SOC 2, ISO 27001 और PCI DSS में दोबारा उपयोग किए जा सकने वाले साक्ष्य
तीन ऑडिट वाले संगठन अक्सर एक ही स्क्रीनशॉट तीन बार जुटाते हैं। अधिकतर साक्ष्य तीनों के काम आ सकते हैं, बशर्ते आप उसे सबसे सख्त ऑडिटर को ध्यान में रखकर जुटाएँ।
SOC 2, ISO 27001 और PCI DSS वाले संगठन के लिए साक्ष्य के अनुरोधों का जवाब देने में नियंत्रण चलाने से ज़्यादा समय लग सकता है। हर ऑडिटर "एक्सेस रिव्यू", "कमज़ोरी स्कैन", "घटना परीक्षण" माँगता है, बस थोड़े अलग प्रारूप और थोड़ी अलग अवधि के साथ। इनमें से अधिकतर साक्ष्य एक जैसे होते हैं। चाल यह है कि इन्हें एक बार इस तरह जुटाया जाए कि तीनों में से सबसे कड़ी माँग को भी पूरा करे।
ओवरलैप इतना बड़ा क्यों है
तीनों फ़्रेमवर्क अपने सुरक्षा विषय का अधिकांश हिस्सा साझा करते हैं। उदाहरण के लिए, ISO 27001 से SOC 2 की ओर जाएँ तो:
61 SOC 2 मानदंड में से 41 (67%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 20 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
और ISO 27001 से PCI DSS की ओर, ओवरलैप छोटा है पर शासन और प्रक्रियाओं में फिर भी काफ़ी है:
260 PCI DSS आवश्यकताएँ में से 77 (30%) ISO 27001 में किसी चीज़ से मैप होते हैं, 76 केवल ढीले तौर पर संबंधित हैं और 107 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
जहाँ आवश्यकताएँ मैप होती हैं, वहाँ साक्ष्य भी आम तौर पर ओवरलैप करते हैं।
तीनों के काम आने वाले साक्ष्य
| साक्ष्य | SOC 2 | ISO 27001 | PCI DSS |
|---|---|---|---|
| उपयोगकर्ता एक्सेस रिव्यू (साइन-ऑफ़ और किए गए बदलावों के साथ) | CC6.2, CC6.3 | A.5.18 | 7.2.4 (हर छह महीने) |
| स्वीकृतियों के साथ जॉइनर और लीवर टिकट | CC6.2 | A.5.16, A.5.18, A.6.5 | 8.2.4, 8.2.5 |
| समीक्षा, परीक्षण और स्वीकृति वाले बदलाव-टिकट | CC8.1 | A.8.32 | 6.5.1, 6.5.2 |
| कमज़ोरी स्कैन के परिणाम और सुधार | CC7.1 | A.8.8 | 11.3.1, 11.3.2, 6.3.3 |
| पेनिट्रेशन टेस्ट रिपोर्ट और पुनः परीक्षण | CC4.1, CC7.1 | A.8.8 | 11.4.1 से 11.4.4 |
| घटना रजिस्टर और प्रतिक्रिया परीक्षण | CC7.3 से CC7.5 | A.5.24 से A.5.27 | 12.10.1, 12.10.2 |
| सुरक्षा जागरूकता प्रशिक्षण रिकॉर्ड | CC1.4, CC2.2 | A.6.3 | 12.6.1 से 12.6.3 |
| आपूर्तिकर्ता ड्यू-डिलिजेंस रिकॉर्ड | CC9.2 | A.5.19 से A.5.22 | 12.8.1 से 12.8.5 |
| बैकअप रिस्टोर परीक्षण | A1.2, A1.3 | A.8.13 | 9.4.1.1, 12.10.1 |
| जोखिम मूल्यांकन और उसकी समीक्षा | CC3.1 से CC3.4 | 6.1.2, 8.2 | 12.3.1 |
सबसे सख्त मानक के अनुसार जुटाएँ
- आवृत्ति: PCI DSS अक्सर सबसे तेज़ चक्र तय करता है (छह-मासिक एक्सेस रिव्यू, त्रैमासिक स्कैन)। नियंत्रण PCI की आवृत्ति पर चलाएँ, तो बाक़ी भी संतुष्ट हो जाते हैं।
- अवधि: SOC 2 Type II पूरी ऑब्ज़र्वेशन अवधि में से नमूने लेता है। साक्ष्य लगातार रखें, सिर्फ़ ऑडिट से पहले नहीं।
- पूर्णता: ISO ऑडिटर पूछ सकते हैं कि आप कैसे जानते हैं कि जनसंख्या पूरी है। पूरी सूची रखें (सभी छोड़कर जाने वाले लोग, सभी बदलाव), न कि सिर्फ़ वे उदाहरण जो आप चुनेंगे।
- उत्पत्ति: सिस्टम-जनित साक्ष्य (एक्सपोर्ट, लॉग, समय-चिह्न वाले टिकट) उन स्क्रीनशॉट से बेहतर हैं जो किसी ने सजाकर लिए हों।
