Comparaison
SOC 2 vs PCI DSS : assurance client vs conformité aux exigences des réseaux de cartes
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · données du 2026-10-27
SOC 2 et PCI DSS sont souvent requis pour une même entreprise, typiquement une société SaaS ou fintech qui vend à de grandes entreprises et traite également des paiements par carte. SOC 2 est une attestation portant sur les Trust Services Criteria, un référentiel à large périmètre. PCI DSS v4.0.1 est une norme prescriptive et contractuelle, limitée à l'environnement des données de titulaires de carte.
Les fondamentaux de sécurité se recoupent : gestion des accès, journalisation et supervision, gestion des changements, gestion des vulnérabilités, réponse aux incidents et gestion des fournisseurs. Les contrôles conçus pour SOC 2 satisfont généralement l'intention de PCI, mais pas toujours sa lettre.
Pour passer de SOC 2 à PCI DSS, le travail supplémentaire tient à la granularité de PCI : contrôles de sécurité réseau définis autour de l'environnement des données de titulaires de carte, règles de stockage et d'affichage des PAN, gestion des clés cryptographiques, MFA pour tous les accès à l'environnement CDE, fréquences de scan et de tests, et intégrité des scripts sur les pages de paiement. De nombreuses exigences PCI sont seulement faiblement liées plutôt que mises en correspondance, car SOC 2 ne prescrit pas le mécanisme.
Pour passer de PCI DSS à SOC 2, la plupart des critères de sécurité sont couverts. Les écarts concernent les catégories facultatives de SOC 2 que sont l'intégrité du traitement et la confidentialité, si vous les incluez. La partie SOC 2 de cette comparaison relève du mapping éditorial de ControlMapping, car aucune correspondance SOC 2 publique et lisible par machine n'existe.
Points clés à retenir
- Recourir à un prestataire de paiement conforme PCI et ne pas faire transiter les données de carte par vos systèmes peut réduire PCI à un bref questionnaire plutôt qu'à un programme.
- Réutilisez les preuves SOC 2 pour PCI lorsque l'exigence le permet, mais vérifiez les fréquences et les spécificités techniques de PCI.
- Votre rapport SOC 2 peut décrire les contrôles pertinents pour PCI, mais il ne remplace pas un Report on Compliance PCI ni un SAQ.
Télécharger cette comparaison (CSV) Ouvrir dans l'analyse des écarts →
Avoir SOC 2 → viser PCI DSS
260 exig. 75 mis en correspondance · · 113 sans correspondance Ouvrir dans la vue des écarts →Sur 260 exigences PCI DSS v4.0.1, 75 correspondent à un élément de SOC 2, 72 sont seulement faiblement liées et 113 n'ont aucune correspondance dans nos données.
Travaux probablement nouveaux : exigences PCI DSS sans correspondance avec SOC 2 (113)
| PCI DSS | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.2.5 | Allowed services, protocols and ports approved | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.2.6 | Security features defined for insecure services | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.2.7 | Network security control rules reviewed every six months | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.2.8 | Network security control configuration files secured | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.3.2 | Outbound traffic from the CDE restricted | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.3.3 | Network controls between wireless networks and the CDE | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.4.3 | Anti-spoofing measures in place | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 2.2.4 | Only necessary services and functions enabled | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 2.2.5 | Insecure services justified and secured | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 2.2.6 | System security parameters set to prevent misuse | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 2.2.7 | Non-console administrative access encrypted | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 2.3.2 | Wireless keys changed when key holders leave | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.3.1.2 | Card verification code not kept after authorisation | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.2 | Key management: secure key distribution | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.3 | Key management: secure key storage | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.6 | Key management: split knowledge and dual control | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 3.7.9 | Service providers give customers key-handling guidance | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 4.2.2 | PAN secured when sent by end-user messaging | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 5.3.3 | Removable media scanned or analysed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 5.3.5 | Users cannot disable or alter anti-malware | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 6.5.3 | Pre-production environments separated from production | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 6.5.4 | Duties separated between production and pre-production | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 6.5.5 | Live PANs not used in pre-production | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 6.5.6 | Test data and accounts removed before go-live | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 7.2.5 | System and application accounts least privilege | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 7.2.6 | Access to cardholder data repositories restricted | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 7.3.1 | Access control system restricts access by need | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 7.3.2 | Access control system enforces assigned permissions | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 7.3.3 | Access control system set to deny by default | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.2.4 | User ID changes authorised and controlled | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.2.5 | Access revoked immediately on termination | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.3.3 | Identity verified before changing authentication factors | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.3.4 | Account lockout after repeated failed attempts | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.3.5 | First-use and reset passwords unique and changed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 8.6.1 | Interactive use of system accounts managed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.3.3 | Visitor badges returned or deactivated | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.3.4 | Visitor log maintained and retained | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.4.1 | Media with cardholder data physically secured | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.4.3 | Media sent off site tracked and secured | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.4.4 | Management approves media moved off site | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.4.5 | Inventory logs of electronic media kept | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.4.5.1 | Electronic media inventories at least annually | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 9.5.1.3 | Staff trained to spot POI tampering | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.2 | Logs capture administrative actions | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.3 | Logs capture access to audit logs | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.4 | Logs capture invalid access attempts | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.5 | Logs capture credential and privilege changes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.2.1.7 | Logs capture system-level object changes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.4.2 | Other logs reviewed periodically | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.4.3 | Exceptions and anomalies addressed | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.6.2 | Time configuration correct and consistent | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.7.1 | Service providers detect security control failures | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 10.7.3 | Security control failures responded to promptly | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.3.1.2 | Internal scans use authenticated scanning | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.3.1.3 | Internal scans after significant changes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.3.2.1 | External scans after significant changes | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.1 | Penetration testing methodology defined | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.2 | Internal penetration test at least annually | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.3 | External penetration test at least annually | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.5 | Segmentation controls tested at least annually | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.6 | Service providers test segmentation every six months | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.5.1.1 | Service providers detect covert malware communication | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 11.5.2 | Change-detection on critical files | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.4.2.1 | Service providers: quarterly review results documented | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.5.2.1 | Service providers confirm scope every six months | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.6.2 | Awareness programme reviewed annually | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.6.3.1 | Training covers phishing and social engineering | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.6.3.2 | Training covers acceptable use of technology | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.7.1 | Personnel screened before hire | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| 12.10.5 | Plan covers alerts from security monitoring | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
| A2.1.3 | Service providers offer a secure connection option | Aucune correspondance dans nos données | — | Aucune correspondance avec SOC 2 dans nos données. |
À vérifier : liens seulement indirects (un résultat CSF commun, pas une correspondance) (72)
