对比

ISO 27001 对比 PCI DSS：管理体系与规定性的支付卡数据规则

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · 数据截至 2026-10-27

按 Paul Gillet · 更新于 2026-10-17

PCI DSS v4.0.1 是支付卡品牌对任何存储、处理或传输持卡人数据的机构提出的合同性要求。它属于规定性标准：约 250 项明确定义的要求及测试程序，依据您所属的等级，由合格安全评估商（QSA）验证，或通过自评问卷（SAQ）完成。ISO/IEC 27001 则基于风险：您针对自行界定的范围，选择并论证控制措施。

基于 ISO 27001 的 ISMS 为 PCI 工作提供了坚实基础。治理、风险评估、策略、访问控制、日志记录和事件管理均可直接沿用，而 ISO 的风险管理流程也有助于应对 PCI DSS v4 中有针对性的风险分析。

从 ISO 转向 PCI DSS，预计会遇到大量无法对应以及仅弱相关的要求。这并非因为 ISO 较弱，而是因为 PCI 明确规定了具体做什么以及做的频率：持卡人数据环境的网络安全控制规则、存储账户数据和 PAN 的保护、特定的身份验证及 MFA 要求、季度扫描和年度渗透测试、文件完整性监控以及支付页面脚本控制。另外，这也部分受限于数据：NIST 的 PCI 对照映射仅覆盖标准的一部分，因此有些 PCI 要求并未公布与任何内容的关联。

从 PCI DSS 转向 ISO，对附录 A 的覆盖情况良好，差距在于管理体系本身：ISMS 范围、目标、成文信息、内部审核和管理评审。

概览

	ISO 27001	PCI DSS
保护对象	ISMS 范围内的全部信息	支付账户数据及其周边系统
规定性程度	基于风险：由您选择控制措施	规定性：具体要求，许多带有固定频率
谁要求	客户与投标	卡品牌，通过收单合同传导
评估	认证机构	QSA 合规报告，或自评问卷
频率	年度监督审核，每三年再认证	每年一次，另加季度外部扫描

将 ISO 27001 用于 PCI DSS

将持卡人数据环境纳入范围的 ISMS，可覆盖 PCI DSS 大部分的策略、风险与治理工作，许多技术领域也能对应。新增工作通常是 PCI 的具体设置和频率：由认可扫描服务商（ASV）执行的季度外部扫描、进入持卡人数据环境的全部访问均需 MFA、支付页面脚本控制、日志审查周期以及密钥管理细节。下方的“无映射”列表即为查找入口。

谁需要哪种

PCI DSS 适用于任何存储、处理或传输支付卡数据，或可能影响其安全性的机构，因为卡品牌通过收单合同要求执行。验证方式取决于等级：最大的商户和服务提供商需要由合格安全评估商（QSA）出具年度合规报告；大多数其他机构则完成自评问卷。ISO 27001 为自愿性质，范围更广：涵盖机构全部信息安全，而不仅限于卡数据，并以客户认可的证书作为结果。

在构建控制措施之前缩减 PCI 范围

最便宜的 PCI DSS 要求，就是不适用于您的那一条。在将 ISO 控制措施映射到 PCI 之前，先缩小持卡人数据环境：

外包支付页面。 将访客重定向至或嵌入 PCI 合规支付服务商页面的电商网站，可使卡数据不经过自有服务器，并可能符合最简短的问卷 SAQ A 资格。
令牌化。 用支付服务商提供的令牌替换已存储的卡号，使您从不持有主账号（PAN）。
分段。 将必须接触卡数据的系统与其他系统隔离，并测试分段效果。

每一个移出范围的系统，都会一次性减少数十项要求。

成本与投入

对于已通过 ISO 认证的机构，PCI DSS 成本几乎完全取决于范围。若支付页面完全外包，工作量可能仅为一份简短问卷和少量控制措施。若卡数据位于自有系统中，则需在要求 3（存储数据）、8（身份验证）、10（日志记录）和 11（测试）上投入大量工作，此外还需认可扫描服务商（ASV）进行季度外部扫描，在更高等级下还需进行 QSA 评估。治理工作负担较轻，因为 ISMS 已涵盖要求 12 的大部分内容。

时间表

先规划范围缩减，它可能彻底改变时间表。对于范围内环境，已通过 ISO 认证的机构通常需要三到九个月，才能在首次评估前弥补 PCI 专项技术差距；季度扫描须在评估日期前已开始运行。请将 PCI 的固定频率（季度扫描、每六个月审查、年度测试）纳入 ISMS 日程，以便内部审核与其他事项一并检查。

实例：一家在线零售商

一家中型在线零售商的电商平台已获得 ISO 27001 认证，并在自有服务器上处理卡支付。其收单行要求提供 PCI DSS 验证。差距分析显示，治理、事件响应和供应商管理方面重叠度高，但在要求 3（存储账户数据）、6.4（支付页面安全）和 11（ASV 扫描及渗透测试）方面差距较大。

该零售商首先将结账流程重构为来自其支付服务商的嵌入式支付页面，并对已存储卡片进行令牌化。其自有系统不再接触卡号，大部分差距随之消除，并以一份简短的自评问卷完成验证。其 ISO 控制措施覆盖剩余部分，PCI 的频率要求则写入现有程序。

常见错误

先映射后定范围。 为一个本可通过令牌化或外包支付页面予以消除的持卡人数据环境构建控制措施。
沿用 ISO 频率。 年度访问审查满足 ISO 要求；而 PCI DSS 要求每六个月一次。应按 PCI 的节奏进行设计。
忘记 ASV。 外部扫描必须由认可扫描服务商（ASV）执行，每季度一次，且结果须通过。
将 ISO 证书当作 PCI 证据。 评估人员需要针对每项要求提供 PCI 专项证据。
忽视支付页面。 脚本管理和支付页面的篡改检测，是 v4.0.1 中最常被遗漏的要求之一。

核心要点

在 PCI 中，范围决定一切：对持卡人数据环境进行分段，可大幅减少工作量。
ISO → PCI：需将 ISO 控制措施明确映射到每项 PCI 要求，并预期补充频率和技术细节。
PCI DSS v4.0 的未来生效要求已于 2025 年 3 月 31 日成为强制性要求；请确认您是依据 v4.0.1 进行评估的。

