तुलना

ISO 27001 बनाम PCI DSS: एक प्रबंधन प्रणाली बनाम कार्ड-डेटा के लिए निर्धारित नियम

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · डेटा 2026-10-27

Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17

PCI DSS v4.0.1 भुगतान कार्ड ब्रांड्स की ओर से उन सभी के लिए एक संविदात्मक आवश्यकता है जो कार्डधारक का डेटा संग्रहीत, प्रोसेस या ट्रांसमिट करते हैं। यह निर्धारित (प्रिस्क्रिप्टिव) है: इसमें परीक्षण प्रक्रियाओं के साथ लगभग 250 परिभाषित आवश्यकताएँ हैं, जिनका सत्यापन आपके स्तर के आधार पर एक क्वालिफाइड सिक्योरिटी असेसर या सेल्फ-असेसमेंट प्रश्नावली द्वारा होता है। ISO/IEC 27001 जोखिम-आधारित है: आप जिस दायरे को परिभाषित करते हैं, उसके लिए नियंत्रण आप स्वयं चुनते हैं और उनका औचित्य सिद्ध करते हैं।

ISO 27001 ISMS PCI कार्य को एक मजबूत आधार देता है। गवर्नेंस, जोखिम आकलन, नीतियाँ, एक्सेस कंट्रोल, लॉगिंग और घटना प्रबंधन, ये सभी आगे ले जाए जा सकते हैं, और ISO की जोखिम प्रक्रिया PCI DSS v4 के लक्षित जोखिम विश्लेषणों में मदद करती है।

ISO से PCI DSS की ओर जाने पर, कई बिना मिलान वाली और केवल ढीले तौर पर संबंधित आवश्यकताओं की अपेक्षा करें। ऐसा इसलिए नहीं कि ISO कमजोर है, बल्कि इसलिए कि PCI ठीक-ठीक बताता है कि क्या करना है और कितनी बार करना है: कार्डधारक डेटा वातावरण के लिए नेटवर्क सुरक्षा नियंत्रण नियम, संग्रहीत खाता डेटा और PAN की सुरक्षा, विशिष्ट प्रमाणीकरण और MFA आवश्यकताएँ, त्रैमासिक स्कैन और वार्षिक पेनिट्रेशन टेस्ट, फ़ाइल-इंटेग्रिटी मॉनिटरिंग तथा भुगतान-पेज स्क्रिप्ट नियंत्रण। इसका एक हिस्सा डेटा की सीमा से भी जुड़ा है: NIST का PCI क्रॉसवॉक मानक के केवल एक भाग को कवर करता है, इसलिए कुछ PCI आवश्यकताओं का किसी भी चीज़ से प्रकाशित लिंक नहीं है।

PCI DSS से ISO की ओर जाने पर, Annex A का कवरेज अच्छा है, और अंतर प्रबंधन प्रणाली में है: ISMS का दायरा, उद्देश्य, दस्तावेज़ीकृत सूचना, आंतरिक ऑडिट और प्रबंधन समीक्षा।

एक नज़र में

	ISO 27001	PCI DSS
यह क्या सुरक्षित करता है	ISMS दायरे की सारी सूचना	भुगतान खाता डेटा और उसके आसपास की प्रणालियाँ
यह कितना निर्धारित है	जोखिम-आधारित: नियंत्रण आप चुनते हैं	निर्धारित: विशिष्ट आवश्यकताएँ, जिनमें से कई की तय आवृत्तियाँ हैं
इसकी आवश्यकता कौन रखता है	ग्राहक और निविदाएँ (टेंडर)	कार्ड ब्रांड, एक्वायरर अनुबंधों के माध्यम से
मूल्यांकन	प्रमाणन निकाय	QSA अनुपालन रिपोर्ट, या सेल्फ-असेसमेंट प्रश्नावली
आवृत्ति	वार्षिक सर्veillance, हर तीन साल में पुनःप्रमाणन	वार्षिक, त्रैमासिक बाहरी स्कैन के साथ

PCI DSS के लिए ISO 27001 का उपयोग

एक ISMS जिसके दायरे में कार्डधारक डेटा वातावरण शामिल है, PCI DSS के नीति, जोखिम और गवर्नेंस कार्य के बड़े हिस्से को कवर करता है, और कई तकनीकी क्षेत्र मेल खाते हैं। नया कार्य आमतौर पर PCI की विशिष्ट सेटिंग्स और आवृत्तियाँ होती हैं: एक Approved Scanning Vendor द्वारा त्रैमासिक बाहरी स्कैन, कार्डधारक डेटा वातावरण में सभी एक्सेस के लिए MFA, भुगतान-पेज स्क्रिप्ट नियंत्रण, लॉग समीक्षा की समय-सारणी और की-प्रबंधन के विवरण। नीचे की "कोई मैपिंग नहीं" सूची यही देखने की जगह है।

किसे क्या चाहिए

PCI DSS हर उस संगठन पर लागू होता है जो भुगतान कार्ड डेटा संग्रहीत, प्रोसेस या ट्रांसमिट करता है, या जिसकी सुरक्षा को वह प्रभावित कर सकता है, क्योंकि कार्ड ब्रांड इसे एक्वायरिंग अनुबंधों के माध्यम से अनिवार्य करते हैं। सत्यापन का तरीका आपके स्तर पर निर्भर करता है: सबसे बड़े मर्चेंट और सर्विस प्रोवाइडर को एक क्वालिफाइड सिक्योरिटी असेसर द्वारा वार्षिक अनुपालन रिपोर्ट चाहिए; अधिकतर अन्य एक सेल्फ-असेसमेंट प्रश्नावली पूरी करते हैं। ISO 27001 स्वैच्छिक है और अधिक व्यापक है: यह केवल कार्ड डेटा नहीं, बल्कि संगठन की पूरी सूचना सुरक्षा को कवर करता है, और इसका परिणाम एक ऐसा प्रमाणपत्र है जिसे ग्राहक पहचानते हैं।

नियंत्रण बनाने से पहले PCI दायरा घटाएँ

सबसे सस्ती PCI DSS आवश्यकता वह है जो आप पर लागू ही नहीं होती। PCI से ISO नियंत्रणों की मैपिंग करने से पहले, कार्डधारक डेटा वातावरण को छोटा करें:

भुगतान पेज आउटसोर्स करें। एक ई-कॉमर्स साइट जो PCI-अनुपालक भुगतान प्रदाता के पेज पर रीडायरेक्ट करती है, या उसे एम्बेड करती है, कार्ड डेटा अपने सर्वरों से दूर रखती है और सबसे छोटी प्रश्नावली, SAQ A, के लिए योग्य हो सकती है।
टोकनाइज़ करें। संग्रहीत कार्ड नंबरों की जगह अपने भुगतान प्रदाता के टोकन रखें, ताकि आप कभी प्राथमिक खाता नंबर (PAN) अपने पास न रखें।
सेगमेंट करें। जिन प्रणालियों को कार्ड डेटा छूना ज़रूरी है, उन्हें बाकी सबसे अलग करें, और सेगमेंटेशन की जाँच करें।

दायरे से बाहर की गई हर प्रणाली दर्जनों आवश्यकताएँ एक साथ हटा देती है।

लागत और प्रयास

ISO-प्रमाणित संगठन के लिए, PCI DSS की लागत लगभग पूरी तरह दायरे पर निर्भर करती है। पूरी तरह आउटसोर्स किए गए भुगतान पेज के साथ, काम एक छोटी प्रश्नावली और कुछ नियंत्रणों तक सीमित हो सकता है। अपनी प्रणालियों में कार्ड डेटा होने पर, आवश्यकता 3 (संग्रहीत डेटा), 8 (प्रमाणीकरण), 10 (लॉगिंग) और 11 (परीक्षण) पर काफी काम की अपेक्षा करें, साथ ही Approved Scanning Vendor द्वारा त्रैमासिक बाहरी स्कैन और, उच्च स्तरों पर, QSA मूल्यांकन। गवर्नेंस का काम हल्का रहता है, क्योंकि ISMS पहले से ही आवश्यकता 12 के अधिकांश हिस्से को कवर करता है।

समय-सीमा

पहले दायरा घटाने की योजना बनाएँ; इससे समय-सीमा पूरी तरह बदल सकती है। दायरे में आने वाले वातावरण के लिए, ISO-प्रमाणित संगठन को पहले मूल्यांकन से पहले PCI-विशिष्ट तकनीकी अंतर बंद करने में आमतौर पर तीन से नौ महीने लगते हैं, और मूल्यांकन की तारीख से पहले त्रैमासिक स्कैन चालू होने चाहिए। PCI की तय आवृत्तियों (त्रैमासिक स्कैन, छमाही समीक्षाएँ, वार्षिक परीक्षण) को ISMS कैलेंडर में इस तरह बैठाएँ कि आंतरिक ऑडिट उन्हें बाकी सब के साथ जाँच सके।

कार्यान्वित उदाहरण: एक ऑनलाइन रिटेलर

एक मध्यम आकार का ऑनलाइन रिटेलर अपने ई-कॉमर्स प्लेटफ़ॉर्म के लिए ISO 27001 प्रमाणित है और अपने ही सर्वरों पर कार्ड भुगतान प्रोसेस करता है। उसका एक्वायरर PCI DSS सत्यापन माँगता है। गैप विश्लेषण से गवर्नेंस, घटना प्रतिक्रिया और आपूर्तिकर्ता प्रबंधन में मजबूत ओवरलैप दिखता है, लेकिन आवश्यकता 3 (संग्रहीत खाता डेटा), 6.4 (भुगतान पेज सुरक्षा) और 11 (ASV स्कैन और पेनिट्रेशन टेस्ट) में बड़े अंतर हैं।

रिटेलर पहले अपने चेकआउट को अपने भुगतान प्रदाता के एम्बेडेड भुगतान पेज पर पुनर्गठित करता है और संग्रहीत कार्ड को टोकनाइज़ करता है। उसकी अपनी प्रणालियाँ अब कार्ड नंबर नहीं छूतीं, अधिकांश अंतर समाप्त हो जाता है, और वह एक छोटी सेल्फ-असेसमेंट प्रश्नावली से सत्यापन करता है। जो शेष रहता है, उसे उसके ISO नियंत्रण कवर करते हैं, और PCI की आवृत्तियाँ मौजूदा प्रक्रियाओं में लिखी जाती हैं।

आम गलतियाँ

दायरा तय करने से पहले मैपिंग। ऐसे कार्डधारक डेटा वातावरण के लिए नियंत्रण बनाना जिसे टोकनाइज़ेशन या आउटसोर्स किया गया भुगतान पेज हटा सकता था।
ISO की आवृत्तियों का उपयोग। वार्षिक एक्सेस समीक्षा ISO के लिए पर्याप्त है; PCI DSS के लिए हर छह महीने में आवश्यक है। PCI की लय के अनुसार डिज़ाइन करें।
ASV को भूल जाना। बाहरी स्कैन एक Approved Scanning Vendor द्वारा, त्रैमासिक, और उत्तीर्ण परिणामों के साथ होने चाहिए।
ISO प्रमाणपत्र को PCI साक्ष्य मान लेना। मूल्यांकनकर्ताओं को हर आवश्यकता के लिए PCI-विशिष्ट साक्ष्य चाहिए।
भुगतान पेज को नज़रअंदाज़ करना। भुगतान पेज पर स्क्रिप्ट प्रबंधन और छेड़छाड़ पहचान उन v4.0.1 आवश्यकताओं में से हैं जो सबसे अधिक छूटती हैं।

मुख्य बिंदु

PCI में दायरा ही सब कुछ है: कार्डधारक डेटा वातावरण को सेगमेंट करने से काम नाटकीय रूप से घट सकता है।
ISO → PCI: हर PCI आवश्यकता के लिए ISO नियंत्रणों की स्पष्ट मैपिंग करें, और आवृत्ति व तकनीकी विवरण जोड़ने की अपेक्षा रखें।
PCI DSS v4.0 की भविष्य-तिथि वाली आवश्यकताएँ 31 मार्च 2025 से अनिवार्य हो गईं; जाँच लें कि आप v4.0.1 के विरुद्ध मूल्यांकन कर रहे हैं।

यह तुलना (CSV) डाउनलोड करें गैप विश्लेषण में खोलें →

ISO 27001 है → PCI DSS चाहिए

260 आवश्यकताएँ

77 मैप किए गए · · 107 कोई मैपिंग नहीं गैप व्यू में खोलें →

260 PCI DSS v4.0.1 आवश्यकताओं में से 77 ISO 27001 में किसी चीज़ से मैप होती हैं, 76 केवल ढीले तौर पर संबंधित हैं, और 107 का हमारे डेटा में कोई मैपिंग नहीं है।

संभवतः नया कार्य: ISO 27001 से कोई मैपिंग न रखने वाली PCI DSS आवश्यकताएँ (107)

