| 代码 | P | 要求简述 | 类型 | 覆盖度 | Sangfor 方案 & 分析 |
|---|---|---|---|---|---|
| GV.OC-04 | 1 | 维护信息和网络系统最新清单 | 技术 | 45% | XDR/MDR/NDR/EPP 辅助 IT 资产自动发现。OT/IoT 需搭配专业方案（Nozomi/Claroty） XDRNDREPP |
| GV.RM-03 | 1 | 定义并文档化信息安全风险管理计划 | 管理 | — | 纯管理要求。需客户/咨询公司完成 |
| GV.RR-02 | 1 | 定义信息安全组织角色和职责 | 管理 | — | 纯组织管理要求 |
| GV.RR-02 | 2 | 维护安全人员清单 | 管理 | — | 纯组织管理要求 |
| GV.RR-02 | 3 | 包含NIS联络点及替代人员 | 管理 | — | 纯组织管理要求 |
| GV.RR-02 | 4 | 定期审查角色职责(至少每2年) | 管理 | — | 纯管理流程要求 |
| GV.RR-04 | 1-3 | 人力资源安全评估和程序 | 管理 | — | 纯HR/组织管理要求 |
| GV.PO-01 | 1-3 | 制定16个领域安全政策并获批准 | 管理 | — | 纯政策制定要求 |
| GV.PO-02 | 1-2 | 年度审查和更新安全政策 | 管理 | — | 纯管理流程要求 |
| GV.SC-01 | 1 | 供应链安全采购要求 | 管理 | — | 纯采购管理要求。ZTNA 可部分支持供应商访问控制 ZTNA |
| GV.SC-02 | 1-2 | 第三方安全角色和职责 | 管理 | — | 纯组织管理要求 |
| GV.SC-04 | 1 | 维护供应商清单 | 管理 | — | 纯供应链管理要求 |
| GV.SC-05 | 1 | 安全要求纳入合同/招标 | 管理 | — | 纯采购/法律要求 |
| GV.SC-07 | 1 | 评估供应链安全风险 | 综合 | 30% | ZTNA 控制供应商访问+数据操作记录。但风险评估文档化需客户完成 ZTNA |
| GV.SC-07 | 2 | 验证供应商合规性 | 管理 | — | 纯供应商管理要求 |
| ID.AM-01 | 1 | 硬件资产清单(IT/IoT/OT/移动) | 技术 | 55% | IAG/NGFW 协助发现 IT/IOT 资产。OT 需 Nozomi/Claroty/Forescout，移动需 MDM (Intune/Jamf) IAGNGFWNDR |
| ID.AM-02 | 1 | 软件/服务/应用清单 | 技术 | 50% | EDR 可发现端点软件，SaaS/API 需额外手段 EDR |
| ID.AM-04 | 1 | 供应商服务清单(含云) | 综合 | 30% | Cloud 监控可部分发现，需人工维护清单 Cloud |
| ID.RA-01 | 1 | 识别系统和网络中的漏洞 | 技术 | 80% | NDR/XDR/FW 提供漏洞识别和资产漏洞关联，核心覆盖 NDRXDRNGFW |
| ID.RA-05 | 1 | 风险评估(含第三方供应商) | 综合 | 35% | XDR SSVC 提供漏洞优先级排序，建议搭配 GRC 平台(Archer/ServiceNow)或 vCISO XDR |
| ID.RA-05 | 2-3 | 定期风险评估(每2年)+管理层批准 | 管理 | — | 纯管理流程要求 |
| ID.RA-06 | 1-3 | 风险处理计划+管理层批准 | 管理 | — | 纯管理流程要求 |
| ID.RA-08 | 1 | 监控 CSIRT Italia 漏洞渠道 | 综合 | 30% | NDR/XDR 有威胁情报集成，但 CSIRT Italia 特定渠道需人工 NDRXDR |
| ID.RA-08 | 2 | 漏洞修复(安全更新/缓解) | 技术 | 50% | XDR/SOAR 可自动化部分修复，需人工决策和文档记录 XDRSOAR |
| ID.RA-08 | 3-4 | 漏洞管理计划+管理层批准 | 管理 | — | 纯管理流程要求 |
| ID.IM-01 | 1-2 | 安全符合性改进计划+管理层报告 | 管理 | — | 纯管理流程要求 |
| ID.IM-04 | 1-5 | 业务连续性+灾难恢复+危机管理 | 综合 | 35% | Sangfor HCI 提供备份/高可用/灾难恢复技术支撑，计划文档化是管理要求 HCI |
| PR.AA-01 | 1 | 用户账户登记和个人化 | 技术 | 50% | ZTNA 提供用户管理，NIS审批流程需客户完成 ZTNA |
| PR.AA-01 | 2 | 强凭证和定期更新 | 技术 | 80% | ZTNA 支持强密码策略和凭证管理 ZTNA |
| PR.AA-01 | 3 | 定期核查用户和权限 | 综合 | 50% | ZTNA 提供权限可视化，人工审查需客户执行 ZTNA |
