共同核心：所有框架都共有的安全要求

组织很少只需遵循一个安全框架。一家软件公司既要向要求提供SOC 2报告的美国客户销售，也要向要求ISO 27001的欧洲客户销售；一家支付服务商还需纳入PCI DSS；一家欧盟数字服务提供商现在又受NIS2约束。每个框架都有各自的结构、编号和术语体系，人们很容易得出结论：每个框架都意味着一套独立的计划。

事实并非如此。在各异的编号之下存在大量共同基础，其中一小部分为我们映射的每个框架所共有。我们寻找在全部十一个框架中都有映射要求的主题：NIST CSF 2.0、NIST SP 800-53、ISO 27001、CIS Controls、SOC 2、PCI DSS、CMMC Level 2、HIPAA安全规则、GDPR、NIS2以及ASD的Essential Eight。

所有框架共有的五个主题

主题	ISO 27001	SOC 2	PCI DSS	NIS2
资产管理	A.5.9	CC6.1	12.5.1	12.4
漏洞管理	A.8.8	CC7.1	6.3.1	6.5
备份与恢复	A.8.13	A1.2	9.4.1.1	4.2
事件响应	A.5.24	CC7.4	12.10.1	3.1
报告	A.5.5	CC2.3	12.10.1	3.3

50 个主题中有 5 个在全部 11 个框架中均有映射要求。每个主题页面均列出各框架的要求编号及每条链接的依据。

这就是共同核心：资产管理、漏洞管理、备份与恢复、事件响应和事件报告。十一个框架中的每一个都至少在这五个方面各有一项要求，即使是GDPR（一部隐私法律）和Essential Eight（一份简短的技术缓解措施清单）也不例外。

这份清单之所以简短是有意为之。访问控制、日志记录和加密等其他主题被十一个中的十个框架所覆盖，而大多数框架共享的主题远不止五个。但这五个是没有任何一个框架会遗漏的。

为什么是这五个

它们沿着事件的生命周期展开。你无法保护自己不知道拥有的东西（资产管理）。大多数攻击仍然利用已知弱点（漏洞管理）。出现问题时，你需要恢复系统和数据（备份与恢复）、处置事件（事件响应），并告知需要知情的人员：管理层、客户、监管机构（事件报告）。

在其他几乎所有方面，框架之间都存在分歧：治理究竟是一套管理体系还是一组成果目标，技术控制应当有多规范，各项工作须多久执行一次。但在这五个主题上它们是一致的，因为没有它们，其余部分也无法运转。

同一主题，不同深度

共享主题并不意味着要求完全相同。以漏洞管理为例：

框架	漏洞管理	链接
NIST CSF 2.0	ID.RA-01ID.RA-08	主题定义
ISO 27001	A.8.8	对照映射
CIS v8.1	CIS 7.1CIS 7.2CIS 7.5CIS 7.6CIS 7.7CIS 16.6CIS 18.1CIS 18.2CIS 18.3CIS 18.4CIS 18.5	对照映射
SOC 2	CC7.1	编辑说明
PCI DSS	6.3.111.3.111.3.2	对照映射
CMMC	RA.L2-3.11.2RA.L2-3.11.3	对照映射
800-53	RA-5CA-8	对照映射
HIPAA	§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8)	对照映射
GDPR	Art.32(1)(d)	编辑说明
NIS2	6.56.10	对照映射
Essential Eight	ISM-1807ISM-1808ISM-1698ISM-1699ISM-1701ISM-1702	编辑说明

完整详情及每条关联的依据： 漏洞管理 跨框架对照 →

ISO 27001的A.8.8要求你获取技术漏洞信息、评估自身暴露程度并采取适当措施，具体时间则由你的风险评估决定。PCI DSS要求每三个月进行一次内部扫描，并在重大变更后再次扫描（11.3.1），由获准的扫描服务商进行外部扫描（11.3.2），并在补丁发布后一个月内修复严重和高危漏洞（6.3.3）。Essential Eight设定的修补期限随成熟度等级每级收紧。HIPAA则通过其风险分析和风险管理要求涉及该主题，而非设有专门针对漏洞的要求。

因此，共同核心告诉你每个框架期望你做什么，而不是做到什么程度。在构建某项控制时，应按你所需遵循的最严格框架来设计，其他框架通常也能随之满足。

实践中的样子

• 资产管理：统一的硬件、软件、云服务和数据存储清单，明确责任人，并借助发现工具而非仅靠电子表格保持更新。
• 漏洞管理：定期扫描（内部和外部）、严重性评级、按严重性设定的修复期限，以及证明期限已达成的证据。
• 备份与恢复：对数据、软件和配置进行备份，防止被篡改和删除，并按计划测试恢复。
• 事件响应：包含角色、严重级别和升级机制的书面预案，且至少每年演练一次。
• 事件报告：明确规定须通知谁、在多长时间内、由谁通知的流程：内部管理层、合同约定的客户以及监管机构（例如NIS2的24小时预警，或GDPR要求的在72小时内向监管机构通报）。

核心为何重要

如果你正在启动安全计划，应先建设这五项。它们是你日后可能采用的每个框架中都会遇到的要求，因此这项工作不会白费。

如果你已经同时应对多个框架，可将核心作为通用控制集的骨干：为这五个主题各设一项控制，并映射到你所需遵循的每个框架，证据只需收集一次。同样的思路可延伸到被十个、九个或八个框架共有的主题。我们的覆盖矩阵展示了全部五十个主题与十一个框架的对应情况，差距分析则逐条展示任意两个框架之间有哪些要求可以沿用。

我们如何衡量

ControlMapping中的每个主题均以NIST CSF 2.0成果为定义，并列出各框架中涉及该主题的要求。当已发布的对照映射（来自NIST、ENISA、CIS或PCI SSC）支持某条链接时，标注为对照映射；当某条链接基于我们的判断时，标注为编辑说明，并显示理由。SOC 2、GDPR和Essential Eight的链接始终为编辑说明，因为这些框架不存在公开授权的对照映射。完整方法见方法论页面，上文所有数字均来自实时数据，映射变更时会随之更新。

常见问题

哪些安全控制是所有框架都要求的？

在ControlMapping的数据中，有五个主题在全部11个框架中都有对应要求：资产管理、漏洞管理、备份与恢复、事件响应和事件报告。具体措辞和深度因框架而异。

满足一个框架的版本要求，能否自动满足其他框架？

不能自动满足。映射仅表示各框架的要求涉及同一主题；其中一个框架可能具体得多（PCI DSS和Essential Eight设定了ISO 27001交由你自行决定的期限和频率）。请逐一核对各框架的原文。