下载此对比（CSV）在差距分析中打开 →

已有 ISO 27001 → 需要 PCI DSS

260 项要求

77 项已映射 · · 107 项无映射在差距视图中打开 →

在 260 项 PCI DSS v4.0.1 要求中，77 项可映射到 ISO 27001 中的内容，76 项仅弱相关，107 项在本站数据中无映射。

可能需要新增工作：PCI DSS 项要求在 ISO 27001 中没有对应映射 (107)

PCI DSS	要求	匹配	ISO 27001	证据
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.2.5	Allowed services, protocols and ports approved	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.2.6	Security features defined for insecure services	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.2.7	Network security control rules reviewed every six months	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.2.8	Network security control configuration files secured	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.3.2	Outbound traffic from the CDE restricted	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.3.3	Network controls between wireless networks and the CDE	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.4.2	Inbound traffic from untrusted networks restricted	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.4.3	Anti-spoofing measures in place	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.4.4	Stored cardholder data not reachable from untrusted networks	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.4.5	Internal IP addresses and routing not disclosed	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
1.5.1	Controls on devices connecting to untrusted networks and the CDE	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
2.2.4	Only necessary services and functions enabled	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
2.2.5	Insecure services justified and secured	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
2.2.6	System security parameters set to prevent misuse	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
2.2.7	Non-console administrative access encrypted	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
2.3.2	Wireless keys changed when key holders leave	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.3.1.2	Card verification code not kept after authorisation	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.3.1.3	PIN and PIN block not kept after authorisation	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.3.2	Sensitive authentication data encrypted before authorisation	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.3.3	Issuer storage of sensitive authentication data limited and protected	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.5.1.2	Disk-level encryption used only where it suffices	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.2	Key management: secure key distribution	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.3	Key management: secure key storage	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.5	Key management: retiring weakened or compromised keys	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.6	Key management: split knowledge and dual control	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.7	Key management: preventing unauthorised key substitution	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.8	Key custodians formally acknowledge their responsibilities	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
3.7.9	Service providers give customers key-handling guidance	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
4.2.2	PAN secured when sent by end-user messaging	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
5.3.3	Removable media scanned or analysed	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
5.3.4	Anti-malware audit logs enabled and retained	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
5.3.5	Users cannot disable or alter anti-malware	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
6.5.2	PCI DSS requirements re-confirmed after significant changes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
6.5.3	Pre-production environments separated from production	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
6.5.4	Duties separated between production and pre-production	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
6.5.5	Live PANs not used in pre-production	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
6.5.6	Test data and accounts removed before go-live	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
7.2.5	System and application accounts least privilege	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
7.2.6	Access to cardholder data repositories restricted	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
7.3.1	Access control system restricts access by need	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
7.3.2	Access control system enforces assigned permissions	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
7.3.3	Access control system set to deny by default	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.2.4	User ID changes authorised and controlled	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.2.7	Third-party remote access accounts enabled only when needed	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.3.2	Authentication factors unreadable in transit and storage	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.3.3	Identity verified before changing authentication factors	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.3.4	Account lockout after repeated failed attempts	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.3.11	Tokens, smart cards and certificates assigned to individuals	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
8.6.1	Interactive use of system accounts managed	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.3.3	Visitor badges returned or deactivated	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.3.4	Visitor log maintained and retained	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.4.1	Media with cardholder data physically secured	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.4.3	Media sent off site tracked and secured	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.4.4	Management approves media moved off site	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.4.5	Inventory logs of electronic media kept	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.4.5.1	Electronic media inventories at least annually	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.5.1	Card-reading (POI) devices protected from tampering	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
9.5.1.3	Staff trained to spot POI tampering	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.2	Logs capture administrative actions	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.3	Logs capture access to audit logs	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.4	Logs capture invalid access attempts	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.5	Logs capture credential and privilege changes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.6	Logs capture starting, stopping or pausing logging	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.2.1.7	Logs capture system-level object changes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.4.2	Other logs reviewed periodically	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.4.3	Exceptions and anomalies addressed	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.6.2	Time configuration correct and consistent	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
10.7.3	Security control failures responded to promptly	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.3.1.2	Internal scans use authenticated scanning	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.3.1.3	Internal scans after significant changes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.3.2.1	External scans after significant changes	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.1	Penetration testing methodology defined	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.2	Internal penetration test at least annually	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.3	External penetration test at least annually	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.5	Segmentation controls tested at least annually	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.6	Service providers test segmentation every six months	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.4.7	Multi-tenant providers support customer penetration tests	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.5.1.1	Service providers detect covert malware communication	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
11.5.2	Change-detection on critical files	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
12.4.1	Service providers: executive responsibility for PCI DSS compliance	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
12.5.2.1	Service providers confirm scope every six months	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
12.6.2	Awareness programme reviewed annually	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
12.6.3.1	Training covers phishing and social engineering	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
12.6.3.2	Training covers acceptable use of technology	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.1.2	Multi-tenant providers: customers confined to their own environment	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.1.3	Multi-tenant providers: customers reach only their own data	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.1.4	Multi-tenant providers: separation tested every six months	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.2.1	Multi-tenant providers: audit logging for each customer	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.2.2	Multi-tenant providers: support customer forensic investigations	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A1.2.3	Multi-tenant providers: report suspected incidents to customers	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A2.1.1	POI terminals using SSL or early TLS not exploitable	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A2.1.2	Service providers: migration plan off SSL and early TLS	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。
A2.1.3	Service providers offer a secure connection option	本站数据中无映射	—	本站数据中没有映射到 ISO 27001 的内容。

请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (76)

