 NIST CSF 能提供最广泛的基础；如果美国的交易取决于此，SOC 2 是获得报告最快的途径。