المقارنة
SOC 2 مقابل PCI DSS: ضمان العملاء مقابل الامتثال لمتطلبات شركات البطاقات
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · بيانات 2026-10-27
غالباً ما تحتاج الشركة نفسها إلى SOC 2 وPCI DSS، وعادةً ما تكون شركة SaaS أو شركة تقنية مالية تبيع للمؤسسات الكبيرة وتتعامل في الوقت نفسه مع مدفوعات البطاقات. إن SOC 2 هو تقرير تأكيد يقيس الضوابط مقابل معايير خدمات الثقة الواسعة. أما PCI DSS v4.0.1 فهو معيار إلزامي تعاقدي يحدد متطلبات مفصلة، ويقتصر نطاقه على بيئة بيانات حاملي البطاقات.
تتداخل الأسس الأمنية بين الإطارين، وتشمل إدارة الوصول، وتسجيل الأحداث والمراقبة، وإدارة التغيير، وإدارة الثغرات، والاستجابة للحوادث، وإدارة الموردين. والضوابط المصممة لـ SOC 2 تفي عادةً بمقصد PCI، لكنها لا تفي دائماً بنصه الحرفي.
عند الانتقال من SOC 2 إلى PCI DSS، يكمن العمل الإضافي في دقة متطلبات PCI، وتشمل: ضوابط أمن الشبكة المحددة حول بيئة بيانات حاملي البطاقات، وقواعد تخزين أرقام PAN وعرضها، وإدارة مفاتيح التشفير، والمصادقة متعددة العوامل لكل وصول إلى بيئة بيانات حاملي البطاقات، وتكرار الفحوصات والاختبارات، وسلامة النصوص البرمجية في صفحات الدفع. وكثير من متطلبات PCI ذات صلة فضفاضة وليست مرتبطة ارتباطاً مباشراً، لأن SOC 2 لا يحدد الآلية المطلوبة.
عند الانتقال من PCI DSS إلى SOC 2، تكون معظم معايير الأمن مغطاة. وتتمثل الفجوات في فئتي سلامة المعالجة والخصوصية الاختياريتين في SOC 2، إذا قمت بتضمينهما. وجانب SOC 2 في هذه المقارنة هو الربط التحريري من ControlMapping، لأنه لا يوجد جدول مطابقة عام قابل للقراءة الآلية لـ SOC 2.
أهم النقاط
- استخدام مزوّد مدفوعات متوافق مع PCI والإبقاء على بيانات البطاقات خارج أنظمتك قد يحوّل PCI من برنامج متكامل إلى استبيان قصير.
- أعِد استخدام أدلة SOC 2 لأغراض PCI حيثما يسمح المتطلب بذلك، but تحقّق من تكرارات PCI ومواصفاته التقنية.
- يمكن لتقرير SOC 2 الخاص بك أن يصف الضوابط ذات الصلة بـ PCI، لكنه لا يحل محل تقرير الامتثال لـ PCI (Report on Compliance) أو استبيان التقييم الذاتي (SAQ).
من أصل 260 متطلبًا في PCI DSS v4.0.1، يُطابق 75 شيئًا في SOC 2، وترتبط 72 بشكل فضفاض فقط، ولا يوجد ربط لـ 113 في بياناتنا.
