Vergleich

SOC 2 vs. PCI DSS: Kundenvertrauen vs. Compliance-Anforderungen der Kartenmarken

SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · Daten 2026-10-27

SOC 2 und PCI DSS werden häufig vom selben Unternehmen benötigt, typischerweise einem SaaS- oder Fintech-Anbieter, der sowohl an Unternehmen verkauft als auch Kartenzahlungen abwickelt. SOC 2 ist eine Attestierung anhand der breit gefassten Trust Services Criteria. PCI DSS v4.0.1 ist ein präskriptiver, vertraglich verankerter Standard, der auf die Cardholder Data Environment beschränkt ist.

Die Sicherheitsgrundlagen überschneiden sich: Zugriffsmanagement, Protokollierung und Überwachung, Änderungsmanagement, Schwachstellenmanagement, Incident Response und Lieferantenmanagement. Für SOC 2 entwickelte Kontrollen erfüllen in der Regel die Absicht von PCI, nicht aber immer dessen Wortlaut.

Beim Übergang von SOC 2 zu PCI DSS besteht der zusätzliche Aufwand in der Präzision von PCI: definierte Netzwerksicherheitskontrollen rund um die Cardholder Data Environment, Regeln für die Speicherung und Darstellung von PANs, Kryptographie-Schlüsselmanagement, MFA für sämtliche Zugriffe auf die CDE, Prüf- und Testintervalle sowie Skriptintegrität auf Zahlungsseiten. Viele PCI-Anforderungen sind lediglich lose verwandt statt zugeordnet, da SOC 2 keinen konkreten Mechanismus vorschreibt.

Beim Übergang von PCI DSS zu SOC 2 sind die meisten Sicherheitskriterien abgedeckt. Lücken ergeben sich bei den optionalen Kategorien Processing Integrity und Privacy von SOC 2, sofern Sie diese einbeziehen. Die SOC-2-Seite dieses Vergleichs ist eine redaktionelle Zuordnung von ControlMapping, da kein öffentliches, maschinenlesbares SOC-2-Crosswalk existiert.

Kernaussagen

Wenn Sie einen PCI-konformen Zahlungsdienstleister nutzen und Kartendaten von Ihren Systemen fernhalten, kann PCI statt eines Programms lediglich einen kurzen Fragebogen erfordern.
Nutzen Sie SOC-2-Nachweise für PCI wieder, soweit die Anforderung dies zulässt, prüfen Sie jedoch die Intervalle und technischen Vorgaben von PCI.
Ihr SOC-2-Bericht kann PCI-relevante Kontrollen beschreiben, ersetzt jedoch kein PCI Report on Compliance oder SAQ.

Diesen Vergleich herunterladen (CSV) In der Lückenanalyse öffnen →

Haben SOC 2 → benötigen PCI DSS

260 Anf.

75 zugeordnet · · 113 ohne Zuordnung In der Lückenansicht öffnen →

Von 260 PCI DSS v4.0.1-Anforderungen sind 75 auf etwas in SOC 2 zugeordnet, 72 sind nur lose verwandt und 113 haben keine Zuordnung in unseren Daten.

Voraussichtlich neuer Aufwand: PCI DSS-Anforderungen ohne Zuordnung zu SOC 2 (113)

