同样在交付范围内的框架
PCI DSS
处理银行卡数据的必答题。SAQ 自评或 ROC 审计,按你的交易量定路径。
SOC 1
面向财务报告控制的鉴证报告,服务上市公司或其供应链时常被要求。
SOC 3
SOC 2 的公开摘要版,可放官网展示,无需保密协议。
ISO 42001
AI 管理体系国际标准,AI 产品公司的下一张证,与欧盟 AI 法案高度协同。
ISO 27017 / 27018
云安全与云隐私扩展,建在 27001 之上,云服务商的加分项。
ISO 22301
业务连续性管理体系,大客户尽调里越来越常见。
NIST CSF / 800-171
美国企业与政府供应链的常用基线,问卷里的高频参照系。
CMMC
美国国防供应链准入要求,承接国防相关业务的前提。
FedRAMP / StateRAMP
向美国政府销售云服务的授权路径,周期长,尽早规划。
TISAX
汽车行业信息安全评估,进入欧洲车企供应链的通行证。
CSA STAR
云安全联盟的信任登记,基于 CCM 矩阵,与 ISO 27001 协同。
HITRUST
美国医疗行业的综合认证框架,可与 HIPAA、SOC 2 一并规划。
为什么加一个框架没那么贵
控制只建一次
访问控制、日志、变更管理这些核心控制在各框架间大量重叠。我们把重叠只梳理一次,新框架只补增量。
证据自动复用
Vanta、Drata 的证据自动化天然支持多框架映射,同一份证据同时满足多个标准的要求。
顺序帮你排
按你的销售管道决定先后:哪个客户在等哪张证,就先做哪个,后续框架搭现成的便车。
