对照映射还是判断？框架映射有多少基于公开证据

每个合规平台、咨询电子表格和审计工具都提供框架之间的映射，但它们很少说明这些映射的来源。有些映射复制自官方对照映射；许多则是某人一次性给出的最佳判断，之后从未复核。两者都可能有用，但您应当清楚自己依赖的是哪一种。

ControlMapping为每条链接都作了标注：有已公布的对照映射支持的标为对照映射，属于我们判断且附有理由说明的标为编辑说明。以下是具体比例。

数据概览

框架	映射关系	对照映射	编辑说明	对照覆盖占比
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
全部	829	475	354	57%

总体来看，我们的主题映射中略超过一半有已公布的对照映射作为依据，其余为编辑说明。不同框架之间的比例差异很大。

比例为何不同

部分框架有权威的对照映射。 NIST发布了从CSF 2.0到SP 800-53的官方参考，以及从SP 800-53到ISO 27001的官方参考。欧盟机构ENISA发布了NIS2实施条例每一条款到ISO 27001和CSF 2.0的映射。NIST SP 800-171附录D将CMMC的要求映射到SP 800-53。这些框架的映射大多有对照映射作为依据。

部分对照映射并不完整。 CIS在NIST目录中发布的自身映射仅涵盖153项CIS安全防护措施中的49项；PCI SSC向CSF 2.0的映射则遗漏了一些核心要求，例如MFA要求。除此之外的内容均为编辑说明。

部分框架没有我们可用的对照映射。 SOC 2、GDPR和Essential Eight都不存在开放许可的对照映射，因此这些框架的每条链接都是编辑说明。这并不意味着它们有误，但确实意味着这是一种您应当能够核实的判断。

为何重要

• 权威性不同。 NIST或ENISA的对照映射经过公众评议，并在整个行业广泛使用。编辑说明则只是一位分析师的观点。当审计人员询问您为何将两项要求视为等同时，“NIST的映射就是这样规定的”是更有说服力的回答。
• 对照映射同样不能证明合规。 即使是官方对照映射，也只能说明两项要求涉及相关的成效，并不表示您对其中一项的落实就满足了另一项。
• 未标注来源的映射会掩盖错误。 如果无法判断映射的来源，就无法判断它何时出错。在我们审核自身数据时，正是这些标注使编辑说明中的错误能够被迅速发现并修正。

要点总结

• 我们的主题映射中仅略超过一半以已公布的对照映射为依据，其余属于编辑判断。
• 比例因框架而异：NIST、NIS2和CMMC很高，SOC 2、GDPR和Essential Eight为零。
• 判断本身并非错误，但应当加以标注并说明理由。
• 在依赖任何映射之前，请询问其来源、版本、含义和推理依据。

对任何映射应提出的问题

1. 来源是什么？ 是官方对照映射、框架所有者，还是某人的判断？
2. 推理过程是否可见？ 编辑说明型链接应当说明理由。
3. 对应哪个版本？ 针对已被取代版本（CSF 1.1、ISO 27001:2013、PCI DSS v3.2.1）的映射可能存在严重错误。
4. “映射”是什么意思？ 是等同、部分重叠，还是仅仅相关？

我们的方法说明列明了每个来源和版本，每个要求页面都显示了每条链接的依据，而下载资料中包含证据列，方便您核查我们的工作。

常见问题

什么是框架对照映射？

两个框架要求之间已公布的映射，例如NIST将SP 800-53映射到ISO 27001。它表明各项要求涉及相关的成效，但并不意味着满足其中一项即满足另一项。

为什么SOC 2映射属于编辑说明？

AICPA发布了从信任服务标准到其他框架的映射，但这些映射未采用开放许可，因此ControlMapping不能将其作为证据使用。每条SOC 2链接都是我们的判断，并附有理由说明。

编辑说明的映射比对照映射更不准确吗？

未必如此；专家判断有时比范围较广的已公布对照映射更精确。两者的区别在于权威性和可核查性，这正是编辑说明必须附带理由的原因。