PCI DSS	Anforderung	Abgleich	SOC 2	Nachweis
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.2.5	Allowed services, protocols and ports approved	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.2.6	Security features defined for insecure services	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.2.7	Network security control rules reviewed every six months	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.2.8	Network security control configuration files secured	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.3.2	Outbound traffic from the CDE restricted	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.3.3	Network controls between wireless networks and the CDE	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.4.2	Inbound traffic from untrusted networks restricted	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.4.3	Anti-spoofing measures in place	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.4.4	Stored cardholder data not reachable from untrusted networks	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.4.5	Internal IP addresses and routing not disclosed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
2.2.4	Only necessary services and functions enabled	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
2.2.5	Insecure services justified and secured	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
2.2.6	System security parameters set to prevent misuse	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
2.2.7	Non-console administrative access encrypted	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
2.3.2	Wireless keys changed when key holders leave	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.3.1.2	Card verification code not kept after authorisation	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.3.1.3	PIN and PIN block not kept after authorisation	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.3.2	Sensitive authentication data encrypted before authorisation	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.5.1.2	Disk-level encryption used only where it suffices	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.2	Key management: secure key distribution	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.3	Key management: secure key storage	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.5	Key management: retiring weakened or compromised keys	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.6	Key management: split knowledge and dual control	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.7	Key management: preventing unauthorised key substitution	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.8	Key custodians formally acknowledge their responsibilities	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
3.7.9	Service providers give customers key-handling guidance	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
4.2.2	PAN secured when sent by end-user messaging	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
5.3.3	Removable media scanned or analysed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
5.3.4	Anti-malware audit logs enabled and retained	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
5.3.5	Users cannot disable or alter anti-malware	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
6.5.3	Pre-production environments separated from production	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
6.5.4	Duties separated between production and pre-production	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
6.5.5	Live PANs not used in pre-production	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
6.5.6	Test data and accounts removed before go-live	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
7.2.5	System and application accounts least privilege	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
7.2.6	Access to cardholder data repositories restricted	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
7.3.1	Access control system restricts access by need	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
7.3.2	Access control system enforces assigned permissions	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
7.3.3	Access control system set to deny by default	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 8: Identify users and authenticate access to system components · 10
8.2.3	Service providers use unique credentials per customer	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.2.4	User ID changes authorised and controlled	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.2.5	Access revoked immediately on termination	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.2.7	Third-party remote access accounts enabled only when needed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.3.2	Authentication factors unreadable in transit and storage	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.3.3	Identity verified before changing authentication factors	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.3.4	Account lockout after repeated failed attempts	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.3.5	First-use and reset passwords unique and changed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
8.6.1	Interactive use of system accounts managed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.3.3	Visitor badges returned or deactivated	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.3.4	Visitor log maintained and retained	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.4.1	Media with cardholder data physically secured	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.4.3	Media sent off site tracked and secured	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.4.4	Management approves media moved off site	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.4.5	Inventory logs of electronic media kept	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.4.5.1	Electronic media inventories at least annually	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.5.1	Card-reading (POI) devices protected from tampering	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
9.5.1.3	Staff trained to spot POI tampering	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 10: Log and monitor all access to system components and cardholder data · 12
10.2.1.1	Logs capture user access to cardholder data	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.2	Logs capture administrative actions	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.3	Logs capture access to audit logs	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.4	Logs capture invalid access attempts	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.5	Logs capture credential and privilege changes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.6	Logs capture starting, stopping or pausing logging	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.2.1.7	Logs capture system-level object changes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.4.2	Other logs reviewed periodically	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.4.3	Exceptions and anomalies addressed	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.6.2	Time configuration correct and consistent	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.7.1	Service providers detect security control failures	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
10.7.3	Security control failures responded to promptly	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.3.1.2	Internal scans use authenticated scanning	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.3.1.3	Internal scans after significant changes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.3.2.1	External scans after significant changes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.1	Penetration testing methodology defined	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.2	Internal penetration test at least annually	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.3	External penetration test at least annually	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.5	Segmentation controls tested at least annually	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.6	Service providers test segmentation every six months	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.4.7	Multi-tenant providers support customer penetration tests	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.5.1.1	Service providers detect covert malware communication	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
11.5.2	Change-detection on critical files	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Requirement 12: Support information security with organizational policies and programs · 9
12.2.1	Acceptable use policies for end-user technologies	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.4.2.1	Service providers: quarterly review results documented	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.5.2.1	Service providers confirm scope every six months	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.6.2	Awareness programme reviewed annually	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.6.3.1	Training covers phishing and social engineering	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.6.3.2	Training covers acceptable use of technology	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.7.1	Personnel screened before hire	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
12.10.5	Plan covers alerts from security monitoring	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.1.3	Multi-tenant providers: customers reach only their own data	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.1.4	Multi-tenant providers: separation tested every six months	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.2.1	Multi-tenant providers: audit logging for each customer	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A2.1.2	Service providers: migration plan off SSL and early TLS	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.
A2.1.3	Service providers offer a secure connection option	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu SOC 2 in unseren Daten.

Prüfen: nur lose verwandt (ein gemeinsames CSF-Ergebnis, keine Zuordnung) (72)

