ISO 27001、SOC 2 与 HIPAA 共用一份风险评估
ISO 27001、SOC 2 与 HIPAA 都以风险评估为起点。只要设计得当，能同时回应三方审计师的问题，您只需要做一次。
本文介绍的是撰写时 ControlMapping 已映射的 11 个框架。此后，DORA, CPS 234, Cyber Essentials 已于 2026-10-27 新增；其页面和覆盖矩阵均已包含这些内容。
风险评估是三个最常见框架的共同起点。ISO 27001 以风险评估为基础构建整个体系（条款 6.1.2）。SOC 2 在其通用标准中专门设立一节对此作出规定（CC3.1 至 CC3.4）。HIPAA 安全规则将风险分析列为其第一项必须实施的规范（§164.308(a)(1)(ii)(A)），也是 HHS 调查人员首先索取的文件。许多组织会分别进行三次评估，但一次就已足够。
各框架的检查重点
- ISO 27001 要求具备已定义、可重复的方法，包括风险接受准则；识别保密性、完整性和可用性方面的风险；明确风险负责人；分析发生可能性与后果；并与风险处置及适用性声明建立关联。
- SOC 2 要求明确界定足以识别风险的目标（CC3.1）；在整个实体范围内识别并分析风险（CC3.2）；考虑欺诈风险（CC3.3）；并评估变更带来的影响（CC3.4）。
- HIPAA 要求对影响 ePHI 的风险和脆弱性进行准确、全面的评估，无论 ePHI 在何处生成、接收、维护或传输；评估需保持更新，并以风险管理跟进（§164.308(a)(1)(ii)(B)）。
本站数据中这些要求直接相互关联：
| 框架 | 风险评估 | 链接 |
|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | 主题定义 |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | 对照映射 |
| CIS v8.1 | — | 本站数据中无映射 |
| SOC 2 | CC3.2CC3.4CC3.3 | 编辑说明 |
| PCI DSS | 12.3.1 | 对照映射 |
| CMMC | RA.L2-3.11.1 | 对照映射 |
| 800-53 | RA-3RA-7 | 对照映射 |
| HIPAA | §164.308(a)(1)(ii)(A) | 对照映射 |
| GDPR | Art.35(1)Art.35(7) | 编辑说明 |
| NIS2 | 2.1 | 对照映射 |
| Essential Eight | — | 本站数据中无映射 |
完整详情及每条关联的依据： 风险评估 跨框架对照 →
设计一份满足三方要求的评估
- 确定全面覆盖的范围：包括 ISMS 范围、SOC 2 系统以及 ePHI 的所有存储位置。记录每项资产分别适用哪个框架。
- 采用统一方法：基于资产或场景，配备可能性与影响量表、接受准则及风险负责人。ISO 对文件化、可重复方法的要求最为严格，因此应优先满足。
- 补充框架特定的评估要点：欺诈风险（SOC 2 CC3.3）、ePHI 特有的威胁与脆弱性（HIPAA），以及法律和合同风险。
- 将每项风险与处置措施关联：包括所选控制措施、剩余风险以及负责人的接受决定。这一张表即可支撑 ISO 适用性声明、SOC 2 的控制活动以及 HIPAA 的风险管理。
满足三类审计师要求的输出物
- 经批准的评估方法。
- 包含负责人、评分及处置决定的风险登记册。
- 带有时间节点的风险处置计划。
- 风险负责人对剩余风险的接受确认。
- 至少每年一次及重大变更后进行复核的证据。
简明风险登记表格式
每项风险占一行，即可同时满足三个框架的要求：
| 字段 | 示例 |
|---|---|
| 风险 | 勒索软件加密生产数据库 |
| 资产 | 生产数据库、备份、ePHI 存储 |
| 框架 | ISO 27001、SOC 2、HIPAA |
| 可能性与影响 | 可能发生，影响严重 |
| 现有控制 | MFA、EDR、每晚备份 |
| 处置 | 隔离备份；每季度测试恢复 |
| 负责人 | 基础设施负责人 |
| 剩余风险与接受 | 中等，由 CTO 接受 |
| 复核日期 | 下一季度 |
“框架”一列是关键：它让一份登记册即可回应三方审计师，无需三份电子表格。
核心要点
- 一套方法和一份登记册即可满足 ISO 27001、SOC 2 与 HIPAA 的要求。
- 补充框架特定的评估要点：欺诈风险与 ePHI 存储位置。
- 至少每年复核一次，并在发生重大变更后复核。
常见审计发现
- 笼统风险（如“黑客”“数据泄露”），未与具体资产或控制措施关联。
- 无风险负责人，或由安全团队负责所有风险。
- 遗漏 ePHI 存储位置：导出文件、备份、电子邮件、测试系统。
- 评估过时：仅在首次审计前评估一次，此后从未更新。
如需进一步了解这些框架之间的关系，请参阅 ISO 27001 与 HIPAA 对比 以及 风险评估主题。差距分析 可展示任意两个框架之间的全部映射关系。
常见问题
HIPAA 风险分析与 ISO 27001 风险评估是否相同？
两者高度重叠。HIPAA 要求对 ePHI 的机密性、完整性和可用性风险进行准确、全面的评估；若 ISO 27001 风险评估将 ePHI 纳入范围并记录 HIPAA 特定要素，则可同时满足两者的要求。
风险评估应多久进行一次？
ISO 27001 要求按计划的时间间隔进行风险评估，并在发生重大变更后进行。SOC 2 审计师通常期望至少每年进行一次风险评估。HIPAA 要求风险分析保持更新。
风险评估应采用定性还是定量方法？
两种方法都能满足三个框架的要求，前提是方法已明确定义、一致应用，并能产生可比的结果。大多数组织先从定性方法入手，在决策需要时再补充量化数据。
数据截至 2026-10-27：本文中的数字基于当前对照映射计算，映射更新时数字随之更新。 对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 非合规建议。
相关文章
分析 · 2026-10-27APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么ISO 27001 ISMS 几乎涵盖了 APRA CPS 234 的每一段内容，但 APRA 还增加了董事会职责、第三方保证以及严格的通知时限。
分析 · 2026-10-1311 种安全框架的 MFA 要求对比哪些框架要求 MFA、针对哪些人群以及要求强度如何：PCI DSS、CMMC、NIS2、Essential Eight、ISO 27001、SOC 2 和 HIPAA 并排对比。
分析 · 2026-09-29从 NIST CSF 2.0 视角看 HIPAA 安全规则NIST CSF 2.0 计划几乎能映射到所有 HIPAA 安全规则要求。哪些内容可以沿用、哪两项无法映射，以及 CSF 在 HIPAA 之外增加了什么。