Comparación
SOC 2 frente a PCI DSS: garantía para clientes frente a cumplimiento de las marcas de tarjetas
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · datos 2026-10-27
Una misma empresa necesita a menudo SOC 2 y PCI DSS, normalmente un negocio SaaS o fintech que vende a grandes empresas y, además, procesa pagos con tarjeta. SOC 2 es una certificación de auditoría basada en los amplios Criterios de Servicios de Confianza. PCI DSS v4.0.1 es un estándar prescriptivo y contractual limitado al entorno de datos del titular de la tarjeta.
Los fundamentos de seguridad se solapan: gestión de accesos, registro y monitorización, gestión de cambios, gestión de vulnerabilidades, respuesta a incidentes y gestión de proveedores. Los controles diseñados para SOC 2 suelen cumplir la intención de PCI, pero no siempre su redacción.
Al pasar de SOC 2 a PCI DSS, el trabajo adicional se debe a la especificidad de PCI: controles de seguridad de red definidos en torno al entorno de datos del titular de la tarjeta, reglas para almacenar y mostrar los PAN, gestión de claves criptográficas, MFA para todo acceso al CDE, frecuencias de escaneo y pruebas, e integridad de los scripts en las páginas de pago. Muchos requisitos de PCI solo guardan una relación tangencial, en lugar de una correspondencia directa, porque SOC 2 no prescribe el mecanismo.
Al pasar de PCI DSS a SOC 2, la mayoría de los criterios de seguridad quedan cubiertos. Las brechas son las categorías opcionales de Integridad del Procesamiento y Privacidad de SOC 2, si las incluyes. La parte de SOC 2 de esta comparación es la correspondencia editorial de ControlMapping, ya que no existe ninguna correspondencia SOC 2 pública y legible por máquina.
Conclusiones clave
- Utilizar un proveedor de pagos conforme a PCI y mantener los datos de tarjetas fuera de tus sistemas puede convertir PCI en un cuestionario breve en lugar de un programa.
- Reutiliza las evidencias de SOC 2 para PCI cuando el requisito lo permita, pero revisa las frecuencias y los detalles técnicos de PCI.
- Tu informe SOC 2 puede describir controles relevantes para PCI, pero no sustituye a un Informe de Cumplimiento (ROC) de PCI ni a un SAQ.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene SOC 2 → necesita PCI DSS
260 req. 75 asignados · · 113 sin asignación Abrir en vista de brechas →De los 260 requisitos de PCI DSS v4.0.1, 75 se corresponden con algo en SOC 2, 72 solo guardan una relación tangencial y 113 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de PCI DSS sin correspondencia con SOC 2 (113)
| PCI DSS | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.2.5 | Allowed services, protocols and ports approved | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.2.6 | Security features defined for insecure services | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.2.7 | Network security control rules reviewed every six months | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.2.8 | Network security control configuration files secured | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.3.2 | Outbound traffic from the CDE restricted | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.3.3 | Network controls between wireless networks and the CDE | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.4.3 | Anti-spoofing measures in place | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 2.2.4 | Only necessary services and functions enabled | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 2.2.5 | Insecure services justified and secured | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 2.2.6 | System security parameters set to prevent misuse | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 2.2.7 | Non-console administrative access encrypted | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 2.3.2 | Wireless keys changed when key holders leave | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.3.1.2 | Card verification code not kept after authorisation | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.2 | Key management: secure key distribution | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.3 | Key management: secure key storage | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.6 | Key management: split knowledge and dual control | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 3.7.9 | Service providers give customers key-handling guidance | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 4.2.2 | PAN secured when sent by end-user messaging | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 5.3.3 | Removable media scanned or analysed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 5.3.5 | Users cannot disable or alter anti-malware | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 6.5.3 | Pre-production environments separated from production | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 6.5.4 | Duties separated between production and pre-production | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 6.5.5 | Live PANs not used in pre-production | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 6.5.6 | Test data and accounts removed before go-live | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 7.2.5 | System and application accounts least privilege | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 7.2.6 | Access to cardholder data