PCI DSS	Anforderung	Abgleich	SOC 2	Nachweis
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
1.1.2	Roles for network security controls assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
1.2.4	Accurate account-data flow diagram maintained	Lose verwandt	CC9.2 CC6.6 CC7.2+5	Teilt nur CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: verwandt, aber keine Zuordnung
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
2.1.2	Roles for secure configuration assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
2.3.1	Wireless vendor defaults changed	Lose verwandt	CC6.1 C1.2 CC6.5+3	Teilt nur CSF PR.AA-03, PR.DS-02: verwandt, aber keine Zuordnung
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
3.1.2	Roles for protecting stored account data assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
3.5.1.3	Disk encryption access managed separately from OS access	Lose verwandt	CC6.1 C1.2 CC6.5+2	Teilt nur CSF PR.AA-03, PR.DS-01: verwandt, aber keine Zuordnung
3.6.1.1	Service providers document their cryptographic architecture	Lose verwandt	CC6.1 C1.2 CC6.2+4	Teilt nur CSF PR.AA-01, PR.DS-01: verwandt, aber keine Zuordnung
3.6.1.2	Secret and private keys stored in approved forms	Lose verwandt	CC6.1 C1.2 CC6.2+4	Teilt nur CSF PR.AA-01, PR.DS-01: verwandt, aber keine Zuordnung
3.6.1.3	Cleartext key components accessible to fewest custodians	Lose verwandt	CC6.1 C1.2 CC6.2+4	Teilt nur CSF PR.AA-01, PR.DS-01: verwandt, aber keine Zuordnung
3.6.1.4	Keys stored in the fewest possible locations	Lose verwandt	CC6.1 C1.2 CC6.2+4	Teilt nur CSF PR.AA-01, PR.DS-01: verwandt, aber keine Zuordnung
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
4.1.2	Roles for protecting data in transit assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
5.1.2	Roles for malware protection assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
5.2.3	Systems without anti-malware periodically re-evaluated	Lose verwandt	CC6.6 CC9.2	Teilt nur CSF PR.IR-01: verwandt, aber keine Zuordnung
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Lose verwandt	CC3.1 CC5.1 CC9.1+2	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
5.3.2.1	Scan frequency set by targeted risk analysis	Lose verwandt	CC3.1 CC5.1 CC9.1	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
Requirement 6: Develop and maintain secure systems and software · 4
6.1.1	Secure systems and software policies documented	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
6.1.2	Roles for secure systems and software assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
6.2.3.1	Manual code reviews approved by someone else	Lose verwandt	CC6.1	Teilt nur CSF ID.AM-08: verwandt, aber keine Zuordnung
6.2.4	Coding techniques prevent common software attacks	Lose verwandt	CC6.6 CC6.1 CC8.1+1	Teilt nur CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: verwandt, aber keine Zuordnung
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Lose verwandt	CC1.1 CC5.3 CC6.1+4	Teilt nur CSF GV.PO-02, PR.AA-05: verwandt, aber keine Zuordnung
7.1.2	Roles for access restriction assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
7.2.5.1	System and application account access periodically reviewed	Lose verwandt	CC3.1 CC5.1 CC9.1+5	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
Requirement 8: Identify users and authenticate access to system components · 13
8.1.1	Identification and authentication policies documented	Lose verwandt	CC1.1 CC5.3 CC6.1+4	Teilt nur CSF GV.PO-02, PR.AA-05: verwandt, aber keine Zuordnung
8.1.2	Roles for identification and authentication assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
8.2.2	Shared or generic accounts only by documented exception	Lose verwandt	CC7.2	Teilt nur CSF DE.CM-03: verwandt, aber keine Zuordnung
8.2.6	Inactive user accounts disabled within 90 days	Lose verwandt	CC6.1 CC6.2 CC6.3+2	Teilt nur CSF PR.AA-05: verwandt, aber keine Zuordnung
8.2.8	Re-authentication after 15 minutes idle	Lose verwandt	C1.2 CC6.1 CC6.5+2	Teilt nur CSF PR.DS-10, PR.AA-03: verwandt, aber keine Zuordnung
8.3.6	Minimum password length and complexity	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.3.7	Recent passwords cannot be reused	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.3.8	Authentication guidance communicated to users	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.3.9	Password-only access: change every 90 days or analyse risk	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.3.10	Service providers give customers password guidance	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.3.10.1	Service provider customer passwords: rotation or analysis	Lose verwandt	CC6.1 CC6.6	Teilt nur CSF PR.AA-03: verwandt, aber keine Zuordnung
8.6.2	No hard-coded passwords for system accounts	Lose verwandt	CC6.1 CC6.2 CC6.3	Teilt nur CSF PR.AA-01: verwandt, aber keine Zuordnung
8.6.3	System account passwords protected and changed	Lose verwandt	CC3.1 CC5.1 CC9.1+3	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Lose verwandt	CC1.1 CC5.3 CC6.4	Teilt nur CSF GV.PO-02, PR.IR-02: verwandt, aber keine Zuordnung
