对比
NIST CSF 2.0 与 ISO 27001 对比：结果导向与可认证体系
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · 数据截至 2026-10-27
按 Paul Gillet · 更新于 2026-10-17
NIST网络安全框架2.0版（NIST CSF 2.0）以结果为导向，共有六项功能（治理、识别、保护、检测、响应、恢复）下的106个子类别。该框架为自愿采用，不可认证，并且有意不规定如何实现各项结果。ISO/IEC 27001是可认证的标准：它要求建立信息安全管理体系，并从附录A中有依据地选择控制措施。
由于NIST发布了从CSF 2.0到ISO 27001的信息性参考对照，两者映射关系非常紧密，几乎每项CSF结果都关联了ISO控制措施。许多组织将CSF作为向董事会汇报的语言，并以ISO 27001作为其底层的运行框架和认证框架。
从CSF到ISO，差距在于管理体系，而非安全结果本身。CSF的治理（Govern）功能涵盖战略、政策、角色与监督，但ISO规定了CSF未涉及的具体机制：明确的ISMS范围、信息安全目标、文件化信息控制、内部审核方案以及管理评审。这些条款在下文中显示为未匹配项。
从ISO到CSF，覆盖范围基本完整。工作重点在于转换：根据您的ISMS建立CSF当前概况和目标概况，并将风险处置决策表述为CSF结果。
概览
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| 基本定义 | 一个自愿采用的结果型框架 | 一项可认证的管理体系标准 |
| 结构 | 6项功能、22个类别、106个子类别 | 第4至10条款，外加93项附录A控制措施 |
| 认证 | 无 | 有，由认可的认证机构颁发 |
| 使用成本 | 免费 | 该标准由ISO出售；认证另需支付审核费用 |
| 最适合 | 规划计划结构、董事会汇报、自评估 | 向国际客户和监管机构证明安全能力 |
| 官方映射 | NIST发布了本站所用的CSF 2.0 ↔ ISO 27001参考对照 | — |
结合使用
两者配合良好：CSF 2.0提供董事会和监管机构能够理解的结果词汇，ISO 27001则提供可认证的管理体系，证明您确实在运行该计划。常见做法是按CSF功能报告安全态势，同时依据ISO 27001对ISMS进行认证。
由于NIST将每个CSF子类别与ISO条款及附录A控制措施相关联，您可以保留一套控制措施并以两种方式报告。下方的要求表格显示了已发布参考的关联关系，以及本站数据中哪些CSF结果没有对应的ISO条款。
CSF 2.0的变化
CSF 2.0（2024年2月）新增第六项功能治理（Govern），涵盖组织环境、风险战略、角色、政策、监督和供应链风险。这些结果与ISO 27001第4至6条及第9条高度对应，因此两者的重叠程度已超过CSF 1.1与ISO之间的重叠。
各方使用情况
- NIST CSF 2.0被各种规模和行业的组织用于规划计划、设定目标并向管理层汇报。它是美国关键基础设施、许多监管机构和网络保险公司的通用语言，且免费使用。
- ISO 27001适用于组织需要通过证书向他人证明其安全能力的情形：向企业销售的软件和服务提供商、受监管供应链中的供应商，以及竞标公共部门合同的公司，尤其是在美国以外地区。
- 许多组织同时使用两者：以CSF进行运行与报告，以ISO 27001进行认证。
成本与投入
采用CSF无需费用，也没有审核环节，因此成本主要是评估当前概况、设定目标概况并缩小差距所需的内部投入。ISO 27001则另外产生标准本身的费用、认证机构的审核费用，以及最重要的内部投入：建立和运行管理体系，包括风险评估、适用性声明（SoA）、内部审核和管理评审。对于已能很好地运用CSF的组织而言，ISO所需的大部分技术工作已经完成；剩余工作主要是管理体系及其文件。
从CSF到ISO 27001认证
- 将您的CSF概况映射到ISO。NIST自身的参考对照将CSF 2.0子类别与ISO条款及附录A控制措施相关联；差距分析列出了每项ISO要求及其对应的CSF项。
- 确定ISMS范围，并将您的CSF目标概况转化为信息安全目标。
- 按照ISO要求规范化风险评估（包括文件化方法、责任人和接受准则），并编制适用性声明（SoA）。
- 补充管理体系流程：文件控制、内部审核、管理评审和纠正措施。
- 运行ISMS数月，然后预约第一阶段和第二阶段审核。
许多已有成熟CSF计划的组织可在六至九个月内完成认证。
案例：某区域性医疗服务提供商
某区域医疗集团已使用NIST CSF三年，用于规划其计划并向董事会汇报。一份新的合作伙伴合同要求其共享患者门户服务通过ISO 27001认证。
该集团的CSF当前概况显示其保护（Protect）和检测（Detect）结果较为完善，因此大部分附录A技术控制措施已经具备。差距分析指出了管理体系条款、适用性声明（SoA）、正式的供应商协议以及数据室的实体安全等问题。该集团将ISMS范围限定为患者门户服务及其支撑基础设施，以符合ISO要求的方法复用其CSF风险登记册，并在约八个月内完成认证。它继续以CSF术语向董事会汇报，并以ISO术语向认证机构汇报，两者基于同一套控制措施。
常见错误
- 映射到CSF 1.1。许多较早的电子表格仍将ISO 27001:2013映射到CSF 1.1；两者均已变更，指向已废止子类别的链接将无法访问。
- 将CSF概况视为ISMS。CSF不要求内部审核、管理评审或文件控制；ISO审核员则会要求。
- 为节省工作量而将认证范围设定得过窄，结果发现证书并未涵盖客户实际购买的内容。
- 报告两套不同的情况。董事会报告以CSF术语编写、审核证据以ISO术语编写，二者应基于同一套控制措施，否则会逐渐偏离。
核心要点
- 如果您需要证书，ISO 27001可以提供；CSF永远无法提供。
- CSF → ISO：规划ISMS的机制（范围、目标、文件化信息、内部审核、管理评审）。
- ISO → CSF：根据现有SoA生成CSF概况；几乎无需新增控制工作。
在 123 项 ISO/IEC 27001:2022 要求中，79 项可映射到 NIST CSF 2.0 中的内容，34 项仅弱相关，10 项在本站数据中无映射。
可能需要新增工作：ISO 27001 项要求在 NIST CSF 2.0 中没有对应映射 (10)