PCI DSS	आवश्यकता	मिलान	ISO 27001	साक्ष्य
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.2.5	Allowed services, protocols and ports approved	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.2.6	Security features defined for insecure services	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.2.7	Network security control rules reviewed every six months	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.2.8	Network security control configuration files secured	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.3.2	Outbound traffic from the CDE restricted	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.3.3	Network controls between wireless networks and the CDE	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.4.2	Inbound traffic from untrusted networks restricted	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.4.3	Anti-spoofing measures in place	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.4.4	Stored cardholder data not reachable from untrusted networks	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.4.5	Internal IP addresses and routing not disclosed	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
1.5.1	Controls on devices connecting to untrusted networks and the CDE	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
2.2.4	Only necessary services and functions enabled	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
2.2.5	Insecure services justified and secured	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
2.2.6	System security parameters set to prevent misuse	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
2.2.7	Non-console administrative access encrypted	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
2.3.2	Wireless keys changed when key holders leave	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.3.1.2	Card verification code not kept after authorisation	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.3.1.3	PIN and PIN block not kept after authorisation	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.3.2	Sensitive authentication data encrypted before authorisation	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.3.3	Issuer storage of sensitive authentication data limited and protected	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.5.1.2	Disk-level encryption used only where it suffices	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.2	Key management: secure key distribution	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.3	Key management: secure key storage	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.5	Key management: retiring weakened or compromised keys	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.6	Key management: split knowledge and dual control	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.7	Key management: preventing unauthorised key substitution	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.8	Key custodians formally acknowledge their responsibilities	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
3.7.9	Service providers give customers key-handling guidance	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
4.2.2	PAN secured when sent by end-user messaging	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
5.3.3	Removable media scanned or analysed	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
5.3.4	Anti-malware audit logs enabled and retained	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
5.3.5	Users cannot disable or alter anti-malware	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
6.5.2	PCI DSS requirements re-confirmed after significant changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
6.5.3	Pre-production environments separated from production	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
6.5.4	Duties separated between production and pre-production	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
6.5.5	Live PANs not used in pre-production	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
6.5.6	Test data and accounts removed before go-live	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
7.2.5	System and application accounts least privilege	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
7.2.6	Access to cardholder data repositories restricted	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
7.3.1	Access control system restricts access by need	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
7.3.2	Access control system enforces assigned permissions	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
7.3.3	Access control system set to deny by default	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.2.4	User ID changes authorised and controlled	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.2.7	Third-party remote access accounts enabled only when needed	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.3.2	Authentication factors unreadable in transit and storage	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.3.3	Identity verified before changing authentication factors	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.3.4	Account lockout after repeated failed attempts	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.3.11	Tokens, smart cards and certificates assigned to individuals	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
8.6.1	Interactive use of system accounts managed	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.3.3	Visitor badges returned or deactivated	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.3.4	Visitor log maintained and retained	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.4.1	Media with cardholder data physically secured	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.4.3	Media sent off site tracked and secured	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.4.4	Management approves media moved off site	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.4.5	Inventory logs of electronic media kept	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.4.5.1	Electronic media inventories at least annually	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.5.1	Card-reading (POI) devices protected from tampering	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
9.5.1.3	Staff trained to spot POI tampering	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.2	Logs capture administrative actions	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.3	Logs capture access to audit logs	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.4	Logs capture invalid access attempts	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.5	Logs capture credential and privilege changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.6	Logs capture starting, stopping or pausing logging	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.2.1.7	Logs capture system-level object changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.4.2	Other logs reviewed periodically	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.4.3	Exceptions and anomalies addressed	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.6.2	Time configuration correct and consistent	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
10.7.3	Security control failures responded to promptly	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.3.1.2	Internal scans use authenticated scanning	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.3.1.3	Internal scans after significant changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.3.2.1	External scans after significant changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.1	Penetration testing methodology defined	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.2	Internal penetration test at least annually	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.3	External penetration test at least annually	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.5	Segmentation controls tested at least annually	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.6	Service providers test segmentation every six months	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.4.7	Multi-tenant providers support customer penetration tests	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.5.1.1	Service providers detect covert malware communication	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
11.5.2	Change-detection on critical files	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
12.4.1	Service providers: executive responsibility for PCI DSS compliance	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
12.5.2.1	Service providers confirm scope every six months	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
12.6.2	Awareness programme reviewed annually	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
12.6.3.1	Training covers phishing and social engineering	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
12.6.3.2	Training covers acceptable use of technology	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.1.2	Multi-tenant providers: customers confined to their own environment	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.1.3	Multi-tenant providers: customers reach only their own data	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.1.4	Multi-tenant providers: separation tested every six months	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.2.1	Multi-tenant providers: audit logging for each customer	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.2.2	Multi-tenant providers: support customer forensic investigations	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A1.2.3	Multi-tenant providers: report suspected incidents to customers	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A2.1.1	POI terminals using SSL or early TLS not exploitable	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A2.1.2	Service providers: migration plan off SSL and early TLS	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।
A2.1.3	Service providers offer a secure connection option	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं।

इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (76)