PCI DSS	要求	匹配	ISO 27001	证据
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
1.1.2	Roles for network security controls assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
1.2.4	Accurate account-data flow diagram maintained	弱相关	A.5.19 A.5.20 A.5.22+5	仅共享 CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…：属相关关系，并非映射
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
2.1.2	Roles for secure configuration assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
2.3.1	Wireless vendor defaults changed	弱相关	A.5.15 A.5.3 A.5.10+5	仅共享 CSF PR.AA-03, PR.DS-02：属相关关系，并非映射
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
3.1.2	Roles for protecting stored account data assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
3.5.1.3	Disk encryption access managed separately from OS access	弱相关	A.5.15 A.5.1 A.5.3+5	仅共享 CSF PR.AA-03, PR.DS-01：属相关关系，并非映射
3.6.1.1	Service providers document their cryptographic architecture	弱相关	A.5.15 A.5.16 A.8.2+5	仅共享 CSF PR.AA-01, PR.DS-01, PR.AA-04：属相关关系，并非映射
3.6.1.2	Secret and private keys stored in approved forms	弱相关	A.5.15 A.5.16 A.8.2+5	仅共享 CSF PR.AA-01, PR.DS-01, PR.AA-04：属相关关系，并非映射
3.6.1.3	Cleartext key components accessible to fewest custodians	弱相关	A.5.15 A.5.16 A.8.2+5	仅共享 CSF PR.AA-01, PR.DS-01, PR.AA-04：属相关关系，并非映射
3.6.1.4	Keys stored in the fewest possible locations	弱相关	A.5.15 A.5.16 A.8.2+5	仅共享 CSF PR.AA-01, PR.DS-01, PR.AA-04：属相关关系，并非映射
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
4.1.2	Roles for protecting data in transit assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
5.1.2	Roles for malware protection assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
5.2.3	Systems without anti-malware periodically re-evaluated	弱相关	A.8.20 A.8.21 A.8.22+1	仅共享 CSF PR.IR-01：属相关关系，并非映射
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	弱相关	A.5.1 A.8.20 A.8.21+4	仅共享 CSF GV.RM-03, GV.RM-06, PR.IR-01：属相关关系，并非映射
5.3.2.1	Scan frequency set by targeted risk analysis	弱相关	A.5.1 Clause 6.1.2 Clause 6.1.3	仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
6.1.2	Roles for secure systems and software assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
6.2.3.1	Manual code reviews approved by someone else	弱相关	A.5.8 A.5.9 A.5.11+5	仅共享 CSF ID.AM-08：属相关关系，并非映射
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	弱相关	A.5.1 A.5.3 A.5.14+5	仅共享 CSF GV.PO-02, PR.AA-05：属相关关系，并非映射
7.1.2	Roles for access restriction assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
7.2.5.1	System and application account access periodically reviewed	弱相关	A.5.1 A.5.3 A.5.14+5	仅共享 CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05：属相关关系，并非映射
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	弱相关	A.5.1 A.5.3 A.5.14+5	仅共享 CSF GV.PO-02, PR.AA-05：属相关关系，并非映射
8.1.2	Roles for identification and authentication assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
8.2.2	Shared or generic accounts only by documented exception	弱相关	A.7.4 A.8.2 A.8.3+3	仅共享 CSF DE.CM-03, PR.AA-02：属相关关系，并非映射
8.2.5	Access revoked immediately on termination	弱相关	A.5.19 A.5.20 A.5.21+5	仅共享 CSF GV.SC-10：属相关关系，并非映射
8.2.6	Inactive user accounts disabled within 90 days	弱相关	A.5.1 A.5.3 A.5.14+5	仅共享 CSF PR.AA-05：属相关关系，并非映射
8.2.8	Re-authentication after 15 minutes idle	弱相关	A.5.15 A.5.3 A.5.10+5	仅共享 CSF PR.AA-03, PR.DS-10：属相关关系，并非映射
8.3.5	First-use and reset passwords unique and changed	弱相关	A.8.2 A.8.3 A.8.5	仅共享 CSF PR.AA-02：属相关关系，并非映射
8.3.6	Minimum password length and complexity	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.7	Recent passwords cannot be reused	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.8	Authentication guidance communicated to users	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.9	Password-only access: change every 90 days or analyse risk	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.10	Service providers give customers password guidance	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.10.1	Service provider customer passwords: rotation or analysis	弱相关	A.5.15 A.5.16 A.5.17+2	仅共享 CSF PR.AA-03：属相关关系，并非映射
8.6.2	No hard-coded passwords for system accounts	弱相关	A.5.15 A.5.16 A.5.18+2	仅共享 CSF PR.AA-01：属相关关系，并非映射
8.6.3	System account passwords protected and changed	弱相关	A.5.1 Clause 6.1.3 A.5.15+5	仅共享 CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01：属相关关系，并非映射
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+5	仅共享 CSF GV.PO-02：属相关关系，并非映射