عمل جديد على الأرجح: متطلبات PCI DSS لا يوجد لها ربط بـ SOC 2 (113)
| PCI DSS | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.2.5 | Allowed services, protocols and ports approved | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.2.6 | Security features defined for insecure services | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.2.7 | Network security control rules reviewed every six months | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.2.8 | Network security control configuration files secured | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.3.2 | Outbound traffic from the CDE restricted | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.3.3 | Network controls between wireless networks and the CDE | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.4.3 | Anti-spoofing measures in place | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.4.5 | Internal IP addresses and routing not disclosed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 2.2.4 | Only necessary services and functions enabled | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 2.2.5 | Insecure services justified and secured | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 2.2.6 | System security parameters set to prevent misuse | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 2.2.7 | Non-console administrative access encrypted | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 2.3.2 | Wireless keys changed when key holders leave | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.3.1.2 | Card verification code not kept after authorisation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.2 | Key management: secure key distribution | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.3 | Key management: secure key storage | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.5 | Key management: retiring weakened or compromised keys | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.6 | Key management: split knowledge and dual control | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.7 | Key management: preventing unauthorised key substitution | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 3.7.9 | Service providers give customers key-handling guidance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 4.2.2 | PAN secured when sent by end-user messaging | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 5.3.3 | Removable media scanned or analysed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 5.3.4 | Anti-malware audit logs enabled and retained | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 5.3.5 | Users cannot disable or alter anti-malware | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 6.5.3 | Pre-production environments separated from production | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 6.5.4 | Duties separated between production and pre-production | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 6.5.5 | Live PANs not used in pre-production | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 6.5.6 | Test data and accounts removed before go-live | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 7.2.5 | System and application accounts least privilege | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 7.2.6 | Access to cardholder data repositories restricted | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 7.3.1 | Access control system restricts access by need | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 7.3.2 | Access control system enforces assigned permissions | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 7.3.3 | Access control system set to deny by default | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.2.4 | User ID changes authorised and controlled | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.2.5 | Access revoked immediately on termination | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.3.2 | Authentication factors unreadable in transit and storage | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.3.3 | Identity verified before changing authentication factors | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.3.4 | Account lockout after repeated failed attempts | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.3.5 | First-use and reset passwords unique and changed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 8.6.1 | Interactive use of system accounts managed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.3.3 | Visitor badges returned or deactivated | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.3.4 | Visitor log maintained and retained | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.4.1 | Media with cardholder data physically secured | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.4.3 | Media sent off site tracked and secured | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.4.4 | Management approves media moved off site | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.4.5 | Inventory logs of electronic media kept | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.4.5.1 | Electronic media inventories at least annually | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 9.5.1.3 | Staff trained to spot POI tampering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.2 | Logs capture administrative actions | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.3 | Logs capture access to audit logs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.4 | Logs capture invalid access attempts | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.5 | Logs capture credential and privilege changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.2.1.7 | Logs capture system-level object changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.4.2 | Other logs reviewed periodically | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.4.3 | Exceptions and anomalies addressed | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.6.2 | Time configuration correct and consistent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.7.1 | Service providers detect security control failures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 10.7.3 | Security control failures responded to promptly | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.3.1.2 | Internal scans use authenticated scanning | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.3.1.3 | Internal scans after significant changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.3.2.1 | External scans after significant changes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.1 | Penetration testing methodology defined | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.2 | Internal penetration test at least annually | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.3 | External penetration test at least annually | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.5 | Segmentation controls tested at least annually | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.6 | Service providers test segmentation every six months | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.5.1.1 | Service providers detect covert malware communication | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 11.5.2 | Change-detection on critical files | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.4.2.1 | Service providers: quarterly review results documented | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.5.2.1 | Service providers confirm scope every six months | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.6.2 | Awareness programme reviewed annually | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.6.3.1 | Training covers phishing and social engineering | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.6.3.2 | Training covers acceptable use of technology | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.7.1 | Personnel screened before hire | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| 12.10.5 | Plan covers alerts from security monitoring | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
| A2.1.3 | Service providers offer a secure connection option | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع SOC 2 في بياناتنا. |
راجعها: مرتبطة بشكل فضفاض فقط (نتيجة CSF مشتركة، وليست مطابقة) (72)
| PCI DSS | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: ذو صلة، وليس ربطًا | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.DS-02: ذو صلة، وليس ربطًا | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.DS-01: ذو صلة، وليس ربطًا | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01: ذو صلة، وليس ربطًا | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01: ذو صلة، وليس ربطًا | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01: ذو صلة، وليس ربطًا | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01, PR.DS-01: ذو صلة، وليس ربطًا | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.IR-01: ذو صلة، وليس ربطًا | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-08: ذو صلة، وليس ربطًا | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: ذو صلة، وليس ربطًا | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02, PR.AA-05: ذو صلة، وليس ربطًا | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02, PR.AA-05: ذو صلة، وليس ربطًا | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-03: ذو صلة، وليس ربطًا | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-05: ذو صلة، وليس ربطًا | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-10, PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03: ذو صلة، وليس ربطًا | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-01: ذو صلة، وليس ربطًا | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02, PR.IR-02: ذو صلة، وليس ربطًا | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | يشترك فقط في الفئات الفرعية لـ CSF PR.AA-03, PR.AA-06: ذو صلة، وليس ربطًا | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, RC.RP-03, DE.CM-02: ذو صلة، وليس ربطًا | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-01, GV.OC-03: ذو صلة، وليس ربطًا | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | يشترك فقط في الفئات الفرعية لـ CSF PR.DS-11, PR.DS-01, GV.OC-03: ذو صلة، وليس ربطًا | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: ذو صلة، وليس ربطًا | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: ذو صلة، وليس ربطًا | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | يشترك فقط في الفئات الفرعية لـ CSF RS.AN-03, RS.AN-07: ذو صلة، وليس ربطًا | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-04, DE.AE-06, RS.AN-06: ذو صلة، وليس ربطًا | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: ذو صلة، وليس ربطًا | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | يشترك فقط في الفئات الفرعية لـ CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: ذو صلة، وليس ربطًا | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: ذو صلة، وليس ربطًا | |
| 10.6.3 | Time settings protected from change | CC7.2 | يشترك فقط في الفئات الفرعية لـ CSF PR.PS-04: ذو صلة، وليس ربطًا | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | يشترك فقط في الفئات الفرعية لـ CSF GV.OV-03: ذو صلة، وليس ربطًا | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | يشترك فقط في الفئات الفرعية لـ CSF GV.PO-02: ذو صلة، وليس ربطًا | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RR-02: ذو صلة، وليس ربطًا | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | يشترك فقط في الفئات الفرعية لـ CSF DE.CM-01, PR.IR-01: ذو صلة، وليس ربطًا | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | يشترك فقط في الفئات الفرعية لـ CSF RC.RP-05: ذو صلة، وليس ربطًا | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: ذو صلة، وليس ربطًا | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-06: ذو صلة، وليس ربطًا | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03: ذو صلة، وليس ربطًا | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: ذو صلة، وليس ربطًا | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | يشترك فقط في الفئات الفرعية لـ CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: ذو صلة، وليس ربطًا | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | يشترك فقط في الفئات الفرعية لـ CSF GV.RM-03, GV.RM-06: ذو صلة، وليس ربطًا | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | يشترك فقط في الفئات الفرعية لـ CSF ID.AM-07: ذو صلة، وليس ربطًا | |
مُطابَق (75)
| PCI DSS | المتطلب | تطابق | SOC 2 | الأدلة |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| 1.2.3 | Accurate network diagram maintained | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| 1.3.1 | Inbound traffic to the CDE restricted | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| 1.4.1 | Network controls between trusted and untrusted networks | تحريري | CC6.6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | تحريري | CC5.2CC7.1 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| 2.2.2 | Vendor default accounts managed or removed | تحريري | CC5.2CC7.1 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| 3.4.1 | PAN masked when displayed | تحريري | C1.2CC6.5 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| 3.4.2 | PAN copying prevented over remote-access technologies | تحريري | CC6.7 | الموضوع نفسه: DLP (اختيار المحرر) |
