方法论
ControlMapping 将安全要求归入 50 个主题（如加密、多因素认证、事件响应等……），并展示各框架中哪些要求覆盖每个主题。本页说明每条映射的来源，帮助您判断应在多大程度上依赖它。
图标含义说明
五个图标在每个页面上含义一致。每个图标都附有文字标签；颜色仅作辅助。
- 主题定义：界定该主题的 NIST CSF 2.0 结果。
- 对照映射：已发布的对照映射（NIST、ENISA、CIS、PCI SSC）建立了该关联。
- 编辑说明：在不存在对照映射的情况下，由 ControlMapping 作出的专业判断；会显示理由。
- ：仅与某个 CSF 2.0 结果有交集：值得核查，但不是映射。
- 本站数据中无映射：本站数据中未映射任何内容；通常意味着属于新工作领域，但请查看覆盖说明。
映射是指对照映射或编辑说明：两项要求被经过整理纳入同一主题，或被直接关联。只有映射才计入差距工具、比对和统计中的覆盖情况。只是一条需要核查的线索，绝不计为覆盖。
本站数据中无映射表示本站数据中没有任何映射。对大多数框架而言，这很可能属于新工作，但覆盖程度并不均衡：CIS v8.1：大多数 CIS 关联为编辑说明；CIS 已发布的对照映射仅覆盖 153 项保障措施中的 49 项；SOC 2：SOC 2 关联仅为编辑说明；GDPR：仅 GDPR 的安全条款经编辑说明完成映射；Essential Eight：Essential Eight 关联仅为编辑说明；DORA：DORA 关联为编辑说明，其技术标准未作映射；CPS 234：CPS 234 以原则为基础，其关联为编辑说明；Cyber Essentials：Cyber Essentials 仅涵盖五项技术控制。对于上述无映射的情况，请视为“尚未映射”，并在编制预算前予以核实。
1. NIST CSF 2.0 为核心
每个主题由一个或多个 NIST 网络安全框架 2.0 子类别界定（例如，加密 = PR.DS-01 静态数据与 PR.DS-02 传输中数据）。选择这些子类别是我们的编辑决定，并会在每个主题页面上予以展示。
2. 对照映射与编辑说明
对于其他每个框架，主题下列出的每项要求都会与 NIST 在线参考信息（OLIR）目录中已发布的对照映射进行核对：
- 对照映射：已发布的对照映射将该要求直接或通过一项本身已被关联的 SP 800-53 控制，与该主题的某个 CSF 子类别相连。关联会予以展示，例如“对照映射：PR.DS-01”或“NIST HIPAA 映射：SC-13”。
- 编辑说明：没有已发布的对照映射建立该关联，但我们认为二者相关，并会展示理由。所有 GDPR、SOC 2 和 Essential Eight 的映射均为编辑说明：对它们而言不存在公开许可的对照映射。
各对照映射的权威性有所不同。由 NIST 或框架所有方（CIS Controls 对应 CIS）发布的对照映射最具效力。PCI DSS 的对照映射由 PCI SSC 自行发布。ISO 27001 与 CSF 2.0 的对照映射由独立第三方提交，NIST 不核验非 NIST 提交内容的正确性。ISO 关联同时与 NIST 自身的 800-53 → ISO 27001 映射进行核对。下表列明每个来源。
通过整个 800-53 控制族建立的关联（NIST 的旧数据会将部分子类别关联到每个控制族）不计为证据。CMMC、HIPAA 或 ISO 的关联若经由某个 SP 800-53 控制建立，则仅当该 800-53 控制本身已与该主题建立对照映射关联时才予计入。
在 CSF 2.0 之外的 968 条要求映射中，475 条有对照映射支持，493 条为编辑说明。
3. 要求与要求之间的关系
要求页面、比对、差距工具及下载内容会跨框架关联各项要求。以下情形下，两项要求视为已映射：
- 二者同为 ControlMapping 同一主题下的选项（经整理与核验，如上所述）。当两个选项在该主题中均有对照映射支持时，关联标记为对照映射，否则标记为编辑说明；或
- 成对映射直接将二者关联：ENISA 的 NIS2 → ISO 27001 对照表、NIST 的 HIPAA → SP 800-53 对照映射、NIST 的 SP 800-53 → ISO 27001 映射，或者，对于 CMMC，NIST 的 SP 800-171r2 附录 D 及 SP 800-171r3 → SP 800-53 参照（均为对照映射）。在不存在对照映射的情况下，ControlMapping 的一小组编辑配对（例如 SOC 2 CC4.1 ↔ ISO 27001 第 9.2 条款）用于填补明显空白；每组配对均附有理由（编辑说明）。
