NIST CSF 1.1 到 2.0：已撤销子类的去向

NIST 于 2024 年 2 月发布了 CSF 2.0，新增了治理（Govern）功能，并重组了核心框架。许多 CSF 1.1 子类已无法以原有形式保留：它们被迁移到新的标识符，或并入更宽泛的子类。NIST 在 CSF 2.0 数据的撤销说明中记录了每个子类的去向。

这一点的重要性超出表面。政策、风险登记册、GRC 工具、供应商问卷以及大量电子表格仍在引用 CSF 1.1 标识符。指向已撤销子类的映射不会有人注意到它是错误的，它只是一个指向虚空的链接。正因如此，ControlMapping 的构建流程在遇到任何已撤销的标识符时都会报错。

完整表格

以下是 NIST 在 2.0 中撤销的每个 CSF 1.1 子类，以及 NIST 对其去向的说明：

CSF 1.1	CSF 2.0（NIST）有哪些变化
DE.AE-01	已纳入 ID.AM-03
DE.AE-05	已迁移至 DE.AE-08
DE.CM-04	已纳入 DE.CM-01, DE.CM-09
DE.CM-05	已纳入 DE.CM-01, DE.CM-09
DE.CM-07	已纳入 DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	已纳入 ID.RA-01
DE.DP-01	已纳入 GV.RR-02
DE.DP-02	已纳入 DE.AE
DE.DP-03	已纳入 ID.IM-02
DE.DP-04	已纳入 DE.AE-06
DE.DP-05	已纳入 ID.IM, ID.IM-03
ID.AM-06	已纳入 GV.RR-02, GV.SC-02
ID.BE-01	已纳入 GV.OC-05
ID.BE-02	已纳入 GV.OC-01
ID.BE-03	已纳入 GV.OC-01
ID.BE-04	已纳入 GV.OC-04, GV.OC-05
ID.BE-05	已纳入 GV.OC-04
ID.GV-01	已纳入 GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	已纳入 GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	已迁移至 GV.OC-03
ID.GV-04	已迁移至 GV.RM-04
ID.RM-01	已纳入 GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	已纳入 GV.RM-02, GV.RM-04
ID.RM-03	已迁移至 GV.RM-02
ID.SC-01	已纳入 GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	已纳入 GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	已迁移至 GV.SC-05
ID.SC-04	已纳入 GV.SC-07, ID.RA-10
ID.SC-05	已纳入 GV.SC-08, ID.IM-02
PR.AC-01	已纳入 PR.AA-01, PR.AA-05
PR.AC-02	已迁移至 PR.AA-06
PR.AC-03	已纳入 PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	已迁移至 PR.AA-05
PR.AC-05	已纳入 PR.IR-01
PR.AC-06	已迁移至 PR.AA-02
PR.AC-07	已迁移至 PR.AA-03
PR.AT-03	已纳入 PR.AT-01, PR.AT-02
PR.AT-04	已纳入 PR.AT-02
PR.AT-05	已纳入 PR.AT-02
PR.DS-03	已纳入 ID.AM-08, PR.PS-03
PR.DS-04	已迁移至 PR.IR-04
PR.DS-05	已纳入 PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	已纳入 PR.DS-01, DE.CM-09
PR.DS-07	已纳入 PR.IR-01
PR.DS-08	已纳入 ID.RA-09, DE.CM-09
PR.IP-01	已纳入 PR.PS-01
PR.IP-02	已纳入 ID.AM-08, PR.PS-06
PR.IP-03	已纳入 PR.PS-01, ID.RA-07
PR.IP-04	已迁移至 PR.DS-11
PR.IP-05	已迁移至 PR.IR-02
PR.IP-06	已纳入 ID.AM-08
PR.IP-07	已纳入 ID.IM, ID.IM-03
PR.IP-08	已迁移至 ID.IM-03
PR.IP-09	已迁移至 ID.IM-04
PR.IP-10	已纳入 ID.IM-02, ID.IM-04
PR.IP-11	已迁移至 GV.RR-04
PR.IP-12	已纳入 ID.RA-01, PR.PS-02
PR.MA-01	已纳入 ID.AM-08, PR.PS-03
PR.MA-02	已纳入 ID.AM-08, PR.PS-02
PR.PT-01	已纳入 PR.PS-04
PR.PT-02	已纳入 PR.DS-01, PR.PS-01
PR.PT-03	已纳入 PR.PS-01
PR.PT-04	已纳入 PR.AA-06, PR.IR-01
PR.PT-05	已迁移至 PR.IR-03
RC.CO-01	已纳入 RC.CO-04
RC.CO-02	已纳入 RC.CO-04
RC.IM-01	已纳入 ID.IM-03, ID.IM-04
RC.IM-02	已纳入 ID.IM-03
RS.AN-01	已纳入 RS.MA-02
RS.AN-02	已纳入 RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	已迁移至 RS.MA-03
RS.AN-05	已迁移至 ID.RA-08
RS.CO-01	已纳入 PR.AT-01
RS.CO-04	已纳入 RS.MA-01, RS.MA-04
RS.CO-05	已纳入 RS.CO-03
RS.IM-01	已纳入 ID.IM-03, ID.IM-04
RS.IM-02	已纳入 ID.IM-03
RS.MI-03	已纳入 ID.RA-06
RS.RP-01	已纳入 RS.MA-01

