常见问题

使用 ControlMapping

什么是 ControlMapping？

这是一个免费参考工具，展示各14框架之间哪些安全要求可以相互对应：NIST CSF 2.0、ISO 27001、SOC 2、PCI DSS、NIS2、CMMC、HIPAA、GDPR、NIST SP 800-53、CIS Controls 和 Essential Eight。本站涵盖 1,421 条要求，归入 50 个安全主题，每条链接都标明其来源。

如何进行差距分析？

打开差距分析，选择你手头的框架和需要达到的框架。需要达到的框架中的每条要求都会被标示为：已映射（依据已发布的对照映射，或编辑说明判断）、弱相关，或本站数据中无映射。无映射的行很可能就是你需要新增的工作。将结果导出为 CSV，并保留空白的负责人、状态和证据列，用作跟踪表。

这些符号分别代表什么？

对照映射（实心方块）：已发布的对照映射（来自 NIST、ENISA、CIS 或 PCI SSC）建立了该关联。编辑说明（空心方块）：在不存在对照映射的情况下基于我们的判断；始终会显示理由。弱相关（琥珀色圆环）：两者仅共享同一个 NIST CSF 2.0 结果，依赖前请先核实。本站数据中无映射（短横线）：通常意味着需要新增工作，但部分框架的覆盖并不完整。菱形标记表示界定某个主题的 CSF 结果。参见方法论。

什么是主题？

一个安全主题，例如加密、多因素认证或事件响应。每个主题由 NIST CSF 2.0 的结果界定，并列出每个框架中涉及该主题的要求。主题页面是跨所有框架查看某一安全主题的最快方式。

我可以下载数据吗？

可以。下载页面提供完整对照映射，格式为 CSV、Excel 和 JSON，遵循 CC BY 4.0 许可，每个文件中都注明了第三方材料的许可条款。

ControlMapping 是免费的吗？

是的：无需账户，也没有付费墙。数据依据 CC BY 4.0 可免费复用。

准确性与来源

对照映射的准确性如何？

每个要求编号在网站构建时都会与该框架的官方目录核对，已撤销的编号会导致构建失败。标注为对照映射的链接来自已发布的对照映射；标注为编辑说明的链接基于我们的判断，并附有理由。对照映射仅表明各要求涉及相关结果，并不意味着满足其中一项即满足另一项。因此，请将本站用于规划，并在审计中依赖之前对照原文予以确认。

对照映射来自哪里？

NIST（CSF 2.0 信息性引用、SP 800-53 → ISO 27001、HIPAA → SP 800-53、SP 800-171 附录 D）、ENISA（NIS2 → ISO 27001 和 CSF 2.0）、CIS（CIS Controls → CSF 2.0）以及 PCI SSC（PCI DSS → CSF 2.0）。SOC 2、GDPR 和 Essential Eight 没有公开许可的对照映射，因此这些链接均为编辑说明。方法论页面列出了每个来源及其版本。

为什么无法查看 ISO、PCI 或 SOC 2 要求的全文？

这些文本的版权归 ISO、PCI SSC 和 AICPA 所有。我们展示编号、ISO 的标题，以及我们自己为 PCI DSS 和 SOC 2 撰写的简要概述。NIST、HIPAA、NIS2 和 Essential Eight 的文本在其许可允许的范围内予以展示。

我发现了错误，如何报告？

使用任一要求页面上的报告错误链接，或参见关于页面。

框架

SOC 2 与 ISO 27001 有何区别？

ISO 27001 的结果是信息安全管理体系的认证证书，由获得认可的认证机构颁发，有效期为三年。SOC 2 的结果是一份报告：由 CPA 事务所就你的控制措施出具意见，通常覆盖 3 至 12 个月的期间（Type II）。两者的安全控制高度重叠；ISO 增加了管理体系方面的要求，而 SOC 2 则增加了可选的可用性、保密性、处理完整性和隐私标准。参见ISO 27001 与 SOC 2 对比。

我需要 SOC 2 Type I 还是 Type II？

大多数客户要求 Type II，它检验控制措施在一段时期内是否有效运行。Type I 仅涵盖某一时点的设计情况；在 Type II 观察期进行期间，它可作为第一步。参见 SOC 2 指南。

ISO 27001 认证能否满足 NIS2？

不能单独满足。ENISA 将 NIS2 实施条例中的每项技术措施都映射到了 ISO 27001，因此已获认证的组织已完成大部分工作；但 NIS2 另外设有事件报告时限（24 小时、72 小时、一个月）、管理层培训与问责要求，以及向国家主管机构注册的义务。参见 NIS2 指南。

NIST CSF 与 NIST SP 800-53 有何区别？

CSF 2.0 描述的是结果（106 个子类别），对大多数组织而言是自愿采用的。SP 800-53 是实现这些结果的控制措施目录，对美国联邦系统具有强制性，也是 FedRAMP 的基础。NIST 发布了二者之间的官方映射，本站即采用该映射。

谁需要 CMMC Level 2？

处理受控非密信息（CUI）的美国国防部承包商及分包商。Level 2 包含 NIST SP 800-171 Rev 2 的 110 项要求，可通过自评估完成评估；对于大多数 CUI 合同，则由获得认可的第三方评估机构（C3PAO）进行评估。

NIST CSF、HIPAA 或 Essential Eight 有认证吗？

没有官方认证。NIST CSF 和 Essential Eight 是经过评估的，而非认证；HIPAA 由美国卫生与公众服务部（HHS）民权办公室执行。上述三者都存在第三方鉴证，但都不是官方证书。