| PCI DSS | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | Partage seulement les fonctions CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07… : lien indicatif, pas une correspondance | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | Partage seulement les fonctions CSF PR.AA-03, PR.DS-02 : lien indicatif, pas une correspondance | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | Partage seulement les fonctions CSF PR.AA-03, PR.DS-01 : lien indicatif, pas une correspondance | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | Partage seulement les fonctions CSF PR.AA-01, PR.DS-01 : lien indicatif, pas une correspondance | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | Partage seulement les fonctions CSF PR.AA-01, PR.DS-01 : lien indicatif, pas une correspondance | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | Partage seulement les fonctions CSF PR.AA-01, PR.DS-01 : lien indicatif, pas une correspondance | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | Partage seulement les fonctions CSF PR.AA-01, PR.DS-01 : lien indicatif, pas une correspondance | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | Partage seulement les fonctions CSF PR.IR-01 : lien indicatif, pas une correspondance | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | Partage seulement les fonctions CSF ID.AM-08 : lien indicatif, pas une correspondance | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | Partage seulement les fonctions CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08 : lien indicatif, pas une correspondance | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | Partage seulement les fonctions CSF GV.PO-02, PR.AA-05 : lien indicatif, pas une correspondance | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | Partage seulement les fonctions CSF GV.PO-02, PR.AA-05 : lien indicatif, pas une correspondance | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | Partage seulement les fonctions CSF DE.CM-03 : lien indicatif, pas une correspondance | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | Partage seulement les fonctions CSF PR.AA-05 : lien indicatif, pas une correspondance | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | Partage seulement les fonctions CSF PR.DS-10, PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | Partage seulement les fonctions CSF PR.AA-03 : lien indicatif, pas une correspondance | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | Partage seulement les fonctions CSF PR.AA-01 : lien indicatif, pas une correspondance | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | Partage seulement les fonctions CSF GV.PO-02, PR.IR-02 : lien indicatif, pas une correspondance | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | Partage seulement les fonctions CSF PR.AA-03, PR.AA-06 : lien indicatif, pas une correspondance | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | Partage seulement les fonctions CSF PR.DS-11, RC.RP-03, DE.CM-02 : lien indicatif, pas une correspondance | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | Partage seulement les fonctions CSF PR.DS-01, GV.OC-03 : lien indicatif, pas une correspondance | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | Partage seulement les fonctions CSF PR.DS-11, PR.DS-01, GV.OC-03 : lien indicatif, pas une correspondance | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | Partage seulement les fonctions CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09 : lien indicatif, pas une correspondance | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | Partage seulement les fonctions CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09 : lien indicatif, pas une correspondance | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | Partage seulement les fonctions CSF RS.AN-03, RS.AN-07 : lien indicatif, pas une correspondance | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | Partage seulement les fonctions CSF PR.PS-04, DE.AE-06, RS.AN-06 : lien indicatif, pas une correspondance | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | Partage seulement les fonctions CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06… : lien indicatif, pas une correspondance | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | Partage seulement les fonctions CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06 : lien indicatif, pas une correspondance | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04 : lien indicatif, pas une correspondance | |
| 10.6.3 | Time settings protected from change | CC7.2 | Partage seulement les fonctions CSF PR.PS-04 : lien indicatif, pas une correspondance | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | Partage seulement les fonctions CSF GV.OV-03 : lien indicatif, pas une correspondance | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | Partage seulement les fonctions CSF GV.PO-02 : lien indicatif, pas une correspondance | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | Partage seulement les fonctions CSF GV.RR-02 : lien indicatif, pas une correspondance | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | Partage seulement les fonctions CSF DE.CM-01, PR.IR-01 : lien indicatif, pas une correspondance | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | Partage seulement les fonctions CSF RC.RP-05 : lien indicatif, pas une correspondance | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | Partage seulement les fonctions CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09… : lien indicatif, pas une correspondance | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | Partage seulement les fonctions CSF GV.RM-06 : lien indicatif, pas une correspondance | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | Partage seulement les fonctions CSF GV.RM-03 : lien indicatif, pas une correspondance | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | Partage seulement les fonctions CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05… : lien indicatif, pas une correspondance | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | Partage seulement les fonctions CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05… : lien indicatif, pas une correspondance | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Partage seulement les fonctions CSF GV.RM-03, GV.RM-06 : lien indicatif, pas une correspondance | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | Partage seulement les fonctions CSF ID.AM-07 : lien indicatif, pas une correspondance | |
Mis en correspondance (75)
| PCI DSS | Exigence | Correspondance | SOC 2 | Preuves |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Éditorial | CC6.6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| 1.2.3 | Accurate network diagram maintained | Éditorial | CC6.6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| 1.3.1 | Inbound traffic to the CDE restricted | Éditorial | CC6.6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| 1.4.1 | Network controls between trusted and untrusted networks | Éditorial | CC6.6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Éditorial | CC5.2CC7.1 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| 2.2.2 | Vendor default accounts managed or removed | Éditorial | CC5.2CC7.1 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Éditorial | C1.2CC6.5 | Même sujet : Protection des données (choix de la rédaction) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Éditorial | C1.2CC6.5 | Même sujet : Protection des données (choix de la rédaction) |
| 3.4.1 | PAN masked when displayed | Éditorial | C1.2CC6.5 | Même sujet : Protection des données (choix de la rédaction) |
| 3.4.2 | PAN copying prevented over remote-access technologies | Éditorial | CC6.7 | Même sujet : DLP (choix de la rédaction) |
| 3.5.1 | PAN rendered unreadable wherever stored | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| 3.6.1 | Procedures protect keys that secure stored account data | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| 3.7.1 | Key management: strong key generation | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Éditorial | CC6.1CC6.7 | Même sujet : Chiffrement (choix de la rédaction) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Éditorial | CC6.8 | Même sujet : Protection des terminaux (choix de la rédaction) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Éditorial | CC6.8 | Même sujet : Protection des terminaux (choix de la rédaction) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Éditorial | CC6.8 | Même sujet : Protection des terminaux (choix de la rédaction) |
| 5.4.1 | Mechanisms to detect and protect against phishing | Éditorial | CC6.8 | Même sujet : Sécurité de la messagerie (choix de la rédaction) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Éditorial | CC8.1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| 6.2.2 | Developers trained in secure software development | Éditorial | CC8.1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| 6.2.3 | Custom code reviewed before release | Éditorial | CC8.1 | Même sujet : Développement sécurisé (choix de la rédaction) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Éditorial | CC7.1 | Même sujet : Gestion des vulnérabilités, Gestion des correctifs (choix de la rédaction) |
| 6.3.2 | Inventory of custom software and its components | Éditorial | CC6.1CC9.2 | Même sujet : Gestion des actifs, Risque lié à la chaîne d'approvisionnement (choix de la rédaction) |
| 6.3.3 | Security patches installed promptly | Éditorial | CC7.1 | Même sujet : Gestion des correctifs (choix de la rédaction) |
| 6.4.1 | Public web applications protected against attacks | Éditorial | CC6.6 | Même sujet : Sécurité web (choix de la rédaction) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Éditorial | CC6.6 | Même sujet : WAF (choix de la rédaction) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Éditorial | CC6.6 | Même sujet : Sécurité web (choix de la rédaction) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Éditorial | CC6.1CC6.2CC6.3+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| 7.2.2 | Access assigned by job function and least privilege | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès, Accès privilégiés (choix de la rédaction) |
| 7.2.4 | User accounts and privileges reviewed every six months | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Éditorial | CC6.1CC6.2CC6.3 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| 8.3.1 | User and admin access requires an authentication factor | Éditorial | CC6.6 | Même sujet : Zero Trust (choix de la rédaction) |
