CIS Controls 的差距：为什么只有 153 项安全保障措施中的 49 项发布了对照映射

CIS Critical Security Controls 深受从业者青睐，因为它们明确告诉你具体该做什么：借助自动化发现功能盘点资产，对软件进行白名单管理，收集命令行审计日志。v8.1 版本包含 18 项控制措施和 153 项安全保障措施，并划分为三个实施组（Implementation Group）。将它们映射到其他框架理应很容易，而且 CIS 本身已在 NIST 的 OLIR 目录中发布了一份与 NIST CSF 2.0 的对照映射。

该对照映射覆盖 49 项安全保障措施。其余 104 项在其中没有已发布的关联。

这 49 项覆盖了什么

CIS 在 OLIR 中提交的安全保障措施分布于各项控制之中，其中以那些与某项 CSF 成果最直接相关者为主。许多具体的技术性安全保障措施（例如个别日志类型、特定的反恶意软件设置、对内部和外部资产的分别扫描）并未包含在内，大概是因为 CIS 只在存在清晰一对一关联的层面上做了映射。CIS 更完整的映射位于其官网，需填写下载表单才能获取，其许可协议（CC BY-NC-ND）也限制了他人对其的再使用方式。

我们如何处理其余 104 项

与其让三分之二的 CIS 内容保持未映射状态，ControlMapping 将其余每一项安全保障措施都归入其显然所属的主题（漏洞扫描归入漏洞管理，审计日志类安全保障措施归入日志记录，员工培训归入安全意识），每项都标注为编辑说明，并附一句理由。结果如下：

在 CIS v8.1 的 153 个保障措施中，153（100%）可映射到 NIST CSF 2.0 中的内容，0 个仅弱相关，0 个在本站数据中无映射。 打开差距报告 →

现在每项 CIS 安全保障措施都映射到了某个 CSF 定义的主题。但其中大部分关联是我们的判断，而非 CIS 的结论，您应当这样看待它们。

为什么 CIS 的“映射”看起来如此容易

CIS 安全保障措施范围窄且偏技术性，因此几乎任何宽泛的框架都能在主题层面涉及其中每一项。ISO 27001 的日志控制与每项 CIS 日志类安全保障措施都有关联；NIST 的漏洞相关成果则与每项扫描类安全保障措施相关。这使得 CIS 看起来几乎被其他任何框架完全覆盖，正如我们的框架入门分析所指出的那样。实际上，CIS 安全保障措施通常是要求更高的那一个：ISO 要求你记录日志，CIS 则告诉你应该记录哪些日志。

反方向

在 NIST CSF 2.0 的 106 个子类别中，59（56%）可映射到 CIS v8.1 中的内容，9 个仅弱相关，38 个在本站数据中无映射。 打开差距报告 →

从 CIS 映射到 CSF 2.0，差距主要在治理层面：CIS v8.1 是一套运营性基线，对组织环境、风险战略或供应链计划着墨甚少，而这些恰恰构成了 CSF 的“治理”职能。

要点总结

• CIS 公开提供的与 NIST CSF 2.0 的对照映射覆盖了 CIS Controls v8.1 全部 153 项安全保障措施中的 49 项；其余各项在本站均为依判断映射，并附有理由。
• 由于 CIS 安全保障措施范围窄且偏技术性，几乎任何更宽泛的框架看上去都能覆盖它们。实际上，CIS 安全保障措施通常是要求更高的那一个。
• 从 CIS 映射到其他框架时，主要差距在治理方面：风险战略、监督和供应链计划。
• 将 CIS 用作 ISO 27001 或 CSF 之下的实施细节；如果审计需要具有权威性的关联，则获取 CIS 的完整映射。

如何将 CIS 与其他框架配合使用

1. 将 CIS 用作实施细节：在更宽泛的框架之下使用。ISO 27001 或 CSF 说明要达成什么，CIS IG1 和 IG2 说明如何做。
2. 将编辑说明链接视为起点。我们的要求页面会标明哪些 CIS 链接有对照映射支撑、哪些是我们自行判断的；CIS Controls v8.1 则同时列出全部 153 项安全保障措施及两类链接。
3. 如需审计用的权威关联，请获取 CIS 的完整映射。

NIST CSF 与 CIS 对比和ISO 27001 与 CIS 对比涵盖了两个方向。

常见问题

CIS 是否发布了与 NIST CSF 2.0 的完整映射？

CIS 在其官网上发布了更完整的映射，需填写下载表单才能获取。NIST OLIR 目录中公开提供的对照映射覆盖了 CIS Controls v8.1 全部 153 项安全保障措施中的 49 项。

ControlMapping 的 CIS 链接可靠吗？

这 49 个有对照映射支撑的链接来自 CIS 本身。其余链接均为 ControlMapping 的编辑说明，已归入相应主题并注明理由；在依赖它们之前，请对照 CIS 的完整映射进行核查。

什么是 CIS 实施组（Implementation Groups）？

CIS 安全保障措施分为三个层级：IG1 是每个组织都必须具备的基本网络安全卫生措施，IG2 为环境更复杂的组织增加相应的安全保障措施，IG3 则为面临高级攻击的组织增加相应措施。