对比

NIST CSF 2.0 与 SOC 2：一个是你采用的框架，一个是你接受审计的报告

NIST Cybersecurity Framework 2.0 · SOC 2 (Trust Services Criteria) · 数据截至 2026-10-27

按 Paul Gillet · 更新于 2026-10-17

NIST CSF 2.0 是一个自愿采用的成果框架：由你决定目标概况，并据此衡量自身水平。SOC 2 是由注册会计师（CPA）依据 AICPA 信任服务标准出具的独立鉴证报告，许多北美客户在采购 SaaS 供应商时都会要求提供。

SOC 2 安全（通用标准）中的大多数要求在 CSF 中都有对应项：逻辑访问、监控、事件响应、变更管理、风险评估和供应商管理。按 CSF 对齐建设的计划，能为你提供审计师将测试的大部分控制。

从 CSF 对照到 SOC 2，几乎每一条通用标准都能在 CSF 中找到对应项，包括控制环境类条款（道德、董事会监督、问责），这些由 CSF 的治理职能覆盖。未能对应的部分是 SOC 2 可选的处理完整性和隐私类别，它们在安全框架中几乎没有对应内容。目前没有公开的机器可读 SOC 2 对照映射，因此本次比较中 SOC 2 一侧的映射来自 ControlMapping 的编辑说明。

从 SOC 2 对照到 CSF，差距主要在于 CSF 更广泛的治理与韧性成果：风险战略、供应链风险管理全生命周期、威胁情报与改进流程，而 SOC 2 并未明确要求这些内容。

概览

	NIST CSF 2.0	SOC 2
定义	自愿采用的成果框架	关于控制的鉴证报告
由谁检查	你自己，或你选择的评估方	持证的 CPA 事务所
交付物	当前概况与目标概况	SOC 2 Type I 或 Type II 报告
范围	整个组织的网络风险	客户所依赖的系统
谁会要求	董事会、监管机构、保险公司	客户的供应商风险团队

二者如何配合

CSF 描述一个良好的计划应达成什么效果；SOC 2 向客户证明特定控制确实有效。许多公司用 CSF 来组织计划并向董事会汇报，再用 SOC 2 向客户提供证据。由于 SOC 2 没有公开授权的对照映射，本页中每一条 SOC 2 对应关系都是 ControlMapping 的编辑说明判断，并附有理由。

各自的需求方

SOC 2 主要由客户提出要求，多为评估软件和服务提供商的美国企业。它回答“我们能否把数据交给你？”，并以独立审计师的意见作答。
NIST CSF 2.0 由董事会、监管机构、保险公司和合作伙伴提出要求，他们希望了解一个组织整体上如何管理网络风险。没有人能交出一份“CSF 证书”；你需要展示自己的概况以及支撑这些概况的证据。
越来越多的公司在内部使用 CSF，并为客户出具 SOC 2 报告。两者相互补充，而非彼此竞争。

借助 CSF 为 SOC 2 做准备

如果你已经在运行基于 CSF 的计划，那么你已具备 SOC 2 安全标准所测试的大部分内容。请将 CSF 成果映射到信任服务标准，然后检查 CSF 不会强制要求的三件事：每项控制是否持续产生证据（SOC 2 Type II 会抽取数月的样本）、控制环境标准是否已覆盖（董事会监督、诚信与道德价值观、胜任能力、问责），以及系统描述是否与客户关心的边界一致。CSF → SOC 2 差距分析报告列出了每一条标准及其 CSF 对应项，并说明每条对应关系的理由。

成本与投入

CSF 本身免费；投入在于评估和改进你的概况。SOC 2 则增加 CPA 事务所的费用，对于 Type II 而言，还需要在整个观察期内持续收集证据、保持纪律。对于已有成熟 CSF 计划的公司，额外的 SOC 2 投入主要是证据收集、系统描述，以及你选择纳入的任何可选类别。对于从零开始的公司，先按 CSF 建设能打下更广泛的基础；先按 SOC 2 建设则能更快拿到面向客户的交付物。