PCI DSS	आवश्यकता	मिलान	ISO 27001	साक्ष्य
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
1.1.2	Roles for network security controls assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
1.2.4	Accurate account-data flow diagram maintained	ढीले तौर पर संबंधित	A.5.19 A.5.20 A.5.22+5	केवल CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07… साझा करता है: संबंधित, मैपिंग नहीं
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
2.1.2	Roles for secure configuration assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
2.3.1	Wireless vendor defaults changed	ढीले तौर पर संबंधित	A.5.15 A.5.3 A.5.10+5	केवल CSF PR.AA-03, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
3.1.2	Roles for protecting stored account data assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
3.5.1.3	Disk encryption access managed separately from OS access	ढीले तौर पर संबंधित	A.5.15 A.5.1 A.5.3+5	केवल CSF PR.AA-03, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
3.6.1.1	Service providers document their cryptographic architecture	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.8.2+5	केवल CSF PR.AA-01, PR.DS-01, PR.AA-04 साझा करता है: संबंधित, मैपिंग नहीं
3.6.1.2	Secret and private keys stored in approved forms	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.8.2+5	केवल CSF PR.AA-01, PR.DS-01, PR.AA-04 साझा करता है: संबंधित, मैपिंग नहीं
3.6.1.3	Cleartext key components accessible to fewest custodians	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.8.2+5	केवल CSF PR.AA-01, PR.DS-01, PR.AA-04 साझा करता है: संबंधित, मैपिंग नहीं
3.6.1.4	Keys stored in the fewest possible locations	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.8.2+5	केवल CSF PR.AA-01, PR.DS-01, PR.AA-04 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
4.1.2	Roles for protecting data in transit assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
5.1.2	Roles for malware protection assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
5.2.3	Systems without anti-malware periodically re-evaluated	ढीले तौर पर संबंधित	A.8.20 A.8.21 A.8.22+1	केवल CSF PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	ढीले तौर पर संबंधित	A.5.1 A.8.20 A.8.21+4	केवल CSF GV.RM-03, GV.RM-06, PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं
5.3.2.1	Scan frequency set by targeted risk analysis	ढीले तौर पर संबंधित	A.5.1 Clause 6.1.2 Clause 6.1.3	केवल CSF GV.RM-03, GV.RM-06 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
6.1.2	Roles for secure systems and software assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
6.2.3.1	Manual code reviews approved by someone else	ढीले तौर पर संबंधित	A.5.8 A.5.9 A.5.11+5	केवल CSF ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.3 A.5.14+5	केवल CSF GV.PO-02, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं
7.1.2	Roles for access restriction assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
7.2.5.1	System and application account access periodically reviewed	ढीले तौर पर संबंधित	A.5.1 A.5.3 A.5.14+5	केवल CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	ढीले तौर पर संबंधित	A.5.1 A.5.3 A.5.14+5	केवल CSF GV.PO-02, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं
8.1.2	Roles for identification and authentication assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
8.2.2	Shared or generic accounts only by documented exception	ढीले तौर पर संबंधित	A.7.4 A.8.2 A.8.3+3	केवल CSF DE.CM-03, PR.AA-02 साझा करता है: संबंधित, मैपिंग नहीं
8.2.5	Access revoked immediately on termination	ढीले तौर पर संबंधित	A.5.19 A.5.20 A.5.21+5	केवल CSF GV.SC-10 साझा करता है: संबंधित, मैपिंग नहीं
8.2.6	Inactive user accounts disabled within 90 days	ढीले तौर पर संबंधित	A.5.1 A.5.3 A.5.14+5	केवल CSF PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं
8.2.8	Re-authentication after 15 minutes idle	ढीले तौर पर संबंधित	A.5.15 A.5.3 A.5.10+5	केवल CSF PR.AA-03, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं
8.3.5	First-use and reset passwords unique and changed	ढीले तौर पर संबंधित	A.8.2 A.8.3 A.8.5	केवल CSF PR.AA-02 साझा करता है: संबंधित, मैपिंग नहीं
8.3.6	Minimum password length and complexity	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.3.7	Recent passwords cannot be reused	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.3.8	Authentication guidance communicated to users	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.3.9	Password-only access: change every 90 days or analyse risk	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.3.10	Service providers give customers password guidance	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.3.10.1	Service provider customer passwords: rotation or analysis	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+2	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
8.6.2	No hard-coded passwords for system accounts	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.18+2	केवल CSF PR.AA-01 साझा करता है: संबंधित, मैपिंग नहीं
8.6.3	System account passwords protected and changed	ढीले तौर पर संबंधित	A.5.1 Clause 6.1.3 A.5.15+5	केवल CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+5	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
9.1.2	Roles for physical security assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 A.7.5+5	केवल CSF GV.RR-02, PR.IR-02 साझा करता है: संबंधित, मैपिंग नहीं
9.2.4	Consoles in sensitive areas locked when unattended	ढीले तौर पर संबंधित	A.5.15 A.5.16 A.5.17+5	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
