ISO 27001 में कोई समकक्ष न रखने वाले SOC 2 मानदंड, और वे क्यों मौजूद हैं
ISO 27001 प्रमाणपत्र आपको SOC 2 रिपोर्ट की दिशा में अधिकांश रास्ता तय करा देता है, पर पूरा नहीं। जो मानदंड आगे नहीं जाते, वे दो वैकल्पिक श्रेणियों से आते हैं।
यदि आपका संगठन पहले से ISO 27001 रखता है और कोई ग्राहक SOC 2 रिपोर्ट मांगता है, तो अधिकांश काम पहले ही हो चुका है। सुरक्षा नियंत्रण काफ़ी हद तक एक-दूसरे पर ओवरलैप करते हैं, और ISMS SOC 2 ऑडिटरों को वे शासन-संबंधी साक्ष्य देता है जिनकी वे तलाश करते हैं। लेकिन SOC 2 मानदंडों का एक समूह ऐसा है जिसका ISO 27001 में कोई समकक्ष नहीं है, और अपने ऑडिटर के साथ दायरा तय करने से पहले इन्हें समझना उपयोगी है।
मुख्य संख्या
61 SOC 2 मानदंड में से 41 (67%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 20 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →
SOC 2 के किसी भी मानदंड को ISO के लिए केवल "ढीले तौर पर संबंधित" नहीं कहा जा सकता: प्रत्येक या तो मैप होता है या नहीं होता। यह स्पष्ट विभाजन ही इस बात का संकेत है कि असल में क्या हो रहा है।
ISO मैपिंग से रहित मानदंड
| SOC 2 | आवश्यकता | मिलान | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | हमारे डेटा में कोई मैपिंग नहीं | — |
| P2.1 | Choice and consent | हमारे डेटा में कोई मैपिंग नहीं | — |
| P3.1 | Collection limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — |
| P3.2 | Explicit consent where required | हमारे डेटा में कोई मैपिंग नहीं | — |
| P4.1 | Use limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — |
| P5.1 | Data subject access | हमारे डेटा में कोई मैपिंग नहीं | — |
| P5.2 | Correction of personal information | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.1 | Disclosure to third parties with consent | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.2 | Record of authorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.3 | Record of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.4 | Privacy commitments from third parties | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.5 | Notification by third parties of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — |
| P6.7 | Accounting of disclosures to data subjects | हमारे डेटा में कोई मैपिंग नहीं | — |
| P7.1 | Quality of personal information | हमारे डेटा में कोई मैपिंग नहीं | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | हमारे डेटा में कोई मैपिंग नहीं | — |
| PI1.1 | Information about processing objectives | हमारे डेटा में कोई मैपिंग नहीं | — |
| PI1.2 | Controls over system inputs | हमारे डेटा में कोई मैपिंग नहीं | — |
| PI1.3 | Controls over system processing | हमारे डेटा में कोई मैपिंग नहीं | — |
| PI1.4 | Controls over system outputs | हमारे डेटा में कोई मैपिंग नहीं | — |
| PI1.5 | Storing inputs, items in processing and outputs | हमारे डेटा में कोई मैपिंग नहीं | — |
सूची का हर मानदंड SOC 2 की पाँच श्रेणियों में से दो से आता है: प्रोसेसिंग इंटेग्रिटी (PI1) और प्राइवेसी (P1 से P8)। दोनों वैकल्पिक हैं। सुरक्षा श्रेणी, यानी सामान्य मानदंड CC1 से CC9, जो हर SOC 2 रिपोर्ट में शामिल होते हैं, पूरी तरह मैप होते हैं, और उपलब्धता व गोपनीयता भी।
प्रोसेसिंग इंटेग्रिटी का ISO में समकक्ष क्यों नहीं है
प्रोसेसिंग इंटेग्रिटी पूछती है कि कोई सिस्टम डेटा को पूर्णता से, सटीकता से, समय पर और प्राधिकृत तरीके से प्रोसेस करता है या नहीं: यानी इनपुट की जाँच होती है, प्रोसेसिंग त्रुटियाँ पकड़ी जाती हैं, आउटपुट सही जगह पहुँचते हैं, और संग्रहीत डेटा सुसंगत रहता है। यह सेवा की अपनी शुद्धता से जुड़ा है, न कि उसके आसपास की सुरक्षा से।
ISO 27001 एक सूचना सुरक्षा मानक है। यह सूचना की गोपनीयता, अखंडता और उपलब्धता की रक्षा करता है, लेकिन वहाँ "अखंडता" का अर्थ अनधिकृत परिवर्तन से सुरक्षा है, न कि इस बात से कि किसी पेरोल रन ने हर वेतन सही गणना किया या नहीं। कोई भी Annex A नियंत्रण आपसे व्यावसायिक प्रोसेसिंग को सत्यापित करने की माँग नहीं करता। इसलिए यदि कोई ग्राहक सही आंकड़ों के लिए आपके सिस्टम पर निर्भर है (भुगतान, बिलिंग, पेरोल, दावे, डेटा पाइपलाइन), तो परिपक्व ISMS होने पर भी प्रोसेसिंग इंटेग्रिटी नया कार्य है: इनपुट सत्यापन, मिलान, त्रुटि प्रबंधन और आउटपुट नियंत्रण, साक्ष्य सहित।