9.1.2	Roles for physical security assigned	弱相关	A.5.2 A.5.3 A.7.5+5	仅共享 CSF GV.RR-02, PR.IR-02：属相关关系，并非映射
9.2.4	Consoles in sensitive areas locked when unattended	弱相关	A.5.15 A.5.16 A.5.17+5	仅共享 CSF PR.AA-03：属相关关系，并非映射
9.4.1.2	Security of offline backup location reviewed annually	弱相关	A.8.13 A.7.4	仅共享 CSF PR.DS-11, RC.RP-03, DE.CM-02：属相关关系，并非映射
9.4.6	Hard-copy media destroyed when no longer needed	弱相关	A.5.20 Clause 4.2 A.5.1+5	仅共享 CSF GV.OC-03, GV.SC-10, PR.DS-01：属相关关系，并非映射
9.4.7	Electronic media destroyed or made unrecoverable	弱相关	A.5.20 A.8.13 Clause 4.2+5	仅共享 CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11：属相关关系，并非映射
9.5.1.1	Inventory of POI devices kept	弱相关	A.5.9 A.5.19 A.5.20+5	仅共享 CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09：属相关关系，并非映射
9.5.1.2	POI devices inspected for tampering	弱相关	A.7.4 A.5.9 A.5.19+5	仅共享 CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09：属相关关系，并非映射
9.5.1.2.1	Inspection frequency set by targeted risk analysis	弱相关	A.5.1 Clause 6.1.2 Clause 6.1.3+5	仅共享 CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07：属相关关系，并非映射
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
10.1.2	Roles for logging and monitoring assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
10.2.2	Log entries record who, what, when, where and outcome	弱相关	A.5.25 A.5.27 A.5.28	仅共享 CSF RS.AN-03, RS.AN-07：属相关关系，并非映射
10.3.1	Read access to logs limited to need	弱相关	A.5.26 A.5.28 A.8.15+1	仅共享 CSF DE.AE-06, RS.AN-06, PR.PS-04：属相关关系，并非映射
10.3.3	Logs promptly backed up to a central server	弱相关	A.5.28 A.8.15 A.5.24+4	仅共享 CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…：属相关关系，并非映射
10.3.4	File-integrity monitoring on logs	弱相关	A.5.24 A.5.25 A.5.28+5	仅共享 CSF DE.AE-02, RS.AN-06：属相关关系，并非映射
10.4.2.1	Review frequency set by targeted risk analysis	弱相关	A.5.1 Clause 6.1.3 A.5.9+5	仅共享 CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05：属相关关系，并非映射
10.6.3	Time settings protected from change	弱相关	A.8.15 A.8.17	仅共享 CSF PR.PS-04：属相关关系，并非映射
10.7.1	Service providers detect security control failures	弱相关	A.5.1 A.5.19 Clause 9.1+5	仅共享 CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03：属相关关系，并非映射
10.7.2	Critical security control failures detected and reported	弱相关	A.5.1 A.5.19 Clause 9.1+5	仅共享 CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…：属相关关系，并非映射
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	弱相关	A.5.1 A.5.31 A.5.32+2	仅共享 CSF GV.PO-02：属相关关系，并非映射
11.1.2	Roles for security testing assigned	弱相关	A.5.2 A.5.3 Clause 7.2	仅共享 CSF GV.RR-02：属相关关系，并非映射
11.2.1	Wireless access points detected and unauthorised ones handled	弱相关	A.8.15 A.8.16 A.8.20+3	仅共享 CSF DE.CM-01, PR.IR-01：属相关关系，并非映射
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	弱相关	A.5.1 Clause 6.1.2 Clause 6.1.3+2	仅共享 CSF GV.RM-03, GV.RM-06, ID.RA-05：属相关关系，并非映射
11.4.4	Penetration test findings corrected and retested	弱相关	A.5.19 A.5.1 A.5.35+5	仅共享 CSF GV.OV-02, GV.OV-03, ID.IM-02：属相关关系，并非映射
11.6.1	Payment page changes and tampering detected	弱相关	A.5.19 A.5.1 A.5.20+5	仅共享 CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…：属相关关系，并非映射
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	弱相关	A.5.1 A.8.32 Clause 6.1.2+1	仅共享 CSF GV.RM-06, ID.RA-07：属相关关系，并非映射
12.3.3	Cipher suites and protocols reviewed annually	弱相关	A.5.1 A.5.3 A.5.10+5	仅共享 CSF GV.RM-03, GV.RM-06, PR.DS-02：属相关关系，并非映射
12.3.4	Hardware and software technologies reviewed annually	弱相关	A.5.19 A.5.1 A.5.20+5	仅共享 CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…：属相关关系，并非映射
12.4.2.1	Service providers: quarterly review results documented	弱相关	A.5.1 A.5.19 A.5.35+5	仅共享 CSF GV.OV-01, GV.OV-02, ID.IM-01：属相关关系，并非映射
12.5.3	Service providers review scope after organisational change	弱相关	A.5.1 A.5.19 Clause 6.1.3+5	仅共享 CSF GV.OV-02, GV.RM-03, GV.RM-05：属相关关系，并非映射
12.9.1	Service providers acknowledge responsibilities to customers	弱相关	A.5.19 A.5.20 A.5.31+5	仅共享 CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…：属相关关系，并非映射
12.9.2	Service providers support customer compliance requests	弱相关	A.5.19 A.5.20 A.5.31+5	仅共享 CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…：属相关关系，并非映射
12.10.4.1	Training frequency set by targeted risk analysis	弱相关	A.5.1 A.5.2 A.6.3+3	仅共享 CSF GV.RM-03, GV.RM-06, PR.AT-02：属相关关系，并非映射
12.10.5	Plan covers alerts from security monitoring	弱相关	A.5.26	仅共享 CSF GV.SC-08：属相关关系，并非映射
12.10.7	Procedures for PAN found where it shouldn't be	弱相关	A.5.9	仅共享 CSF ID.AM-07：属相关关系，并非映射