9.1.2	Roles for physical security assigned	Lose verwandt	CC1.2 CC1.3 CC1.5+1	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
9.2.4	Consoles in sensitive areas locked when unattended	Lose verwandt	CC6.1 CC6.4 CC6.6	Teilt nur CSF PR.AA-03, PR.AA-06: verwandt, aber keine Zuordnung
9.4.1.2	Security of offline backup location reviewed annually	Lose verwandt	A1.2 CC6.4	Teilt nur CSF PR.DS-11, RC.RP-03, DE.CM-02: verwandt, aber keine Zuordnung
9.4.6	Hard-copy media destroyed when no longer needed	Lose verwandt	C1.2 CC4.1 CC4.2+3	Teilt nur CSF PR.DS-01, GV.OC-03: verwandt, aber keine Zuordnung
9.4.7	Electronic media destroyed or made unrecoverable	Lose verwandt	A1.2 C1.2 CC4.1+4	Teilt nur CSF PR.DS-11, PR.DS-01, GV.OC-03: verwandt, aber keine Zuordnung
9.5.1.1	Inventory of POI devices kept	Lose verwandt	CC6.1 CC9.2 CC6.2+1	Teilt nur CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: verwandt, aber keine Zuordnung
9.5.1.2	POI devices inspected for tampering	Lose verwandt	CC6.4 CC6.1 CC9.2	Teilt nur CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: verwandt, aber keine Zuordnung
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Lose verwandt	CC3.1 CC5.1 CC9.1+2	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
Requirement 10: Log and monitor all access to system components and cardholder data · 9
10.1.1	Logging and monitoring policies documented	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
10.1.2	Roles for logging and monitoring assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
10.2.2	Log entries record who, what, when, where and outcome	Lose verwandt	CC7.4	Teilt nur CSF RS.AN-03, RS.AN-07: verwandt, aber keine Zuordnung
10.3.1	Read access to logs limited to need	Lose verwandt	CC7.2 CC7.3 CC7.4	Teilt nur CSF PR.PS-04, DE.AE-06, RS.AN-06: verwandt, aber keine Zuordnung
10.3.3	Logs promptly backed up to a central server	Lose verwandt	CC7.2 CC7.3 CC7.4	Teilt nur CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: verwandt, aber keine Zuordnung
10.3.4	File-integrity monitoring on logs	Lose verwandt	CC7.2 CC6.8 CC7.4	Teilt nur CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: verwandt, aber keine Zuordnung
10.4.2.1	Review frequency set by targeted risk analysis	Lose verwandt	CC3.1 CC5.1 CC7.2+2	Teilt nur CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: verwandt, aber keine Zuordnung
10.6.3	Time settings protected from change	Lose verwandt	CC7.2	Teilt nur CSF PR.PS-04: verwandt, aber keine Zuordnung
10.7.2	Critical security control failures detected and reported	Lose verwandt	CC4.1 CC4.2	Teilt nur CSF GV.OV-03: verwandt, aber keine Zuordnung
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Lose verwandt	CC1.1 CC5.3	Teilt nur CSF GV.PO-02: verwandt, aber keine Zuordnung
11.1.2	Roles for security testing assigned	Lose verwandt	CC1.2 CC1.3 CC1.5	Teilt nur CSF GV.RR-02: verwandt, aber keine Zuordnung
11.2.1	Wireless access points detected and unauthorised ones handled	Lose verwandt	CC6.6 CC7.2 CC9.2	Teilt nur CSF DE.CM-01, PR.IR-01: verwandt, aber keine Zuordnung
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Lose verwandt	CC3.1 CC5.1 CC9.1+3	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
11.4.4	Penetration test findings corrected and retested	Lose verwandt	A1.2 A1.3 CC2.3+5	Teilt nur CSF RC.RP-05: verwandt, aber keine Zuordnung
11.6.1	Payment page changes and tampering detected	Lose verwandt	CC9.2 CC3.1 CC5.1+3	Teilt nur CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: verwandt, aber keine Zuordnung
Requirement 12: Support information security with organizational policies and programs · 8
12.3.2	Targeted risk analysis for customised approach	Lose verwandt	CC3.1 CC5.1 CC9.1	Teilt nur CSF GV.RM-06: verwandt, aber keine Zuordnung
12.3.3	Cipher suites and protocols reviewed annually	Lose verwandt	CC3.1 CC5.1 CC9.1+5	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
12.3.4	Hardware and software technologies reviewed annually	Lose verwandt	CC3.1 CC5.1 CC9.1+5	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
12.5.3	Service providers review scope after organisational change	Lose verwandt	CC3.1 CC5.1 CC9.1	Teilt nur CSF GV.RM-03: verwandt, aber keine Zuordnung
12.9.1	Service providers acknowledge responsibilities to customers	Lose verwandt	CC9.2 CC3.1 CC4.1+1	Teilt nur CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: verwandt, aber keine Zuordnung
12.9.2	Service providers support customer compliance requests	Lose verwandt	CC9.2 CC3.1 CC4.1+1	Teilt nur CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: verwandt, aber keine Zuordnung
12.10.4.1	Training frequency set by targeted risk analysis	Lose verwandt	CC3.1 CC5.1 CC9.1+2	Teilt nur CSF GV.RM-03, GV.RM-06: verwandt, aber keine Zuordnung
12.10.7	Procedures for PAN found where it shouldn't be	Lose verwandt	C1.1	Teilt nur CSF ID.AM-07: verwandt, aber keine Zuordnung