时间线

从一个运行中的 CSF 计划走到首份 SOC 2 Type II 报告，通常需要六到九个月：一到三个月用于映射控制、关闭差距并聘请审计师，然后是三到六个月的观察期，再加上几周出具报告。反过来，拥有 SOC 2 报告的公司可以在数周内编制出 CSF 当前概况，因为大多数保护、检测和响应成果已有证据支撑；治理职能通常需要最多的工作。

案例：一家金融科技初创公司

一家拥有 30 人的金融科技公司，其支付 API 已取得 SOC 2 Type II 报告。现在，其董事会和网络保险公司希望了解它如何更广泛地管理网络风险。该公司基于 SOC 2 控制建立了 CSF 2.0 当前概况，发现保护、检测和响应方面覆盖充分，但治理职能存在差距：没有正式的风险偏好声明，除供应商问卷外没有供应链风险计划，也没有定期的监督汇报。公司设定了目标概况，并以 CSF 术语增加了季度董事会报告，同时保持 SOC 2 审计周期不变。一套控制即可同时满足两类受众。

常见错误

以为 CSF 对齐就等于已具备 SOC 2 条件。 CSF 并不要求在一段时间内持续留存证据，而 Type II 报告正是测试这一点。
忽视控制环境。 SOC 2 的 CC1 至 CC5 标准（董事会监督、诚信、胜任能力、问责）需要证据，而偏技术导向的 CSF 计划往往缺少这些证据。
SOC 2 报告范围过大，试图覆盖整个 CSF 计划，而不是仅覆盖客户所依赖的系统。
同时运行两套计划。 只使用一套控制，并双向映射，可避免证据重复。
把治理留到最后。 CSF 2.0 的治理成果往往是以 SOC 2 为先的计划中最薄弱的部分，也是董事会最常过问的部分。

核心要点

CSF 告诉你什么是良好状态；SOC 2 向客户证明你确实在运行它。
持续收集证据：Type II 报告需要覆盖整个审计期间的证明。
如果处理完整性和隐私在范围内，请将它们作为独立项目处理。

下载此对比（CSV）在差距分析中打开 →

已有 NIST CSF 2.0 → 需要 SOC 2

61 项要求

37 项已映射 · · 24 项无映射在差距视图中打开 →

在 61 项 SOC 2 (Trust Services Criteria) 要求中，37 项可映射到 NIST CSF 2.0 中的内容，0 项仅弱相关，24 项在本站数据中无映射。

AICPA 的 SOC 2 映射未采用开放许可，因此此处所有 SOC 2 链接均为 ControlMapping 编辑判断：我们未映射的标准条款无法匹配。处理完整性（PI）标准条款以及大多数隐私（P）标准条款在安全框架中没有对应内容。

可能需要新增工作：SOC 2 项要求在 NIST CSF 2.0 中没有对应映射 (24)

SOC 2	要求	匹配	NIST CSF 2.0	证据
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P Privacy · 18
P1.1	Privacy notice	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P2.1	Choice and consent	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P3.1	Collection limited to privacy objectives	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P3.2	Explicit consent where required	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P4.1	Use limited to privacy objectives	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P4.2	Retention of personal information	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P4.3	Disposal of personal information	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P5.1	Data subject access	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P5.2	Correction of personal information	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.1	Disclosure to third parties with consent	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.2	Record of authorized disclosures	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.3	Record of unauthorized disclosures	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.4	Privacy commitments from third parties	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.5	Notification by third parties of unauthorized disclosures	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.6	Breach notification to affected individuals	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P6.7	Accounting of disclosures to data subjects	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P7.1	Quality of personal information	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
P8.1	Handling privacy inquiries, complaints and disputes	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
PI1.2	Controls over system inputs	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
PI1.3	Controls over system processing	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
PI1.4	Controls over system outputs	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。
PI1.5	Storing inputs, items in processing and outputs	本站数据中无映射	—	本站数据中没有映射到 NIST CSF 2.0 的内容。

