| 框架 | 等保 2.0 / ISO 27001 / 行业规范 |
|---|---|
| 方式 | 发现 -> 控制域映射表 |
| 表述 | 辅助跟踪，不代替合规评估 |
| 维护 | 复测后同步更新状态 |
映射表示例
映射表示例
| 发现编号 | 问题摘要 | 等保 2.0 对应域 | ISO 27001 控制域 |
| F-03 | 登录未限制失败次数 | 身份鉴别 | 访问控制 |
| F-07 | 日志留存不足 | 安全审计 | 日志与监控 |映射是辅助材料：不输出“通过合规”式结论，合规结论由合规团队出具。
合规映射附录
将发现映射到合规框架便于跟踪：等保 2.0 条款、ISO/IEC 27001 附录 A 控制点或行业规范；映射以控制域对应为主，避免过度声称“合规结论”。
易错点
- 把安全测试结论包装成合规结论
- 映射条款张冠李戴，被合规团队退回
数据来源与参考
- GB/T 22239（网络安全等级保护基本要求）
- ISO/IEC 27001:2022 附录 A