अधिकांश प्राइवेसी मानदंडों का ISO में समकक्ष क्यों नहीं है
SOC 2 के प्राइवेसी मानदंड व्यक्तिगत सूचना के जीवनचक्र का अनुसरण करते हैं: सूचना (P1), चयन और सहमति (P2), संग्रह (P3), उपयोग, प्रतिधारण और निपटान (P4), पहुँच और सुधार (P5), प्रकटीकरण (P6), गुणवत्ता (P7), और निगरानी तथा शिकायतें (P8)। ये प्राइवेसी-कार्यक्रम की आवश्यकताएँ हैं, और ये सुरक्षा की बजाय GDPR के अधिक निकट हैं।
ISO 27001 इनमें से कुछ को छूता है। A.5.34 आपसे व्यक्तिगत डेटा की सुरक्षा से जुड़े दायित्वों की पहचान करने और उन्हें पूरा करने की माँग करता है, A.5.33 रिकॉर्ड की सुरक्षा को कवर करता है, और A.8.10 सूचना हटाने से संबंधित है। इसी कारण प्रतिधारण (P4.2), निपटान (P4.3) और उल्लंघन की सूचना (P6.6) हमारे डेटा में मैप होते हैं, जिनके लिए बताए गए कारणों सहित संपादकीय लिंक दिए गए हैं। बाकी, जैसे प्राइवेसी नोटिस, सहमति, डेटा-विषय पहुँच अनुरोध और प्रकटीकरण के रिकॉर्ड, के लिए कोई Annex A नियंत्रण नहीं है।
यदि आपको इनकी आवश्यकता है, तो ISO/IEC 27701 ISMS को प्राइवेसी सूचना प्रबंधन प्रणाली तक विस्तारित करता है और यह स्वाभाविक सहयोगी मानक है। GDPR के पक्ष में देखें कि ISO 27001 की तुलना GDPR के सुरक्षा अनुच्छेदों से कैसे होती है।
इस पर क्या करें
- पहले दायरा तय करें। प्रोसेसिंग इंटेग्रिटी या प्राइवेसी केवल तभी शामिल करें जब ग्राहकों को उनकी ज़रूरत हो। कई SOC 2 रिपोर्ट केवल सुरक्षा, या सुरक्षा के साथ उपलब्धता और गोपनीयता को कवर करती हैं।
- यदि आप इन्हें शामिल करते हैं, तो इन्हें नए नियंत्रण मानें, ISO मैपिंग का अभ्यास नहीं: इन्हें लिखें, चलाएँ, और पूरे अवलोकन अवधि के लिए साक्ष्य रखें।
- बाकी सबके लिए ISMS का पुनः उपयोग करें। ISO 27001 → SOC 2 गैप रिपोर्ट हर मानदंड को उसके ISO मिलान के साथ सूचीबद्ध करती है, और दोनों के लिए एक नियंत्रण सेट चलाने पर हमारा लेख इसकी प्रक्रिया बताता है।
दूसरी दिशा अलग कहानी है: SOC 2 से ISO 27001 में जाने पर नया कार्य स्वयं प्रबंधन प्रणाली है। ISO 27001 बनाम SOC 2 तुलना दोनों दिशाओं को कवर करती है।
डेटा पर एक टिप्पणी
SOC 2 का कोई खुले लाइसेंस वाला क्रॉसवॉक मौजूद नहीं है, इसलिए यहाँ हर SOC 2 लिंक ControlMapping का संपादकीय निर्णय है, जिसका कारण हर आवश्यकता पृष्ठ पर दिखाया गया है। ऊपर की गिनती वर्तमान डेटा से सीधे गणना की गई है।
प्रश्न
क्या ISO 27001 SOC 2 प्राइवेसी मानदंडों को कवर करता है?
ज़्यादातर नहीं। ISO 27001 व्यक्तिगत डेटा को सूचना के रूप में सुरक्षित रखता है (A.5.34), लेकिन प्राइवेसी नोटिस, सहमति, डेटा-विषय पहुँच या प्रकटीकरण रिकॉर्ड की माँग नहीं करता। ISO/IEC 27701 ISMS को प्राइवेसी प्रबंधन तक विस्तारित करता है और वह अधिक निकट मेल है।
क्या मुझे SOC 2 रिपोर्ट में प्रोसेसिंग इंटेग्रिटी शामिल करनी होगी?
नहीं। केवल सुरक्षा श्रेणी (सामान्य मानदंड) अनिवार्य है। प्रोसेसिंग इंटेग्रिटी तब जोड़ें जब ग्राहक आपके सिस्टम पर अपने डेटा को पूर्णता और सटीकता से प्रोसेस करने के लिए निर्भर हों, उदाहरण के लिए भुगतान या पेरोल।
2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।
संबंधित पोस्ट
विश्लेषण · 2026-10-27APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता हैISO 27001 ISMS APRA के CPS 234 के लगभग हर अनुच्छेद को कवर करता है, फिर भी APRA बोर्ड की जिम्मेदारियाँ, तृतीय पक्ष आश्वासन और सख़्त सूचना समय-सीमाएँ जोड़ता है।
विश्लेषण · 2026-10-27Cyber Essentials बनाम Essential Eight: दो राष्ट्रीय बेसलाइनों की तुलनाUK का Cyber Essentials और ऑस्ट्रेलिया का Essential Eight, दोनों आम हमलों को निशाना बनाते हैं, लेकिन उनका दायरा अलग है। क्या ओवरलैप होता है, क्या नहीं होता, और क्यों।
विश्लेषण · 2026-10-27DORA बनाम NIS2: NIS2 कार्यक्रम पहले से क्या-क्या कवर करता हैDORA और NIS2 की अधिकांश सुरक्षा सामग्री समान है, लेकिन DORA में रजिस्टर, अनुबंध शर्तें और खतरा-आधारित परीक्षण जुड़ते हैं। अनुच्छेद-दर-अनुच्छेद देखें कि क्या आगे ले जाया जा सकता है।