Comparación
SOC 2 frente a HIPAA: informe de aseguramiento frente a obligación legal
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · datos 2026-10-27
Las empresas de tecnología sanitaria suelen necesitar ambos: HIPAA, porque manejan información de salud protegida, normalmente como asociado comercial, y SOC 2, porque sus clientes quieren un aseguramiento independiente. Son instrumentos distintos. HIPAA es una ley, cuya aplicación corresponde a la Oficina de Derechos Civiles. SOC 2 es una certificación voluntaria emitida por un CPA. Algunos auditores ofrecen un informe SOC 2 con los criterios de HIPAA añadidos.
Las salvaguardas técnicas coinciden en buena medida: control de acceso, registro de auditoría, integridad, autenticación, seguridad de la transmisión, planificación de contingencias y concienciación en seguridad aparecen en ambos. Pasando de SOC 2 a HIPAA, la mayoría de los requisitos de la Regla de Seguridad tienen correspondencia o una relación tangencial.
Los requisitos de HIPAA que quedan fuera son específicos: la reutilización de soportes y el contenido de los contratos con asociados comerciales.
Pasando de HIPAA a SOC 2, hay más elementos sin correspondencia. SOC 2 exige un criterio formal de gestión de cambios que la Regla de Seguridad no detalla, y sus categorías opcionales de Privacidad e Integridad del Procesamiento van más allá de la Regla de Seguridad. El lado de SOC 2 de esta comparación es la correspondencia editorial de ControlMapping.
Conclusiones clave
- Un informe SOC 2 no le convierte en conforme con HIPAA, pero sus controles pueden cubrir la mayor parte de sus salvaguardas HIPAA.
- Mantenga su análisis de riesgos HIPAA y sus acuerdos con asociados comerciales como artefactos separados y explícitos.
- Considere un SOC 2 con criterios HIPAA si sus clientes del sector sanitario siguen pidiendo ambos.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
De los 69 requisitos de HIPAA Security Rule, 36 se corresponden con algo en SOC 2, 31 solo guardan una relación tangencial y 2 no tienen correspondencia en nuestros datos.
Cubre solo la Regla de Seguridad de HIPAA (no las reglas de Privacidad ni de Notificación de Violaciones).
Probablemente trabajo nuevo: requisitos de HIPAA sin correspondencia con SOC 2 (2)
| HIPAA | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (31)
| HIPAA | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, no es una correspondencia | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | Solo comparte subcategorías de CSF DE.CM-03: relacionado, no es una correspondencia | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | Solo comparte subcategorías de CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, no es una correspondencia | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | Solo comparte subcategorías de CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, no es una correspondencia | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | Solo comparte subcategorías de CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: relacionado, no es una correspondencia | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | Solo comparte subcategorías de CSF PR.AT-01, PR.AT-02: relacionado, no es una correspondencia | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | Solo comparte subcategorías de CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: relacionado, no es una correspondencia | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, no es una correspondencia | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | Solo comparte subcategorías de CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: relacionado, no es una correspondencia | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, no es una correspondencia | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | Solo comparte subcategorías de CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: relacionado, no es una correspondencia | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | Solo comparte subcategorías de CSF PR.DS-02: relacionado, no es una correspondencia | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | Solo comparte subcategorías de CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, no es una correspondencia | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | Solo comparte subcategorías de CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, no es una correspondencia | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | Solo comparte subcategorías de CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, no es una correspondencia | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | Solo comparte subcategorías de CSF ID.AM-08, ID.AM-03: relacionado, no es una correspondencia | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Solo comparte