repositories restricted | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 7.3.1 | Access control system restricts access by need | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 7.3.2 | Access control system enforces assigned permissions | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 7.3.3 | Access control system set to deny by default | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.2.4 | User ID changes authorised and controlled | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.2.5 | Access revoked immediately on termination | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.3.3 | Identity verified before changing authentication factors | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.3.4 | Account lockout after repeated failed attempts | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.3.5 | First-use and reset passwords unique and changed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 8.6.1 | Interactive use of system accounts managed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.3.3 | Visitor badges returned or deactivated | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.3.4 | Visitor log maintained and retained | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.4.1 | Media with cardholder data physically secured | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.4.3 | Media sent off site tracked and secured | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.4.4 | Management approves media moved off site | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.4.5 | Inventory logs of electronic media kept | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.4.5.1 | Electronic media inventories at least annually | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 9.5.1.3 | Staff trained to spot POI tampering | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.2 | Logs capture administrative actions | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.3 | Logs capture access to audit logs | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.4 | Logs capture invalid access attempts | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.5 | Logs capture credential and privilege changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.2.1.7 | Logs capture system-level object changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.4.2 | Other logs reviewed periodically | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.4.3 | Exceptions and anomalies addressed | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.6.2 | Time configuration correct and consistent | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.7.1 | Service providers detect security control failures | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 10.7.3 | Security control failures responded to promptly | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.3.1.2 | Internal scans use authenticated scanning | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.3.1.3 | Internal scans after significant changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.3.2.1 | External scans after significant changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.1 | Penetration testing methodology defined | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.2 | Internal penetration test at least annually | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.3 | External penetration test at least annually | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.5 | Segmentation controls tested at least annually | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.6 | Service providers test segmentation every six months | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.5.1.1 | Service providers detect covert malware communication | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 11.5.2 | Change-detection on critical files | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.4.2.1 | Service providers: quarterly review results documented | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.5.2.1 | Service providers confirm scope every six months | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.6.2 | Awareness programme reviewed annually | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.6.3.1 | Training covers phishing and social engineering | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.6.3.2 | Training covers acceptable use of technology | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.7.1 | Personnel screened before hire | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| 12.10.5 | Plan covers alerts from security monitoring | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
| A2.1.3 | Service providers offer a secure connection option | Sin correspondencia en nuestros datos | — | Sin correspondencia con SOC 2 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (72)
