Comparaison
SOC 2 et HIPAA : rapport d'assurance ou obligation légale
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · données du 2026-10-27
Les entreprises de technologies de santé ont souvent besoin des deux : HIPAA parce qu'elles traitent des informations de santé protégées, généralement en tant que partenaires commerciaux, et SOC 2 parce que leurs clients attendent une assurance indépendante. Il s'agit d'instruments différents. HIPAA est une loi, appliquée par l'Office for Civil Rights. SOC 2 est une attestation volontaire délivrée par un CPA. Certains auditeurs proposent un rapport SOC 2 auquel sont ajoutés les critères HIPAA.
Les mesures de sécurité techniques se recoupent largement : contrôle d'accès, journalisation des audits, intégrité, authentification, sécurité des transmissions, planification de la continuité et sensibilisation à la sécurité figurent dans les deux. En passant de SOC 2 à HIPAA, la plupart des exigences de la Security Rule sont mappées ou faiblement liées.
Les exigences HIPAA restantes sont spécifiques : la réutilisation des supports et le contenu des contrats avec les partenaires commerciaux.
En passant de HIPAA à SOC 2, davantage d'éléments restent sans correspondance. SOC 2 attend un critère formel de gestion des changements que la Security Rule ne détaille pas, et ses catégories facultatives de confidentialité et d'intégrité du traitement vont au-delà de la Security Rule. Le volet SOC 2 présenté ici correspond à la correspondance éditoriale de ControlMapping.
Points clés à retenir
- Un rapport SOC 2 ne rend pas conforme à HIPAA, mais ses contrôles peuvent couvrir la plupart de vos mesures de sauvegarde HIPAA.
- Conservez votre analyse de risques HIPAA et vos contrats avec les partenaires commerciaux sous forme d'artefacts distincts et explicites.
- Envisagez un SOC 2 assorti des critères HIPAA si vos clients du secteur de la santé continuent de demander les deux.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir SOC 2 → viser HIPAA
69 exig. 36 mis en correspondance · · 2 sans correspondance Ouvrir dans la vue des écarts →Sur 69 exigences HIPAA Security Rule, 36 correspondent à un élément de SOC 2, 31 sont seulement faiblement liées et 2 n'ont aucune correspondance dans nos données.
Couvre uniquement la règle de sécurité HIPAA (et non les règles de confidentialité ou de notification de violation).
Travaux probablement nouveaux : exigences HIPAA sans correspondance avec SOC 2 (2)
| HIPAA | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (31)
| HIPAA | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, GV.OC-03 : lien indicatif, pas une correspondance | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | Partage seulement les fonctions CSF DE.CM-03 : lien indicatif, pas une correspondance | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | Partage seulement les fonctions CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01… : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | Partage seulement les fonctions CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 : lien indicatif, pas une correspondance | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, GV.OC-03 : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | Partage seulement les fonctions CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | Partage seulement les fonctions CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… : lien indicatif, pas une correspondance | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | Partage seulement les fonctions CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01… : lien indicatif, pas une correspondance | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | Partage seulement les fonctions CSF PR.AT-01, PR.AT-02 : lien indicatif, pas une correspondance | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | Partage seulement les fonctions CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04… : lien indicatif, pas une correspondance | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | Partage seulement les fonctions CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… : lien indicatif, pas une correspondance | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | Partage seulement les fonctions CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02… : lien indicatif, pas une correspondance | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, GV.OC-03 : lien indicatif, pas une correspondance | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | Partage seulement les fonctions CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03… : lien indicatif, pas une correspondance | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | Partage seulement les fonctions CSF PR.DS-02 : lien indicatif, pas une correspondance | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | Partage seulement les fonctions CSF PR.DS-01, PR.DS-02, PR.DS-10 : lien indicatif, pas une correspondance | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | Partage seulement les fonctions CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | Partage seulement les fonctions CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… : lien indicatif, pas une correspondance | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | Partage seulement