Zugeordnet (75)

PCI DSS	Anforderung	Abgleich	SOC 2	Nachweis
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Redaktionell	CC6.6	Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl)
1.2.3	Accurate network diagram maintained	Redaktionell	CC6.6	Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl)
1.3.1	Inbound traffic to the CDE restricted	Redaktionell	CC6.6	Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl)
1.4.1	Network controls between trusted and untrusted networks	Redaktionell	CC6.6	Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Redaktionell	CC5.2 CC7.1	Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl)
2.2.2	Vendor default accounts managed or removed	Redaktionell	CC5.2 CC7.1	Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl)
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Redaktionell	C1.2 CC6.5	Gleiches Thema: Datenschutz (Redaktionelle Auswahl)
3.3.1	Sensitive authentication data not kept after authorisation	Redaktionell	C1.2 CC6.5	Gleiches Thema: Datenschutz (Redaktionelle Auswahl)
3.4.1	PAN masked when displayed	Redaktionell	C1.2 CC6.5	Gleiches Thema: Datenschutz (Redaktionelle Auswahl)
3.4.2	PAN copying prevented over remote-access technologies	Redaktionell	CC6.7	Gleiches Thema: DLP (Redaktionelle Auswahl)
3.5.1	PAN rendered unreadable wherever stored	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
3.6.1	Procedures protect keys that secure stored account data	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
3.7.1	Key management: strong key generation	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
3.7.4	Key management: key changes at end of cryptoperiod	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
4.2.1.1	Inventory of trusted keys and certificates kept	Redaktionell	CC6.1 CC6.7	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Redaktionell	CC6.8	Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl)
5.2.2	Anti-malware detects, removes or contains known malware	Redaktionell	CC6.8	Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl)
5.3.2	Periodic scans or continuous behavioural analysis	Redaktionell	CC6.8	Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl)
5.4.1	Mechanisms to detect and protect against phishing	Redaktionell	CC6.8	Gleiches Thema: E-Mail-Sicherheit (Redaktionelle Auswahl)
Requirement 6: Develop and maintain secure systems and software · 9
6.2.1	Bespoke and custom software developed securely	Redaktionell	CC8.1	Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl)
6.2.2	Developers trained in secure software development	Redaktionell	CC8.1	Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl)
6.2.3	Custom code reviewed before release	Redaktionell	CC8.1	Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl)
6.3.1	Vulnerabilities identified and risk-ranked	Redaktionell	CC7.1	Gleiches Thema: Schwachstellenmanagement, Patch-Management (Redaktionelle Auswahl)
6.3.2	Inventory of custom software and its components	Redaktionell	CC6.1 CC9.2	Gleiches Thema: Asset-Management, Lieferkettenrisiko (Redaktionelle Auswahl)
6.3.3	Security patches installed promptly	Redaktionell	CC7.1	Gleiches Thema: Patch-Management (Redaktionelle Auswahl)
6.4.1	Public web applications protected against attacks	Redaktionell	CC6.6	Gleiches Thema: Webanwendungssicherheit (Redaktionelle Auswahl)
6.4.2	Automated solution blocks attacks on public web apps	Redaktionell	CC6.6	Gleiches Thema: WAF (Redaktionelle Auswahl)
6.4.3	Payment page scripts authorised and integrity-checked	Redaktionell	CC6.6	Gleiches Thema: Webanwendungssicherheit (Redaktionelle Auswahl)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Redaktionell	CC6.1 CC6.2 CC6.3+1	Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl)
7.2.2	Access assigned by job function and least privilege	Redaktionell	CC6.1 CC6.2 CC6.3	Gleiches Thema: Zugriffskontrolle, Privilegierter Zugriff (Redaktionelle Auswahl)
7.2.4	User accounts and privileges reviewed every six months	Redaktionell	CC6.1 CC6.2 CC6.3	Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl)
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Redaktionell	CC6.1 CC6.2 CC6.3	Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl)
8.3.1	User and admin access requires an authentication factor	Redaktionell	CC6.6	Gleiches Thema: Zero Trust (Redaktionelle Auswahl)
8.4.1	MFA for non-console administrative access to the CDE	Redaktionell	CC6.1	Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl)
8.4.2	MFA for all access into the CDE	Redaktionell	CC6.1	Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl)
8.4.3	MFA for remote network access	Redaktionell	CC6.1	Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl)