| 8.4.1 | MFA for non-console administrative access to the CDE | Éditorial | CC6.1 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| 8.4.2 | MFA for all access into the CDE | Éditorial | CC6.1 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| 8.4.3 | MFA for remote network access | Éditorial | CC6.1 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| 8.5.1 | MFA systems configured to resist misuse | Éditorial | CC6.1 | Même sujet : Authentification multifacteur (choix de la rédaction) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.2.3 | Physical access to network hardware restricted | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.3.1 | Personnel physical access authorised and managed | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Éditorial | CC6.4 | Même sujet : Sécurité physique (choix de la rédaction) |
| 9.4.1.1 | Offline backup media stored securely | Éditorial | A1.2 | Même sujet : Sauvegarde et restauration (choix de la rédaction) |
| 9.4.2 | Media classified by data sensitivity | Éditorial | C1.1 | Même sujet : Classification des données (choix de la rédaction) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Éditorial | CC7.2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| 10.3.2 | Logs protected from modification | Éditorial | CC7.2CC7.4 | Même sujet : Journalisation et audit, Criminalistique numérique (choix de la rédaction) |
| 10.4.1 | Security event and critical logs reviewed daily | Éditorial | CC7.2CC7.3 | Même sujet : Surveillance continue, SIEM / SOC (choix de la rédaction) |
| 10.4.1.1 | Automated mechanisms for log review | Éditorial | CC7.2 | Même sujet : Détection d'anomalies (choix de la rédaction) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Éditorial | CC7.2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| 10.6.1 | System clocks synchronised | Éditorial | CC7.2 | Même sujet : Journalisation et audit (choix de la rédaction) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Éditorial | CC7.1 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| 11.3.2 | External ASV scans every three months | Éditorial | CC7.1 | Même sujet : Gestion des vulnérabilités (choix de la rédaction) |
| 11.5.1 | Intrusion detection or prevention on network traffic | Éditorial | CC7.2 | Même sujet : Détection d'intrusion (choix de la rédaction) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| 12.1.2 | Security policy reviewed at least annually | Éditorial | CC1.1CC5.3 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| 12.1.3 | Security roles and responsibilities defined | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| 12.1.4 | Executive responsibility for information security assigned | Éditorial | CC1.2CC1.3CC1.5 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Éditorial | CC3.1CC3.2CC3.3+3 | Même sujet : Gestion des risques, Évaluation des risques (choix de la rédaction) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Éditorial | CC4.1CC4.2 | Même sujet : Conformité (choix de la rédaction) |
| 12.5.1 | Inventory of in-scope system components | Éditorial | CC6.1 | Même sujet : Gestion des actifs (choix de la rédaction) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Éditorial | CC3.1 | Même sujet : Environnement métier (choix de la rédaction) |
| 12.6.1 | Formal security awareness programme | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| 12.6.3 | Awareness training on hire and at least annually | Éditorial | CC1.4CC2.2 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| 12.8.1 | List of third-party service providers kept | Éditorial | CC9.2 | Même sujet : Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction) |
| 12.8.2 | Written agreements with service providers | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| 12.8.3 | Due diligence before engaging service providers | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| 12.8.4 | Service provider compliance monitored annually | Éditorial | CC9.2 | Même sujet : Gestion des risques fournisseurs (choix de la rédaction) |
| 12.8.5 | Responsibilities split with each provider documented | Éditorial | CC9.2 | Même sujet : Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction) |
| 12.10.1 | Incident response plan ready to activate | Éditorial | A1.1A1.2A1.3+5 | Même sujet : Continuité des activités, Reprise après sinistre, Planification de la reprise (choix de la rédaction) |
| 12.10.2 | Incident response plan reviewed and tested annually | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| 12.10.3 | Incident response staff available around the clock | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| 12.10.4 | Incident response staff trained | Éditorial | CC7.3CC7.4 | Même sujet : Réponse aux incidents (choix de la rédaction) |
| 12.10.6 | Plan updated from lessons learned and industry changes | Éditorial | CC7.5 | Même sujet : Enseignements tirés (choix de la rédaction) |
Avoir PCI DSS → viser SOC 2
61 exig. 37 mis en correspondance · · 24 sans correspondance Ouvrir dans la vue des écarts →Sur 61 exigences SOC 2 (Trust Services Criteria), 37 correspondent à un élément de PCI DSS, 0 sont seulement faiblement liées et 24 n'ont aucune correspondance dans nos données.
Les correspondances SOC 2 publiées par l'AICPA ne sont pas sous licence ouverte ; chaque lien SOC 2 présenté ici relève donc de la rédaction de ControlMapping, et les critères que nous n'avons pas cartographiés ne peuvent pas être mis en correspondance. Les critères d'intégrité des traitements (PI) et la plupart des critères de confidentialité (P) n'ont pas d'équivalent dans les référentiels de sécurité.