| ISO 27001 | 要求 | 匹配 | NIST CSF 2.0 | 证据 |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 5.1 | Leadership and commitment | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 6.2 | Information security objectives and planning to achieve them | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 6.3 | Planning of changes | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 7.5.1 | General | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 7.5.2 | Creating and updating | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 7.5.3 | Control of documented information | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 9.2.1 | General | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 9.2.2 | Internal audit programme | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
| Clause 10.2 | Nonconformity and corrective action | 本站数据中无映射 | — | 本站数据中没有映射到 NIST CSF 2.0 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (34)
| ISO 27001 | 要求 | 匹配 | NIST CSF 2.0 | 证据 |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | 仅共享 CSF GV.OC-05, GV.RR-02, PR.AA-05：属相关关系，并非映射 | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | 仅共享 CSF GV.OC-05, ID.AM-08：属相关关系，并非映射 | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | 仅共享 CSF PR.AA-03, PR.AA-05：属相关关系，并非映射 | |
| A.5.32 | Intellectual property rights | GV.PO-02 | 仅共享 CSF GV.PO-02：属相关关系，并非映射 | |
| A.5.33 | Protection of records | PR.DS-01 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | 仅共享 CSF GV.PO-02：属相关关系，并非映射 | |
| A.5.35 | Independent review of information security | GV.OV-02 | 仅共享 CSF GV.OV-02：属相关关系，并非映射 | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | 仅共享 CSF GV.PO-01, GV.RR-04, PR.DS-01：属相关关系，并非映射 | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | 仅共享 CSF GV.PO-01, GV.RR-04, PR.DS-01：属相关关系，并非映射 | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | 仅共享 CSF GV.RR-03, GV.RR-04：属相关关系，并非映射 | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | 仅共享 CSF PR.DS-01, PR.IR-02：属相关关系，并非映射 | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | 仅共享 CSF ID.AM-08, PR.DS-01：属相关关系，并非映射 | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | 仅共享 CSF ID.AM-08, PR.IR-02：属相关关系，并非映射 | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | 仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02：属相关关系，并非映射 | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | 仅共享 CSF DE.CM-09, PR.IR-04：属相关关系，并非映射 | |
| A.8.23 | Web filtering | PR.IR-01 | 仅共享 CSF PR.IR-01：属相关关系，并非映射 | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | 仅共享 CSF PR.IR-03：属相关关系，并非映射 | |
| A.8.30 | Outsourced development | GV.OV-03 | 仅共享 CSF GV.OV-03：属相关关系，并非映射 | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | 仅共享 CSF PR.PS-06：属相关关系，并非映射 | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | 仅共享 CSF GV.OV-03, ID.RA-07：属相关关系，并非映射 | |
| A.8.33 | Test information | PR.DS-01 | 仅共享 CSF PR.DS-01：属相关关系，并非映射 | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | 仅共享 CSF GV.OV-03：属相关关系，并非映射 | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | 仅共享 CSF GV.OC-02：属相关关系，并非映射 | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | 仅共享 CSF GV.SC-02：属相关关系，并非映射 | |