已映射 (77)

PCI DSS	要求	匹配	ISO 27001	证据
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	编辑说明	A.8.20 A.8.21 A.8.22	相同主题：防火墙 / 网络分段 (编辑推荐)
1.2.3	Accurate network diagram maintained	对照映射	A.8.20 A.8.21 A.8.22	相同主题：防火墙 / 网络分段
1.3.1	Inbound traffic to the CDE restricted	编辑说明	A.8.20 A.8.21 A.8.22	相同主题：防火墙 / 网络分段 (编辑推荐)
1.4.1	Network controls between trusted and untrusted networks	编辑说明	A.8.20 A.8.21 A.8.22	相同主题：防火墙 / 网络分段 (编辑推荐)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	对照映射	A.8.9	相同主题：安全配置
2.2.2	Vendor default accounts managed or removed	对照映射	A.8.9	相同主题：安全配置
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	对照映射	A.5.14 A.8.10 A.8.11	相同主题：数据保护
3.3.1	Sensitive authentication data not kept after authorisation	对照映射	A.5.14 A.8.10 A.8.11	相同主题：数据保护
3.4.1	PAN masked when displayed	对照映射	A.5.14 A.8.10 A.8.11	相同主题：数据保护
3.4.2	PAN copying prevented over remote-access technologies	编辑说明	A.8.12	相同主题： DLP (编辑推荐)
3.5.1	PAN rendered unreadable wherever stored	对照映射	A.8.24	相同主题：加密
3.6.1	Procedures protect keys that secure stored account data	对照映射	A.8.24	相同主题：加密
3.7.1	Key management: strong key generation	编辑说明	A.8.24	相同主题：加密 (编辑推荐)
3.7.4	Key management: key changes at end of cryptoperiod	编辑说明	A.8.24	相同主题：加密 (编辑推荐)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	对照映射	A.8.24	相同主题：加密
4.2.1.1	Inventory of trusted keys and certificates kept	编辑说明	A.8.24	相同主题：加密 (编辑推荐)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	对照映射	A.8.19 A.8.1 A.8.7	相同主题：终端防护
5.2.2	Anti-malware detects, removes or contains known malware	对照映射	A.8.19 A.8.1 A.8.7	相同主题：终端防护
5.3.2	Periodic scans or continuous behavioural analysis	对照映射	A.8.19 A.8.1 A.8.7	相同主题：终端防护
5.4.1	Mechanisms to detect and protect against phishing	编辑说明	A.5.14	相同主题：邮件安全 (编辑推荐)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	编辑说明	A.8.25 A.8.26 A.8.28+1	相同主题：安全开发 (编辑推荐)
6.2.2	Developers trained in secure software development	对照映射	A.8.25 A.8.26 A.8.28+1	相同主题：安全开发
6.2.3	Custom code reviewed before release	对照映射	A.8.5 A.8.25 A.8.26+2	相同主题： API 安全, 安全开发
6.2.4	Coding techniques prevent common software attacks	编辑说明	A.8.5 A.8.26	相同主题： API 安全 (编辑推荐)
6.3.1	Vulnerabilities identified and risk-ranked	对照映射	A.5.7 A.8.8	相同主题：威胁情报, 漏洞管理, 补丁管理
6.3.2	Inventory of custom software and its components	对照映射	A.5.9 A.5.11 A.5.19+2	相同主题：资产管理, 供应链风险
6.3.3	Security patches installed promptly	对照映射	A.8.8	相同主题：补丁管理
6.4.1	Public web applications protected against attacks	编辑说明	A.8.26	相同主题： Web 安全 (编辑推荐)
6.4.2	Automated solution blocks attacks on public web apps	编辑说明	A.8.20	相同主题： WAF (编辑推荐)
6.4.3	Payment page scripts authorised and integrity-checked	编辑说明	A.8.26	相同主题： Web 安全 (编辑推荐)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	对照映射	A.5.15 A.5.16 A.5.18+3	相同主题：访问控制, 零信任
7.2.2	Access assigned by job function and least privilege	对照映射	A.5.15 A.5.16 A.5.18+3	相同主题：访问控制
7.2.4	User accounts and privileges reviewed every six months	对照映射	A.5.15 A.5.16 A.5.18+1	相同主题：访问控制
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	对照映射	A.5.15 A.5.16 A.5.18+1	相同主题：访问控制
8.3.1	User and admin access requires an authentication factor	对照映射	A.5.15 A.8.5 A.8.22	相同主题：零信任
8.4.1	MFA for non-console administrative access to the CDE	编辑说明	A.8.5	相同主题：多因素认证 (编辑推荐)
8.4.2	MFA for all access into the CDE	编辑说明	A.8.5	相同主题：多因素认证 (编辑推荐)
8.4.3	MFA for remote network access	编辑说明	A.8.5	相同主题：多因素认证 (编辑推荐)
8.5.1	MFA systems configured to resist misuse	编辑说明	A.8.5	相同主题：多因素认证 (编辑推荐)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	编辑说明	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全 (编辑推荐)
9.2.1.1	Access to sensitive areas monitored by camera or access control	编辑说明	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全 (编辑推荐)
9.2.3	Physical access to network hardware restricted	对照映射	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全
9.3.1	Personnel physical access authorised and managed	编辑说明	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全 (编辑推荐)
9.3.1.1	Sensitive-area access authorised and revoked promptly	对照映射	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全
9.3.2	Visitor access authorised, escorted and identifiable	编辑说明	A.7.1 A.7.2 A.7.3+6	相同主题：物理安全 (编辑推荐)
9.4.1.1	Offline backup media stored securely	对照映射	A.8.13	相同主题：备份与恢复
9.4.2	Media classified by data sensitivity	编辑说明	A.5.12 A.5.13	相同主题：数据分类 (编辑推荐)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	对照映射	A.6.1 A.6.4 A.8.15+2	相同主题：内部威胁, 日志与审计
10.3.2	Logs protected from modification	对照映射	A.5.28 A.8.15 A.8.17	相同主题：取证分析, 日志与审计
10.4.1	Security event and critical logs reviewed daily	对照映射	A.5.25 A.8.16	相同主题： SIEM / SOC, 持续监控
10.4.1.1	Automated mechanisms for log review	编辑说明	A.8.16	相同主题：异常检测 (编辑推荐)
10.5.1	Audit logs retained 12 months, three immediately available	编辑说明	A.8.15 A.8.17	相同主题：日志与审计 (编辑推荐)
10.6.1	System clocks synchronised	对照映射	A.8.15 A.8.17	相同主题：日志与审计
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	对照映射	A.8.8	相同主题：漏洞管理
11.3.2	External ASV scans every three months	对照映射	A.8.8	相同主题：漏洞管理
11.5.1	Intrusion detection or prevention on network traffic	编辑说明	A.8.16	相同主题：入侵检测 (编辑推荐)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	对照映射	A.5.1 A.5.37 Clause 5.2	相同主题：治理政策
12.1.2	Security policy reviewed at least annually	对照映射	A.5.1 A.5.37 Clause 5.2	相同主题：治理政策
12.1.3	Security roles and responsibilities defined	对照映射	A.5.2 A.5.4	相同主题：角色与职责
12.1.4	Executive responsibility for information security assigned	对照映射	A.5.2 A.5.4	相同主题：角色与职责
12.3.1	Targeted risk analysis for flexible-frequency requirements	对照映射	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	相同主题：风险管理, 风险评估
12.4.2	Service providers: quarterly reviews of operational tasks	对照映射	A.5.31 Clause 9.1 A.5.36	相同主题：合规
12.5.1	Inventory of in-scope system components	对照映射	A.5.9 A.5.11 A.7.14	相同主题：资产管理
12.5.2	PCI DSS scope confirmed annually and on change	对照映射	Clause 4.1 Clause 4.2	相同主题：业务环境
12.6.1	Formal security awareness programme	对照映射	A.6.3 Clause 7.3	相同主题：意识与培训
12.6.3	Awareness training on hire and at least annually	对照映射	A.6.3 Clause 7.3	相同主题：意识与培训
12.7.1	Personnel screened before hire	对照映射	A.6.1 A.6.4 A.8.16	相同主题：内部威胁
12.8.1	List of third-party service providers kept	对照映射	A.5.19 A.5.20 A.5.21+2	相同主题：供应链风险, 供应商风险管理
12.8.2	Written agreements with service providers	对照映射	A.5.19 A.5.20 A.5.22	相同主题：供应商风险管理
12.8.3	Due diligence before engaging service providers	对照映射	A.5.19 A.5.20 A.5.22	相同主题：供应商风险管理
12.8.4	Service provider compliance monitored annually	对照映射	A.5.19 A.5.20 A.5.22	相同主题：供应商风险管理
12.8.5	Responsibilities split with each provider documented	对照映射	A.5.19 A.5.20 A.5.22+1	相同主题：供应商风险管理
12.10.1	Incident response plan ready to activate	对照映射	A.5.5 A.5.24 A.5.25+5	相同主题：报告, 事件响应
12.10.2	Incident response plan reviewed and tested annually	对照映射	A.5.24 A.5.25 A.5.26	相同主题：事件响应
12.10.3	Incident response staff available around the clock	对照映射	A.5.24 A.5.25 A.5.26	相同主题：事件响应
12.10.4	Incident response staff trained	对照映射	A.5.24 A.5.25 A.5.26	相同主题：事件响应
12.10.6	Plan updated from lessons learned and industry changes	对照映射	A.5.27 Clause 10.1	相同主题：经验教训