主要模式

• ID.BE（业务环境）和 ID.GV（治理）迁入新的治理功能，分别成为 GV.OC（组织环境）、GV.RR、GV.PO 和 GV.OV。
• ID.SC（供应链风险管理）变为 GV.SC，并扩展为十个子类。
• PR.AC（访问控制）变为 PR.AA（身份管理、认证与访问控制），其中网络隔离迁移至 PR.IR。
• PR.IP（信息保护流程）被拆分：配置与维护相关的成果迁移至 PR.PS（平台安全），改进相关的成果迁移至 ID.IM。
• DE.DP（检测流程）被撤销，其成果分别并入 DE.CM、DE.AE 和 ID.IM。
• 许多 RS 和 RC 子类被整合为数量更少、范围更宽的成果，归入 RS.MA、RS.AN、RS.CO 和 RC.RP。

如何更新旧映射

1. 在你的文档和工具中搜索 CSF 标识符，并逐一对照上表检查。CSF 1.1 标识符使用一位数字（PR.AC-1）；CSF 2.0 使用两位数字（PR.AA-01）。
2. 直接替换「moved to」类链接。凡是 NIST 说明子类已迁移的，新标识符即为直接替换。
3. 复核「incorporated into」类链接。2.0 中更宽泛的成果可能覆盖的范围超出你的控制项，请确认该映射仍然合理。
4. 补充新的治理成果。CSF 2.0 引入了一些没有 1.1 前身的成果，尤其是在供应链风险和监督方面。

本站为每个 CSF 2.0 子类提供了单独页面，并列出其与另外十个框架的映射；可从 CSF 2.0 框架页面开始查看。关于治理功能的实际含义，请参阅哪些框架涵盖了它。以上撤销说明来自 NIST 自身的 CSF 2.0 数据，通过其网络安全与隐私参考工具（Cybersecurity and Privacy Reference Tool）获取；方法说明请见方法论。

常见问题

NIST CSF 2.0 中哪个子类取代了 PR.AC？

CSF 1.1 中大部分 PR.AC（访问控制）子类已迁移至新的 PR.AA（身份管理、认证与访问控制）类别；NIST 的撤销说明给出了每个子类的确切去向。

我还能继续使用 CSF 1.1 吗？

可以，但 NIST 当前版本为 2.0，新的对照映射和参考信息均基于 2.0 发布。更新旧引用可以避免映射悄然指向已撤销的子类。