| Clause 7.1 | Resources | GV.RR-03 | 仅共享 CSF GV.RR-03：属相关关系，并非映射 | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | 仅共享 CSF GV.RR-01, GV.RR-02, GV.RR-03：属相关关系，并非映射 | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | 仅共享 CSF GV.OC-01, GV.OC-02, GV.SC-01：属相关关系，并非映射 | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | 仅共享 CSF GV.OC-01, GV.OC-02：属相关关系，并非映射 | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | 仅共享 CSF GV.OC-01, GV.OC-02：属相关关系，并非映射 | |
| Clause 9.3.1 | General | PR.PS-01 | 仅共享 CSF PR.PS-01：属相关关系，并非映射 | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | 仅共享 CSF PR.PS-01：属相关关系，并非映射 | |
| Clause 9.3.3 | Management review results | PR.PS-01 | 仅共享 CSF PR.PS-01：属相关关系，并非映射 | |
已映射 (79)
| ISO 27001 | 要求 | 匹配 | NIST CSF 2.0 | 证据 |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | 对照映射 | GV.PO-01GV.PO-02 | 相同主题： 治理政策 |
| A.5.2 | Information security roles and responsibilities | 对照映射 | GV.RR-01GV.RR-02GV.RR-03 | 相同主题： 角色与职责 |
| A.5.4 | Management responsibilities | 对照映射 | GV.RR-01GV.RR-02GV.RR-03 | 相同主题： 角色与职责 |
| A.5.5 | Contact with authorities | 对照映射 | RS.CO-02 | 相同主题： 报告 |
| A.5.6 | Contact with special interest groups | 编辑说明 | RS.CO-03 | 相同主题： 沟通 (编辑推荐) |
| A.5.7 | Threat intelligence | 对照映射 | DE.AE-07ID.RA-02ID.RA-03 | 相同主题： 威胁情报 |
| A.5.9 | Inventory of information and other associated assets | 对照映射 | ID.AM-01ID.AM-02ID.AM-04+1 | 相同主题： 资产管理 |
| A.5.11 | Return of assets | 对照映射 | ID.AM-01ID.AM-02ID.AM-04+1 | 相同主题： 资产管理 |
| A.5.12 | Classification of information | 对照映射 | ID.AM-05ID.AM-07 | 相同主题： 数据分类 |
| A.5.13 | Labelling of information | 对照映射 | ID.AM-05ID.AM-07 | 相同主题： 数据分类 |
| A.5.14 | Information transfer | 对照映射 | DE.CM-09PR.DS-01PR.DS-02+1 | 相同主题： 邮件安全, 数据保护 |
| A.5.15 | Access control | 对照映射 | PR.AA-01PR.AA-03PR.AA-04+2 | 相同主题： 访问控制, 零信任 |
| A.5.16 | Identity management | 对照映射 | PR.AA-01PR.AA-05 | 相同主题： 访问控制 |
| A.5.18 | Access rights | 对照映射 | PR.AA-01PR.AA-05 | 相同主题： 访问控制 |
| A.5.19 | Information security in supplier relationships | 对照映射 | DE.CM-06GV.SC-01GV.SC-03+7 | 相同主题： 供应商风险管理, 供应链风险 |
| A.5.20 | Addressing information security within supplier agreements | 对照映射 | DE.CM-06GV.SC-04GV.SC-06+2 | 相同主题： 供应商风险管理 |
| A.5.21 | Managing information security in the ICT supply chain | 对照映射 | GV.SC-01GV.SC-03GV.SC-05+2 | 相同主题： 供应链风险 |
| A.5.22 | Monitoring, review and change management of supplier services | 对照映射 | DE.CM-06GV.SC-04GV.SC-06+2 | 相同主题： 供应商风险管理 |
| A.5.23 | Information security for use of cloud services | 对照映射 | ID.AM-04PR.IR-01PR.PS-01 | 相同主题： 云安全 |
| A.5.24 | Information security incident management planning and preparation | 对照映射 | ID.IM-04RS.MA-01RS.MA-02+2 | 相同主题： 事件响应 |
| A.5.25 | Assessment and decision on information security events | 对照映射 | DE.AE-03DE.AE-06DE.AE-08+5 | 相同主题： SIEM / SOC |
| A.5.26 | Response to information security incidents | 对照映射 | ID.IM-04RC.CO-03RC.CO-04+7 | 相同主题： 事件响应, 沟通与恢复 |
| A.5.27 | Learning from information security incidents | 对照映射 | ID.IM-03RC.RP-06 | 相同主题： 经验教训 |
| A.5.28 | Collection of evidence | 对照映射 | RS.AN-03RS.AN-06RS.AN-07 | 相同主题： 取证分析 |
| A.5.29 | Information security during disruption | 对照映射 | GV.OC-04ID.IM-04PR.IR-03+3 | 相同主题： 业务连续性, 恢复规划 |