Travaux probablement nouveaux : exigences SOC 2 sans correspondance avec PCI DSS (24)
| SOC 2 | Exigence | Correspondance | PCI DSS | Preuves |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P2.1 | Choice and consent | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P3.1 | Collection limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P3.2 | Explicit consent where required | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P4.1 | Use limited to privacy objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P4.2 | Retention of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P4.3 | Disposal of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P5.1 | Data subject access | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P5.2 | Correction of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.1 | Disclosure to third parties with consent | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.2 | Record of authorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.3 | Record of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.4 | Privacy commitments from third parties | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.5 | Notification by third parties of unauthorized disclosures | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.6 | Breach notification to affected individuals | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P6.7 | Accounting of disclosures to data subjects | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P7.1 | Quality of personal information | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| PI1.2 | Controls over system inputs | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| PI1.3 | Controls over system processing | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| PI1.4 | Controls over system outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
| PI1.5 | Storing inputs, items in processing and outputs | Aucune correspondance dans nos données | — | Aucune correspondance avec PCI DSS dans nos données. |
Mis en correspondance (37)
| SOC 2 | Exigence | Correspondance | PCI DSS | Preuves |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Éditorial | 12.10.1 | Même sujet : Continuité des activités (choix de la rédaction) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Éditorial | 9.4.1.112.10.1 | Même sujet : Sauvegarde et restauration, Continuité des activités, Reprise après sinistre (choix de la rédaction) |
| A1.3 | Testing recovery plan procedures | Éditorial | 12.10.1 | Même sujet : Planification de la reprise, Reprise après sinistre (choix de la rédaction) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Éditorial | 9.4.2 | Même sujet : Classification des données (choix de la rédaction) |
| C1.2 | Disposing of confidential information | Éditorial | 3.2.13.3.13.4.1 | Même sujet : Protection des données (choix de la rédaction) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Éditorial | 12.1.112.1.2 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC1.2 | Board independence and oversight of internal control | Éditorial | 12.1.312.1.4 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Éditorial | 12.1.312.1.4 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Éditorial | 12.6.112.6.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC1.5 | Accountability for internal control responsibilities | Éditorial | 12.1.312.1.4 | Même sujet : Rôles et responsabilités (choix de la rédaction) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Éditorial | 12.6.112.6.3 | Même sujet : Sensibilisation et formation (choix de la rédaction) |
| CC2.3 | Communication with external parties | Éditorial | 12.10.1 | Même sujet : Notification (choix de la rédaction) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Éditorial | 12.3.112.5.2 | Même sujet : Gestion des risques, Environnement métier (choix de la rédaction) |
| CC3.2 | Risk identification and analysis | Éditorial | 12.3.1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.3 | Considering the potential for fraud | Éditorial | 12.3.1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC3.4 | Identifying and assessing significant changes | Éditorial | 12.3.1 | Même sujet : Évaluation des risques (choix de la rédaction) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Éditorial | 12.4.2 | Même sujet : Conformité (choix de la rédaction) |
| CC4.2 | Communicating and remediating control deficiencies | Éditorial | 12.4.2 | Même sujet : Conformité (choix de la rédaction) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Éditorial | 12.3.1 | Même sujet : Gestion des risques (choix de la rédaction) |
