एक ही कंट्रोल सेट, SOC 2 और ISO 27001 दोनों के लिए: हर काम दो बार किए बिना दोनों को चलाएं

अंतरराष्ट्रीय स्तर पर सॉफ़्टवेयर बेचने वाली कंपनियों को अक्सर दोनों की ज़रूरत होती है: अमेरिकी ग्राहकों के लिए SOC 2 रिपोर्ट और बाकी सभी के लिए ISO 27001 सर्टिफ़िकेट। अगर इन्हें दो अलग प्रोजेक्ट की तरह चलाएं, तो आपको दो सेट नीतियाँ लिखनी होंगी, वही साक्ष्य दो बार जुटाने होंगे और ओवरलैप करने वाले ऑडिट झेलने होंगे। यदि इन्हें एक ही कंट्रोल सेट से चलाएं, तो दूसरे फ़्रेमवर्क की लागत पहले के एक हिस्से जितनी ही रह जाती है।

यह सेटअप कैसे करें, वह यहाँ है।

कितना ओवरलैप है

दिशा	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
ISO 27001 है → SOC 2 चाहिए	61 में से 41 (67%)	0	20	रिपोर्ट →
SOC 2 है → ISO 27001 चाहिए	123 में से 98 (80%)	21	4	रिपोर्ट →

SOC 2 से ISO 27001 की ओर जाएं, तो लगभग हर Annex A कंट्रोल और ISMS क्लॉज़ किसी SOC 2 क्राइटेरियन से मैप होता है। जिन कुछ का कोई मैपिंग नहीं है, वे ISO की प्रबंधन-प्रणाली से जुड़ी प्रक्रियाएँ हैं: ISMS को स्वयं परिभाषित करना और दस्तावेज़ित जानकारी को नियंत्रित करना। उलटी दिशा में, जिन SOC 2 क्राइटेरिया का ISO में कोई समकक्ष नहीं है, वे वैकल्पिक Privacy और Processing Integrity श्रेणियाँ हैं; Security क्राइटेरिया सभी मैप होते हैं।

तो ओवरलैप सुरक्षा कंट्रोल में है। अंतर संरचना में है: ISO चाहता है कि कंट्रोल के चारों ओर एक प्रबंधन प्रणाली हो, और SOC 2 चाहता है कि एक अवधि के दौरान उनके संचालन का साक्ष्य हो।

चरण 1: एक आधार चुनें

एक साझा कंट्रोल सेट को एक प्राथमिक संरचना चाहिए जिससे सब कुछ मैप हो। यदि आपके पास सर्टिफ़िकेट है या आप उसे चाहते हैं, तो ISO 27001 के Annex A को आधार बनाएं, क्योंकि Statement of Applicability हर कंट्रोल को उसके कारण के साथ पहले से सूचीबद्ध करता है। यदि रिपोर्ट आपका मुख्य डिलिवरेबल है, तो SOC 2 क्राइटेरिया लें। दोनों में से कोई भी चलेगा; ज़रूरी यह है कि हर कंट्रोल का एक घर हो।

चरण 2: हर कंट्रोल एक बार लिखें

हर कंट्रोल के लिए एक रिकॉर्ड रखें, जिसमें हो:

• आप क्या करते हैं, इसका सरल कथन ("प्रोडक्शन तक पहुँच एक टिकट के ज़रिए दी जाती है, जिसे सिस्टम ओनर स्वीकृत करता है और जिसकी त्रैमासिक समीक्षा होती है")।
• एक ओनर और एक आवृत्ति।
• फ़्रेमवर्क संदर्भ जिन्हें यह पूरा करता है, जैसे ISO A.5.15 और A.5.18, SOC 2 CC6.1–CC6.3।
• साक्ष्य जो यह उत्पन्न करता है, और वह साक्ष्य कहाँ रहता है।

संदर्भ हमारे जैसे मैपिंग से आते हैं। एक्सेस कंट्रोल के लिए यह कुछ ऐसा दिखता है:

फ़्रेमवर्क	एक्सेस कंट्रोल	लिंक
NIST CSF 2.0	PR.AA-01PR.AA-05	विषय परिभाषा
ISO 27001	A.5.15A.5.16A.5.18A.8.3	क्रॉसवॉक
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	क्रॉसवॉक
SOC 2	CC6.1CC6.2CC6.3	संपादकीय
PCI DSS	7.2.17.2.27.2.48.2.1	क्रॉसवॉक
CMMC	AC.L2-3.1.1AC.L2-3.1.2	क्रॉसवॉक
800-53	AC-2AC-3	क्रॉसवॉक
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	क्रॉसवॉक
GDPR	Art.25(2)Art.32(1)(b)	संपादकीय
NIS2	11.111.211.5	क्रॉसवॉक
Essential Eight	—	हमारे डेटा में कोई मैपिंग नहीं

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में एक्सेस कंट्रोल →

चरण 3: साक्ष्य एक बार जुटाएं, दो बार टैग करें

SOC 2 Type II ऑडिटर पूरी observation अवधि में से साक्ष्य का नमूना लेते हैं: टिकट, समीक्षाएँ, स्कैन, प्रशिक्षण रिकॉर्ड। ISO सर्विलांस ऑडिटर भी इन्हीं तरह के रिकॉर्ड माँगते हैं। हर साक्ष्य को एक बार, एक ही जगह पर जुटाएं, और उसे उन सभी फ़्रेमवर्क संदर्भों से टैग करें जो उसके कंट्रोल के पास हैं।

चरण 4: कैलेंडर मिलाएं

• SOC 2 observation अवधि तब शुरू करें जब आपके कंट्रोल कुछ सप्ताह चल चुके हों, उस दिन नहीं जब वे लागू होते हैं।
• ISO आंतरिक ऑडिट और प्रबंधन समीक्षाएँ इस तरह तय करें कि वे SOC 2 अवधि के भीतर रिकॉर्ड उत्पन्न करें: वे SOC 2 के common criteria के लिए भी अच्छा गवर्नेंस साक्ष्य हैं।
• अपने ऑडिटरों से पूछें कि क्या वे फ़ील्डवर्क का समन्वय कर सकते हैं। भले ही न कर सकें, दोनों ऑडिट को पास-पास रखने से साक्ष्य के अनुरोध एक ही दौर में पूरे हो जाते हैं।

चरण 5: हर पक्ष की छूटी हुई कमियाँ भरें

SOC 2 → ISO 27001 गैप रिपोर्ट चलाएं और उलटी दिशा की भी। नए काम की दो तरह की अपेक्षा रखें:

• ISO के लिए: प्रबंधन प्रणाली। स्कोप, उद्देश्य, जोखिम मूल्यांकन और उपचार, Statement of Applicability, आंतरिक ऑडिट, प्रबंधन समीक्षा और सुधारात्मक कार्रवाई।
• SOC 2 के लिए: आपकी शामिल की गई कोई भी वैकल्पिक श्रेणियाँ, और पूरी अवधि तक लगातार साक्ष्य रखने की आदत।

हमारी ISO 27001 बनाम SOC 2 तुलना दोनों दिशाओं की हर आवश्यकता सूचीबद्ध करती है, और SOC 2 व ISO 27001 दोनों गाइड स्वयं ऑडिट को कवर करते हैं।

मैपिंग पर एक टिप्पणी

कोई खुले लाइसेंस वाला SOC 2 क्रॉसवॉक मौजूद नहीं है, इसलिए इस साइट पर हर SOC 2 लिंक ControlMapping का संपादकीय निर्णय है, जिसका कारण दिखाया गया है। मैपिंग से कंट्रोल सेट डिज़ाइन करें, फिर उस पर भरोसा करने से पहले विवरण अपने ऑडिटरों से पक्का करें।

प्रश्न

क्या एक ही ऑडिटर SOC 2 और ISO 27001 दोनों एक साथ कर सकता है?

कुछ फ़र्मों के पास CPA प्रैक्टिस और मान्यता-प्राप्त सर्टिफ़िकेशन निकाय दोनों होते हैं और वे ऑडिट का समन्वय करते हैं, लेकिन ये दो अलग engagement रहते हैं, दो डिलिवरेबल के साथ: एक SOC 2 रिपोर्ट और एक ISO 27001 सर्टिफ़िकेट।

पहले SOC 2 आए या ISO 27001?

वह जो आपके ग्राहक पहले माँगें। यदि आप यहाँ बताया गया साझा कंट्रोल सेट बनाते हैं, तो दूसरा मुख्य रूप से प्रबंधन-प्रणाली के क्लॉज़ (ISO के लिए) या साक्ष्य अवधि और वैकल्पिक क्राइटेरिया (SOC 2 के लिए) जोड़ता है।