8.5.1	MFA systems configured to resist misuse	Redaktionell	CC6.1	Gleiches Thema: Multi-Faktor-Authentifizierung (Redaktionelle Auswahl)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.2.3	Physical access to network hardware restricted	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.3.1	Personnel physical access authorised and managed	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.3.2	Visitor access authorised, escorted and identifiable	Redaktionell	CC6.4	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
9.4.1.1	Offline backup media stored securely	Redaktionell	A1.2	Gleiches Thema: Backup & Recovery (Redaktionelle Auswahl)
9.4.2	Media classified by data sensitivity	Redaktionell	C1.1	Gleiches Thema: Datenklassifizierung (Redaktionelle Auswahl)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Redaktionell	CC7.2	Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl)
10.3.2	Logs protected from modification	Redaktionell	CC7.2 CC7.4	Gleiches Thema: Protokollierung & Audit, Forensik (Redaktionelle Auswahl)
10.4.1	Security event and critical logs reviewed daily	Redaktionell	CC7.2 CC7.3	Gleiches Thema: Kont. Überwachung, SIEM / SOC (Redaktionelle Auswahl)
10.4.1.1	Automated mechanisms for log review	Redaktionell	CC7.2	Gleiches Thema: Anomalieerkennung (Redaktionelle Auswahl)
10.5.1	Audit logs retained 12 months, three immediately available	Redaktionell	CC7.2	Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl)
10.6.1	System clocks synchronised	Redaktionell	CC7.2	Gleiches Thema: Protokollierung & Audit (Redaktionelle Auswahl)
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Redaktionell	CC7.1	Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl)
11.3.2	External ASV scans every three months	Redaktionell	CC7.1	Gleiches Thema: Schwachstellenmanagement (Redaktionelle Auswahl)
11.5.1	Intrusion detection or prevention on network traffic	Redaktionell	CC7.2	Gleiches Thema: Angriffserkennung (Redaktionelle Auswahl)
Requirement 12: Support information security with organizational policies and programs · 20
12.1.1	Information security policy established and published	Redaktionell	CC1.1 CC5.3	Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl)
12.1.2	Security policy reviewed at least annually	Redaktionell	CC1.1 CC5.3	Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl)
12.1.3	Security roles and responsibilities defined	Redaktionell	CC1.2 CC1.3 CC1.5	Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl)
12.1.4	Executive responsibility for information security assigned	Redaktionell	CC1.2 CC1.3 CC1.5	Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl)
12.3.1	Targeted risk analysis for flexible-frequency requirements	Redaktionell	CC3.1 CC3.2 CC3.3+3	Gleiches Thema: Risikomanagement, Risikobewertung (Redaktionelle Auswahl)
12.4.2	Service providers: quarterly reviews of operational tasks	Redaktionell	CC4.1 CC4.2	Gleiches Thema: Compliance (Redaktionelle Auswahl)
12.5.1	Inventory of in-scope system components	Redaktionell	CC6.1	Gleiches Thema: Asset-Management (Redaktionelle Auswahl)
12.5.2	PCI DSS scope confirmed annually and on change	Redaktionell	CC3.1	Gleiches Thema: Geschäftsumfeld (Redaktionelle Auswahl)
12.6.1	Formal security awareness programme	Redaktionell	CC1.4 CC2.2	Gleiches Thema: Awareness & Training (Redaktionelle Auswahl)
12.6.3	Awareness training on hire and at least annually	Redaktionell	CC1.4 CC2.2	Gleiches Thema: Awareness & Training (Redaktionelle Auswahl)
12.8.1	List of third-party service providers kept	Redaktionell	CC9.2	Gleiches Thema: Lieferkettenrisiko, Cloud-Sicherheit, Lieferantenrisikomanagement (Redaktionelle Auswahl)
12.8.2	Written agreements with service providers	Redaktionell	CC9.2	Gleiches Thema: Lieferantenrisikomanagement (Redaktionelle Auswahl)
12.8.3	Due diligence before engaging service providers	Redaktionell	CC9.2	Gleiches Thema: Lieferantenrisikomanagement (Redaktionelle Auswahl)
12.8.4	Service provider compliance monitored annually	Redaktionell	CC9.2	Gleiches Thema: Lieferantenrisikomanagement (Redaktionelle Auswahl)
12.8.5	Responsibilities split with each provider documented	Redaktionell	CC9.2	Gleiches Thema: Cloud-Sicherheit, Lieferantenrisikomanagement (Redaktionelle Auswahl)
12.10.1	Incident response plan ready to activate	Redaktionell	A1.1 A1.2 A1.3+5	Gleiches Thema: Business Continuity, Disaster Recovery, Wiederherstellungsplanung (Redaktionelle Auswahl)
12.10.2	Incident response plan reviewed and tested annually	Redaktionell	CC7.3 CC7.4	Gleiches Thema: Incident Response (Redaktionelle Auswahl)
12.10.3	Incident response staff available around the clock	Redaktionell	CC7.3 CC7.4	Gleiches Thema: Incident Response (Redaktionelle Auswahl)
12.10.4	Incident response staff trained	Redaktionell	CC7.3 CC7.4	Gleiches Thema: Incident Response (Redaktionelle Auswahl)
12.10.6	Plan updated from lessons learned and industry changes	Redaktionell	CC7.5	Gleiches Thema: Erkenntnisse aus Vorfällen (Redaktionelle Auswahl)