9.4.1.2	Security of offline backup location reviewed annually	ढीले तौर पर संबंधित	A.8.13 A.7.4	केवल CSF PR.DS-11, RC.RP-03, DE.CM-02 साझा करता है: संबंधित, मैपिंग नहीं
9.4.6	Hard-copy media destroyed when no longer needed	ढीले तौर पर संबंधित	A.5.20 Clause 4.2 A.5.1+5	केवल CSF GV.OC-03, GV.SC-10, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
9.4.7	Electronic media destroyed or made unrecoverable	ढीले तौर पर संबंधित	A.5.20 A.8.13 Clause 4.2+5	केवल CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11 साझा करता है: संबंधित, मैपिंग नहीं
9.5.1.1	Inventory of POI devices kept	ढीले तौर पर संबंधित	A.5.9 A.5.19 A.5.20+5	केवल CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09 साझा करता है: संबंधित, मैपिंग नहीं
9.5.1.2	POI devices inspected for tampering	ढीले तौर पर संबंधित	A.7.4 A.5.9 A.5.19+5	केवल CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09 साझा करता है: संबंधित, मैपिंग नहीं
9.5.1.2.1	Inspection frequency set by targeted risk analysis	ढीले तौर पर संबंधित	A.5.1 Clause 6.1.2 Clause 6.1.3+5	केवल CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07 साझा करता है: संबंधित, मैपिंग नहीं
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
10.1.2	Roles for logging and monitoring assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
10.2.2	Log entries record who, what, when, where and outcome	ढीले तौर पर संबंधित	A.5.25 A.5.27 A.5.28	केवल CSF RS.AN-03, RS.AN-07 साझा करता है: संबंधित, मैपिंग नहीं
10.3.1	Read access to logs limited to need	ढीले तौर पर संबंधित	A.5.26 A.5.28 A.8.15+1	केवल CSF DE.AE-06, RS.AN-06, PR.PS-04 साझा करता है: संबंधित, मैपिंग नहीं
10.3.3	Logs promptly backed up to a central server	ढीले तौर पर संबंधित	A.5.28 A.8.15 A.5.24+4	केवल CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04… साझा करता है: संबंधित, मैपिंग नहीं
10.3.4	File-integrity monitoring on logs	ढीले तौर पर संबंधित	A.5.24 A.5.25 A.5.28+5	केवल CSF DE.AE-02, RS.AN-06 साझा करता है: संबंधित, मैपिंग नहीं
10.4.2.1	Review frequency set by targeted risk analysis	ढीले तौर पर संबंधित	A.5.1 Clause 6.1.3 A.5.9+5	केवल CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05 साझा करता है: संबंधित, मैपिंग नहीं
10.6.3	Time settings protected from change	ढीले तौर पर संबंधित	A.8.15 A.8.17	केवल CSF PR.PS-04 साझा करता है: संबंधित, मैपिंग नहीं
10.7.1	Service providers detect security control failures	ढीले तौर पर संबंधित	A.5.1 A.5.19 Clause 9.1+5	केवल CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03 साझा करता है: संबंधित, मैपिंग नहीं
10.7.2	Critical security control failures detected and reported	ढीले तौर पर संबंधित	A.5.1 A.5.19 Clause 9.1+5	केवल CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05… साझा करता है: संबंधित, मैपिंग नहीं
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	ढीले तौर पर संबंधित	A.5.1 A.5.31 A.5.32+2	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
11.1.2	Roles for security testing assigned	ढीले तौर पर संबंधित	A.5.2 A.5.3 Clause 7.2	केवल CSF GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
11.2.1	Wireless access points detected and unauthorised ones handled	ढीले तौर पर संबंधित	A.8.15 A.8.16 A.8.20+3	केवल CSF DE.CM-01, PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	ढीले तौर पर संबंधित	A.5.1 Clause 6.1.2 Clause 6.1.3+2	केवल CSF GV.RM-03, GV.RM-06, ID.RA-05 साझा करता है: संबंधित, मैपिंग नहीं
11.4.4	Penetration test findings corrected and retested	ढीले तौर पर संबंधित	A.5.19 A.5.1 A.5.35+5	केवल CSF GV.OV-02, GV.OV-03, ID.IM-02 साझा करता है: संबंधित, मैपिंग नहीं
11.6.1	Payment page changes and tampering detected	ढीले तौर पर संबंधित	A.5.19 A.5.1 A.5.20+5	केवल CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09… साझा करता है: संबंधित, मैपिंग नहीं
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	ढीले तौर पर संबंधित	A.5.1 A.8.32 Clause 6.1.2+1	केवल CSF GV.RM-06, ID.RA-07 साझा करता है: संबंधित, मैपिंग नहीं
12.3.3	Cipher suites and protocols reviewed annually	ढीले तौर पर संबंधित	A.5.1 A.5.3 A.5.10+5	केवल CSF GV.RM-03, GV.RM-06, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं
12.3.4	Hardware and software technologies reviewed annually	ढीले तौर पर संबंधित	A.5.19 A.5.1 A.5.20+5	केवल CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09… साझा करता है: संबंधित, मैपिंग नहीं
12.4.2.1	Service providers: quarterly review results documented	ढीले तौर पर संबंधित	A.5.1 A.5.19 A.5.35+5	केवल CSF GV.OV-01, GV.OV-02, ID.IM-01 साझा करता है: संबंधित, मैपिंग नहीं
12.5.3	Service providers review scope after organisational change	ढीले तौर पर संबंधित	A.5.1 A.5.19 Clause 6.1.3+5	केवल CSF GV.OV-02, GV.RM-03, GV.RM-05 साझा करता है: संबंधित, मैपिंग नहीं
12.9.1	Service providers acknowledge responsibilities to customers	ढीले तौर पर संबंधित	A.5.19 A.5.20 A.5.31+5	केवल CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… साझा करता है: संबंधित, मैपिंग नहीं
12.9.2	Service providers support customer compliance requests	ढीले तौर पर संबंधित	A.5.19 A.5.20 A.5.31+5	केवल CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07… साझा करता है: संबंधित, मैपिंग नहीं
12.10.4.1	Training frequency set by targeted risk analysis	ढीले तौर पर संबंधित	A.5.1 A.5.2 A.6.3+3	केवल CSF GV.RM-03, GV.RM-06, PR.AT-02 साझा करता है: संबंधित, मैपिंग नहीं
12.10.5	Plan covers alerts from security monitoring	ढीले तौर पर संबंधित	A.5.26	केवल CSF GV.SC-08 साझा करता है: संबंधित, मैपिंग नहीं
12.10.7	Procedures for PAN found where it shouldn't be	ढीले तौर पर संबंधित	A.5.9	केवल CSF ID.AM-07 साझा करता है: संबंधित, मैपिंग नहीं