| PR.AA-01 | 4 | 文档化程序 | 管理 | — | 纯文档要求 |
| PR.AA-03 | 1 | 风险匹配的认证方式 | 技术 | 90% | ZTNA 提供基于风险的自适应认证 ZTNA |
| PR.AA-03 | 2 | 多因素认证(MFA) | 技术 | 95% | ZTNA 原生支持 MFA，核心优势 ZTNA |
| PR.AA-03 | 3 | 文档化程序 | 管理 | — | 纯文档要求 |
| PR.AA-05 | 1 | 最小权限+职责分离 | 技术 | 85% | ZTNA 自适应权限收敛，核心覆盖 ZTNA |
| PR.AA-05 | 2 | 管理员/非管理员账户分离 | 综合 | 50% | ZTNA/IAM 支持，需客户组织层面落实 ZTNA |
| PR.AA-05 | 3 | 文档化程序 | 管理 | — | 纯文档要求 |
| PR.AA-06 | 1-2 | 物理访问安全保护+程序 | 管理 | — | 不在产品范围内。物理安全是门禁/监控等 |
| PR.AT-01 | 1-3 | 安全培训计划+管理层批准+记录 | 管理 | — | 不在产品范围内。需培训服务提供商 |
| PR.DS-01 | 1 | 便携设备数据加密 | 技术 | 75% | ZTNA Sandbox 加密运行环境+防外拷。设备级加密搭配 BitLocker/FileVault/MDM ZTNA |
| PR.DS-01 | 2 | 可移动介质扫描 | 技术 | 80% | EPP 提供恶意代码检测，包括可移动介质扫描 EPP |
| PR.DS-01 | 3 | 文档化程序 | 管理 | — | 纯文档要求 |
| PR.DS-02 | 1-2 | 传输中数据加密+程序 | 综合 | 40% | ZTNA/FW 提供加密隧道，全面传输加密策略需客户规划 ZTNANGFW |
| PR.DS-11 | 1-2 | 数据备份(含离线)+程序 | 综合 | 60% | Sangfor HCI 提供备份/高可用/离线备份，策略文档化需客户完成 HCI |
| PR.PS-02 | 1-3 | 软件维护/安全更新+程序 | 综合 | 30% | XDR/SOAR 可辅助补丁管理，补丁部署需额外工具 XDRSOAR |
| PR.PS-04 | 1-2 | 远程/管理员访问日志+安全存储 | 技术 | 90% | XDR/SIEM 集中化安全日志管理，核心覆盖 XDRSIEM |
| PR.PS-04 | 3-4 | 日志保留期限定义+程序 | 综合 | 40% | SIEM 可配置保留期，需客户定义策略并文档化 SIEM |
| PR.PS-06 | 1 | 安全编码实践 | 技术 | — | 不在产品范围内。开发安全需 SAST/DAST 工具 |
| PR.IR-01 | 1 | 远程活动定义+访问安全 | 技术 | 85% | ZTNA 核心覆盖 ZTNA |
| PR.IR-01 | 2 | 可远程访问系统清单 | 综合 | 50% | ZTNA 后台可查看，需人工更新清单 ZTNA |
| PR.IR-01 | 3 | 防火墙等边界系统 | 技术 | 95% | NGFW 直接满足，AI引擎+WAF+SD-WAN NGFW |
| PR.IR-01 | 4 | 文档化程序 | 管理 | — | 纯文档要求 |
| DE.CM-01 | 1 | 安全事件检测技术工具 | 技术 | 95% | XDR/MDR+EPP+NDR+FW 全面覆盖，核心竞争力 XDRMDREPPNDRNGFW |
| DE.CM-01 | 2 | 定义服务水平(SL) | 综合 | 30% | MDR H24 提供 SLA 参考，业务 SL 定义需客户完成 MDR |
| DE.CM-01 | 3 | 文档化程序 | 管理 | — | 纯文档要求 |
| DE.CM-09 | 1 | 终端保护(恶意代码检测) | 技术 | 95% | EPP 直接满足，持续更新规则库 EPP |
| DE.CM-09 | 2 | 文档化程序 | 管理 | — | 纯文档要求 |
| RS.MA-01 | 1 | 事件管理和CSIRT通报计划 | 综合 | 60% | Forenova MDR H24 提供事件追溯、取证分析，支持 24h/72h/1月报告流程 MDR |
| RS.MA-01 | 2 | 计划获管理层批准 | 管理 | — | 纯管理流程要求 |
| RS.MA-01 | 3 | 定期审查(每2年) | 管理 | — | 纯管理流程要求 |
| RS.CO-02 | 1 | 事件外部沟通(通知服务用户) | 综合 | 30% | MDR 报告可作为沟通基础，沟通流程需客户 MDR |
| RS.CO-02 | 2 | 公众信息披露 | 管理 | — | 纯沟通/法务要求 |
| RC.RP-01 | 1 | 事件恢复程序 | 综合 | 55% | Forenova MDR 恢复指导，XDR/SOAR 自动化恢复，HCI 备份恢复 MDRXDRSOARHCI |