| A.5.30 | ICT readiness for business continuity | 对照映射 | GV.OC-04ID.IM-04PR.IR-03+4 | 相同主题： 业务连续性, 恢复规划, 灾难恢复 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 对照映射 | GV.OC-03GV.OV-03 | 相同主题： 合规 |
| A.5.36 | Compliance with policies, rules and standards for information security | 编辑说明 | GV.OC-03GV.OV-03 | 相同主题： 合规 (编辑推荐) |
| A.5.37 | Documented operating procedures | 对照映射 | GV.PO-01GV.PO-02 | 相同主题： 治理政策 |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | 对照映射 | DE.CM-03GV.RR-04 | 相同主题： 内部威胁 |
| A.6.3 | Information security awareness, education and training | 对照映射 | PR.AT-01PR.AT-02 | 相同主题： 意识与培训 |
| A.6.4 | Disciplinary process | 对照映射 | DE.CM-03GV.RR-04 | 相同主题： 内部威胁 |
| A.6.7 | Remote working | 编辑说明 | PR.AA-05PR.PS-01 | 相同主题： 移动安全 (编辑推荐) |
| A.6.8 | Information security event reporting | 对照映射 | RS.CO-02 | 相同主题： 报告 |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.2 | Physical entry | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.3 | Securing offices, rooms and facilities | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.4 | Physical security monitoring | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.5 | Protecting against physical and environmental threats | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.6 | Working in secure areas | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.8 | Equipment siting and protection | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.11 | Supporting utilities | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.12 | Cabling security | 对照映射 | DE.CM-02PR.AA-06PR.IR-02 | 相同主题： 物理安全 |
| A.7.14 | Secure disposal or re-use of equipment | 对照映射 | ID.AM-01ID.AM-02ID.AM-04+1 | 相同主题： 资产管理 |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | 对照映射 | PR.AA-05PR.PS-01DE.CM-09+1 | 相同主题： 移动安全, 终端防护 |
| A.8.2 | Privileged access rights | 对照映射 | PR.AA-05 | 相同主题： 特权访问 |
| A.8.3 | Information access restriction | 对照映射 | PR.AA-01PR.AA-05 | 相同主题： 访问控制 |
| A.8.5 | Secure authentication | 对照映射 | PR.AA-03PR.AA-04PR.AA-05+2 | 相同主题： 多因素认证, 零信任, API 安全 |
| A.8.7 | Protection against malware | 编辑说明 | DE.CM-09PR.PS-05 | 相同主题： 终端防护 (编辑推荐) |
| A.8.8 | Management of technical vulnerabilities | 对照映射 | ID.RA-01ID.RA-08PR.PS-02 | 相同主题： 漏洞管理, 补丁管理 |
| A.8.9 | Configuration management | 对照映射 | PR.PS-01 | 相同主题： 安全配置 |
| A.8.10 | Information deletion | 对照映射 | PR.DS-01PR.DS-02PR.DS-10 | 相同主题： 数据保护 |
| A.8.11 | Data masking | 对照映射 | PR.DS-01PR.DS-02PR.DS-10 | 相同主题： 数据保护 |
| A.8.12 | Data leakage prevention | 对照映射 | PR.DS-01PR.DS-02PR.DS-10 | 相同主题： DLP |
| A.8.13 | Information backup | 对照映射 | PR.DS-11RC.RP-03 | 相同主题： 备份与恢复 |
| A.8.14 | Redundancy of information processing facilities | 对照映射 | GV.OC-04PR.IR-03RC.RP-02+2 | 相同主题： 业务连续性, 灾难恢复 |
| A.8.15 | Logging | 对照映射 | DE.AE-03PR.PS-04 | 相同主题： 日志与审计 |
| A.8.16 | Monitoring activities | 对照映射 | DE.AE-02DE.AE-03DE.AE-04+6 | 相同主题： 入侵检测, 异常检测, SIEM / SOC |
| A.8.17 | Clock synchronization | 对照映射 | DE.AE-03PR.PS-04 | 相同主题： 日志与审计 |
| A.8.18 | Use of privileged utility programs | 对照映射 | PR.AA-05 | 相同主题： 特权访问 |