| 3.5.1 | PAN rendered unreadable wherever stored | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| 3.6.1 | Procedures protect keys that secure stored account data | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| 3.7.1 | Key management: strong key generation | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | تحريري | CC6.1CC6.7 | الموضوع نفسه: التشفير (اختيار المحرر) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | تحريري | CC6.8 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| 5.4.1 | Mechanisms to detect and protect against phishing | تحريري | CC6.8 | الموضوع نفسه: أمن البريد الإلكتروني (اختيار المحرر) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| 6.2.2 | Developers trained in secure software development | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| 6.2.3 | Custom code reviewed before release | تحريري | CC8.1 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | تحريري | CC7.1 | الموضوع نفسه: إدارة الثغرات, إدارة الرقع (اختيار المحرر) |
| 6.3.2 | Inventory of custom software and its components | تحريري | CC6.1CC9.2 | الموضوع نفسه: إدارة الأصول, مخاطر سلسلة التوريد (اختيار المحرر) |
| 6.3.3 | Security patches installed promptly | تحريري | CC7.1 | الموضوع نفسه: إدارة الرقع (اختيار المحرر) |
| 6.4.1 | Public web applications protected against attacks | تحريري | CC6.6 | الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر) |
| 6.4.2 | Automated solution blocks attacks on public web apps | تحريري | CC6.6 | الموضوع نفسه: WAF (اختيار المحرر) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | تحريري | CC6.6 | الموضوع نفسه: أمن تطبيقات الويب (اختيار المحرر) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | تحريري | CC6.1CC6.2CC6.3+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| 7.2.2 | Access assigned by job function and least privilege | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول, الوصول المميز (اختيار المحرر) |
| 7.2.4 | User accounts and privileges reviewed every six months | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | تحريري | CC6.1CC6.2CC6.3 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| 8.3.1 | User and admin access requires an authentication factor | تحريري | CC6.6 | الموضوع نفسه: الثقة المعدومة (اختيار المحرر) |
| 8.4.1 | MFA for non-console administrative access to the CDE | تحريري | CC6.1 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| 8.4.2 | MFA for all access into the CDE | تحريري | CC6.1 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| 8.4.3 | MFA for remote network access | تحريري | CC6.1 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| 8.5.1 | MFA systems configured to resist misuse | تحريري | CC6.1 | الموضوع نفسه: المصادقة متعددة العناصر (اختيار المحرر) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.2.3 | Physical access to network hardware restricted | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.3.1 | Personnel physical access authorised and managed | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | تحريري | CC6.4 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| 9.4.1.1 | Offline backup media stored securely | تحريري | A1.2 | الموضوع نفسه: النسخ الاحتياطي والاستعادة (اختيار المحرر) |
| 9.4.2 | Media classified by data sensitivity | تحريري | C1.1 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| 10.3.2 | Logs protected from modification | تحريري | CC7.2CC7.4 | الموضوع نفسه: التسجيل والتدقيق, الطب الشرعي الرقمي (اختيار المحرر) |
| 10.4.1 | Security event and critical logs reviewed daily | تحريري | CC7.2CC7.3 | الموضوع نفسه: المراقبة المستمرة, SIEM / SOC (اختيار المحرر) |
| 10.4.1.1 | Automated mechanisms for log review | تحريري | CC7.2 | الموضوع نفسه: اكتشاف الشذوذ (اختيار المحرر) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| 10.6.1 | System clocks synchronised | تحريري | CC7.2 | الموضوع نفسه: التسجيل والتدقيق (اختيار المحرر) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | تحريري | CC7.1 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| 11.3.2 | External ASV scans every three months | تحريري | CC7.1 | الموضوع نفسه: إدارة الثغرات (اختيار المحرر) |
| 11.5.1 | Intrusion detection or prevention on network traffic | تحريري | CC7.2 | الموضوع نفسه: كشف التسلل (اختيار المحرر) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| 12.1.2 | Security policy reviewed at least annually | تحريري | CC1.1CC5.3 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| 12.1.3 | Security roles and responsibilities defined | تحريري | CC1.2CC1.3CC1.5 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| 12.1.4 | Executive responsibility for information security assigned | تحريري | CC1.2CC1.3CC1.5 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | تحريري | CC3.1CC3.2CC3.3+3 | الموضوع نفسه: إدارة المخاطر, تقييم المخاطر (اختيار المحرر) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | تحريري | CC4.1CC4.2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| 12.5.1 | Inventory of in-scope system components | تحريري | CC6.1 | الموضوع نفسه: إدارة الأصول (اختيار المحرر) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | تحريري | CC3.1 | الموضوع نفسه: بيئة الأعمال (اختيار المحرر) |
| 12.6.1 | Formal security awareness programme | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| 12.6.3 | Awareness training on hire and at least annually | تحريري | CC1.4CC2.2 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| 12.8.1 | List of third-party service providers kept | تحريري | CC9.2 | الموضوع نفسه: مخاطر سلسلة التوريد, أمن السحابة, إدارة مخاطر الموردين (اختيار المحرر) |
| 12.8.2 | Written agreements with service providers | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| 12.8.3 | Due diligence before engaging service providers | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| 12.8.4 | Service provider compliance monitored annually | تحريري | CC9.2 | الموضوع نفسه: إدارة مخاطر الموردين (اختيار المحرر) |
| 12.8.5 | Responsibilities split with each provider documented | تحريري | CC9.2 | الموضوع نفسه: أمن السحابة, إدارة مخاطر الموردين (اختيار المحرر) |
| 12.10.1 | Incident response plan ready to activate | تحريري | A1.1A1.2A1.3+5 | الموضوع نفسه: استمرارية الأعمال, التعافي من الكوارث, تخطيط الاستعادة (اختيار المحرر) |
| 12.10.2 | Incident response plan reviewed and tested annually | تحريري | CC7.3CC7.4 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| 12.10.3 | Incident response staff available around the clock | تحريري | CC7.3CC7.4 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| 12.10.4 | Incident response staff trained | تحريري | CC7.3CC7.4 | الموضوع نفسه: الاستجابة للحوادث (اختيار المحرر) |
| 12.10.6 | Plan updated from lessons learned and industry changes | تحريري | CC7.5 | الموضوع نفسه: الدروس المستفادة (اختيار المحرر) |
من أصل 61 متطلبًا في SOC 2 (Trust Services Criteria)، يُطابق 37 شيئًا في PCI DSS، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 24 في بياناتنا.