मैप किया गया (77)

PCI DSS	आवश्यकता	मिलान	ISO 27001	साक्ष्य
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	संपादकीय	A.8.20 A.8.21 A.8.22	वही विषय: फ़ायरवॉल / नेट सेग (संपादकीय पसंद)
1.2.3	Accurate network diagram maintained	क्रॉसवॉक	A.8.20 A.8.21 A.8.22	वही विषय: फ़ायरवॉल / नेट सेग
1.3.1	Inbound traffic to the CDE restricted	संपादकीय	A.8.20 A.8.21 A.8.22	वही विषय: फ़ायरवॉल / नेट सेग (संपादकीय पसंद)
1.4.1	Network controls between trusted and untrusted networks	संपादकीय	A.8.20 A.8.21 A.8.22	वही विषय: फ़ायरवॉल / नेट सेग (संपादकीय पसंद)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	क्रॉसवॉक	A.8.9	वही विषय: सुरक्षित कॉन्फ़िगरेशन
2.2.2	Vendor default accounts managed or removed	क्रॉसवॉक	A.8.9	वही विषय: सुरक्षित कॉन्फ़िगरेशन
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	क्रॉसवॉक	A.5.14 A.8.10 A.8.11	वही विषय: डेटा संरक्षण
3.3.1	Sensitive authentication data not kept after authorisation	क्रॉसवॉक	A.5.14 A.8.10 A.8.11	वही विषय: डेटा संरक्षण
3.4.1	PAN masked when displayed	क्रॉसवॉक	A.5.14 A.8.10 A.8.11	वही विषय: डेटा संरक्षण
3.4.2	PAN copying prevented over remote-access technologies	संपादकीय	A.8.12	वही विषय: DLP (संपादकीय पसंद)
3.5.1	PAN rendered unreadable wherever stored	क्रॉसवॉक	A.8.24	वही विषय: एन्क्रिप्शन
3.6.1	Procedures protect keys that secure stored account data	क्रॉसवॉक	A.8.24	वही विषय: एन्क्रिप्शन
3.7.1	Key management: strong key generation	संपादकीय	A.8.24	वही विषय: एन्क्रिप्शन (संपादकीय पसंद)
3.7.4	Key management: key changes at end of cryptoperiod	संपादकीय	A.8.24	वही विषय: एन्क्रिप्शन (संपादकीय पसंद)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	क्रॉसवॉक	A.8.24	वही विषय: एन्क्रिप्शन
4.2.1.1	Inventory of trusted keys and certificates kept	संपादकीय	A.8.24	वही विषय: एन्क्रिप्शन (संपादकीय पसंद)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	क्रॉसवॉक	A.8.19 A.8.1 A.8.7	वही विषय: एंडपॉइंट सुरक्षा
5.2.2	Anti-malware detects, removes or contains known malware	क्रॉसवॉक	A.8.19 A.8.1 A.8.7	वही विषय: एंडपॉइंट सुरक्षा
5.3.2	Periodic scans or continuous behavioural analysis	क्रॉसवॉक	A.8.19 A.8.1 A.8.7	वही विषय: एंडपॉइंट सुरक्षा
5.4.1	Mechanisms to detect and protect against phishing	संपादकीय	A.5.14	वही विषय: ईमेल सुरक्षा (संपादकीय पसंद)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	संपादकीय	A.8.25 A.8.26 A.8.28+1	वही विषय: सुरक्षित विकास (संपादकीय पसंद)
6.2.2	Developers trained in secure software development	क्रॉसवॉक	A.8.25 A.8.26 A.8.28+1	वही विषय: सुरक्षित विकास
6.2.3	Custom code reviewed before release	क्रॉसवॉक	A.8.5 A.8.25 A.8.26+2	वही विषय: API सुरक्षा, सुरक्षित विकास
6.2.4	Coding techniques prevent common software attacks	संपादकीय	A.8.5 A.8.26	वही विषय: API सुरक्षा (संपादकीय पसंद)
6.3.1	Vulnerabilities identified and risk-ranked	क्रॉसवॉक	A.5.7 A.8.8	वही विषय: थ्रेट इंटेलिजेंस, भेद्यता प्रबंधन, पैच प्रबंधन
6.3.2	Inventory of custom software and its components	क्रॉसवॉक	A.5.9 A.5.11 A.5.19+2	वही विषय: एसेट प्रबंधन, आपूर्ति श्रृंखला जोखिम
6.3.3	Security patches installed promptly	क्रॉसवॉक	A.8.8	वही विषय: पैच प्रबंधन
6.4.1	Public web applications protected against attacks	संपादकीय	A.8.26	वही विषय: वेब सुरक्षा (संपादकीय पसंद)
6.4.2	Automated solution blocks attacks on public web apps	संपादकीय	A.8.20	वही विषय: WAF (संपादकीय पसंद)
6.4.3	Payment page scripts authorised and integrity-checked	संपादकीय	A.8.26	वही विषय: वेब सुरक्षा (संपादकीय पसंद)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+3	वही विषय: एक्सेस कंट्रोल, ज़ीरो ट्रस्ट
7.2.2	Access assigned by job function and least privilege	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+3	वही विषय: एक्सेस कंट्रोल
7.2.4	User accounts and privileges reviewed every six months	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+1	वही विषय: एक्सेस कंट्रोल
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	क्रॉसवॉक	A.5.15 A.5.16 A.5.18+1	वही विषय: एक्सेस कंट्रोल
8.3.1	User and admin access requires an authentication factor	क्रॉसवॉक	A.5.15 A.8.5 A.8.22	वही विषय: ज़ीरो ट्रस्ट
8.4.1	MFA for non-console administrative access to the CDE	संपादकीय	A.8.5	वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन (संपादकीय पसंद)
8.4.2	MFA for all access into the CDE	संपादकीय	A.8.5	वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन (संपादकीय पसंद)
8.4.3	MFA for remote network access	संपादकीय	A.8.5	वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन (संपादकीय पसंद)