| A.8.19 | Installation of software on operational systems | 对照映射 | DE.CM-09PR.PS-05 | 相同主题： 终端防护 |
| A.8.20 | Networks security | 对照映射 | DE.CM-01ID.AM-03PR.IR-01 | 相同主题： DNS 安全, WAF, 防火墙 / 网络分段 |
| A.8.21 | Security of network services | 对照映射 | DE.CM-01ID.AM-03PR.IR-01 | 相同主题： DNS 安全, 防火墙 / 网络分段 |
| A.8.22 | Segregation of networks | 对照映射 | ID.AM-03PR.AA-03PR.AA-04+2 | 相同主题： 防火墙 / 网络分段, 零信任 |
| A.8.24 | Use of cryptography | 对照映射 | PR.DS-01PR.DS-02 | 相同主题： 加密 |
| A.8.25 | Secure development life cycle | 对照映射 | PR.PS-06 | 相同主题： 安全开发 |
| A.8.26 | Application security requirements | 对照映射 | PR.AA-03PR.IR-01PR.PS-06 | 相同主题： API 安全, Web 安全, 安全开发 |
| A.8.28 | Secure coding | 对照映射 | PR.PS-06 | 相同主题： 安全开发 |
| A.8.29 | Security testing in development and acceptance | 对照映射 | PR.PS-06 | 相同主题： 安全开发 |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | 对照映射 | GV.OC-01GV.OC-04GV.OC-05 | 相同主题： 业务环境 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 对照映射 | GV.OC-01GV.OC-04GV.OC-05 | 相同主题： 业务环境 |
| Clause 5.2 | Policy | 对照映射 | GV.PO-01GV.PO-02 | 相同主题： 治理政策 |
| Clause 6.1.1 | General | 对照映射 | GV.RM-01GV.RM-02GV.RM-03+1 | 相同主题： 风险管理 |
| Clause 6.1.2 | Information security risk assessment | 对照映射 | ID.RA-03ID.RA-04ID.RA-05+1 | 相同主题： 风险评估 |
| Clause 6.1.3 | Information security risk treatment | 对照映射 | GV.RM-01GV.RM-02GV.RM-03+5 | 相同主题： 风险管理 |
| Clause 7.3 | Awareness | 对照映射 | PR.AT-01PR.AT-02 | 相同主题： 意识与培训 |
| Clause 7.4 | Communication | 对照映射 | RC.CO-03RC.CO-04RC.RP-05+1 | 相同主题： 沟通与恢复 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 对照映射 | GV.OC-03GV.OV-03 | 相同主题： 合规 |
| Clause 10.1 | Continual improvement | 编辑说明 | ID.IM-03RC.RP-06 | 相同主题： 经验教训 (编辑推荐) |
在 106 项 NIST Cybersecurity Framework 2.0 要求中，89 项可映射到 ISO 27001 中的内容，15 项仅弱相关，2 项在本站数据中无映射。
可能需要新增工作：NIST CSF 2.0 项要求在 ISO 27001 中没有对应映射 (2)
| NIST CSF 2.0 | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | 本站数据中无映射 | — | 本站数据中没有映射到 ISO 27001 的内容。 |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | 本站数据中无映射 | — | 本站数据中没有映射到 ISO 27001 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (15)
| NIST CSF 2.0 | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | 仅共享 CSF GV.OC-02：属相关关系，并非映射 | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | 仅共享 CSF GV.OV-01：属相关关系，并非映射 | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | 仅共享 CSF GV.OV-02：属相关关系，并非映射 | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | 仅共享 CSF GV.RM-04：属相关关系，并非映射 | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | 仅共享 CSF GV.RM-05：属相关关系，并非映射 | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | 仅共享 CSF GV.RM-07：属相关关系，并非映射 | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | 仅共享 CSF GV.SC-02：属相关关系，并非映射 | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | 仅共享 CSF GV.SC-08：属相关关系，并非映射 | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | 仅共享 CSF GV.SC-10：属相关关系，并非映射 | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | 仅共享 CSF ID.RA-07：属相关关系，并非映射 | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | 仅共享 CSF PR.AA-02：属相关关系，并非映射 | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | 仅共享 CSF PR.IR-04：属相关关系，并非映射 | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | 仅共享 CSF PR.PS-03：属相关关系，并非映射 | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | 仅共享 CSF RS.AN-08：属相关关系，并非映射 | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | 仅共享 CSF RS.MA-05：属相关关系，并非映射 | |
