合规要求映射是什么
合规要求映射把各套标准与法规条款整理成一张控制矩阵：外部要求 → 对应控制措施 → 责任部门 → 证据。它的价值是「一次建设、多处复用」——同一项权限复核可以同时满足多个标准与客户问卷，审计前按矩阵就能快速定位证据，不必为每套标准重复准备材料。矩阵最典型的失效方式只做不维护：标准换版、控制调整后映射过期，反而误导自查。
基本信息
| 输入 | 各项标准条款、法规要求、客户要求 |
|---|---|
| 输出 | 控制矩阵：要求 → 控制措施 → 责任部门 → 证据 |
| 价值 | 一次建设多处复用，审计应对提速 |
| 粒度 | 先建控制清单，再挂载到各标准，避免条款级抄录 |
| 维护 | 标准换版或控制调整时更新，并标注版本与日期 |
典型使用场景
- 同时面对多套标准与客户安全问卷，需要避免重复建设
- 审计前需要快速确定每项要求对应的控制与证据在哪
- 新建控制措施时评估能同时覆盖哪些标准条款
- 监管或标准换版，需要评估影响范围与差距
- 向客户证明合规覆盖情况，需要可核查的对应关系
矩阵示例
矩阵示例
控制：权限定期复核 # 以控制为中心，而不是以条款为中心
← ISO 27001 A.8 访问控制 # 同一控制可对应多条外部要求
← 等保 访问控制条款 # 标注标准版本，便于换版时复核
← 客户安全问卷 Q37 # 客户问卷也纳入映射，减少重复答疑
证据：季度复核记录 # 证据位置写清，取证时不靠记忆
责任人：平台安全组 # 每条控制有明确责任部门矩阵字段
| 字段 | 内容 | 质量要求 |
|---|---|---|
| 外部要求 | 标准条款编号与版本 | 写清版本，换版后能筛出受影响项 |
| 控制措施 | 实际执行的流程或技术手段 | 描述到可被审计验证的程度 |
| 责任部门 | 控制的所有者 | 到团队而非个人，避免人员变动即失效 |
| 证据 | 记录、系统截图、抽样结果 | 指明存放位置与留存期限 |
| 覆盖状态 | 已覆盖、部分覆盖、缺口 | 缺口要有整改期限 |
| 复核日期 | 最近一次核对时间 | 与标准换版时间对齐 |
映射不要从条款抄起：先把已有控制措施列成清单，再逐条挂载到各标准，粒度才可控；按条款逐句抄录通常会得到一张几百行、无法落地的长表。