已有 PCI DSS → 需要 ISO 27001

123 项要求

76 项已映射 · · 10 项无映射在差距视图中打开 →

在 123 项 ISO/IEC 27001:2022 要求中，76 项可映射到 PCI DSS 中的内容，37 项仅弱相关，10 项在本站数据中无映射。

可能需要新增工作：ISO 27001 项要求在 PCI DSS 中没有对应映射 (10)

ISO 27001	要求	匹配	PCI DSS	证据
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 5.1	Leadership and commitment	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 6.2	Information security objectives and planning to achieve them	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 6.3	Planning of changes	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 7.5.1	General	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 7.5.2	Creating and updating	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 7.5.3	Control of documented information	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 9.2.1	General	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 9.2.2	Internal audit programme	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。
Clause 10.2	Nonconformity and corrective action	本站数据中无映射	—	本站数据中没有映射到 PCI DSS 的内容。

请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (37)

ISO 27001	要求	匹配	PCI DSS	证据
A.5 Organizational controls · 9
A.5.3	Segregation of duties	弱相关	7.2.2 12.1.3 1.1.2+5	仅共享 CSF PR.AA-05, PR.DS-10, GV.RR-02：属相关关系，并非映射
A.5.6	Contact with special interest groups	弱相关	12.10.6 10.7.1 10.7.2+5	仅共享 CSF GV.OV-01, RS.CO-03：属相关关系，并非映射
A.5.8	Information security in project management	弱相关	1.2.3 1.2.4 6.2.1+5	仅共享 CSF GV.OC-05, ID.AM-08：属相关关系，并非映射
A.5.10	Acceptable use of information and other associated assets	弱相关	2.3.1 3.2.1 3.3.1+5	仅共享 CSF PR.DS-02, PR.DS-10, PR.DS-01：属相关关系，并非映射
A.5.17	Authentication information	弱相关	2.2.2 2.3.1 3.5.1.3+5	仅共享 CSF PR.AA-03：属相关关系，并非映射
A.5.32	Intellectual property rights	弱相关	1.1.1 2.1.1 3.1.1+5	仅共享 CSF GV.PO-02：属相关关系，并非映射
A.5.33	Protection of records	弱相关	3.3.1 3.5.1 3.5.1.3+5	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.5.34	Privacy and protection of PII	弱相关	1.1.1 2.1.1 3.1.1+5	仅共享 CSF GV.PO-02：属相关关系，并非映射
A.5.35	Independent review of information security	弱相关	11.4.4 12.3.4 12.4.2+5	仅共享 CSF GV.OV-02, ID.IM-02, ID.IM-01：属相关关系，并非映射
A.6 People controls · 4
A.6.2	Terms and conditions of employment	弱相关	7.2.2 2.3.1 3.2.1+5	仅共享 CSF GV.RR-04, PR.DS-10, PR.DS-02：属相关关系，并非映射
A.6.5	Responsibilities after termination or change of employment	弱相关	7.2.2 2.3.1 3.2.1+5	仅共享 CSF GV.RR-04, PR.DS-10, PR.DS-02：属相关关系，并非映射
A.6.6	Confidentiality or non-disclosure agreements	弱相关	7.2.2 8.2.5 9.3.1.1+4	仅共享 CSF GV.RR-04：属相关关系，并非映射
A.6.7	Remote working	弱相关	7.2.2 12.1.3 8.2.5+5	仅共享 CSF GV.RR-04, PR.AA-05, GV.PO-01：属相关关系，并非映射
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	弱相关	3.3.1 3.5.1 3.5.1.3+5	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.7.9	Security of assets off-premises	弱相关	3.3.1 3.5.1 3.5.1.3+5	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.7.10	Storage media	弱相关	3.3.1 3.5.1 3.5.1.3+5	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.7.13	Equipment maintenance	弱相关	6.2.1 6.2.2 6.2.3+5	仅共享 CSF ID.AM-08：属相关关系，并非映射
A.8 Technological controls · 9
A.8.4	Access to source code	弱相关	7.2.2 2.3.1 3.2.1+5	仅共享 CSF PR.AA-05, PR.DS-10, PR.DS-02：属相关关系，并非映射
A.8.6	Capacity management	弱相关	5.2.1 5.2.2 5.3.2+5	仅共享 CSF DE.CM-09：属相关关系，并非映射
A.8.23	Web filtering	弱相关	1.2.3 1.2.4 5.2.1+5	仅共享 CSF PR.IR-01：属相关关系，并非映射
A.8.27	Secure system architecture and engineering principles	弱相关	12.10.1 12.10.2 12.10.6	仅共享 CSF PR.IR-03：属相关关系，并非映射
A.8.30	Outsourced development	弱相关	7.2.5.1 10.7.2 11.3.1+5	仅共享 CSF GV.OV-03：属相关关系，并非映射
A.8.31	Separation of development, test and production environments	弱相关	6.2.2 6.2.3 6.3.2+5	仅共享 CSF PR.PS-06：属相关关系，并非映射
A.8.32	Change management	弱相关	12.3.1 7.2.5.1 8.6.3+5	仅共享 CSF GV.OV-03, ID.RA-07：属相关关系，并非映射
A.8.33	Test information	弱相关	3.3.1 3.5.1 3.5.1.3+5	仅共享 CSF PR.DS-01：属相关关系，并非映射
A.8.34	Protection of information systems during audit testing	弱相关	7.2.5.1 10.7.2 11.3.1+5	仅共享 CSF GV.OV-03：属相关关系，并非映射
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	弱相关	12.1.4 12.8.1 12.8.5+2	仅共享 CSF GV.OC-02：属相关关系，并非映射
Clause 5.3	Organizational roles, responsibilities and authorities	弱相关	12.1.4 12.8.3 12.8.4+1	仅共享 CSF GV.SC-02：属相关关系，并非映射
Clause 7.1	Resources	弱相关	12.1.4 12.10.3	仅共享 CSF GV.RR-03：属相关关系，并非映射
Clause 7.2	Competence	弱相关	12.1.3 12.1.4 1.1.2+5	仅共享 CSF GV.RR-01, GV.RR-02, GV.RR-03：属相关关系，并非映射
Clause 7.4	Communication	弱相关	12.10.1 12.8.2 12.10.3+3	仅共享 CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03：属相关关系，并非映射
Clause 8.1	Operational planning and control	弱相关	1.2.3 1.2.4 6.3.1+5	仅共享 CSF GV.SC-01, RC.RP-04, GV.SC-03：属相关关系，并非映射
Clause 8.2	Information security risk assessment	弱相关	12.1.1 12.1.4 12.8.1+3	仅共享 CSF GV.OC-01, GV.OC-02：属相关关系，并非映射
Clause 8.3	Information security risk treatment	弱相关	12.1.1 12.1.4 12.8.1+3	仅共享 CSF GV.OC-01, GV.OC-02：属相关关系，并非映射
Clause 9.3.1	General	弱相关	2.2.1 2.2.2	仅共享 CSF PR.PS-01：属相关关系，并非映射
Clause 9.3.2	Management review inputs	弱相关	2.2.1 2.2.2	仅共享 CSF PR.PS-01：属相关关系，并非映射
Clause 9.3.3	Management review results	弱相关	2.2.1 2.2.2	仅共享 CSF PR.PS-01：属相关关系，并非映射