已映射 (89)
| NIST CSF 2.0 | 要求 | 匹配 | ISO 27001 | 证据 |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | 对照映射 | A.8.16 | 相同主题： 入侵检测, 异常检测 |
| DE.AE-03 | Information is correlated from multiple sources | 对照映射 | A.5.25A.8.15A.8.16+1 | 相同主题： SIEM / SOC, 日志与审计 |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | 对照映射 | A.8.16 | 相同主题： 异常检测 |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | 对照映射 | A.5.25A.8.16 | 相同主题： SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | 对照映射 | A.5.7 | 相同主题： 威胁情报 |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | 对照映射 | A.5.25A.8.16 | 相同主题： SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | 对照映射 | A.8.16A.8.20A.8.21 | 相同主题： 持续监控, 入侵检测, DNS 安全, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | 对照映射 | A.6.1A.6.4A.8.16 | 相同主题： 内部威胁, 持续监控 |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | 对照映射 | A.5.14A.8.16A.8.19+2 | 相同主题： 邮件安全, 持续监控, 异常检测, 终端防护 |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | 对照映射 | Clause 4.1Clause 4.2 | 相同主题： 业务环境 |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | 对照映射 | A.5.31Clause 9.1A.5.36 | 相同主题： 合规 |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | 对照映射 | A.5.29A.5.30A.8.14+2 | 相同主题： 业务连续性 |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | 对照映射 | Clause 4.1Clause 4.2 | 相同主题： 业务环境 |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | 对照映射 | A.5.31Clause 9.1A.5.36 | 相同主题： 合规 |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | 对照映射 | A.5.1A.5.37Clause 5.2 | 相同主题： 治理政策 |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | 对照映射 | A.5.1A.5.37Clause 5.2 | 相同主题： 治理政策 |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | 对照映射 | Clause 6.1.1Clause 6.1.3 | 相同主题： 风险管理 |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | 对照映射 | Clause 6.1.1Clause 6.1.3 | 相同主题： 风险管理 |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | 对照映射 | Clause 6.1.1Clause 6.1.3 | 相同主题： 风险管理 |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | 对照映射 | Clause 6.1.1Clause 6.1.3 | 相同主题： 风险管理 |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | 对照映射 | A.5.2A.5.4 | 相同主题： 角色与职责 |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | 对照映射 | A.5.2A.5.4 | 相同主题： 角色与职责 |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | 对照映射 | A.5.2A.5.4 | 相同主题： 角色与职责 |
| GV.RR-04 | Cybersecurity is included in human resources practices | 对照映射 | A.6.1A.6.4A.8.16 | 相同主题： 内部威胁 |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | 对照映射 | A.5.19A.5.21 | 相同主题： 供应链风险 |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | 对照映射 | A.5.19A.5.21 | 相同主题： 供应链风险 |