| PCI DSS | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: relacionado, no es una correspondencia | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | Solo comparte subcategorías de CSF PR.AA-03, PR.DS-02: relacionado, no es una correspondencia | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | Solo comparte subcategorías de CSF PR.AA-03, PR.DS-01: relacionado, no es una correspondencia | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01: relacionado, no es una correspondencia | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01: relacionado, no es una correspondencia | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01: relacionado, no es una correspondencia | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | Solo comparte subcategorías de CSF PR.AA-01, PR.DS-01: relacionado, no es una correspondencia | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | Solo comparte subcategorías de CSF ID.AM-08: relacionado, no es una correspondencia | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | Solo comparte subcategorías de CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: relacionado, no es una correspondencia | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | Solo comparte subcategorías de CSF GV.PO-02, PR.AA-05: relacionado, no es una correspondencia | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | Solo comparte subcategorías de CSF GV.PO-02, PR.AA-05: relacionado, no es una correspondencia | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | Solo comparte subcategorías de CSF DE.CM-03: relacionado, no es una correspondencia | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | Solo comparte subcategorías de CSF PR.AA-05: relacionado, no es una correspondencia | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | Solo comparte subcategorías de CSF PR.DS-10, PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | Solo comparte subcategorías de CSF PR.AA-03: relacionado, no es una correspondencia | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | Solo comparte subcategorías de CSF PR.AA-01: relacionado, no es una correspondencia | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | Solo comparte subcategorías de CSF GV.PO-02, PR.IR-02: relacionado, no es una correspondencia | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | Solo comparte subcategorías de CSF PR.AA-03, PR.AA-06: relacionado, no es una correspondencia | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | Solo comparte subcategorías de CSF PR.DS-11, RC.RP-03, DE.CM-02: relacionado, no es una correspondencia | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | Solo comparte subcategorías de CSF PR.DS-01, GV.OC-03: relacionado, no es una correspondencia | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | Solo comparte subcategorías de CSF PR.DS-11, PR.DS-01, GV.OC-03: relacionado, no es una correspondencia | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | Solo comparte subcategorías de CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: relacionado, no es una correspondencia | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | Solo comparte subcategorías de CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: relacionado, no es una correspondencia | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | Solo comparte subcategorías de CSF RS.AN-03, RS.AN-07: relacionado, no es una correspondencia | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | Solo comparte subcategorías de CSF PR.PS-04, DE.AE-06, RS.AN-06: relacionado, no es una correspondencia | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | Solo comparte subcategorías de CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: relacionado, no es una correspondencia | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | Solo comparte subcategorías de CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: relacionado, no es una correspondencia | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: relacionado, no es una correspondencia | |
| 10.6.3 | Time settings protected from change | CC7.2 | Solo comparte subcategorías de CSF PR.PS-04: relacionado, no es una correspondencia | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | Solo comparte subcategorías de CSF GV.RR-02: relacionado, no es una correspondencia | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | Solo comparte subcategorías de CSF DE.CM-01, PR.IR-01: relacionado, no es una correspondencia | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | Solo comparte subcategorías de CSF RC.RP-05: relacionado, no es una correspondencia | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: relacionado, no es una correspondencia | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | Solo comparte subcategorías de CSF GV.RM-06: relacionado, no es una correspondencia | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | Solo comparte subcategorías de CSF GV.RM-03: relacionado, no es una correspondencia | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: relacionado, no es una correspondencia | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | Solo comparte subcategorías de CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: relacionado, no es una correspondencia | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Solo comparte subcategorías de CSF GV.RM-03, GV.RM-06: relacionado, no es una correspondencia | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | Solo comparte subcategorías de CSF ID.AM-07: relacionado, no es una correspondencia | |
Correspondencia (75)
| PCI DSS | Requisito | Coincidencia | SOC 2 | Evidencia |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| 1.2.3 | Accurate network diagram maintained | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| 1.3.1 | Inbound traffic to the CDE restricted | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| 1.4.1 | Network controls between trusted and untrusted networks | Editorial | CC6.6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Editorial | CC5.2CC7.1 | Mismo tema: Configuración segura (selección editorial) |