已映射 (37)

SOC 2	要求	匹配	NIST CSF 2.0	证据
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	编辑说明	GV.OC-04 PR.IR-03 RC.RP-04	相同主题：业务连续性 (编辑推荐)
A1.2	Environmental protections, backups and recovery infrastructure	编辑说明	GV.OC-04 PR.DS-11 PR.IR-03+4	相同主题：业务连续性, 备份与恢复, 灾难恢复 (编辑推荐)
A1.3	Testing recovery plan procedures	编辑说明	ID.IM-04 PR.IR-03 RC.RP-01+2	相同主题：恢复规划, 灾难恢复 (编辑推荐)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	编辑说明	ID.AM-05 ID.AM-07	相同主题：数据分类 (编辑推荐)
C1.2	Disposing of confidential information	编辑说明	PR.DS-01 PR.DS-02 PR.DS-10	相同主题：数据保护 (编辑推荐)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	编辑说明	GV.PO-01 GV.PO-02	相同主题：治理政策 (编辑推荐)
CC1.2	Board independence and oversight of internal control	编辑说明	GV.RR-01 GV.RR-02 GV.RR-03	相同主题：角色与职责 (编辑推荐)
CC1.3	Structures, reporting lines, authorities and responsibilities	编辑说明	GV.RR-01 GV.RR-02 GV.RR-03	相同主题：角色与职责 (编辑推荐)
CC1.4	Commitment to attracting, developing and retaining competent people	编辑说明	PR.AT-01 PR.AT-02	相同主题：意识与培训 (编辑推荐)
CC1.5	Accountability for internal control responsibilities	编辑说明	GV.RR-01 GV.RR-02 GV.RR-03	相同主题：角色与职责 (编辑推荐)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	编辑说明	PR.AT-01 PR.AT-02	相同主题：意识与培训 (编辑推荐)
CC2.3	Communication with external parties	编辑说明	RC.CO-03 RC.CO-04 RC.RP-05+2	相同主题：沟通与恢复 (编辑推荐)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	编辑说明	GV.OC-01 GV.OC-04 GV.OC-05+4	相同主题：业务环境 (编辑推荐)
CC3.2	Risk identification and analysis	编辑说明	ID.RA-03 ID.RA-04 ID.RA-05+1	相同主题：风险评估 (编辑推荐)
CC3.3	Considering the potential for fraud	编辑说明	ID.RA-03 ID.RA-04 ID.RA-05+1	相同主题：风险评估 (编辑推荐)
CC3.4	Identifying and assessing significant changes	编辑说明	ID.RA-03 ID.RA-04 ID.RA-05+1	相同主题：风险评估 (编辑推荐)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	编辑说明	GV.OC-03 GV.OV-03	相同主题：合规 (编辑推荐)
CC4.2	Communicating and remediating control deficiencies	编辑说明	GV.OC-03 GV.OV-03	相同主题：合规 (编辑推荐)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	编辑说明	GV.RM-01 GV.RM-02 GV.RM-03+1	相同主题：风险管理 (编辑推荐)
CC5.2	General controls over technology	编辑说明	PR.PS-01	相同主题：安全配置 (编辑推荐)
CC5.3	Control activities deployed through policies and procedures	编辑说明	GV.PO-01 GV.PO-02	相同主题：治理政策 (编辑推荐)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	编辑说明	ID.AM-01 ID.AM-02 ID.AM-04+6	相同主题：资产管理 (编辑推荐)
CC6.2	User registration, authorization and removal	编辑说明	PR.AA-01 PR.AA-05	相同主题：访问控制 (编辑推荐)
CC6.3	Role-based access, least privilege and segregation of duties	编辑说明	PR.AA-01 PR.AA-05	相同主题：访问控制, 特权访问 (编辑推荐)
CC6.4	Physical access restrictions	编辑说明	DE.CM-02 PR.AA-06 PR.IR-02	相同主题：物理安全 (编辑推荐)
CC6.5	Protection of data when assets are disposed of	编辑说明	PR.DS-01 PR.DS-02 PR.DS-10	相同主题：数据保护 (编辑推荐)
CC6.6	Protection against threats from outside system boundaries	编辑说明	DE.CM-01 ID.AM-03 PR.AA-03+4	相同主题： WAF, 防火墙 / 网络分段, 零信任 (编辑推荐)
CC6.7	Restricting transmission, movement and removal of information	编辑说明	PR.AA-05 PR.DS-01 PR.DS-02+2	相同主题：移动安全, 加密, DLP (编辑推荐)
CC6.8	Preventing or detecting unauthorized or malicious software	编辑说明	DE.CM-09 PR.DS-02 PR.PS-05	相同主题：终端防护, 邮件安全 (编辑推荐)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	编辑说明	ID.RA-01 ID.RA-08 PR.PS-01+1	相同主题：漏洞管理, 安全配置 (编辑推荐)
CC7.2	Monitoring system components for anomalies	编辑说明	DE.AE-02 DE.AE-03 DE.AE-04+4	相同主题：入侵检测, 异常检测, 日志与审计 (编辑推荐)
CC7.3	Evaluating security events to determine if they are incidents	编辑说明	DE.AE-03 DE.AE-06 DE.AE-08+5	相同主题： SIEM / SOC (编辑推荐)
CC7.4	Responding to identified security incidents	编辑说明	ID.IM-04 RS.AN-03 RS.AN-06+7	相同主题：事件响应, 取证分析 (编辑推荐)
CC7.5	Recovering from identified security incidents	编辑说明	ID.IM-03 ID.IM-04 RC.CO-03+5	相同主题：经验教训, 恢复规划, 沟通与恢复 (编辑推荐)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	编辑说明	PR.PS-06	相同主题：安全开发 (编辑推荐)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	编辑说明	GV.OC-04 GV.RM-01 GV.RM-02+4	相同主题：业务连续性, 风险管理 (编辑推荐)
CC9.2	Managing vendor and business partner risk	编辑说明	DE.CM-06 GV.SC-01 GV.SC-03+10	相同主题：供应商风险管理, 供应链风险 (编辑推荐)