| GV.SC-04 | Suppliers are known and prioritized by criticality | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | 对照映射 | A.5.19A.5.21 | 相同主题： 供应链风险 |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | 对照映射 | A.5.19A.5.21 | 相同主题： 供应链风险 |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | 对照映射 | A.5.9A.5.11A.7.14 | 相同主题： 资产管理 |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | 对照映射 | A.5.9A.5.11A.7.14 | 相同主题： 资产管理 |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | 对照映射 | A.8.20A.8.21A.8.22 | 相同主题： 防火墙 / 网络分段 |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | 对照映射 | A.5.9A.5.11A.5.23+1 | 相同主题： 资产管理, 云安全 |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | 对照映射 | A.5.12A.5.13 | 相同主题： 数据分类 |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | 对照映射 | A.5.12A.5.13 | 相同主题： 数据分类 |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | 对照映射 | A.5.9A.5.11A.7.14 | 相同主题： 资产管理 |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | 对照映射 | A.5.27Clause 10.1 | 相同主题： 经验教训 |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | 对照映射 | A.5.24A.5.25A.5.26+2 | 相同主题： 事件响应 |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | 对照映射 | A.8.8 | 相同主题： 漏洞管理 |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | 对照映射 | A.5.7 | 相同主题： 威胁情报 |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | 对照映射 | A.5.7Clause 6.1.2Clause 6.1.3 | 相同主题： 威胁情报, 风险评估 |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | 对照映射 | Clause 6.1.2Clause 6.1.3 | 相同主题： 风险评估 |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | 对照映射 | Clause 6.1.2Clause 6.1.3 | 相同主题： 风险评估 |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | 对照映射 | Clause 6.1.2Clause 6.1.3 | 相同主题： 风险评估 |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | 对照映射 | A.8.8 | 相同主题： 漏洞管理 |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | 对照映射 | A.5.19A.5.21 | 相同主题： 供应链风险 |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | 对照映射 | A.5.19A.5.20A.5.22 | 相同主题： 供应商风险管理 |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | 对照映射 | A.5.15A.5.16A.5.18+1 | 相同主题： 访问控制 |
| PR.AA-03 | Users, services, and hardware are authenticated | 对照映射 | A.5.15A.8.5A.8.22+1 | 相同主题： 零信任, 多因素认证, API 安全 |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | 对照映射 | A.5.15A.8.5A.8.22 | 相同主题： 零信任 |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | 对照映射 | A.5.15A.5.16A.5.18+7 | 相同主题： 访问控制, 零信任 |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | 对照映射 | A.6.3Clause 7.3 | 相同主题： 意识与培训 |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | 对照映射 | A.6.3Clause 7.3 | 相同主题： 意识与培训 |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | 对照映射 | A.5.14A.8.10A.8.11+2 | 相同主题： 数据保护 |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | 对照映射 | A.5.14A.8.10A.8.11+2 | 相同主题： 数据保护, 邮件安全 |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | 对照映射 | A.5.14A.8.10A.8.11+1 | 相同主题： 数据保护 |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | 对照映射 | A.8.13 | 相同主题： 备份与恢复 |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | 对照映射 | A.5.15A.5.23A.8.5+4 | 相同主题： 零信任, 云安全, API 安全 |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | 对照映射 | A.7.1A.7.2A.7.3+6 | 相同主题： 物理安全 |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | 对照映射 | A.5.29A.5.30A.8.14 | 相同主题： 业务连续性, 灾难恢复 |
