Мапування ISO/IEC 27001 ↔ NIST CSF 2.0

Що дає мапування

Організація, що вже працює за одним документом, бачить, які вимоги другого вже покриті, а які потребують окремих дій. Це знімає подвійну роботу під час підготовки до оцінювання відповідності.

Логіка відповідності

• Govern (GV) — розділи 4–6 і 9–10 ISO: контекст, лідерство, планування, оцінювання, покращення.
• Identify (ID) — організаційні контролі Додатка A щодо активів і ризиків.
• Protect (PR) — контролі доступу, криптографії, персоналу, фізичної безпеки.
• Detect (DE) — журналювання, моніторинг, виявлення подій безпеки.
• Respond (RS) — управління інцидентами інформаційної безпеки.
• Recover (RC) — безперервність діяльності та відновлення.

Обмеження мапи

Відповідність рідко буває повною: одна вимога CSF може покриватися кількома контролями ISO, і навпаки. У таблиці такі випадки позначені як часткова відповідність, а не як рівність.

Як користуватися

• Визначте документ, за яким уже працюєте.
• Візьміть перелік вимог другого документа й позначте покриті рядки.
• Для часткових відповідностей перевірте формулювання обох вимог окремо.
• Непокриті рядки внесіть у план впровадження.