已有 SOC 2 → 需要 NIST CSF 2.0

106 项要求

86 项已映射 · · 20 项无映射在差距视图中打开 →

在 106 项 NIST Cybersecurity Framework 2.0 要求中，86 项可映射到 SOC 2 中的内容，0 项仅弱相关，20 项在本站数据中无映射。

可能需要新增工作：NIST CSF 2.0 项要求在 SOC 2 中没有对应映射 (20)

NIST CSF 2.0	要求	匹配	SOC 2	证据
Detect (DE) · 1
DE.AE-07	Cyber threat intelligence and other contextual information are integrated into the analysis	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
Govern (GV) · 10
GV.OC-02	Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.OV-01	Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.OV-02	The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.RM-04	Strategic direction that describes appropriate risk response options is established and communicated	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.RM-05	Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.RM-07	Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.RR-04	Cybersecurity is included in human resources practices	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.SC-02	Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.SC-08	Relevant suppliers and other third parties are included in incident planning, response, and recovery activities	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
GV.SC-10	Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
Identify (ID) · 4
ID.IM-01	Improvements are identified from evaluations	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
ID.IM-02	Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
ID.RA-02	Cyber threat intelligence is received from information sharing forums and sources	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
ID.RA-07	Changes and exceptions are managed, assessed for risk impact, recorded, and tracked	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
Protect (PR) · 3
PR.AA-02	Identities are proofed and bound to credentials based on the context of interactions	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
PR.IR-04	Adequate resource capacity to ensure availability is maintained	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
PR.PS-03	Hardware is maintained, replaced, and removed commensurate with risk	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
Respond (RS) · 2
RS.AN-08	An incident's magnitude is estimated and validated	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。
RS.MA-05	The criteria for initiating incident recovery are applied	本站数据中无映射	—	本站数据中没有映射到 SOC 2 的内容。