Haben PCI DSS → benötigen SOC 2

61 Anf.

37 zugeordnet · · 24 ohne Zuordnung In der Lückenansicht öffnen →

Von 61 SOC 2 (Trust Services Criteria)-Anforderungen sind 37 auf etwas in PCI DSS zugeordnet, 0 sind nur lose verwandt und 24 haben keine Zuordnung in unseren Daten.

Die Zuordnungen von AICPA zu SOC 2 stehen nicht unter einer offenen Lizenz. Daher beruht jeder SOC-2-Link hier auf der redaktionellen Arbeit von ControlMapping: Kriterien, die wir nicht zugeordnet haben, können nicht übereinstimmen. Kriterien zur Verarbeitungsintegrität (PI) und die meisten Datenschutzkriterien (P) haben kein Pendant in Sicherheitsframeworks.

Voraussichtlich neuer Aufwand: SOC 2-Anforderungen ohne Zuordnung zu PCI DSS (24)

SOC 2	Anforderung	Abgleich	PCI DSS	Nachweis
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P Privacy · 18
P1.1	Privacy notice	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P2.1	Choice and consent	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P3.1	Collection limited to privacy objectives	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P3.2	Explicit consent where required	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P4.1	Use limited to privacy objectives	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P4.2	Retention of personal information	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P4.3	Disposal of personal information	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P5.1	Data subject access	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P5.2	Correction of personal information	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.1	Disclosure to third parties with consent	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.2	Record of authorized disclosures	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.3	Record of unauthorized disclosures	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.4	Privacy commitments from third parties	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.5	Notification by third parties of unauthorized disclosures	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.6	Breach notification to affected individuals	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P6.7	Accounting of disclosures to data subjects	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P7.1	Quality of personal information	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
P8.1	Handling privacy inquiries, complaints and disputes	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
PI1.2	Controls over system inputs	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
PI1.3	Controls over system processing	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
PI1.4	Controls over system outputs	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.
PI1.5	Storing inputs, items in processing and outputs	Keine Zuordnung in unseren Daten	—	Keine Zuordnung zu PCI DSS in unseren Daten.

Zugeordnet (37)

