SOC 2 (Trust Services Criteria)

اقرأ الدليل: كيفية الحصول على تقرير SOC 2 →

تعيد AICPA إتاحة ربط SOC 2 بالمعايير المفتوحة، لذا فإن كل روابط SOC 2 هنا هي من تحرير ControlMapping: المعايير التي لم نربطها لا يمكن أن تتطابق. معايير سلامة المعالجة (PI) ومعظم معايير الخصوصية (P) لا يوجد لها مقابل في أطر الأمن.

المقارنات

المتطلبات

تُعرض معرّفات المتطلبات وعناوينها كما تنشرها كل جهة معيارية، باللغة الإنجليزية.

متطلبات SOC 2 (Trust Services Criteria)

ID	المتطلب	الموضوعات	مُطابَق في
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	استمرارية الأعمال	8 من 13
A1.2	Environmental protections, backups and recovery infrastructure	النسخ الاحتياطي والاستعادة, استمرارية الأعمال, التعافي من الكوارث	11 من 13
A1.3	Testing recovery plan procedures	تخطيط الاستعادة, التعافي من الكوارث	10 من 13
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	تصنيف البيانات	9 من 13
C1.2	Disposing of confidential information	حماية البيانات	11 من 13
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	سياسة الحوكمة	9 من 13
CC1.2	Board independence and oversight of internal control	الأدوار والمسؤوليات	9 من 13
CC1.3	Structures, reporting lines, authorities and responsibilities	الأدوار والمسؤوليات	9 من 13
CC1.4	Commitment to attracting, developing and retaining competent people	التوعية والتدريب	10 من 13
CC1.5	Accountability for internal control responsibilities	الأدوار والمسؤوليات	9 من 13
CC2 Communication and information · 3
CC2.1	Quality information to support internal control	—	1 من 13
CC2.2	Internal communication of objectives and responsibilities	التوعية والتدريب	10 من 13
CC2.3	Communication with external parties	الاتصالات, الإبلاغ, التواصل والاستعادة	12 من 13
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	إدارة المخاطر, بيئة الأعمال	10 من 13
CC3.2	Risk identification and analysis	تقييم المخاطر	10 من 13
CC3.3	Considering the potential for fraud	تقييم المخاطر	10 من 13
CC3.4	Identifying and assessing significant changes	تقييم المخاطر	10 من 13
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	الامتثال	10 من 13
CC4.2	Communicating and remediating control deficiencies	الامتثال	10 من 13
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	إدارة المخاطر	10 من 13
CC5.2	General controls over technology	الإعدادات الآمنة	9 من 13
CC5.3	Control activities deployed through policies and procedures	سياسة الحوكمة	9 من 13
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	إدارة الأصول, التحكم في الوصول, المصادقة متعددة العناصر, التشفير	13 من 13
CC6.2	User registration, authorization and removal	التحكم في الوصول	11 من 13
CC6.3	Role-based access, least privilege and segregation of duties	التحكم في الوصول, الوصول المميز	12 من 13
CC6.4	Physical access restrictions	الأمن المادي	8 من 13
CC6.5	Protection of data when assets are disposed of	حماية البيانات	11 من 13
CC6.6	Protection against threats from outside system boundaries	جدار الحماية / تجزئة الشبكة, أمن تطبيقات الويب, الثقة المعدومة, WAF	9 من 13
CC6.7	Restricting transmission, movement and removal of information	التشفير, أمن الأجهزة المحمولة, DLP	11 من 13
CC6.8	Preventing or detecting unauthorized or malicious software	حماية نقاط النهاية, أمن البريد الإلكتروني	10 من 13
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	إدارة الثغرات, إدارة الرقع, الإعدادات الآمنة	13 من 13
CC7.2	Monitoring system components for anomalies	المراقبة المستمرة, التسجيل والتدقيق, كشف التسلل, اكتشاف الشذوذ	11 من 13
CC7.3	Evaluating security events to determine if they are incidents	SIEM / SOC, الاستجابة للحوادث	12 من 13
CC7.4	Responding to identified security incidents	الاستجابة للحوادث, الطب الشرعي الرقمي, التخفيف	12 من 13
CC7.5	Recovering from identified security incidents	تخطيط الاستعادة, الدروس المستفادة, التواصل والاستعادة	11 من 13
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	التطوير الآمن	8 من 13
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	إدارة المخاطر, استمرارية الأعمال	10 من 13
CC9.2	Managing vendor and business partner risk	مخاطر سلسلة التوريد, أمن السحابة, إدارة مخاطر الموردين	12 من 13
P Privacy · 18
P1.1	Privacy notice	—	لا شيء
P2.1	Choice and consent	—	لا شيء
P3.1	Collection limited to privacy objectives	—	لا شيء
P3.2	Explicit consent where required	—	لا شيء
P4.1	Use limited to privacy objectives	—	لا شيء
P4.2	Retention of personal information	—	1 من 13
P4.3	Disposal of personal information	—	1 من 13
P5.1	Data subject access	—	لا شيء
P5.2	Correction of personal information	—	لا شيء
P6.1	Disclosure to third parties with consent	—	لا شيء
P6.2	Record of authorized disclosures	—	لا شيء
P6.3	Record of unauthorized disclosures	—	لا شيء
P6.4	Privacy commitments from third parties	—	لا شيء
P6.5	Notification by third parties of unauthorized disclosures	—	لا شيء
P6.6	Breach notification to affected individuals	—	1 من 13
P6.7	Accounting of disclosures to data subjects	—	لا شيء
P7.1	Quality of personal information	—	لا شيء
P8.1	Handling privacy inquiries, complaints and disputes	—	لا شيء
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	—	لا شيء
PI1.2	Controls over system inputs	—	لا شيء
PI1.3	Controls over system processing	—	لا شيء
PI1.4	Controls over system outputs	—	لا شيء
PI1.5	Storing inputs, items in processing and outputs	—	لا شيء

تغطية الموضوع

الموضوعات ذات متطلبات SOC 2 المربوطة (46):

لا يوجد ربط في بياناتنا لا يوجد متطلب SOC 2 (4):