تعيد AICPA إتاحة ربط SOC 2 بالمعايير المفتوحة، لذا فإن كل روابط SOC 2 هنا هي من تحرير ControlMapping: المعايير التي لم نربطها لا يمكن أن تتطابق. معايير سلامة المعالجة (PI) ومعظم معايير الخصوصية (P) لا يوجد لها مقابل في أطر الأمن.
عمل جديد على الأرجح: متطلبات SOC 2 لا يوجد لها ربط بـ PCI DSS (24)
| SOC 2 | المتطلب | تطابق | PCI DSS | الأدلة |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P2.1 | Choice and consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P3.1 | Collection limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P3.2 | Explicit consent where required | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P4.1 | Use limited to privacy objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P4.2 | Retention of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P4.3 | Disposal of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P5.1 | Data subject access | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P5.2 | Correction of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.1 | Disclosure to third parties with consent | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.2 | Record of authorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.3 | Record of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.4 | Privacy commitments from third parties | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.5 | Notification by third parties of unauthorized disclosures | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.6 | Breach notification to affected individuals | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P6.7 | Accounting of disclosures to data subjects | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P7.1 | Quality of personal information | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| P8.1 | Handling privacy inquiries, complaints and disputes | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| PI1.2 | Controls over system inputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| PI1.3 | Controls over system processing | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| PI1.4 | Controls over system outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
| PI1.5 | Storing inputs, items in processing and outputs | لا يوجد ربط في بياناتنا | — | لا يوجد ربط مع PCI DSS في بياناتنا. |
مُطابَق (37)
| SOC 2 | المتطلب | تطابق | PCI DSS | الأدلة |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | تحريري | 12.10.1 | الموضوع نفسه: استمرارية الأعمال (اختيار المحرر) |
| A1.2 | Environmental protections, backups and recovery infrastructure | تحريري | 9.4.1.112.10.1 | الموضوع نفسه: النسخ الاحتياطي والاستعادة, استمرارية الأعمال, التعافي من الكوارث (اختيار المحرر) |
| A1.3 | Testing recovery plan procedures | تحريري | 12.10.1 | الموضوع نفسه: تخطيط الاستعادة, التعافي من الكوارث (اختيار المحرر) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | تحريري | 9.4.2 | الموضوع نفسه: تصنيف البيانات (اختيار المحرر) |
| C1.2 | Disposing of confidential information | تحريري | 3.2.13.3.13.4.1 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | تحريري | 12.1.112.1.2 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC1.2 | Board independence and oversight of internal control | تحريري | 12.1.312.1.4 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | تحريري | 12.1.312.1.4 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | تحريري | 12.6.112.6.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC1.5 | Accountability for internal control responsibilities | تحريري | 12.1.312.1.4 | الموضوع نفسه: الأدوار والمسؤوليات (اختيار المحرر) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | تحريري | 12.6.112.6.3 | الموضوع نفسه: التوعية والتدريب (اختيار المحرر) |
| CC2.3 | Communication with external parties | تحريري | 12.10.1 | الموضوع نفسه: الإبلاغ (اختيار المحرر) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | تحريري | 12.3.112.5.2 | الموضوع نفسه: إدارة المخاطر, بيئة الأعمال (اختيار المحرر) |