एक सरल ढाँचा
एक साक्ष्य भंडार, जो फ़्रेमवर्क के बजाय नियंत्रण के अनुसार व्यवस्थित हो। हर नियंत्रण फ़ोल्डर में हर अवधि के साक्ष्य हों, सुसंगत नामों के साथ, और एक छोटा सूचकांक हो जो बताए कि कौन-सी फ़्रेमवर्क आवश्यकताएँ उसे काम में लाती हैं। जब कोई ऑडिटर "7.2.4 का साक्ष्य" माँगे, तो आप फ़्रेमवर्क नहीं, नियंत्रण देखते हैं।
मुख्य बातें
- अधिकतर साक्ष्य (एक्सेस रिव्यू, बदलाव-टिकट, स्कैन, घटना रिकॉर्ड, प्रशिक्षण) SOC 2, ISO 27001 और PCI DSS तीनों के काम आते हैं।
- सबसे सख्त मानक पर जुटाएँ: PCI की आवृत्तियाँ और SOC 2 की लगातार अवधि।
- साक्ष्य को फ़्रेमवर्क के बजाय नियंत्रण के अनुसार व्यवस्थित करें, हर आइटम किस चीज़ को पूरा करता है, इसके सूचकांक के साथ।
- कुछ आइटम स्थानांतरित नहीं होते, खासकर ASV स्कैन और ISO प्रबंधन-प्रणाली रिकॉर्ड।
क्या स्थानांतरित नहीं होता
- PCI-विशिष्ट स्कैन: बाहरी स्कैन किसी अनुमोदित स्कैनिंग विक्रेता (Approved Scanning Vendor) द्वारा होने चाहिए।
- PCI लक्षित जोखिम विश्लेषण उन आवश्यकताओं के लिए जिनकी आवृत्ति लचीली है।
- ISO प्रबंधन-प्रणाली रिकॉर्ड: आंतरिक ऑडिट रिपोर्ट, प्रबंधन समीक्षा के मिनट और सुधारात्मक कार्रवाई लॉग ISO-विशिष्ट हैं (हालाँकि SOC 2 ऑडिटर इन्हें सराहते हैं)।
- SOC 2 सिस्टम विवरण: दायरे में आने वाली प्रणाली का आपका अपना वर्णन।
हमारी पोस्ट SOC 2 और ISO 27001 के लिए एक नियंत्रण सेट नियंत्रणों के डिज़ाइन को कवर करती है; गैप विश्लेषण किन्हीं दो फ़्रेमवर्क के बीच के मैपिंग सूचीबद्ध करता है।
प्रश्न
क्या वही साक्ष्य SOC 2 और ISO 27001 दोनों के लिए इस्तेमाल हो सकता है?
आम तौर पर, हाँ। दोनों इस बात का प्रमाण ढूँढते हैं कि नियंत्रण काम कर रहे हैं: टिकट, समीक्षाएँ, स्कैन परिणाम, प्रशिक्षण रिकॉर्ड। SOC 2 Type II को पूरी ऑब्ज़र्वेशन अवधि में नमूनों की ज़रूरत होती है, इसलिए लगातार जुटाएँ।
PCI DSS को ऐसा कौन-सा साक्ष्य चाहिए जो SOC 2 को नहीं चाहिए?
PCI-विशिष्ट आवृत्तियों और सेटिंग्स का साक्ष्य: त्रैमासिक आंतरिक और ASV बाहरी स्कैन, छह-मासिक एक्सेस और फ़ायरवॉल नियम समीक्षाएँ, लक्षित जोखिम विश्लेषण, और कार्डधारक डेटा-विशिष्ट कॉन्फ़िगरेशन।
ऑडिट साक्ष्य कितने समय तक रखा जाना चाहिए?
कम से कम तब तक, जब तक अगला ऑडिट चक्र बंद न हो जाए, और जहाँ कोई फ़्रेमवर्क या कानून इससे अधिक समय माँगे वहाँ उतने समय तक; उदाहरण के लिए, PCI DSS को ऑडिट लॉग इतिहास के 12 महीने चाहिए।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-1311 सुरक्षा फ़्रेमवर्क में MFA आवश्यकताओं की तुलनाकौन-से फ़्रेमवर्क MFA की आवश्यकता रखते हैं, किन उपयोगकर्ताओं के लिए और कितनी सख़्ती से: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 और HIPAA की साथ-साथ तुलना।
विश्लेषण · 2026-09-15फ़्रेमवर्क में एन्क्रिप्शन आवश्यकताओं की तुलना: वे क्या निर्दिष्ट करते हैं और क्या आप पर छोड़ते हैंISO 27001, PCI DSS, CMMC, HIPAA, GDPR और NIS2 स्टोरेज में मौजूद (at rest) डेटा, ट्रांजिट में डेटा और की मैनेजमेंट को कैसे लेते हैं, आवश्यकता ID सहित।