| 输入 | 各项标准条款、法规要求、客户要求 |
|---|---|
| 输出 | 控制矩阵：要求 → 控制措施 → 责任部门 → 证据 |
| 价值 | 一次建设多处复用，审计应对提速 |
矩阵示例
矩阵示例
控制：权限定期复核
← ISO 27001 A.8 访问控制
← 等保 访问控制条款
← 客户安全问卷 Q37
证据：季度复核记录合规要求映射
合规映射把多套要求（等保、ISO 27001、法规条款、客户问卷）映射到统一控制矩阵：一条控制对应多项要求，减少重复建设；映射表是应对多标准审计的工作底座。
易错点
- 每套标准单独做：重复建设，团队喊累
- 映射表不维护：标准换版后映射过期，误导自查
数据来源与参考
- 合规管理公开实践（统一控制框架）
- GRC 平台资料