| 2.2.2 | Vendor default accounts managed or removed | Editorial | CC5.2CC7.1 | Mismo tema: Configuración segura (selección editorial) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| 3.4.1 | PAN masked when displayed | Editorial | C1.2CC6.5 | Mismo tema: Protección de datos (selección editorial) |
| 3.4.2 | PAN copying prevented over remote-access technologies | Editorial | CC6.7 | Mismo tema: DLP (selección editorial) |
| 3.5.1 | PAN rendered unreadable wherever stored | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| 3.6.1 | Procedures protect keys that secure stored account data | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| 3.7.1 | Key management: strong key generation | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Editorial | CC6.1CC6.7 | Mismo tema: Cifrado (selección editorial) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Editorial | CC6.8 | Mismo tema: Protección de endpoints (selección editorial) |
| 5.4.1 | Mechanisms to detect and protect against phishing | Editorial | CC6.8 | Mismo tema: Seguridad del correo electrónico (selección editorial) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| 6.2.2 | Developers trained in secure software development | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| 6.2.3 | Custom code reviewed before release | Editorial | CC8.1 | Mismo tema: Desarrollo seguro (selección editorial) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Editorial | CC7.1 | Mismo tema: Gestión de vulnerabilidades, Gestión de parches (selección editorial) |
| 6.3.2 | Inventory of custom software and its components | Editorial | CC6.1CC9.2 | Mismo tema: Gestión de activos, Riesgo de la cadena de suministro (selección editorial) |
| 6.3.3 | Security patches installed promptly | Editorial | CC7.1 | Mismo tema: Gestión de parches (selección editorial) |
| 6.4.1 | Public web applications protected against attacks | Editorial | CC6.6 | Mismo tema: Seguridad web (selección editorial) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Editorial | CC6.6 | Mismo tema: WAF (selección editorial) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Editorial | CC6.6 | Mismo tema: Seguridad web (selección editorial) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Editorial | CC6.1CC6.2CC6.3+1 | Mismo tema: Control de acceso (selección editorial) |
| 7.2.2 | Access assigned by job function and least privilege | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso, Acceso privilegiado (selección editorial) |
| 7.2.4 | User accounts and privileges reviewed every six months | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Editorial | CC6.1CC6.2CC6.3 | Mismo tema: Control de acceso (selección editorial) |
| 8.3.1 | User and admin access requires an authentication factor | Editorial | CC6.6 | Mismo tema: Confianza cero (selección editorial) |
| 8.4.1 | MFA for non-console administrative access to the CDE | Editorial | CC6.1 | Mismo tema: Autenticación multifactor (selección editorial) |
| 8.4.2 | MFA for all access into the CDE | Editorial | CC6.1 | Mismo tema: Autenticación multifactor (selección editorial) |
| 8.4.3 | MFA for remote network access | Editorial | CC6.1 | Mismo tema: Autenticación multifactor (selección editorial) |
| 8.5.1 | MFA systems configured to resist misuse | Editorial | CC6.1 | Mismo tema: Autenticación multifactor (selección editorial) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.2.3 | Physical access to network hardware restricted | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.3.1 | Personnel physical access authorised and managed | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Editorial | CC6.4 | Mismo tema: Seguridad física (selección editorial) |
| 9.4.1.1 | Offline backup media stored securely | Editorial | A1.2 | Mismo tema: Copias de seguridad y recuperación (selección editorial) |
| 9.4.2 | Media classified by data sensitivity | Editorial | C1.1 | Mismo tema: Clasificación de datos (selección editorial) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| 10.3.2 | Logs protected from modification | Editorial | CC7.2CC7.4 | Mismo tema: Registro y auditoría, Análisis forense (selección editorial) |
| 10.4.1 | Security event and critical logs reviewed daily | Editorial | CC7.2CC7.3 | Mismo tema: Monitoreo cont., SIEM / SOC (selección editorial) |
| 10.4.1.1 | Automated mechanisms for log review | Editorial | CC7.2 | Mismo tema: Detección de anomalías (selección editorial) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| 10.6.1 | System clocks synchronised | Editorial | CC7.2 | Mismo tema: Registro y auditoría (selección editorial) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Editorial | CC7.1 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| 11.3.2 | External ASV scans every three months | Editorial | CC7.1 | Mismo tema: Gestión de vulnerabilidades (selección editorial) |
| 11.5.1 | Intrusion detection or prevention on network traffic | Editorial | CC7.2 | Mismo tema: Detección de intrusiones (selección editorial) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