除此之外，关联到同一 NIST CSF 2.0 子类别的两项要求会显示为：它们针对相关结果，但一项并不满足另一项。这些线索按排序展示（有对照映射支持者优先，其次按共享结果数排列），在要求页面上每个框架最多显示 8 条，并默认折叠。以下两类关联被视为噪音而剔除：仅通过 CSF 通用改进结果（ID.IM）共享的关联，以及 SP 800-53 “-1”政策与程序类控制，除非共享结果为政策类（GV.PO）。
CMMC 实践通过其 SP 800-171 Rev 3 对应项或附录 D 中的 800-53 控制与 CSF 2.0 相连，HIPAA 要求则通过 NIST 的 HIPAA → SP 800-53 对照映射相连。下载内容包含每一条要求 → CSF 2.0 的关联，便于您核查或扩展工作。
4. 每个 ID 均经核验
若任何要求 ID 在其框架目录中不存在或已被撤销（例如，CSF 1.1 中在 CSF 2.0 中已被撤销的 ID.BE-01 等 ID），构建将失败。
5. 来源与版本
| 框架 | 要求目录 | 所用对照映射 | 映射数（对照映射） |
|---|---|---|---|
| NIST 网络安全框架 2.0 | NIST CPRT 导出的 CSF 2.0（包括已撤销的 1.1 子类别） | 核心：每个主题均由 CSF 2.0 子类别界定 | — |
| ISO/IEC 27001:2022 | 附录 A 控制及条款编号，附简短标题（标准正文版权归 ISO 所有） | ISO/IEC 27001:2022 至 CSF 2.0（OLIR，独立提交方）以及 NIST 自身的 SP 800-53 Rev 5 至 ISO/IEC 27001:2022 映射 | 105（99） |
| CIS Controls v8.1 | CIS Controls v8.1 保障措施，附 CIS 标题（CC BY-NC-ND 4.0） | CIS 自身在 OLIR 中发布的 CIS Controls v8.1 至 CSF 2.0 映射，覆盖 153 项保障措施中的 49 项；其余为编辑说明 | 163（40） |
| SOC 2（信任服务标准） | 2017 年信任服务标准 ID（2022 年修订的关注点），附 ControlMapping 自拟的一句话概要；标准正文版权归 AICPA 所有 | AICPA 发布了 TSC 映射（例如至 NIST 800-53 和 ISO 27001），但并非以开放许可发布，因此此处所有 SOC 2 映射均为 ControlMapping 编辑说明 | 66（0） |
| PCI DSS v4.0.1 | PCI DSS v4.0.1 要求编号（已与对照映射核对），附 ControlMapping 自拟的一句话概要；要求正文版权归 PCI SSC 所有 | PCI SSC 自身发布的 PCI DSS v4.0.1 至 CSF 2.0 映射（由顾问委员会制定），已刊载于 NIST 的 CSF 2.0 参考信息中 | 95（70） |
| CMMC 二级 | NIST CPRT 导出的 SP 800-171 Rev 2（110 项 CMMC 二级实践），附 DoD 的 CMMC 二级实践名称 | NIST SP 800-171 Rev 2 附录 D（→ SP 800-53，Rev 4 ID 延续至 Rev 5），以及通过对应 Rev 3 要求建立的 SP 800-171 Rev 3 → SP 800-53 与 CSF 2.0 → 800-171r3 参照 | 72（60） |
| NIST SP 800-53 Rev 5.2 | NIST OSCAL 目录，SP 800-53 Rev 5.2.0（包括已撤销的控制） | NIST CSF 2.0 参考信息（800-53 Rev 5.2.0 与 5.1.1） | 120（106） |