subcategorías de CSF ID.AM-08, ID.AM-03: relacionado, no es una correspondencia | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Solo comparte subcategorías de CSF ID.AM-08, ID.AM-03: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | Solo comparte subcategorías de CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, no es una correspondencia | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | Solo comparte subcategorías de CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: relacionado, no es una correspondencia | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | Solo comparte subcategorías de CSF ID.AM-08, ID.AM-03, ID.RA-01: relacionado, no es una correspondencia | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | Solo comparte subcategorías de CSF ID.AM-07, ID.AM-08: relacionado, no es una correspondencia | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | Solo comparte subcategorías de CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, no es una correspondencia | |
Correspondencia (36)
| HIPAA | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Editorial | CC3.2CC3.3CC3.4+1 | Mismo tema: Evaluación de riesgos (selección editorial) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | CC3.1CC5.1CC7.1+1 | Mismo tema: Gestión de riesgos, Gestión de vulnerabilidades (selección editorial) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Editorial | CC7.2CC7.3 | Mismo tema: Monitoreo cont., SIEM / SOC (selección editorial) |
| §164.308(a)(2) | Assigned Security Responsibility | Editorial | CC1.2CC1.3CC1.5 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| §164.308(a)(4) | Information Access Management | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| §164.308(a)(5) | Security Awareness and Training | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| §164.308(a)(6) | Security Incident Procedures | Editorial | CC7.3CC7.4 | Mismo tema: Respuesta a incidentes (selección editorial) |
| §164.308(a)(6)(ii) | Required Response and Reporting | Editorial | CC2.3CC7.3CC7.4 | Mismo tema: Notificación, Respuesta a incidentes, Mitigación (selección editorial) |
| §164.308(a)(7) | Contingency Plan | Editorial | A1.3CC7.5 | Mismo tema: Planificación de la recuperación (selección editorial) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Editorial | A1.2 | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Editorial | A1.2A1.3CC7.5 | Mismo tema: Recuperación ante desastres, Planificación de la recuperación (selección editorial) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Editorial | A1.1A1.2CC9.1 | Mismo tema: Continuidad del negocio (selección editorial) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | A1.2A1.3 | Mismo tema: Recuperación ante desastres (selección editorial) |
| §164.308(a)(8) | Evaluation | Editorial | CC4.1CC4.2CC7.1 | Mismo tema: Cumplimiento, Gestión de vulnerabilidades (selección editorial) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Editorial | CC9.2 | Mismo tema: Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(b) | Workstation Use | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(c) | Workstation Security | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| §164.310(d) | Device and Media Controls | Editorial | CC6.1CC6.7 | Mismo tema: Gestión de activos, Seguridad móvil (selección editorial) |
| §164.310(d)(2)(i) | Required Disposal | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| §164.310(d)(2)(iii) | Addressable Accountability | Editorial | CC6.1 | Mismo tema: Gestión de activos (selección editorial) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Editorial | A1.2 | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| §164.312(a)(2)(i) | Required Unique User Identification | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| §164.312(b) | Audit Controls | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| §164.312(c) | Integrity | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| §164.312(d) | Person or Entity Authentication | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| §164.312(e)(2)(ii) | Addressable Encryption | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
| §164.316(b)(2)(iii) | Required Updates | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
De los 61 requisitos de SOC 2 (Trust Services Criteria), 33 se corresponden con algo en HIPAA, 3 solo guardan una relación tangencial y 25 no tienen correspondencia en nuestros datos.
Las correspondencias de SOC 2 de AICPA no tienen licencia abierta, por lo que cada enlace a SOC 2 aquí es una selección editorial de ControlMapping: los criterios que no hemos correlacionado no pueden coincidir. Los criterios de integridad del procesamiento (PI) y la mayoría de los criterios de privacidad (P) no tienen equivalente en los marcos de seguridad.