| 12.1.2 | Security policy reviewed at least annually | Editorial | CC1.1CC5.3 | Mismo tema: Política de gobernanza (selección editorial) |
| 12.1.3 | Security roles and responsibilities defined | Editorial | CC1.2CC1.3CC1.5 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| 12.1.4 | Executive responsibility for information security assigned | Editorial | CC1.2CC1.3CC1.5 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Editorial | CC3.1CC3.2CC3.3+3 | Mismo tema: Gestión de riesgos, Evaluación de riesgos (selección editorial) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Editorial | CC4.1CC4.2 | Mismo tema: Cumplimiento (selección editorial) |
| 12.5.1 | Inventory of in-scope system components | Editorial | CC6.1 | Mismo tema: Gestión de activos (selección editorial) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Editorial | CC3.1 | Mismo tema: Entorno empresarial (selección editorial) |
| 12.6.1 | Formal security awareness programme | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| 12.6.3 | Awareness training on hire and at least annually | Editorial | CC1.4CC2.2 | Mismo tema: Concienciación y formación (selección editorial) |
| 12.8.1 | List of third-party service providers kept | Editorial | CC9.2 | Mismo tema: Riesgo de la cadena de suministro, Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial) |
| 12.8.2 | Written agreements with service providers | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| 12.8.3 | Due diligence before engaging service providers | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| 12.8.4 | Service provider compliance monitored annually | Editorial | CC9.2 | Mismo tema: Gestión de riesgos de proveedores (selección editorial) |
| 12.8.5 | Responsibilities split with each provider documented | Editorial | CC9.2 | Mismo tema: Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial) |
| 12.10.1 | Incident response plan ready to activate | Editorial | A1.1A1.2A1.3+5 | Mismo tema: Continuidad del negocio, Recuperación ante desastres, Planificación de la recuperación (selección editorial) |
| 12.10.2 | Incident response plan reviewed and tested annually | Editorial | CC7.3CC7.4 | Mismo tema: Respuesta a incidentes (selección editorial) |
| 12.10.3 | Incident response staff available around the clock | Editorial | CC7.3CC7.4 | Mismo tema: Respuesta a incidentes (selección editorial) |
| 12.10.4 | Incident response staff trained | Editorial | CC7.3CC7.4 | Mismo tema: Respuesta a incidentes (selección editorial) |
| 12.10.6 | Plan updated from lessons learned and industry changes | Editorial | CC7.5 | Mismo tema: Lecciones aprendidas (selección editorial) |
Tiene PCI DSS → necesita SOC 2
61 req. 37 asignados · · 24 sin asignación Abrir en vista de brechas →De los 61 requisitos de SOC 2 (Trust Services Criteria), 37 se corresponden con algo en PCI DSS, 0 solo guardan una relación tangencial y 24 no tienen correspondencia en nuestros datos.
Las correspondencias de SOC 2 de AICPA no tienen licencia abierta, por lo que cada enlace a SOC 2 aquí es una selección editorial de ControlMapping: los criterios que no hemos correlacionado no pueden coincidir. Los criterios de integridad del procesamiento (PI) y la mayoría de los criterios de privacidad (P) no tienen equivalente en los marcos de seguridad.
Probablemente trabajo nuevo: requisitos de SOC 2 sin correspondencia con PCI DSS (24)
| SOC 2 | Requisito | Coincidencia | PCI DSS | Evidencia |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P2.1 | Choice and consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P3.1 | Collection limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P3.2 | Explicit consent where required | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P4.1 | Use limited to privacy objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P4.2 | Retention of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P4.3 | Disposal of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P5.1 | Data subject access | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P5.2 | Correction of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.1 | Disclosure to third parties with consent | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.2 | Record of authorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.3 | Record of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.4 | Privacy commitments from third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.5 | Notification by third parties of unauthorized disclosures | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.6 | Breach notification to affected individuals | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P6.7 | Accounting of disclosures to data subjects | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P7.1 | Quality of personal information | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| PI1.2 | Controls over system inputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| PI1.3 | Controls over system processing | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| PI1.4 | Controls over system outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
| PI1.5 | Storing inputs, items in processing and outputs | Sin correspondencia en nuestros datos | — | Sin correspondencia con PCI DSS en nuestros datos. |
Correspondencia (37)