已映射 (86)

NIST CSF 2.0	要求	匹配	SOC 2	证据
Detect (DE) · 10
DE.AE-02	Potentially adverse events are analyzed to better understand associated activities	编辑说明	CC7.2	相同主题：入侵检测, 异常检测 (编辑推荐)
DE.AE-03	Information is correlated from multiple sources	编辑说明	CC7.2 CC7.3	相同主题：日志与审计, SIEM / SOC (编辑推荐)
DE.AE-04	The estimated impact and scope of adverse events are understood	编辑说明	CC7.2	相同主题：异常检测 (编辑推荐)
DE.AE-06	Information on adverse events is provided to authorized staff and tools	编辑说明	CC7.3	相同主题： SIEM / SOC (编辑推荐)
DE.AE-08	Incidents are declared when adverse events meet the defined incident criteria	编辑说明	CC7.3	相同主题： SIEM / SOC (编辑推荐)
DE.CM-01	Networks and network services are monitored to find potentially adverse events	编辑说明	CC6.6 CC7.2	相同主题： WAF, 持续监控, 入侵检测 (编辑推荐)
DE.CM-02	The physical environment is monitored to find potentially adverse events	编辑说明	CC6.4	相同主题：物理安全 (编辑推荐)
DE.CM-03	Personnel activity and technology usage are monitored to find potentially adverse events	编辑说明	CC7.2	相同主题：持续监控 (编辑推荐)
DE.CM-06	External service provider activities and services are monitored to find potentially adverse events	编辑说明	CC9.2	相同主题：供应商风险管理 (编辑推荐)
DE.CM-09	Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events	编辑说明	CC6.8 CC7.2	相同主题：终端防护, 邮件安全, 持续监控, 异常检测 (编辑推荐)
Govern (GV) · 21
GV.OC-01	The organizational mission is understood and informs cybersecurity risk management	编辑说明	CC3.1	相同主题：业务环境 (编辑推荐)
GV.OC-03	Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed	编辑说明	CC4.1 CC4.2	相同主题：合规 (编辑推荐)
GV.OC-04	Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated	编辑说明	A1.1 A1.2 CC3.1+1	相同主题：业务连续性, 业务环境 (编辑推荐)
GV.OC-05	Outcomes, capabilities, and services that the organization depends on are understood and communicated	编辑说明	CC3.1	相同主题：业务环境 (编辑推荐)
GV.OV-03	Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed	编辑说明	CC4.1 CC4.2	相同主题：合规 (编辑推荐)
GV.PO-01	Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced	编辑说明	CC1.1 CC5.3	相同主题：治理政策 (编辑推荐)
GV.PO-02	Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission	编辑说明	CC1.1 CC5.3	相同主题：治理政策 (编辑推荐)
GV.RM-01	Risk management objectives are established and agreed to by organizational stakeholders	编辑说明	CC3.1 CC5.1 CC9.1	相同主题：风险管理 (编辑推荐)
GV.RM-02	Risk appetite and risk tolerance statements are established, communicated, and maintained	编辑说明	CC3.1 CC5.1 CC9.1	相同主题：风险管理 (编辑推荐)
GV.RM-03	Cybersecurity risk management activities and outcomes are included in enterprise risk management processes	编辑说明	CC3.1 CC5.1 CC9.1	相同主题：风险管理 (编辑推荐)
GV.RM-06	A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated	编辑说明	CC3.1 CC5.1 CC9.1	相同主题：风险管理 (编辑推荐)
GV.RR-01	Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving	编辑说明	CC1.2 CC1.3 CC1.5	相同主题：角色与职责 (编辑推荐)
GV.RR-02	Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced	编辑说明	CC1.2 CC1.3 CC1.5	相同主题：角色与职责 (编辑推荐)
GV.RR-03	Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies	编辑说明	CC1.2 CC1.3 CC1.5	相同主题：角色与职责 (编辑推荐)
GV.SC-01	A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders	编辑说明	CC9.2	相同主题：供应链风险 (编辑推荐)
GV.SC-03	Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes	编辑说明	CC9.2	相同主题：供应链风险 (编辑推荐)
GV.SC-04	Suppliers are known and prioritized by criticality	编辑说明	CC9.2	相同主题：供应商风险管理 (编辑推荐)
GV.SC-05	Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties	编辑说明	CC9.2	相同主题：供应链风险 (编辑推荐)
GV.SC-06	Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships	编辑说明	CC9.2	相同主题：供应商风险管理 (编辑推荐)