| HIPAA 安全规则 | NIST SP 800-66r2（CPRT）：安全规则标准与实施规范。ID 遵循 NIST 的格式，省略了标准中 CFR 末尾的 (1)：此处的 §164.310(a) 即 §164.310(a)(1) | NIST 的 HIPAA 安全规则至 SP 800-53 Rev 5.1.1 对照映射（OLIR），经由该主题中具有对照映射支持的 800-53 控制建立 | 47（36） |
| GDPR | 载有安全义务的 GDPR 条款（第 5、24–25、28–30、32–35、37–39 条） | 不存在（GDPR 为隐私法规），因此所有 GDPR 映射均为编辑说明 | 34（0） |
| NIS2 实施条例（欧盟）2024/2690 | 欧盟委员会实施条例（欧盟）2024/2690 附件中的 49 项要求条款，附 ENISA 标题 | ENISA 官方映射表（v1.2），将各条款映射至 NIST CSF 2.0 和 ISO/IEC 27001:2022；已进行规范化处理（例如，已撤销的 CSF 1.1 ID 依据 NIST 数据迁移），仅当无其他映射时才使用通用 ID.IM 改进关联 | 65（64） |
| ASD Essential Eight | ASD 为 Essential Eight 成熟度等级标注的 126 项《信息安全手册》（ISM）控制（ISM 2026 年 9 月版，CC BY 4.0），按 ASD 的八项策略分组 | 无：ASD 未发布 Essential Eight/ISM 至 NIST 或 ISO 的对照映射，因此策略 → CSF 2.0 关联及主题映射均为 ControlMapping 编辑说明。控制与策略的对应关系依据 ASD 的 Essential Eight 成熟度模型 | 62（0） |
| DORA（条例（欧盟）2022/2554） | 条例（欧盟）2022/2554，依欧盟官方公报（出版署）公布的版本：约束金融实体的 22 条条款，附其款和项的正文 | 不存在，因此所有 DORA 映射均为编辑说明，并在款或项层面逐一作出，每项均附理由 | 93（0） |
| APRA CPS 234 信息安全 | APRA 审慎标准 CPS 234，依联邦立法登记册登记版本（F2018L01745，CC BY 4.0）：第 13 至 36 段正文条款，附 ControlMapping 的简短标题 | 不存在，因此所有 CPS 234 映射均为编辑说明 | 35（0） |
| 英国 Cyber Essentials（NCSC） | NCSC《IT 基础设施 Cyber Essentials 要求》v3.3（2026 年 4 月）：五个技术控制主题（皇家版权：仅名称） | 不存在，因此所有 Cyber Essentials 映射均为编辑说明，每项均注明具体要求 | 11（0） |
源数据获取于 2026-10-16；映射构建于 2026-10-27。
6. 已知差距
- PCI SSC 的 CSF 映射遗漏了部分核心要求，包括多因素认证要求（8.4.x）以及要求 1 中的大部分网络安全控制。凡我们纳入的此类内容，均标记为编辑说明。
- CIS 的 OLIR 对照映射仅覆盖 153 项 CIS v8.1 保障措施中的 49 项，因此许多 CIS 映射为编辑说明。CIS 另在下载表单后提供更完整的映射，但本站未纳入。
- NIST 的 HIPAA 对照映射指向 SP 800-53，因此仅当某项 HIPAA 要求能够到达该主题中具有对照映射关联的 800-53 控制之一时，才视为有对照映射支持。
- CMMC 二级基于 SP 800-171 Rev 2。其官方关联来自 Rev 2 自身的附录 D（该附录列出 SP 800-53 Rev 4 控制；其中七项在 Rev 5 中已撤销，依照 NIST 的“并入”关联处理；用于 VoIP 的 SC-19 无后继控制），以及对应的 Rev 3 要求。Rev 3 重写了部分要求，因此 Rev 3 关联表明的是同一主题，而非措辞完全相同。
- 某些主题在特定框架中没有对应要求。例如，CMMC 二级没有恢复规划实践，CIS v8.1 没有治理类保障措施。这些差距是真实存在的，而非遗漏。
7. 非合规建议
对照映射仅显示各框架在哪些方面关注相似的结果。它们并不证明满足一项要求即满足另一项要求。请以各框架的官方文本为准，并与您的评估人员或审计师确认。