已映射 (76)

ISO 27001	要求	匹配	PCI DSS	证据
A.5 Organizational controls · 28
A.5.1	Policies for information security	对照映射	12.1.1 12.1.2	相同主题：治理政策
A.5.2	Information security roles and responsibilities	对照映射	12.1.3 12.1.4	相同主题：角色与职责
A.5.4	Management responsibilities	对照映射	12.1.3 12.1.4	相同主题：角色与职责
A.5.5	Contact with authorities	对照映射	12.10.1	相同主题：报告
A.5.7	Threat intelligence	对照映射	6.3.1	相同主题：威胁情报
A.5.9	Inventory of information and other associated assets	对照映射	6.3.2 12.5.1	相同主题：资产管理
A.5.11	Return of assets	对照映射	6.3.2 12.5.1	相同主题：资产管理
A.5.12	Classification of information	编辑说明	9.4.2	相同主题：数据分类 (编辑推荐)
A.5.13	Labelling of information	编辑说明	9.4.2	相同主题：数据分类 (编辑推荐)
A.5.14	Information transfer	对照映射	3.2.1 3.3.1 3.4.1+1	相同主题：数据保护
A.5.15	Access control	对照映射	7.2.1 7.2.2 7.2.4+2	相同主题：访问控制, 零信任
A.5.16	Identity management	对照映射	7.2.1 7.2.2 7.2.4+1	相同主题：访问控制
A.5.18	Access rights	对照映射	7.2.1 7.2.2 7.2.4+1	相同主题：访问控制
A.5.19	Information security in supplier relationships	对照映射	6.3.2 12.8.1 12.8.2+3	相同主题：供应链风险, 供应商风险管理
A.5.20	Addressing information security within supplier agreements	对照映射	12.8.1 12.8.2 12.8.3+2	相同主题：供应商风险管理
A.5.21	Managing information security in the ICT supply chain	对照映射	6.3.2 12.8.1	相同主题：供应链风险
A.5.22	Monitoring, review and change management of supplier services	对照映射	12.8.1 12.8.2 12.8.3+2	相同主题：供应商风险管理
A.5.23	Information security for use of cloud services	对照映射	12.8.1 12.8.5	相同主题：云安全
A.5.24	Information security incident management planning and preparation	对照映射	12.10.1 12.10.2 12.10.3+1	相同主题：事件响应
A.5.25	Assessment and decision on information security events	对照映射	10.4.1 12.10.1 12.10.2+2	相同主题： SIEM / SOC, 事件响应
A.5.26	Response to information security incidents	对照映射	12.10.1 12.10.2 12.10.3+1	相同主题：事件响应, 缓解
A.5.27	Learning from information security incidents	对照映射	12.10.6	相同主题：经验教训
A.5.28	Collection of evidence	对照映射	10.3.2	相同主题：取证分析
A.5.29	Information security during disruption	对照映射	12.10.1	相同主题：恢复规划, 业务连续性
A.5.30	ICT readiness for business continuity	对照映射	12.10.1	相同主题：恢复规划, 业务连续性, 灾难恢复
A.5.31	Legal, statutory, regulatory and contractual requirements	对照映射	12.4.2	相同主题：合规
A.5.36	Compliance with policies, rules and standards for information security	编辑说明	12.4.2	相同主题：合规 (编辑推荐)
A.5.37	Documented operating procedures	对照映射	12.1.1 12.1.2	相同主题：治理政策
A.6 People controls · 4
A.6.1	Screening	对照映射	10.2.1 12.7.1	相同主题：内部威胁
A.6.3	Information security awareness, education and training	对照映射	12.6.1 12.6.3	相同主题：意识与培训
A.6.4	Disciplinary process	对照映射	10.2.1 12.7.1	相同主题：内部威胁
A.6.8	Information security event reporting	对照映射	12.10.1	相同主题：报告
A.7 Physical controls · 10
A.7.1	Physical security perimeters	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.2	Physical entry	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.3	Securing offices, rooms and facilities	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.4	Physical security monitoring	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.5	Protecting against physical and environmental threats	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.6	Working in secure areas	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.8	Equipment siting and protection	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.11	Supporting utilities	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.12	Cabling security	对照映射	9.2.3 9.3.1.1 9.2.1+3	相同主题：物理安全