GV.SC-07	The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship	编辑说明	CC9.2	相同主题：供应商风险管理 (编辑推荐)
GV.SC-09	Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle	编辑说明	CC9.2	相同主题：供应链风险 (编辑推荐)
Identify (ID) · 17
ID.AM-01	Inventories of hardware managed by the organization are maintained	编辑说明	CC6.1	相同主题：资产管理 (编辑推荐)
ID.AM-02	Inventories of software, services, and systems managed by the organization are maintained	编辑说明	CC6.1	相同主题：资产管理 (编辑推荐)
ID.AM-03	Representations of the organization's authorized network communication and internal and external network data flows are maintained	编辑说明	CC6.6	相同主题：防火墙 / 网络分段 (编辑推荐)
ID.AM-04	Inventories of services provided by suppliers are maintained	编辑说明	CC6.1 CC9.2	相同主题：资产管理, 云安全 (编辑推荐)
ID.AM-05	Assets are prioritized based on classification, criticality, resources, and impact on the mission	编辑说明	C1.1	相同主题：数据分类 (编辑推荐)
ID.AM-07	Inventories of data and corresponding metadata for designated data types are maintained	编辑说明	C1.1	相同主题：数据分类 (编辑推荐)
ID.AM-08	Systems, hardware, software, services, and data are managed throughout their life cycles	编辑说明	CC6.1	相同主题：资产管理 (编辑推荐)
ID.IM-03	Improvements are identified from execution of operational processes, procedures, and activities	编辑说明	CC7.5	相同主题：经验教训 (编辑推荐)
ID.IM-04	Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved	编辑说明	A1.3 CC7.3 CC7.4+1	相同主题：恢复规划, 事件响应 (编辑推荐)
ID.RA-01	Vulnerabilities in assets are identified, validated, and recorded	编辑说明	CC7.1	相同主题：漏洞管理 (编辑推荐)
ID.RA-03	Internal and external threats to the organization are identified and recorded	编辑说明	CC3.2 CC3.3 CC3.4	相同主题：风险评估 (编辑推荐)
ID.RA-04	Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded	编辑说明	CC3.2 CC3.3 CC3.4	相同主题：风险评估 (编辑推荐)
ID.RA-05	Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization	编辑说明	CC3.2 CC3.3 CC3.4	相同主题：风险评估 (编辑推荐)
ID.RA-06	Risk responses are chosen, prioritized, planned, tracked, and communicated	编辑说明	CC3.2 CC3.3 CC3.4	相同主题：风险评估 (编辑推荐)
ID.RA-08	Processes for receiving, analyzing, and responding to vulnerability disclosures are established	编辑说明	CC7.1	相同主题：漏洞管理 (编辑推荐)
ID.RA-09	The authenticity and integrity of hardware and software are assessed prior to acquisition and use	编辑说明	CC9.2	相同主题：供应链风险 (编辑推荐)
ID.RA-10	Critical suppliers are assessed prior to acquisition	编辑说明	CC9.2	相同主题：供应商风险管理 (编辑推荐)
Protect (PR) · 19
PR.AA-01	Identities and credentials for authorized users, services, and hardware are managed by the organization	编辑说明	CC6.1 CC6.2 CC6.3	相同主题：访问控制 (编辑推荐)
PR.AA-03	Users, services, and hardware are authenticated	编辑说明	CC6.1 CC6.6	相同主题：多因素认证, 零信任 (编辑推荐)
PR.AA-04	Identity assertions are protected, conveyed, and verified	编辑说明	CC6.6	相同主题：零信任 (编辑推荐)
PR.AA-05	Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties	编辑说明	CC6.1 CC6.2 CC6.3+2	相同主题：访问控制, 特权访问 (编辑推荐)
PR.AA-06	Physical access to assets is managed, monitored, and enforced commensurate with risk	编辑说明	CC6.4	相同主题：物理安全 (编辑推荐)
PR.AT-01	Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind	编辑说明	CC1.4 CC2.2	相同主题：意识与培训 (编辑推荐)
PR.AT-02	Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind	编辑说明	CC1.4 CC2.2	相同主题：意识与培训 (编辑推荐)
PR.DS-01	The confidentiality, integrity, and availability of data-at-rest are protected	编辑说明	C1.2 CC6.1 CC6.5+1	相同主题：数据保护, 加密 (编辑推荐)
PR.DS-02	The confidentiality, integrity, and availability of data-in-transit are protected	编辑说明	C1.2 CC6.1 CC6.5+2	相同主题：数据保护, 加密 (编辑推荐)
