如何在两个框架之间进行差距分析，并将其转化为跟踪表

每当需要第二个框架时，都会遇到同一个问题：我们已经具备多少？差距分析正是为了回答这个问题。如果做得不好，它只会产出一份对每项都标着“部分合规”、之后再也无人打开的电子表格。如果做得好，它会产出一份带有负责人并已估算成本的任务清单。以下是我们会采用的方法。

第一步：确定范围与方向

差距分析有明确的方向：已有一个框架（或你现有的控制措施），需要另一个框架。请把两者连同版本号，以及组织范围（涉及哪个实体、服务和地点）一并写下。差距分析最常见的失误在于两者范围不一致，例如把仅覆盖某一产品线的ISO证书，与覆盖整个实体的NIS2义务进行比对。

第二步：生成逐条要求的比对

应从映射入手，而不是从空白表格开始。ControlMapping的差距分析会列出你所需框架的每一项要求，并给出你已有框架中与之对应的匹配项：

• 已映射：已发布的对照映射或本站的编辑判断将其与你已有的某项内容相关联。
• 弱相关：仅与你已有的某项内容共享一个成果目标。应视为很可能需要新增工作。
• 本站数据中无映射：很可能需要新增工作，除非该框架的覆盖范围本身不完整。

例如，从ISO 27001迁移到NIS2：

在 NIS2 的 49 个要求点中，49（100%）可映射到 ISO 27001 中的内容，0 个仅弱相关，0 个在本站数据中无映射。 打开差距报告 →

第三步：用实际情况验证匹配项

映射只说明两项要求相关，并不表示你的实施同时满足两者。对于每一个已映射的行，请自问：

1. 我们是否真正在做所映射的那件事？ 只有当你的漏洞管理确实有效时，映射到ISO A.8.8才有帮助。
2. 新要求是否更具体？ 期限、频率、指定的技术和范围往往有所不同。
3. 这种关联是否属于编辑判断？ 检查所显示的理由，并决定你是否认同。

为每一行标注已满足、部分满足或未满足。务必诚实：过于乐观的差距分析只会把问题推迟到审计时才暴露。

第四步：导出为跟踪表

在差距视图中按下 e 键（或点击“导出 CSV”按钮）即可下载结果。每一行包含要求、其所在章节、匹配项、依据和理由，另外还有四个为后续工作预留的空白列：负责人、实施状态、证据引用和备注。可以在电子表格中打开，也可以导入你的GRC工具。

第五步：将各行转化为工作

• 按负责人和主题分组，而不是按要求编号：“供应商合同”就是一项任务，可能同时关闭六行。
• 估算每组工作量并排定顺序：治理和政策变更通常会解除技术工作的阻塞。
• 随时填写证据列，使跟踪表逐步成为你的审计档案。
• 当任一框架发生变化时重新运行分析；本站的数据更新后，我们的结果也会随之更新。

要点总结

• 首先明确范围和方向：已有框架A，需要框架B，并注明版本。
• 从映射入手，然后根据你的实际做法验证每一项匹配。
• 将结果导出为包含负责人、状态和证据列的跟踪表，并将各行整理为分组工作。

常见错误

• 与已被取代的版本进行比对（CSF 1.1、ISO 27001:2013、PCI DSS v3.2.1）。
• 将“弱相关”视为已覆盖。
• 完全忽略映射之外的要求：例如事件报告期限之类的法律义务，往往不在任何控制目录之中。

如需完整示例，请参阅ISO 27001与NIS2逐条对比以及对比页面，它们各自都是现成的双向差距分析。

常见问题

什么是合规差距分析？

逐条要求的比对，将你已经做到的（或已符合的框架）与你需要的框架的要求进行对照，识别哪些内容已覆盖、部分覆盖以及缺失。

差距分析需要多长时间？

借助ControlMapping的差距分析等工具，映射可在几分钟内生成。真正的工作在于依据你的实际控制措施和证据进行验证，通常需要数天到数周，具体取决于范围。

差距分析中的“弱相关”是什么意思？

这两项要求仅共享一个NIST CSF 2.0成果目标；没有人将它们彼此映射。应将其视为需要核查的线索，通常应作为新增工作处理，而不能视为已覆盖。