les fonctions CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… : lien indicatif, pas une correspondance | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | Partage seulement les fonctions CSF ID.AM-08, ID.AM-03 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Partage seulement les fonctions CSF ID.AM-08, ID.AM-03 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Partage seulement les fonctions CSF ID.AM-08, ID.AM-03 : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | Partage seulement les fonctions CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… : lien indicatif, pas une correspondance | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | Partage seulement les fonctions CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02… : lien indicatif, pas une correspondance | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | Partage seulement les fonctions CSF ID.AM-08, ID.AM-03, ID.RA-01 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | Partage seulement les fonctions CSF ID.AM-07, ID.AM-08 : lien indicatif, pas une correspondance | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | Partage seulement les fonctions CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 : lien indicatif, pas une correspondance | |
Mis en correspondance (36)
| HIPAA | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Éditorial | CC3.2CC3.3CC3.4+1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Éditorial | CC3.1CC5.1CC7.1+1 | Même sujet : Gestion des risques, Gestion des vulnérabilités (choix de la rédaction) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Éditorial | CC7.2CC7.3 | Même sujet : Surveillance continue, SIEM / SOC (choix de la rédaction) |
| §164.308(a)(2) | Assigned Security Responsibility | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| §164.308(a)(4) | Information Access Management | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.308(a)(5) | Security Awareness and Training | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Éditorial | CC6.8 | Même sujet : Protection des terminaux (choix de la rédaction) |
| §164.308(a)(6) | Security Incident Procedures | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| §164.308(a)(6)(ii) | Required Response and Reporting | Éditorial | CC2.3CC7.3CC7.4 | Même sujet : Notification, Réponse aux incidents, Atténuation (choix de la rédaction) |
| §164.308(a)(7) | Contingency Plan | Éditorial | A1.3CC7.5 | Même sujet : Planification de la reprise (choix de la rédaction) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Éditorial | A1.2 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Éditorial | A1.2A1.3CC7.5 | Même sujet : Reprise après sinistre, Planification de la reprise (choix de la rédaction) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Éditorial | A1.1A1.2CC9.1 | Même sujet : Continuité des activités (choix de la rédaction) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Éditorial | A1.2A1.3 | Même sujet : Reprise après sinistre (choix de la rédaction) |
| §164.308(a)(8) | Evaluation | Éditorial | CC4.1CC4.2CC7.1 | Même sujet : Conformité, Gestion des vulnérabilités (choix de la rédaction) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Éditorial | CC9.2 | Même sujet : Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(b) | Workstation Use | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(c) | Workstation Security | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| §164.310(d) | Device and Media Controls | Éditorial | CC6.1CC6.7 | Même sujet : Gestion des actifs, Sécurité mobile (choix de la rédaction) |
| §164.310(d)(2)(i) | Required Disposal | Éditorial | C1.2CC6.5 | Même sujet : Protection des données (choix de la rédaction) |
| §164.310(d)(2)(iii) | Addressable Accountability | Éditorial | CC6.1 | Même sujet : Gestion des actifs (choix de la rédaction) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Éditorial | A1.2 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.312(a)(2)(i) | Required Unique User Identification | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| §164.312(b) | Audit Controls | Éditorial | CC7.2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| §164.312(c) | Integrity | Éditorial | C1.2CC6.5 | Même sujet : Protection des données (choix de la rédaction) |
| §164.312(d) | Person or Entity Authentication | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| §164.312(e)(2)(ii) | Addressable Encryption | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| §164.316(b)(2)(iii) | Required Updates | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
Avoir HIPAA → viser SOC 2
61 exig. 33 mis en correspondance · · 25 sans correspondance Ouvrir dans la vue des écarts →Sur 61 exigences SOC 2 (Trust Services Criteria), 33 correspondent à un élément de HIPAA, 3 sont seulement faiblement liées et 25 n'ont aucune correspondance dans nos données.
Les correspondances SOC 2 publiées par l'AICPA ne sont pas sous licence ouverte ; chaque lien SOC 2 présenté ici relève donc de la rédaction de ControlMapping, et les critères que nous n'avons pas cartographiés ne peuvent pas être mis en correspondance. Les critères d'intégrité des traitements (PI) et la plupart des critères de confidentialité (P) n'ont pas d'équivalent dans les référentiels de sécurité.