Probablemente trabajo nuevo: requisitos de SOC 2 sin correspondencia con HIPAA (25)
| SOC 2 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P2.1 | Choice and consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P3.1 | Collection limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P3.2 | Explicit consent where required | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P4.1 | Use limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P4.2 | Retention of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P4.3 | Disposal of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P5.1 | Data subject access | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P5.2 | Correction of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.1 | Disclosure to third parties with consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.2 | Record of authorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.3 | Record of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.4 | Privacy commitments from third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.5 | Notification by third parties of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.6 | Breach notification to affected individuals | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P6.7 | Accounting of disclosures to data subjects | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P7.1 | Quality of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PI1.2 | Controls over system inputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PI1.3 | Controls over system processing | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PI1.4 | Controls over system outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
| PI1.5 | Storing inputs, items in processing and outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con HIPAA en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (3)
| SOC 2 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | Solo comparte subcategorías de CSF ID.AM-05: relacionado, no es una correspondencia | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Solo comparte subcategorías de CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, no es una correspondencia | |
Correspondencia (33)
| SOC 2 | Requisito | Coincidencia | HIPAA | Evidencia |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | §164.308(a)(7)(ii)(C) | Mismo tema: Continuidad del negocio (selección editorial) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | Mismo tema: Copias de seguridad y recuperación, Recuperación ante desastres, Continuidad del negocio (selección editorial) |
| A1.3 | Testing recovery plan procedures | Editorial | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | Editorial | §164.310(d)(2)(i)§164.312(c) | Mismo tema: Protección de datos (selección editorial) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza (selección editorial) |
| CC1.2 | Board independence and oversight of internal control | Editorial | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación (selección editorial) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | §164.308(a)(2) | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Mismo tema: Concienciación y formación (selección editorial) |
| CC2.3 | Communication with external parties | Editorial | §164.308(a)(6)(ii) | Mismo tema: Notificación (selección editorial) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| CC3.2 | Risk identification and analysis | Editorial | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.3 | Considering the potential for fraud | Editorial | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.4 | Identifying and assessing significant changes | Editorial | §164.308(a)(1)(ii)(A) | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | §164.308(a)(8) | Mismo tema: Cumplimiento (selección editorial) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | §164.308(a)(1)(ii)(B) | Mismo tema: Gestión de riesgos (selección editorial) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | §164.316(a)§164.316(b)(2)(iii) | Mismo tema: Política de gobernanza (selección editorial) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | Editorial | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | Mismo tema: Control de acceso, Gestión de activos (selección editorial) |
| CC6.2 | User registration, authorization and removal | Editorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso (selección editorial) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Mismo tema: Control de acceso (selección editorial) |
| CC6.4 | Physical access restrictions | Editorial | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | Mismo tema: Seguridad física (selección editorial) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | §164.310(d)(2)(i)§164.312(c) | Mismo tema: Protección de datos (selección editorial) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | Mismo tema: Seguridad móvil, Cifrado (selección editorial) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | §164.308(a)(5)(ii)(B) | Mismo tema: Protección de endpoints (selección editorial) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| CC7.2 | Monitoring system components for anomalies | Editorial | §164.308(a)(1)(ii)(D)§164.312(b) | Mismo tema: Monitoreo cont., Registro y auditoría (selección editorial) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: SIEM / SOC, Respuesta a incidentes (selección editorial) |
| CC7.4 | Responding to identified security incidents | Editorial | §164.308(a)(6)§164.308(a)(6)(ii) | Mismo tema: Respuesta a incidentes, Mitigación (selección editorial) |
| CC7.5 | Recovering from identified security incidents | Editorial | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Mismo tema: Planificación de la recuperación (selección editorial) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | Mismo tema: Gestión de riesgos, Continuidad del negocio (selección editorial) |
| CC9.2 | Managing vendor and business partner risk | Editorial | §164.308(b)(1)§164.314(a) | Mismo tema: Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial) |
Por tema
Ambos cubren (26):
Política de gobernanzaConcienciación y formaciónGestión de riesgosFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosGestión de vulnerabilidadesControl de accesoCifradoProtección de datosCopias de seguridad y recuperaciónProtección de endpointsSeguridad móvilSeguridad en la nubeMonitoreo cont.Registro y auditoríaSIEM / SOCRespuesta a incidentesMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioRecuperación ante desastresGestión de riesgos de proveedoresSeguridad física
Solo SOC 2 (20):
Riesgo de la cadena de suministroEntorno empresarialClasificación de datosAutenticación multifactorAcceso privilegiadoCortafuegos / Segmentación de redGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroWAFDLPDetección de intrusionesDetección de anomalíasAnálisis forenseComunicaciónLecciones aprendidasComunicaciones y restauración
Solo HIPAA (1):
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.