各框架的加密要求对比：各框架规定了什么，又把什么留给了你
每个主要框架都要求加密，但很少有框架指定具体算法。真正的差异在于加密何时强制、是否要求经过验证的模块，以及它们对密钥管理的规定有多详细。
本文介绍的是撰写时 ControlMapping 已映射的 11 个框架。此后，DORA, CPS 234, Cyber Essentials 已于 2026-10-27 新增；其页面和覆盖矩阵均已包含这些内容。
加密是少数几个所有安全框架都以某种形式要求的控制措施之一。不过，仔细研读要求就会发现，它们在三个方面存在差异，而这些差异远比算法选择更重要：何时必须加密、是否必须使用经过验证的密码模块，以及它们对密钥管理的规定有多详细。
谁要求什么
| 框架 | 加密 | 链接 |
|---|---|---|
| NIST CSF 2.0 | PR.DS-01PR.DS-02 | 主题定义 |
| ISO 27001 | A.8.24 | 对照映射 |
| CIS v8.1 | CIS 3.10CIS 3.11CIS 3.6CIS 3.9 | 对照映射 |
| SOC 2 | CC6.1CC6.7 | 编辑说明 |
| PCI DSS | 3.5.13.6.14.2.13.7.13.7.44.2.1.1 | 对照映射 |
| CMMC | SC.L2-3.13.8SC.L2-3.13.11SC.L2-3.13.16AC.L2-3.1.13AC.L2-3.1.19SC.L2-3.13.10MP.L2-3.8.6 | 对照映射 |
| 800-53 | SC-8SC-12SC-13SC-28 | 对照映射 |
| HIPAA | §164.312(a)(2)(iv)§164.312(e)(2)(ii) | 对照映射 |
| GDPR | Art.32(1)(a)Art.34(3)(a) | 编辑说明 |
| NIS2 | 9.1 | 对照映射 |
| Essential Eight | — | 本站数据中无映射 |
完整详情及每条关联的依据： 加密 跨框架对照 →
何时必须加密
- PCI DSS的态度很明确。存储的主账号（PAN）必须做不可读处理（3.5.1），在开放的公共网络上传输PAN时必须使用强加密进行保护（4.2.1）。
- CMMC Level 2要求对传输中的CUI（SC.L2-3.13.8）、静态CUI（SC.L2-3.13.16）、移动设备上的CUI（AC.L2-3.1.19）以及便携存储介质上的CUI（MP.L2-3.8.6）进行加密保护。
- HIPAA将静态和传输中的ePHI加密设为可寻址（addressable）规范：要么实施，要么记录为何采用同等替代措施是合理的。实践中，丢失的笔记本电脑上存有未加密的ePHI，很难自圆其说。HHS于2025年1月提议将加密设为强制要求。
- GDPR将加密列为应予考虑的措施（第32条第1款(a)项），并给出了具体好处：如果泄露的数据已加密，你可能无需通知受影响的个人（第34条第3款(a)项）。
- ISO 27001（A.8.24）、SOC 2（CC6.1、CC6.7）和NIS2（第9.1点，加密政策）要求你判断何处需要密码技术并加以应用，而不是要求处处加密。
经过验证的密码技术
只有美国联邦体系坚持要求使用经过验证的模块。CMMC Level 2要求使用经FIPS验证的密码技术保护CUI的机密性（SC.L2-3.13.11），SP 800-53体系则使用经FIPS验证的模块（SC-13）。其他框架大多只要求“强”或“适当”的密码技术。对承包商而言，这一差异决定了你能使用哪些库、VPN和磁盘加密产品。
密钥管理
在密钥管理方面，各框架的详细程度差异最大。PCI DSS在3.6和3.7中对此作了详细规定：密钥的生成、分发、存储，密钥到期时按加密周期更换，废弃已泄露的密钥，秘密分割与双人控制，以及密钥保管人的确认书。它还要求对可信密钥和证书进行清点（4.2.1.1）。SP 800-53（SC-12）和CMMC（SC.L2-3.13.10）要求建立和管理密钥。ISO 27001要求制定密码技术有效使用的规则（包括密钥管理），但具体细节留给你自行确定。
核心要点
- 框架很少指定算法；它们的差异在于加密何时强制、经过验证的模块以及密钥管理。
- PCI DSS和CMMC要求最严格；HIPAA的加密规范属于可寻址性质。
- 无论你是否适用PCI，都可以把PCI的密钥管理细则当作检查清单。
行动建议
- 默认加密：敏感数据在静态和传输过程中都应加密。几乎每个框架体系都在某些地方强制要求加密，而豁免理由很难站得住脚。
- 购买产品前确认是否需要经过验证的模块（适用于CMMC、FedRAMP及其他联邦项目）。
- 将密钥管理写成文件，细致程度达到PCI的水平，即便PCI不适用于你；这是现有最完整的检查清单。
- 在加密政策中记录密码技术决策（NIS2第9.1点、ISO A.8.24），并定期审查密码套件（PCI 12.3.3要求每年审查）。
加密主题页面列出了每项要求及其来源，差距分析则可逐条比较任意两个框架的要求。
常见问题
HIPAA是否要求加密？
根据现行《安全规则》，ePHI的静态加密（§164.312(a)(2)(iv)）和传输中加密（§164.312(e)(2)(ii)）属于可寻址规范：你必须实施，或记录为何采用同等措施是合理的。HHS于2025年1月提议将加密设为强制要求。
哪些框架要求使用经FIPS验证的密码技术？
CMMC Level 2要求使用经FIPS验证的密码技术保护CUI的机密性（SC.L2-3.13.11），根据SP 800-53，美国联邦系统使用经FIPS验证的模块（SC-13）。
框架要求使用哪些加密算法？
很少有框架指定算法。PCI DSS要求基于业界认可的算法和密钥长度的强加密；美国联邦系统使用经FIPS验证的模块；ASD的ISM列出了认可的算法和协议。大多数其他框架则根据当前标准，将选择权留给你。
数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。 对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。
相关文章
分析 · 2026-10-27APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么ISO 27001 ISMS 几乎涵盖了 APRA CPS 234 的每一段内容，但 APRA 还增加了董事会职责、第三方保证以及严格的通知时限。
分析 · 2026-10-27Cyber Essentials与Essential Eight对比：两项国家基线的比较英国的Cyber Essentials和澳大利亚的Essential Eight都针对常见攻击，但覆盖范围各不相同。哪些内容重叠，哪些不重叠，以及原因何在。
分析 · 2026-10-27DORA 与 NIS2 对比：已有 NIS2 计划能覆盖什么DORA 与 NIS2 的安全内容大部分相同，但 DORA 增加了登记册、合同条款和威胁驱动测试。逐条说明哪些内容可以延续沿用。