PR.DS-10	The confidentiality, integrity, and availability of data-in-use are protected	编辑说明	C1.2 CC6.5 CC6.7	相同主题：数据保护, DLP (编辑推荐)
PR.DS-11	Backups of data are created, protected, maintained, and tested	编辑说明	A1.2	相同主题：备份与恢复 (编辑推荐)
PR.IR-01	Networks and environments are protected from unauthorized logical access and usage	编辑说明	CC6.6 CC9.2	相同主题：防火墙 / 网络分段, Web 安全, 零信任, WAF, 云安全 (编辑推荐)
PR.IR-02	The organization's technology assets are protected from environmental threats	编辑说明	CC6.4	相同主题：物理安全 (编辑推荐)
PR.IR-03	Mechanisms are implemented to achieve resilience requirements in normal and adverse situations	编辑说明	A1.1 A1.2 A1.3+1	相同主题：业务连续性, 灾难恢复 (编辑推荐)
PR.PS-01	Configuration management practices are established and applied	编辑说明	CC5.2 CC6.7 CC7.1+1	相同主题：安全配置, 移动安全 (编辑推荐)
PR.PS-02	Software is maintained, replaced, and removed commensurate with risk	编辑说明	CC7.1	相同主题：补丁管理 (编辑推荐)
PR.PS-04	Log records are generated and made available for continuous monitoring	编辑说明	CC7.2	相同主题：日志与审计 (编辑推荐)
PR.PS-05	Installation and execution of unauthorized software are prevented	编辑说明	CC6.8	相同主题：终端防护 (编辑推荐)
PR.PS-06	Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle	编辑说明	CC6.6 CC8.1	相同主题： Web 安全, 安全开发 (编辑推荐)
Recover (RC) · 8
RC.CO-03	Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders	编辑说明	CC2.3 CC7.5	相同主题：沟通与恢复 (编辑推荐)
RC.CO-04	Public updates on incident recovery are shared using approved methods and messaging	编辑说明	CC2.3 CC7.5	相同主题：沟通与恢复 (编辑推荐)
RC.RP-01	The recovery portion of the incident response plan is executed once initiated from the incident response process	编辑说明	A1.3 CC7.5	相同主题：恢复规划 (编辑推荐)
RC.RP-02	Recovery actions are selected, scoped, prioritized, and performed	编辑说明	A1.2 A1.3 CC7.5	相同主题：灾难恢复, 恢复规划 (编辑推荐)
RC.RP-03	The integrity of backups and other restoration assets is verified before using them for restoration	编辑说明	A1.2	相同主题：备份与恢复 (编辑推荐)
RC.RP-04	Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms	编辑说明	A1.1 A1.2 CC9.1	相同主题：业务连续性 (编辑推荐)
RC.RP-05	The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed	编辑说明	A1.2 A1.3 CC2.3+1	相同主题：灾难恢复, 沟通与恢复 (编辑推荐)
RC.RP-06	The end of incident recovery is declared based on criteria, and incident-related documentation is completed	编辑说明	CC7.5	相同主题：经验教训 (编辑推荐)
Respond (RS) · 11
RS.AN-03	Analysis is performed to establish what has taken place during an incident and the root cause of the incident	编辑说明	CC7.4	相同主题：取证分析 (编辑推荐)
RS.AN-06	Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved	编辑说明	CC7.4	相同主题：取证分析 (编辑推荐)
RS.AN-07	Incident data and metadata are collected, and their integrity and provenance are preserved	编辑说明	CC7.4	相同主题：取证分析 (编辑推荐)
RS.CO-02	Internal and external stakeholders are notified of incidents	编辑说明	CC2.3	相同主题：报告 (编辑推荐)
RS.CO-03	Information is shared with designated internal and external stakeholders	编辑说明	CC2.3	相同主题：沟通 (编辑推荐)
RS.MA-01	The incident response plan is executed in coordination with relevant third parties once an incident is declared	编辑说明	CC7.3 CC7.4	相同主题：事件响应 (编辑推荐)
RS.MA-02	Incident reports are triaged and validated	编辑说明	CC7.3 CC7.4	相同主题：事件响应 (编辑推荐)
RS.MA-03	Incidents are categorized and prioritized	编辑说明	CC7.3 CC7.4	相同主题：事件响应 (编辑推荐)
RS.MA-04	Incidents are escalated or elevated as needed	编辑说明	CC7.3 CC7.4	相同主题：事件响应 (编辑推荐)
RS.MI-01	Incidents are contained	编辑说明	CC7.4	相同主题：缓解 (编辑推荐)
RS.MI-02	Incidents are eradicated	编辑说明	CC7.4	相同主题：缓解 (编辑推荐)