A.7.14	Secure disposal or re-use of equipment	对照映射	6.3.2 12.5.1	相同主题：资产管理
A.8 Technological controls · 25
A.8.1	User endpoint devices	编辑说明	5.2.1 5.2.2 5.3.2	相同主题：终端防护 (编辑推荐)
A.8.2	Privileged access rights	对照映射	7.2.2	相同主题：特权访问
A.8.3	Information access restriction	对照映射	7.2.1 7.2.2 7.2.4+1	相同主题：访问控制
A.8.5	Secure authentication	对照映射	6.2.3 7.2.1 8.3.1+5	相同主题： API 安全, 零信任
A.8.7	Protection against malware	编辑说明	5.2.1 5.2.2 5.3.2	相同主题：终端防护 (编辑推荐)
A.8.8	Management of technical vulnerabilities	对照映射	6.3.1 6.3.3 11.3.1+1	相同主题：漏洞管理, 补丁管理
A.8.9	Configuration management	对照映射	2.2.1 2.2.2	相同主题：安全配置
A.8.10	Information deletion	对照映射	3.2.1 3.3.1 3.4.1	相同主题：数据保护
A.8.11	Data masking	对照映射	3.2.1 3.3.1 3.4.1	相同主题：数据保护
A.8.12	Data leakage prevention	编辑说明	3.4.2	相同主题： DLP (编辑推荐)
A.8.13	Information backup	对照映射	9.4.1.1	相同主题：备份与恢复
A.8.14	Redundancy of information processing facilities	对照映射	12.10.1	相同主题：业务连续性, 灾难恢复
A.8.15	Logging	对照映射	10.2.1 10.3.2 10.6.1+1	相同主题：日志与审计
A.8.16	Monitoring activities	对照映射	10.2.1 10.4.1 12.7.1+2	相同主题：内部威胁, 持续监控, SIEM / SOC
A.8.17	Clock synchronization	对照映射	10.2.1 10.3.2 10.6.1+1	相同主题：日志与审计
A.8.18	Use of privileged utility programs	对照映射	7.2.2	相同主题：特权访问
A.8.19	Installation of software on operational systems	对照映射	5.2.1 5.2.2 5.3.2	相同主题：终端防护
A.8.20	Networks security	对照映射	1.2.3 1.2.1 1.3.1+2	相同主题：防火墙 / 网络分段
A.8.21	Security of network services	对照映射	1.2.3 1.2.1 1.3.1+1	相同主题：防火墙 / 网络分段
A.8.22	Segregation of networks	对照映射	1.2.3 7.2.1 8.3.1+3	相同主题：防火墙 / 网络分段, 零信任
A.8.24	Use of cryptography	对照映射	3.5.1 3.6.1 4.2.1+3	相同主题：加密
A.8.25	Secure development life cycle	对照映射	6.2.2 6.2.3 6.2.1	相同主题：安全开发
A.8.26	Application security requirements	对照映射	6.2.2 6.2.3 6.2.1+3	相同主题：安全开发, API 安全
A.8.28	Secure coding	对照映射	6.2.2 6.2.3 6.2.1	相同主题：安全开发
A.8.29	Security testing in development and acceptance	对照映射	6.2.2 6.2.3 6.2.1	相同主题：安全开发
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	对照映射	12.5.2	相同主题：业务环境
Clause 4.2	Understanding the needs and expectations of interested parties	对照映射	12.5.2	相同主题：业务环境
Clause 5.2	Policy	对照映射	12.1.1 12.1.2	相同主题：治理政策
Clause 6.1.1	General	对照映射	12.3.1	相同主题：风险管理
Clause 6.1.2	Information security risk assessment	对照映射	12.3.1	相同主题：风险评估
Clause 6.1.3	Information security risk treatment	对照映射	12.3.1	相同主题：风险管理, 风险评估
Clause 7.3	Awareness	对照映射	12.6.1 12.6.3	相同主题：意识与培训
Clause 9.1	Monitoring, measurement, analysis and evaluation	对照映射	12.4.2	相同主题：合规
Clause 10.1	Continual improvement	编辑说明	12.10.6	相同主题：经验教训 (编辑推荐)

常见问题

ISO 27001 能否替代 PCI DSS？

不能。无论是否通过 ISO 认证，卡品牌都要求进行 PCI DSS 验证。ISO 有助于您运行 PCI 合规所依赖的计划。

PCI DSS 是法律吗？

不是。它是通过与卡品牌和收单行签订的合同强制执行的标准。部分司法辖区会在法律中引用它，但其效力来源于支付网络协议。

一项控制措施能否同时满足 ISO 27001 和 PCI DSS？

通常可以，前提是按照 PCI DSS 更具体的要求来实施。ISO 27001 接受任何论证充分的实施方式，因此按 PCI 的频率和设置进行设计，通常可同时满足两者。

ISO 27001 与 PCI DSS，哪个更难？

在各自范围内，PCI DSS 更加规定性且偏技术；ISO 27001 范围更广，并要求建立管理体系。若持卡人数据环境较小，PCI DSS 可能是两者中负担较轻的一个。

什么是 PCI DSS 商户等级？

卡品牌按年度交易量对商户和服务提供商进行分级。等级决定验证方式：最大的一类需提交 QSA 合规报告，其他大多数则提交自评问卷。

ISO 27001 能否帮助 PCI DSS 评估？

能，尤其在策略、风险评估、角色、供应商管理和事件响应方面。但它无法取代 PCI 专项证据。

PCI DSS v4.0.1 是否要求像 ISO 27001 那样的风险评估？

不要求以相同形式进行全组织范围的评估。PCI DSS v4.0 引入了针对可由您自行设定频率的要求的有针对性风险分析，并要求每年审查加密技术和相关技术，但 ISO 27001 的风险评估范围更广。

要求编号和标题均按各框架官方发布的英文原文显示。

对照映射已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。方法说明 · 下载数据 · 报告错误.