8.5.1	MFA systems configured to resist misuse	संपादकीय	A.8.5	वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन (संपादकीय पसंद)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	संपादकीय	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा (संपादकीय पसंद)
9.2.1.1	Access to sensitive areas monitored by camera or access control	संपादकीय	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा (संपादकीय पसंद)
9.2.3	Physical access to network hardware restricted	क्रॉसवॉक	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा
9.3.1	Personnel physical access authorised and managed	संपादकीय	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा (संपादकीय पसंद)
9.3.1.1	Sensitive-area access authorised and revoked promptly	क्रॉसवॉक	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा
9.3.2	Visitor access authorised, escorted and identifiable	संपादकीय	A.7.1 A.7.2 A.7.3+6	वही विषय: भौतिक सुरक्षा (संपादकीय पसंद)
9.4.1.1	Offline backup media stored securely	क्रॉसवॉक	A.8.13	वही विषय: बैकअप और रिकवरी
9.4.2	Media classified by data sensitivity	संपादकीय	A.5.12 A.5.13	वही विषय: डेटा वर्गीकरण (संपादकीय पसंद)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	क्रॉसवॉक	A.6.1 A.6.4 A.8.15+2	वही विषय: इनसाइडर थ्रेट, लॉगिंग और ऑडिट
10.3.2	Logs protected from modification	क्रॉसवॉक	A.5.28 A.8.15 A.8.17	वही विषय: फ़ॉरेंसिक, लॉगिंग और ऑडिट
10.4.1	Security event and critical logs reviewed daily	क्रॉसवॉक	A.5.25 A.8.16	वही विषय: SIEM / SOC, सतत निगरानी
10.4.1.1	Automated mechanisms for log review	संपादकीय	A.8.16	वही विषय: विसंगति पहचान (Anomaly Detection) (संपादकीय पसंद)
10.5.1	Audit logs retained 12 months, three immediately available	संपादकीय	A.8.15 A.8.17	वही विषय: लॉगिंग और ऑडिट (संपादकीय पसंद)
10.6.1	System clocks synchronised	क्रॉसवॉक	A.8.15 A.8.17	वही विषय: लॉगिंग और ऑडिट
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	क्रॉसवॉक	A.8.8	वही विषय: भेद्यता प्रबंधन
11.3.2	External ASV scans every three months	क्रॉसवॉक	A.8.8	वही विषय: भेद्यता प्रबंधन
11.5.1	Intrusion detection or prevention on network traffic	संपादकीय	A.8.16	वही विषय: घुसपैठ का पता लगाना (संपादकीय पसंद)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	क्रॉसवॉक	A.5.1 A.5.37 Clause 5.2	वही विषय: शासन नीति
12.1.2	Security policy reviewed at least annually	क्रॉसवॉक	A.5.1 A.5.37 Clause 5.2	वही विषय: शासन नीति
12.1.3	Security roles and responsibilities defined	क्रॉसवॉक	A.5.2 A.5.4	वही विषय: भूमिकाएँ और उत्तरदायित्व
12.1.4	Executive responsibility for information security assigned	क्रॉसवॉक	A.5.2 A.5.4	वही विषय: भूमिकाएँ और उत्तरदायित्व
12.3.1	Targeted risk analysis for flexible-frequency requirements	क्रॉसवॉक	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	वही विषय: जोखिम प्रबंधन, जोखिम मूल्यांकन
12.4.2	Service providers: quarterly reviews of operational tasks	क्रॉसवॉक	A.5.31 Clause 9.1 A.5.36	वही विषय: अनुपालन
12.5.1	Inventory of in-scope system components	क्रॉसवॉक	A.5.9 A.5.11 A.7.14	वही विषय: एसेट प्रबंधन
12.5.2	PCI DSS scope confirmed annually and on change	क्रॉसवॉक	Clause 4.1 Clause 4.2	वही विषय: व्यावसायिक परिवेश
12.6.1	Formal security awareness programme	क्रॉसवॉक	A.6.3 Clause 7.3	वही विषय: जागरूकता और प्रशिक्षण
12.6.3	Awareness training on hire and at least annually	क्रॉसवॉक	A.6.3 Clause 7.3	वही विषय: जागरूकता और प्रशिक्षण
12.7.1	Personnel screened before hire	क्रॉसवॉक	A.6.1 A.6.4 A.8.16	वही विषय: इनसाइडर थ्रेट
12.8.1	List of third-party service providers kept	क्रॉसवॉक	A.5.19 A.5.20 A.5.21+2	वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन
12.8.2	Written agreements with service providers	क्रॉसवॉक	A.5.19 A.5.20 A.5.22	वही विषय: वेंडर जोखिम प्रबंधन
12.8.3	Due diligence before engaging service providers	क्रॉसवॉक	A.5.19 A.5.20 A.5.22	वही विषय: वेंडर जोखिम प्रबंधन
12.8.4	Service provider compliance monitored annually	क्रॉसवॉक	A.5.19 A.5.20 A.5.22	वही विषय: वेंडर जोखिम प्रबंधन
12.8.5	Responsibilities split with each provider documented	क्रॉसवॉक	A.5.19 A.5.20 A.5.22+1	वही विषय: वेंडर जोखिम प्रबंधन
12.10.1	Incident response plan ready to activate	क्रॉसवॉक	A.5.5 A.5.24 A.5.25+5	वही विषय: रिपोर्टिंग, घटना प्रतिक्रिया
12.10.2	Incident response plan reviewed and tested annually	क्रॉसवॉक	A.5.24 A.5.25 A.5.26	वही विषय: घटना प्रतिक्रिया
12.10.3	Incident response staff available around the clock	क्रॉसवॉक	A.5.24 A.5.25 A.5.26	वही विषय: घटना प्रतिक्रिया
12.10.4	Incident response staff trained	क्रॉसवॉक	A.5.24 A.5.25 A.5.26	वही विषय: घटना प्रतिक्रिया
12.10.6	Plan updated from lessons learned and industry changes	क्रॉसवॉक	A.5.27 Clause 10.1	वही विषय: सीखे गए सबक

