合规映射附录是什么
不少客户需要把测试发现落到合规框架里跟踪：等保 2.0 的条款、ISO/IEC 27001 附录 A 的控制点或行业规范。合规映射就是指一张发现与控制域的对应表，帮合规团队把安全问题接进既有的整改流程。它是辅助材料，不代替合规评估，报告里也不能因此出现通过合规之类的结论。
基本信息
| 框架 | 等保 2.0、ISO/IEC 27001 附录 A、行业规范 |
|---|---|
| 形式 | 发现编号到控制域的映射表 |
| 表述边界 | 辅助跟踪，不输出合规结论 |
| 维护 | 复测后同步更新状态 |
| 责任划分 | 合规结论由客户合规团队或测评机构出具 |
典型使用场景
- 等保整改：把安全问题接到对应条款，便于统一排期
- ISO 27001 审计准备：为控制点提供实际发现作为证据输入
- 跨部门沟通：合规团队与安全团队使用同一份编号表
- 管理汇报：用控制域归类呈现风险分布，而非零散罗列
- 复测跟踪：按控制域汇总整改进度
映射表示例
映射表示例
| 发现编号 | 问题摘要 | 等保 2.0 对应域 | ISO 27001 控制域 |
| F-03 | 登录未限制失败次数 | 身份鉴别 | 访问控制 |
| F-07 | 日志留存不足 | 安全审计 | 日志与监控 |
| F-11 | 数据传输未加密 | 数据完整性 | 密码技术 |
说明：映射按控制域对应为主，具体条款以客户合规团队认定为准。表述与边界
| 情形 | 可以写 | 不可写 |
|---|---|---|
| 发现与控制域对应 | 该问题涉及某控制域 | 该条款已不满足（需测评认定） |
| 整改进度 | 按控制域汇总的修复状态 | 已通过合规 |
| 框架引用 | 引用公开标准条款号 | 引用客户未公开的内部条款 |
| 结论归属 | 供合规团队参考 | 代替合规评估结论 |
映射是辅助材料：不输出通过合规式结论，合规结论由合规团队或测评机构出具，报告里把这条边界写清楚能避免后续争议。
条款张冠李戴会被合规团队直接退回：引用条款前先核对标准原文的适用范围，宁可不映射也不要写错编号。