| PR.PS-01 | Configuration management practices are established and applied | 对照映射 | A.5.23A.8.1A.8.9+1 | 相同主题： 云安全, 移动安全, 安全配置 |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | 对照映射 | A.8.8 | 相同主题： 补丁管理 |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | 对照映射 | A.8.15A.8.17 | 相同主题： 日志与审计 |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | 对照映射 | A.8.19A.8.1A.8.7 | 相同主题： 终端防护 |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | 对照映射 | A.8.5A.8.25A.8.26+2 | 相同主题： API 安全, 安全开发, Web 安全 |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | 对照映射 | A.5.26Clause 7.4 | 相同主题： 沟通与恢复 |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | 对照映射 | A.5.26Clause 7.4 | 相同主题： 沟通与恢复 |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | 对照映射 | A.5.29A.5.30 | 相同主题： 恢复规划 |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | 对照映射 | A.5.29A.5.30A.8.14 | 相同主题： 恢复规划, 灾难恢复 |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | 对照映射 | A.8.13 | 相同主题： 备份与恢复 |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | 对照映射 | A.5.29A.5.30A.8.14 | 相同主题： 业务连续性 |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | 对照映射 | A.5.26A.5.30A.8.14+1 | 相同主题： 沟通与恢复, 灾难恢复 |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | 对照映射 | A.5.27Clause 10.1 | 相同主题： 经验教训 |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | 对照映射 | A.5.28 | 相同主题： 取证分析 |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | 对照映射 | A.5.28 | 相同主题： 取证分析 |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | 对照映射 | A.5.28 | 相同主题： 取证分析 |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | 对照映射 | A.5.5A.6.8 | 相同主题： 报告 |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | 对照映射 | Clause 7.4A.5.6 | 相同主题： 沟通 |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | 对照映射 | A.5.24A.5.25A.5.26 | 相同主题： 事件响应 |
| RS.MA-02 | Incident reports are triaged and validated | 对照映射 | A.5.24A.5.25A.5.26 | 相同主题： 事件响应 |
| RS.MA-03 | Incidents are categorized and prioritized | 对照映射 | A.5.24A.5.25A.5.26 | 相同主题： 事件响应 |
| RS.MA-04 | Incidents are escalated or elevated as needed | 对照映射 | A.5.24A.5.25A.5.26 | 相同主题： 事件响应 |
| RS.MI-01 | Incidents are contained | 对照映射 | A.5.26 | 相同主题： 缓解 |
| RS.MI-02 | Incidents are eradicated | 对照映射 | A.5.26 | 相同主题： 缓解 |
按主题
两者均涵盖（50）：
常见问题
能否依据NIST CSF获得认证？
不能。NIST不提供认证；组织可自行评估，或委托独立机构进行评估。ISO 27001是可认证的选项。
NIST CSF是否比ISO 27001更容易？
它要求较少规定性内容，且没有审核环节，因此更容易入门。但其实质要求并不更轻松：要覆盖每项CSF 2.0结果，需要成熟的计划。
映射关系从何而来？
来自NIST自身的CSF 2.0信息性参考，以及NIST SP 800-53 → ISO 27001映射。请参见方法说明。
ISO 27001是否比NIST CSF更严格？
两者的严格程度体现在不同方面。ISO 27001经过审核且可认证，并要求建立管理体系；NIST CSF的范围更广（尤其是2.0版以来在治理和供应链风险方面），但没有审核环节。严格程度取决于各自的实施方式。
NIST CSF与ISO 27001能否共用一次风险评估？
可以。满足ISO 27001对文件化方法、责任人和接受准则要求的风险评估，同样支持CSF的风险管理结果。
美国政府是否要求ISO 27001？
一般不要求。美国联邦系统使用NIST SP 800-53和风险管理框架（RMF）；CSF在私营部门广泛使用。ISO 27001更多是由国际客户要求。
使用ISO 27001是否需要购买标准？
需要。该标准由ISO及各国标准化机构出售。NIST CSF及其参考资料可免费下载。
对小型企业而言哪个更好？
NIST CSF免费且更易入门；当客户或招标要求认证时，ISO 27001才值得投入。许多小型企业先采用CSF，之后再进行认证。
要求编号和标题均按各框架官方发布的英文原文显示。
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。 方法说明 · 下载数据 · 报告错误.