一条条款，一款产品，
为什么能对上。
面向 Palo Alto Networks 直销售前与合作伙伴销售的 14117 合规映射工具：把 CISA《受限交易安全要求》的每一条合规项，对齐到 PANW 全产品线，并说清「用什么产品、为什么能对上」，用于客户交流与方案举证。
14117 是什么
美国《行政命令 14117》（2024-02-28）旨在防止「受关注国家」获取美国人的批量敏感个人数据与政府相关数据。DOJ 通过《联邦法规》第 28 编第 202 部分（28 CFR Part 202）落实执行，CISA 于 2025-01-03 发布《受限交易安全要求》，作为受限交易的合规基线。
「受关注国家」：中国、俄罗斯、伊朗、朝鲜、古巴、委内瑞拉。企业若与这些国家的主体开展涉及美国「批量敏感数据」的受限交易（供应商协议、雇佣协议、投资协议），须满足 CISA 安全要求；数据经纪交易与人类基因组/生物标本交易属禁止交易，须取得司法部许可。
本页的范围：以下「条款」即 CISA《受限交易安全要求》的完整合规项（分「组织与系统级要求」「数据级要求」两大部分、共 6 章、30 条）；每一条标注了对应 NIST / CISA 标准与 Palo Alto Networks 的产品映射及理由。
1受限数据 · 分类与批量阈值
| 数据分类 | 子类 | 触及数据量 |
|---|---|---|
| 敏感个人数据 | 特定种类个人识别符 | > 100,000 |
| 生物特征标识符 | > 1,000 | |
| 精准地理位置 | > 1,000 | |
| 个人健康数据 | > 10,000 | |
| 个人财务数据 | > 10,000 | |
| 人类组学数据 | > 1,000（基因 >100） | |
| 政府相关数据 | 政府相关精确位置 | 无阈值 |
| 敏感政府个人数据 | 无阈值 |
匿名化、假名化、去标识化、加密均不能豁免敏感类型的限制；政府相关数据交易无论数据量大小均属受限。
2交易类型 · 禁止 / 受限
- ×禁止交易（须司法部许可）：① 数据经纪交易；② 人类基因组数据与生物标本交易。
- !受限交易（须满足 CISA 安全要求）：③ 供应商协议；④ 雇佣协议；⑤ 投资协议。
- $违规处罚：非故意——企业最高 $368,136 或交易金额两倍；故意——企业最高 $1,000,000，个人最高 20 年监禁。
3安全要求 · 框架与结构
CISA 安全要求以 NIST 网络安全框架（识别 / 保护 / 检测 / 响应 / 恢复）为骨架，主要参考 CISA CPG、NIST 隐私框架、NIST CSF 2.0，分为两大块：
- Ⅰ组织与系统级要求：A 基本组织网络安全政策 · B 逻辑与物理访问控制 · C 内部数据风险评估。
- Ⅱ数据级要求：A 数据最小化与掩蔽 · B 数据加密技术 · C 隐私增强技术。
覆盖热力 · 产品 × 章节
每个格子 = 该产品在对应章节中「直接实现（核心覆盖）」的条款数量。颜色越深，覆盖越充分 —— 帮助销售快速判断「聊数据加密应该主推谁」。
按条款查询
30 条 CISA 合规项，按 6 章分组。每条标注对应标准，并列出映射的 PANW 产品、覆盖角色与「为什么能对上」。
按产品查询
反向视图：每款产品能覆盖 14117 的哪些条款、提供什么能力。点击条款代码可跳回「按条款」定位。