Travaux probablement nouveaux : exigences SOC 2 sans correspondance avec HIPAA (25)
| SOC 2 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P2.1 | Choice and consent | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P3.1 | Collection limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P3.2 | Explicit consent where required | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P4.1 | Use limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P4.2 | Retention of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P4.3 | Disposal of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P5.1 | Data subject access | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P5.2 | Correction of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.1 | Disclosure to third parties with consent | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.2 | Record of authorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.3 | Record of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.4 | Privacy commitments from third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.5 | Notification by third parties of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.6 | Breach notification to affected individuals | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P6.7 | Accounting of disclosures to data subjects | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P7.1 | Quality of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PI1.2 | Controls over system inputs | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PI1.3 | Controls over system processing | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PI1.4 | Controls over system outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
| PI1.5 | Storing inputs, items in processing and outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec HIPAA dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (3)
| SOC 2 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | Partage seulement les fonctions CSF ID.AM-05 : lien indicatif, pas une correspondance | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Partage seulement les fonctions CSF PR.PS-01 : lien indicatif, pas une correspondance | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Partage seulement les fonctions CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… : lien indicatif, pas une correspondance | |
Mis en correspondance (33)
| SOC 2 | Exigence | Correspondance | HIPAA | Preuves |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Éditorial | §164.308(a)(7)(ii)(C) | Même sujet : Continuité des activités (choix de la rédaction) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Éditorial | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | Même sujet : Sauvegarde et restauration, Reprise après sinistre, Continuité des activités (choix de la rédaction) |
| A1.3 | Testing recovery plan procedures | Éditorial | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | Éditorial | §164.310(d)(2)(i)§164.312(c) | Même sujet : Protection des données (choix de la rédaction) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Éditorial | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC1.2 | Board independence and oversight of internal control | Éditorial | §164.308(a)(2) | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Éditorial | §164.308(a)(2) | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Éditorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC1.5 | Accountability for internal control responsibilities | Éditorial | §164.308(a)(2) | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Éditorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC2.3 | Communication with external parties | Éditorial | §164.308(a)(6)(ii) | Même sujet : Notification (choix de la rédaction) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| CC3.2 | Risk identification and analysis | Éditorial | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.3 | Considering the potential for fraud | Éditorial | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.4 | Identifying and assessing significant changes | Éditorial | §164.308(a)(1)(ii)(A) | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| CC4.2 | Communicating and remediating control deficiencies | Éditorial | §164.308(a)(8) | Même sujet : Conformité (choix de la rédaction) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | Éditorial | §164.308(a)(1)(ii)(B) | Même sujet : Gestion des risques (choix de la rédaction) |
| CC5.3 | Control activities deployed through policies and procedures | Éditorial | §164.316(a)§164.316(b)(2)(iii) | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | Éditorial | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | Même sujet : Contrôle d'accès, Gestion des actifs (choix de la rédaction) |
| CC6.2 | User registration, authorization and removal | Éditorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Éditorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CC6.4 | Physical access restrictions | Éditorial | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | Même sujet : Sécurité physique (choix de la rédaction) |
| CC6.5 | Protection of data when assets are disposed of | Éditorial | §164.310(d)(2)(i)§164.312(c) | Même sujet : Protection des données (choix de la rédaction) |
| CC6.7 | Restricting transmission, movement and removal of information | Éditorial | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | Même sujet : Sécurité mobile, Chiffrement (choix de la rédaction) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Éditorial | §164.308(a)(5)(ii)(B) | Même sujet : Protection des terminaux (choix de la rédaction) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Éditorial | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| CC7.2 | Monitoring system components for anomalies | Éditorial | §164.308(a)(1)(ii)(D)§164.312(b) | Même sujet : Surveillance continue, Journalisation et audit (choix de la rédaction) |
| CC7.3 | Evaluating security events to determine if they are incidents | Éditorial | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : SIEM / SOC, Réponse aux incidents (choix de la rédaction) |
| CC7.4 | Responding to identified security incidents | Éditorial | §164.308(a)(6)§164.308(a)(6)(ii) | Même sujet : Réponse aux incidents, Atténuation (choix de la rédaction) |
| CC7.5 | Recovering from identified security incidents | Éditorial | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Même sujet : Planification de la reprise (choix de la rédaction) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Éditorial | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | Même sujet : Gestion des risques, Continuité des activités (choix de la rédaction) |
| CC9.2 | Managing vendor and business partner risk | Éditorial | §164.308(b)(1)§164.314(a) | Même sujet : Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction) |
Par thème
Les deux couvrent (26) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesGestion des vulnérabilitésContrôle d'accèsChiffrementProtection des donnéesSauvegarde et restaurationProtection des terminauxSécurité mobileSécurité du cloudSurveillance continueJournalisation et auditSIEM / SOCRéponse aux incidentsAtténuationNotificationPlanification de la repriseContinuité des activitésReprise après sinistreGestion des risques fournisseursSécurité physique
Seulement SOC 2 (20) :
Risque lié à la chaîne d'approvisionnementEnvironnement métierClassification des donnéesAuthentification multifacteurAccès privilégiésPare-feu / Segmentation réseauGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustWAFDLPDétection d'intrusionDétection d'anomaliesCriminalistique numériqueCommunicationEnseignements tirésCommunication et rétablissement
Seulement HIPAA (1) :
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.