常见问题

SOC 2 是基于 NIST 的吗？

不是。SOC 2 采用 AICPA 的信任服务标准，该标准借鉴了 COSO 内部控制框架。AICPA 确实发布了从这些标准到 NIST 框架的映射，但并非在开放许可下发布。

SOC 2 是基于 NIST CSF 的吗？

不是。SOC 2 采用 AICPA 的信任服务标准，该标准借鉴了 COSO 内部控制框架。二者在安全内容上高度重叠，但它们是各自独立制定的。

SOC 2 报告能显示符合 NIST CSF 吗？

不能正式显示；SOC 2 的意见针对的是信任服务标准。但 SOC 2 报告中测试的控制，可为许多 CSF 成果提供有力证据，一些组织也会为自身报告目的对二者进行映射。

初创公司应先做 NIST CSF 还是 SOC 2？

如果客户要求 SOC 2 报告，就从它开始。否则，CSF 是组织计划的免费方式，其中的控制日后也可以为 SOC 2 报告提供支撑。

SOC 2 报告的有效期有多长？

SOC 2 报告涵盖的是过去的一段期间。客户一般期望每年获得新的 Type II 报告，最好期间之间没有空档。

NIST CSF 有成熟度等级吗？

CSF 2.0 设有层级（部分性、风险知情、可重复、自适应），用以描述组织风险治理与管理的严谨程度。它们并非认证等级。

SOC 2 审计师能评估 NIST CSF 吗？

部分审计机构提供独立的 CSF 评估，但这些评估有别于 SOC 2 审查及其意见。

SOC 2 是否涵盖 NIST CSF 2.0 的全部内容？

不是。SOC 2 对大多数保护、检测和响应成果覆盖良好，但 CSF 2.0 的治理职能（风险战略、供应链风险管理、监督）以及部分识别和恢复成果，超出了信任服务标准的要求。

要求编号和标题均按各框架官方发布的英文原文显示。

对照映射已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。方法说明 · 下载数据 · 报告错误.