| CC3.2 | Risk identification and analysis | تحريري | 12.3.1 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.3 | Considering the potential for fraud | تحريري | 12.3.1 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC3.4 | Identifying and assessing significant changes | تحريري | 12.3.1 | الموضوع نفسه: تقييم المخاطر (اختيار المحرر) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | تحريري | 12.4.2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC4.2 | Communicating and remediating control deficiencies | تحريري | 12.4.2 | الموضوع نفسه: الامتثال (اختيار المحرر) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | تحريري | 12.3.1 | الموضوع نفسه: إدارة المخاطر (اختيار المحرر) |
| CC5.2 | General controls over technology | تحريري | 2.2.12.2.2 | الموضوع نفسه: الإعدادات الآمنة (اختيار المحرر) |
| CC5.3 | Control activities deployed through policies and procedures | تحريري | 12.1.112.1.2 | الموضوع نفسه: سياسة الحوكمة (اختيار المحرر) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | تحريري | 3.5.13.6.13.7.1+13 | الموضوع نفسه: التشفير (اختيار المحرر) |
| CC6.2 | User registration, authorization and removal | تحريري | 7.2.17.2.27.2.4+1 | الموضوع نفسه: التحكم في الوصول (اختيار المحرر) |
| CC6.3 | Role-based access, least privilege and segregation of duties | تحريري | 7.2.17.2.27.2.4+1 | الموضوع نفسه: التحكم في الوصول, الوصول المميز (اختيار المحرر) |
| CC6.4 | Physical access restrictions | تحريري | 9.2.19.2.1.19.2.3+3 | الموضوع نفسه: الأمن المادي (اختيار المحرر) |
| CC6.5 | Protection of data when assets are disposed of | تحريري | 3.2.13.3.13.4.1 | الموضوع نفسه: حماية البيانات (اختيار المحرر) |
| CC6.6 | Protection against threats from outside system boundaries | تحريري | 1.2.11.2.31.3.1+6 | الموضوع نفسه: جدار الحماية / تجزئة الشبكة (اختيار المحرر) |
| CC6.7 | Restricting transmission, movement and removal of information | تحريري | 3.4.23.5.13.6.1+4 | الموضوع نفسه: DLP, التشفير (اختيار المحرر) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | تحريري | 5.2.15.2.25.3.2+1 | الموضوع نفسه: حماية نقاط النهاية (اختيار المحرر) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | تحريري | 2.2.12.2.26.3.1+3 | الموضوع نفسه: الإعدادات الآمنة, إدارة الثغرات, إدارة الرقع (اختيار المحرر) |
| CC7.2 | Monitoring system components for anomalies | تحريري | 10.2.110.3.210.4.1+4 | الموضوع نفسه: التسجيل والتدقيق, المراقبة المستمرة (اختيار المحرر) |
| CC7.3 | Evaluating security events to determine if they are incidents | تحريري | 10.4.112.10.112.10.2+2 | الموضوع نفسه: SIEM / SOC, الاستجابة للحوادث (اختيار المحرر) |
| CC7.4 | Responding to identified security incidents | تحريري | 10.3.212.10.112.10.2+2 | الموضوع نفسه: الطب الشرعي الرقمي, الاستجابة للحوادث, التخفيف (اختيار المحرر) |
| CC7.5 | Recovering from identified security incidents | تحريري | 12.10.112.10.6 | الموضوع نفسه: تخطيط الاستعادة, الدروس المستفادة (اختيار المحرر) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | تحريري | 6.2.16.2.26.2.3 | الموضوع نفسه: التطوير الآمن (اختيار المحرر) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | تحريري | 12.3.112.10.1 | الموضوع نفسه: إدارة المخاطر, استمرارية الأعمال (اختيار المحرر) |
| CC9.2 | Managing vendor and business partner risk | تحريري | 6.3.212.8.112.8.2+3 | الموضوع نفسه: مخاطر سلسلة التوريد, أمن السحابة, إدارة مخاطر الموردين (اختيار المحرر) |
حسب الموضوع
يغطي كلاهما (43):
سياسة الحوكمةالتوعية والتدريبإدارة المخاطرمخاطر سلسلة التوريدالأدوار والمسؤولياتالامتثالإدارة الأصولتقييم المخاطربيئة الأعمالتصنيف البياناتإدارة الثغراتالتحكم في الوصولالمصادقة متعددة العناصرالتشفيرحماية البياناتالنسخ الاحتياطي والاستعادةالوصول المميزجدار الحماية / تجزئة الشبكةحماية نقاط النهايةإدارة الرقعالإعدادات الآمنةالتطوير الآمنأمن البريد الإلكترونيأمن تطبيقات الويبالثقة المعدومةأمن السحابةWAFDLPالمراقبة المستمرةالتسجيل والتدقيقكشف التسللاكتشاف الشذوذSIEM / SOCالاستجابة للحوادثالطب الشرعي الرقميالتخفيفالإبلاغتخطيط الاستعادةاستمرارية الأعمالالدروس المستفادةالتعافي من الكوارثإدارة مخاطر الموردينالأمن المادي
SOC 2 فقط (3):
PCI DSS فقط (3):
تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.
جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. مُطابَق = مُدرج معًا ضمن موضوع في ControlMapping، أو مرتبط بشكل مباشر. لا تُثبت جداول المطابقة الامتثال. المنهجية · تنزيل البيانات · الإبلاغ عن خطأ.