| SOC 2 | Requisito | Coincidencia | PCI DSS | Evidencia |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | 12.10.1 | Mismo tema: Continuidad del negocio (selección editorial) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | 9.4.1.112.10.1 | Mismo tema: Copias de seguridad y recuperación, Continuidad del negocio, Recuperación ante desastres (selección editorial) |
| A1.3 | Testing recovery plan procedures | Editorial | 12.10.1 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres (selección editorial) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | 9.4.2 | Mismo tema: Clasificación de datos (selección editorial) |
| C1.2 | Disposing of confidential information | Editorial | 3.2.13.3.13.4.1 | Mismo tema: Protección de datos (selección editorial) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | 12.1.112.1.2 | Mismo tema: Política de gobernanza (selección editorial) |
| CC1.2 | Board independence and oversight of internal control | Editorial | 12.1.312.1.4 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | 12.1.312.1.4 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | 12.6.112.6.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | 12.1.312.1.4 | Mismo tema: Funciones y responsabilidades (selección editorial) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | 12.6.112.6.3 | Mismo tema: Concienciación y formación (selección editorial) |
| CC2.3 | Communication with external parties | Editorial | 12.10.1 | Mismo tema: Notificación (selección editorial) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | 12.3.112.5.2 | Mismo tema: Gestión de riesgos, Entorno empresarial (selección editorial) |
| CC3.2 | Risk identification and analysis | Editorial | 12.3.1 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.3 | Considering the potential for fraud | Editorial | 12.3.1 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC3.4 | Identifying and assessing significant changes | Editorial | 12.3.1 | Mismo tema: Evaluación de riesgos (selección editorial) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | 12.4.2 | Mismo tema: Cumplimiento (selección editorial) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | 12.4.2 | Mismo tema: Cumplimiento (selección editorial) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | 12.3.1 | Mismo tema: Gestión de riesgos (selección editorial) |
| CC5.2 | General controls over technology | Editorial | 2.2.12.2.2 | Mismo tema: Configuración segura (selección editorial) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | 12.1.112.1.2 | Mismo tema: Política de gobernanza (selección editorial) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | 3.5.13.6.13.7.1+13 | Mismo tema: Cifrado (selección editorial) |
| CC6.2 | User registration, authorization and removal | Editorial | 7.2.17.2.27.2.4+1 | Mismo tema: Control de acceso (selección editorial) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | 7.2.17.2.27.2.4+1 | Mismo tema: Control de acceso, Acceso privilegiado (selección editorial) |
| CC6.4 | Physical access restrictions | Editorial | 9.2.19.2.1.19.2.3+3 | Mismo tema: Seguridad física (selección editorial) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | 3.2.13.3.13.4.1 | Mismo tema: Protección de datos (selección editorial) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | 1.2.11.2.31.3.1+6 | Mismo tema: Cortafuegos / Segmentación de red (selección editorial) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | 3.4.23.5.13.6.1+4 | Mismo tema: DLP, Cifrado (selección editorial) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | 5.2.15.2.25.3.2+1 | Mismo tema: Protección de endpoints (selección editorial) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | 2.2.12.2.26.3.1+3 | Mismo tema: Configuración segura, Gestión de vulnerabilidades, Gestión de parches (selección editorial) |
| CC7.2 | Monitoring system components for anomalies | Editorial | 10.2.110.3.210.4.1+4 | Mismo tema: Registro y auditoría, Monitoreo cont. (selección editorial) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | 10.4.112.10.112.10.2+2 | Mismo tema: SIEM / SOC, Respuesta a incidentes (selección editorial) |
| CC7.4 | Responding to identified security incidents | Editorial | 10.3.212.10.112.10.2+2 | Mismo tema: Análisis forense, Respuesta a incidentes, Mitigación (selección editorial) |
| CC7.5 | Recovering from identified security incidents | Editorial | 12.10.112.10.6 | Mismo tema: Planificación de la recuperación, Lecciones aprendidas (selección editorial) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | 6.2.16.2.26.2.3 | Mismo tema: Desarrollo seguro (selección editorial) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | 12.3.112.10.1 | Mismo tema: Gestión de riesgos, Continuidad del negocio (selección editorial) |
| CC9.2 | Managing vendor and business partner risk | Editorial | 6.3.212.8.112.8.2+3 | Mismo tema: Riesgo de la cadena de suministro, Seguridad en la nube, Gestión de riesgos de proveedores (selección editorial) |
Por tema
Ambos cubren (43):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosEntorno empresarialClasificación de datosGestión de vulnerabilidadesControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad en la nubeWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioLecciones aprendidasRecuperación ante desastresGestión de riesgos de proveedoresSeguridad física
Solo SOC 2 (3):
Solo PCI DSS (3):
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.