| CC5.2 | General controls over technology | Éditorial | 2.2.12.2.2 | Même sujet : Configuration sécurisée (choix de la rédaction) |
| CC5.3 | Control activities deployed through policies and procedures | Éditorial | 12.1.112.1.2 | Même sujet : Politique de gouvernance (choix de la rédaction) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Éditorial | 3.5.13.6.13.7.1+13 | Même sujet : Chiffrement (choix de la rédaction) |
| CC6.2 | User registration, authorization and removal | Éditorial | 7.2.17.2.27.2.4+1 | Même sujet : Contrôle d'accès (choix de la rédaction) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Éditorial | 7.2.17.2.27.2.4+1 | Même sujet : Contrôle d'accès, Accès privilégiés (choix de la rédaction) |
| CC6.4 | Physical access restrictions | Éditorial | 9.2.19.2.1.19.2.3+3 | Même sujet : Sécurité physique (choix de la rédaction) |
| CC6.5 | Protection of data when assets are disposed of | Éditorial | 3.2.13.3.13.4.1 | Même sujet : Protection des données (choix de la rédaction) |
| CC6.6 | Protection against threats from outside system boundaries | Éditorial | 1.2.11.2.31.3.1+6 | Même sujet : Pare-feu / Segmentation réseau (choix de la rédaction) |
| CC6.7 | Restricting transmission, movement and removal of information | Éditorial | 3.4.23.5.13.6.1+4 | Même sujet : DLP, Chiffrement (choix de la rédaction) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Éditorial | 5.2.15.2.25.3.2+1 | Même sujet : Protection des terminaux (choix de la rédaction) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Éditorial | 2.2.12.2.26.3.1+3 | Même sujet : Configuration sécurisée, Gestion des vulnérabilités, Gestion des correctifs (choix de la rédaction) |
| CC7.2 | Monitoring system components for anomalies | Éditorial | 10.2.110.3.210.4.1+4 | Même sujet : Journalisation et audit, Surveillance continue (choix de la rédaction) |
| CC7.3 | Evaluating security events to determine if they are incidents | Éditorial | 10.4.112.10.112.10.2+2 | Même sujet : SIEM / SOC, Réponse aux incidents (choix de la rédaction) |
| CC7.4 | Responding to identified security incidents | Éditorial | 10.3.212.10.112.10.2+2 | Même sujet : Criminalistique numérique, Réponse aux incidents, Atténuation (choix de la rédaction) |
| CC7.5 | Recovering from identified security incidents | Éditorial | 12.10.112.10.6 | Même sujet : Planification de la reprise, Enseignements tirés (choix de la rédaction) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Éditorial | 6.2.16.2.26.2.3 | Même sujet : Développement sécurisé (choix de la rédaction) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Éditorial | 12.3.112.10.1 | Même sujet : Gestion des risques, Continuité des activités (choix de la rédaction) |
| CC9.2 | Managing vendor and business partner risk | Éditorial | 6.3.212.8.112.8.2+3 | Même sujet : Risque lié à la chaîne d'approvisionnement, Sécurité du cloud, Gestion des risques fournisseurs (choix de la rédaction) |
Par thème
Les deux couvrent (43) :
Politique de gouvernanceSensibilisation et formationGestion des risquesRisque lié à la chaîne d'approvisionnementRôles et responsabilitésConformitéGestion des actifsÉvaluation des risquesEnvironnement métierClassification des donnéesGestion des vulnérabilitésContrôle d'accèsAuthentification multifacteurChiffrementProtection des donnéesSauvegarde et restaurationAccès privilégiésPare-feu / Segmentation réseauProtection des terminauxGestion des correctifsConfiguration sécuriséeDéveloppement sécuriséSécurité de la messagerieSécurité webZero TrustSécurité du cloudWAFDLPSurveillance continueJournalisation et auditDétection d'intrusionDétection d'anomaliesSIEM / SOCRéponse aux incidentsCriminalistique numériqueAtténuationNotificationPlanification de la repriseContinuité des activitésEnseignements tirésReprise après sinistreGestion des risques fournisseursSécurité physique
Seulement SOC 2 (3) :
Seulement PCI DSS (3) :
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance une table de correspondance publiée (NIST, ENISA, CIS, PCI SSC) établit le lien · Éditorial Jugement de ControlMapping lorsqu'aucune table de correspondance n'existe ; le motif est affiché · partage seulement un résultat CSF 2.0 : à vérifier, mais ce n'est pas une correspondance · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Mis en correspondance = regroupés ensemble dans un thème ControlMapping, ou directement liés. Les correspondances ne prouvent pas la conformité. Méthodologie · Télécharger les données · Signaler une erreur.