为何我们将每个映射标注为“对照映射”或“编辑说明”

ControlMapping 上的每个映射都带有两种标记之一。“对照映射”表示有已发布的对照映射支持该链接：NIST、ENISA、CIS 或 PCI SSC 已表明这些要求相关。“编辑说明”表示这是我们的判断，并附有书面理由。这是本站最重要的设计决定，它源于一个简单的观察：流通中的大多数框架映射都无法分辨两者的区别。

它解决的问题

映射就是一个主张：“这项要求与那项要求相关。”有些主张基于经过公开征询意见的官方对照映射，另一些则只是某位分析师的判断。两者都可能正确。但当它们看起来完全相同时，每条映射都会继承最可靠那条的可信度，而每个错误则隐藏在其余映射之中。这就是为什么组织会向审计师宣称某项控制“满足”某项要求，理由仅仅是某个工具这么说了。

标签带来的可能

• 你可以权衡证据。 来自 NIST 自身映射的对照映射链接证据力强；编辑说明链接则是一个有理由的观点，需要你去核实。
• 错误可以被找到。 当我们审核自身数据中的错误时，标签和理由使其更易定位和修正。一条未标注的对照映射，对审核人员来说没有任何可依据的内容。
• 坦承局限。 有些框架根本没有公开许可的对照映射（SOC 2、GDPR、Essential Eight）。将它们的每条链接都标注为编辑说明，直接告诉你这一点，而不是暗示一个并不存在的权威来源。

以下是目前划分的实际情况：

框架	映射关系	对照映射	编辑说明	对照覆盖占比
NIS2	65	64	1	98%
ISO 27001	105	99	6	94%
800-53	120	106	14	88%
CMMC	72	60	12	83%
HIPAA	47	36	11	77%
PCI DSS	95	70	25	74%
CIS v8.1	163	40	123	25%
SOC 2	66	0	66	0%
GDPR	34	0	34	0%
Essential Eight	62	0	62	0%
全部	829	475	354	57%

为什么不只发布对照映射链接？

因为对照映射存在缺口。CIS 已发布的映射只覆盖 153 项保障措施中的 49 项；PCI SSC 的映射遗漏了部分核心要求；SOC 2 则没有任何我们可用的对照映射。如果网站只显示对照映射链接，SOC 2 就会显示为未映射，CIS 的大部分内容也会显示为缺失，这既降低了实用性，也在某种程度上造成误导。编辑说明链接填补了这些空白，并加以标注，让你清楚自己依赖的是什么。

标签背后的规则

• 每条编辑说明链接都必须附有理由。
• 只有当对照映射确实支持该链接时，该链接才计为对照映射：框架层级的引用，以及经过编辑说明链接的间接链，都不计入。
• 每次构建时，都会依据官方目录验证每一个要求 ID。
• “弱相关”单独显示，且从不计入覆盖率。

编辑说明链接是什么样子

编辑说明链接从来不只是两个 ID 之间的一条连线。每条链接都附有一段简短理由，任何人都可以核对。例如，SOC 2 CC4.1（对内部控制的持续及独立评估）与 ISO 27001 第 9.2 条（内部审核）相链接，并注明两者都要求通过监控、内部审核和独立复核，对控制是否有效进行独立评估。持不同意见的读者可以清楚看到我们的假设，并告诉我们。可在 CC4.1 要求页面查看。

关键要点

• 标签让你能够权衡每条映射的证据。
• 编辑说明链接附带理由，填补已发布对照映射中的真实缺口。
• 每一份合规映射都应显示其来源。

我希望其他人做到的事

为你的映射加上标签。成本几乎为零，却能改变人们对其可信度的判断。如果你开发合规工具，请显示每条链接的来源；如果你采购此类工具，请要求提供。我们的方法论解释了每项规则，下载页面则包含每项映射的依据，方便你核查我们的工作，并告诉我们哪里有误。

常见问题

ControlMapping 上的对照映射链接是什么意思？

已发布的权威来源（NIST、ENISA、CIS 或 PCI SSC）的对照映射支持该链接，可以是直接支持，也可以通过本身已有对照映射链接的 SP 800-53 控制间接支持。

编辑说明链接是什么意思？

没有已发布的对照映射支持该链接，但 ControlMapping 判定这些要求相关；理由始终会显示，便于你核对。

我可以对映射提出更正建议吗？

可以。每个要求页面都有一个链接，说明如何报告错误或缺失的映射；请附上 ID、你预期的框架以及你的来源。