SOC 2	Anforderung	Abgleich	PCI DSS	Nachweis
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Redaktionell	12.10.1	Gleiches Thema: Business Continuity (Redaktionelle Auswahl)
A1.2	Environmental protections, backups and recovery infrastructure	Redaktionell	9.4.1.1 12.10.1	Gleiches Thema: Backup & Recovery, Business Continuity, Disaster Recovery (Redaktionelle Auswahl)
A1.3	Testing recovery plan procedures	Redaktionell	12.10.1	Gleiches Thema: Wiederherstellungsplanung, Disaster Recovery (Redaktionelle Auswahl)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Redaktionell	9.4.2	Gleiches Thema: Datenklassifizierung (Redaktionelle Auswahl)
C1.2	Disposing of confidential information	Redaktionell	3.2.1 3.3.1 3.4.1	Gleiches Thema: Datenschutz (Redaktionelle Auswahl)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Redaktionell	12.1.1 12.1.2	Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl)
CC1.2	Board independence and oversight of internal control	Redaktionell	12.1.3 12.1.4	Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl)
CC1.3	Structures, reporting lines, authorities and responsibilities	Redaktionell	12.1.3 12.1.4	Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl)
CC1.4	Commitment to attracting, developing and retaining competent people	Redaktionell	12.6.1 12.6.3	Gleiches Thema: Awareness & Training (Redaktionelle Auswahl)
CC1.5	Accountability for internal control responsibilities	Redaktionell	12.1.3 12.1.4	Gleiches Thema: Rollen und Verantwortlichkeiten (Redaktionelle Auswahl)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Redaktionell	12.6.1 12.6.3	Gleiches Thema: Awareness & Training (Redaktionelle Auswahl)
CC2.3	Communication with external parties	Redaktionell	12.10.1	Gleiches Thema: Meldung (Redaktionelle Auswahl)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Redaktionell	12.3.1 12.5.2	Gleiches Thema: Risikomanagement, Geschäftsumfeld (Redaktionelle Auswahl)
CC3.2	Risk identification and analysis	Redaktionell	12.3.1	Gleiches Thema: Risikobewertung (Redaktionelle Auswahl)
CC3.3	Considering the potential for fraud	Redaktionell	12.3.1	Gleiches Thema: Risikobewertung (Redaktionelle Auswahl)
CC3.4	Identifying and assessing significant changes	Redaktionell	12.3.1	Gleiches Thema: Risikobewertung (Redaktionelle Auswahl)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Redaktionell	12.4.2	Gleiches Thema: Compliance (Redaktionelle Auswahl)
CC4.2	Communicating and remediating control deficiencies	Redaktionell	12.4.2	Gleiches Thema: Compliance (Redaktionelle Auswahl)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Redaktionell	12.3.1	Gleiches Thema: Risikomanagement (Redaktionelle Auswahl)
CC5.2	General controls over technology	Redaktionell	2.2.1 2.2.2	Gleiches Thema: Sichere Konfiguration (Redaktionelle Auswahl)
CC5.3	Control activities deployed through policies and procedures	Redaktionell	12.1.1 12.1.2	Gleiches Thema: Governance-Richtlinie (Redaktionelle Auswahl)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Redaktionell	3.5.1 3.6.1 3.7.1+13	Gleiches Thema: Verschlüsselung (Redaktionelle Auswahl)
CC6.2	User registration, authorization and removal	Redaktionell	7.2.1 7.2.2 7.2.4+1	Gleiches Thema: Zugriffskontrolle (Redaktionelle Auswahl)
CC6.3	Role-based access, least privilege and segregation of duties	Redaktionell	7.2.1 7.2.2 7.2.4+1	Gleiches Thema: Zugriffskontrolle, Privilegierter Zugriff (Redaktionelle Auswahl)
CC6.4	Physical access restrictions	Redaktionell	9.2.1 9.2.1.1 9.2.3+3	Gleiches Thema: Physische Sicherheit (Redaktionelle Auswahl)
CC6.5	Protection of data when assets are disposed of	Redaktionell	3.2.1 3.3.1 3.4.1	Gleiches Thema: Datenschutz (Redaktionelle Auswahl)
CC6.6	Protection against threats from outside system boundaries	Redaktionell	1.2.1 1.2.3 1.3.1+6	Gleiches Thema: Firewall / Netzsegmentierung (Redaktionelle Auswahl)
CC6.7	Restricting transmission, movement and removal of information	Redaktionell	3.4.2 3.5.1 3.6.1+4	Gleiches Thema: DLP, Verschlüsselung (Redaktionelle Auswahl)
CC6.8	Preventing or detecting unauthorized or malicious software	Redaktionell	5.2.1 5.2.2 5.3.2+1	Gleiches Thema: Endpoint-Schutz (Redaktionelle Auswahl)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Redaktionell	2.2.1 2.2.2 6.3.1+3	Gleiches Thema: Sichere Konfiguration, Schwachstellenmanagement, Patch-Management (Redaktionelle Auswahl)
CC7.2	Monitoring system components for anomalies	Redaktionell	10.2.1 10.3.2 10.4.1+4	Gleiches Thema: Protokollierung & Audit, Kont. Überwachung (Redaktionelle Auswahl)
CC7.3	Evaluating security events to determine if they are incidents	Redaktionell	10.4.1 12.10.1 12.10.2+2	Gleiches Thema: SIEM / SOC, Incident Response (Redaktionelle Auswahl)
CC7.4	Responding to identified security incidents	Redaktionell	10.3.2 12.10.1 12.10.2+2	Gleiches Thema: Forensik, Incident Response, Mitigation (Redaktionelle Auswahl)
CC7.5	Recovering from identified security incidents	Redaktionell	12.10.1 12.10.6	Gleiches Thema: Wiederherstellungsplanung, Erkenntnisse aus Vorfällen (Redaktionelle Auswahl)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Redaktionell	6.2.1 6.2.2 6.2.3	Gleiches Thema: Sichere Entwicklung (Redaktionelle Auswahl)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Redaktionell	12.3.1 12.10.1	Gleiches Thema: Risikomanagement, Business Continuity (Redaktionelle Auswahl)
CC9.2	Managing vendor and business partner risk	Redaktionell	6.3.2 12.8.1 12.8.2+3	Gleiches Thema: Lieferkettenrisiko, Cloud-Sicherheit, Lieferantenrisikomanagement (Redaktionelle Auswahl)

Nach Thema

Beide abgedeckt (43):

Nur SOC 2 (3):

Mobile Security Kommunikation Kommunikation & Wiederherstellung

Nur PCI DSS (3):

Threat Intelligence API-Sicherheit Insider-Bedrohungen

Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.

Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · Lose verwandt teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Zugeordnet = gemeinsam in einem ControlMapping-Thema kuratiert oder direkt verknüpft. Crosswalks belegen keine Konformität. Methodik · Daten herunterladen · Fehler melden.