PCI DSS है → ISO 27001 चाहिए

123 आवश्यकताएँ

76 मैप किए गए · · 10 कोई मैपिंग नहीं गैप व्यू में खोलें →

123 ISO/IEC 27001:2022 आवश्यकताओं में से 76 PCI DSS में किसी चीज़ से मैप होती हैं, 37 केवल ढीले तौर पर संबंधित हैं, और 10 का हमारे डेटा में कोई मैपिंग नहीं है।

संभवतः नया कार्य: PCI DSS से कोई मैपिंग न रखने वाली ISO 27001 आवश्यकताएँ (10)

ISO 27001	आवश्यकता	मिलान	PCI DSS	साक्ष्य
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 5.1	Leadership and commitment	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 6.2	Information security objectives and planning to achieve them	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 6.3	Planning of changes	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 7.5.1	General	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 7.5.2	Creating and updating	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 7.5.3	Control of documented information	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 9.2.1	General	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 9.2.2	Internal audit programme	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।
Clause 10.2	Nonconformity and corrective action	हमारे डेटा में कोई मैपिंग नहीं	—	हमारे डेटा में PCI DSS से कोई मैपिंग नहीं।

इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (37)

ISO 27001	आवश्यकता	मिलान	PCI DSS	साक्ष्य
A.5 Organizational controls · 9
A.5.3	Segregation of duties	ढीले तौर पर संबंधित	7.2.2 12.1.3 1.1.2+5	केवल CSF PR.AA-05, PR.DS-10, GV.RR-02 साझा करता है: संबंधित, मैपिंग नहीं
A.5.6	Contact with special interest groups	ढीले तौर पर संबंधित	12.10.6 10.7.1 10.7.2+5	केवल CSF GV.OV-01, RS.CO-03 साझा करता है: संबंधित, मैपिंग नहीं
A.5.8	Information security in project management	ढीले तौर पर संबंधित	1.2.3 1.2.4 6.2.1+5	केवल CSF GV.OC-05, ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं
A.5.10	Acceptable use of information and other associated assets	ढीले तौर पर संबंधित	2.3.1 3.2.1 3.3.1+5	केवल CSF PR.DS-02, PR.DS-10, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.5.17	Authentication information	ढीले तौर पर संबंधित	2.2.2 2.3.1 3.5.1.3+5	केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं
A.5.32	Intellectual property rights	ढीले तौर पर संबंधित	1.1.1 2.1.1 3.1.1+5	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
A.5.33	Protection of records	ढीले तौर पर संबंधित	3.3.1 3.5.1 3.5.1.3+5	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.5.34	Privacy and protection of PII	ढीले तौर पर संबंधित	1.1.1 2.1.1 3.1.1+5	केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं
A.5.35	Independent review of information security	ढीले तौर पर संबंधित	11.4.4 12.3.4 12.4.2+5	केवल CSF GV.OV-02, ID.IM-02, ID.IM-01 साझा करता है: संबंधित, मैपिंग नहीं
A.6 People controls · 4
A.6.2	Terms and conditions of employment	ढीले तौर पर संबंधित	7.2.2 2.3.1 3.2.1+5	केवल CSF GV.RR-04, PR.DS-10, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं
A.6.5	Responsibilities after termination or change of employment	ढीले तौर पर संबंधित	7.2.2 2.3.1 3.2.1+5	केवल CSF GV.RR-04, PR.DS-10, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं
A.6.6	Confidentiality or non-disclosure agreements	ढीले तौर पर संबंधित	7.2.2 8.2.5 9.3.1.1+4	केवल CSF GV.RR-04 साझा करता है: संबंधित, मैपिंग नहीं
A.6.7	Remote working	ढीले तौर पर संबंधित	7.2.2 12.1.3 8.2.5+5	केवल CSF GV.RR-04, PR.AA-05, GV.PO-01 साझा करता है: संबंधित, मैपिंग नहीं
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	ढीले तौर पर संबंधित	3.3.1 3.5.1 3.5.1.3+5	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.7.9	Security of assets off-premises	ढीले तौर पर संबंधित	3.3.1 3.5.1 3.5.1.3+5	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.7.10	Storage media	ढीले तौर पर संबंधित	3.3.1 3.5.1 3.5.1.3+5	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.7.13	Equipment maintenance	ढीले तौर पर संबंधित	6.2.1 6.2.2 6.2.3+5	केवल CSF ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं
A.8 Technological controls · 9
A.8.4	Access to source code	ढीले तौर पर संबंधित	7.2.2 2.3.1 3.2.1+5	केवल CSF PR.AA-05, PR.DS-10, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं
A.8.6	Capacity management	ढीले तौर पर संबंधित	5.2.1 5.2.2 5.3.2+5	केवल CSF DE.CM-09 साझा करता है: संबंधित, मैपिंग नहीं
A.8.23	Web filtering	ढीले तौर पर संबंधित	1.2.3 1.2.4 5.2.1+5	केवल CSF PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं
A.8.27	Secure system architecture and engineering principles	ढीले तौर पर संबंधित	12.10.1 12.10.2 12.10.6	केवल CSF PR.IR-03 साझा करता है: संबंधित, मैपिंग नहीं
A.8.30	Outsourced development	ढीले तौर पर संबंधित	7.2.5.1 10.7.2 11.3.1+5	केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं
A.8.31	Separation of development, test and production environments	ढीले तौर पर संबंधित	6.2.2 6.2.3 6.3.2+5	केवल CSF PR.PS-06 साझा करता है: संबंधित, मैपिंग नहीं
A.8.32	Change management	ढीले तौर पर संबंधित	12.3.1 7.2.5.1 8.6.3+5	केवल CSF GV.OV-03, ID.RA-07 साझा करता है: संबंधित, मैपिंग नहीं
A.8.33	Test information	ढीले तौर पर संबंधित	3.3.1 3.5.1 3.5.1.3+5	केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं
A.8.34	Protection of information systems during audit testing	ढीले तौर पर संबंधित	7.2.5.1 10.7.2 11.3.1+5	केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	ढीले तौर पर संबंधित	12.1.4 12.8.1 12.8.5+2	केवल CSF GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं
Clause 5.3	Organizational roles, responsibilities and authorities	ढीले तौर पर संबंधित	12.1.4 12.8.3 12.8.4+1	केवल CSF GV.SC-02 साझा करता है: संबंधित, मैपिंग नहीं
Clause 7.1	Resources	ढीले तौर पर संबंधित	12.1.4 12.10.3	केवल CSF GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं
Clause 7.2	Competence	ढीले तौर पर संबंधित	12.1.3 12.1.4 1.1.2+5	केवल CSF GV.RR-01, GV.RR-02, GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं
Clause 7.4	Communication	ढीले तौर पर संबंधित	12.10.1 12.8.2 12.10.3+3	केवल CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03 साझा करता है: संबंधित, मैपिंग नहीं
Clause 8.1	Operational planning and control	ढीले तौर पर संबंधित	1.2.3 1.2.4 6.3.1+5	केवल CSF GV.SC-01, RC.RP-04, GV.SC-03 साझा करता है: संबंधित, मैपिंग नहीं
Clause 8.2	Information security risk assessment	ढीले तौर पर संबंधित	12.1.1 12.1.4 12.8.1+3	केवल CSF GV.OC-01, GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं
Clause 8.3	Information security risk treatment	ढीले तौर पर संबंधित	12.1.1 12.1.4 12.8.1+3	केवल CSF GV.OC-01, GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं
Clause 9.3.1	General	ढीले तौर पर संबंधित	2.2.1 2.2.2	केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं
Clause 9.3.2	Management review inputs	ढीले तौर पर संबंधित	2.2.1 2.2.2	केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं
Clause 9.3.3	Management review results	ढीले तौर पर संबंधित	2.2.1 2.2.2	केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं

मैप किया गया (76)

ISO 27001	आवश्यकता	मिलान	PCI DSS	साक्ष्य
A.5 Organizational controls · 28
A.5.1	Policies for information security	क्रॉसवॉक	12.1.1 12.1.2	वही विषय: शासन नीति
A.5.2	Information security roles and responsibilities	क्रॉसवॉक	12.1.3 12.1.4	वही विषय: भूमिकाएँ और उत्तरदायित्व
A.5.4	Management responsibilities	क्रॉसवॉक	12.1.3 12.1.4	वही विषय: भूमिकाएँ और उत्तरदायित्व
A.5.5	Contact with authorities	क्रॉसवॉक	12.10.1	वही विषय: रिपोर्टिंग
A.5.7	Threat intelligence	क्रॉसवॉक	6.3.1	वही विषय: थ्रेट इंटेलिजेंस
A.5.9	Inventory of information and other associated assets	क्रॉसवॉक	6.3.2 12.5.1	वही विषय: एसेट प्रबंधन
A.5.11	Return of assets	क्रॉसवॉक	6.3.2 12.5.1	वही विषय: एसेट प्रबंधन
A.5.12	Classification of information	संपादकीय	9.4.2	वही विषय: डेटा वर्गीकरण (संपादकीय पसंद)
A.5.13	Labelling of information	संपादकीय	9.4.2	वही विषय: डेटा वर्गीकरण (संपादकीय पसंद)
A.5.14	Information transfer	क्रॉसवॉक	3.2.1 3.3.1 3.4.1+1	वही विषय: डेटा संरक्षण
A.5.15	Access control	क्रॉसवॉक	7.2.1 7.2.2 7.2.4+2	वही विषय: एक्सेस कंट्रोल, ज़ीरो ट्रस्ट
A.5.16	Identity management	क्रॉसवॉक	7.2.1 7.2.2 7.2.4+1	वही विषय: एक्सेस कंट्रोल
A.5.18	Access rights	क्रॉसवॉक	7.2.1 7.2.2 7.2.4+1	वही विषय: एक्सेस कंट्रोल
A.5.19	Information security in supplier relationships	क्रॉसवॉक	6.3.2 12.8.1 12.8.2+3	वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन
A.5.20	Addressing information security within supplier agreements	क्रॉसवॉक	12.8.1 12.8.2 12.8.3+2	वही विषय: वेंडर जोखिम प्रबंधन
A.5.21	Managing information security in the ICT supply chain	क्रॉसवॉक	6.3.2 12.8.1	वही विषय: आपूर्ति श्रृंखला जोखिम
A.5.22	Monitoring, review and change management of supplier services	क्रॉसवॉक	12.8.1 12.8.2 12.8.3+2	वही विषय: वेंडर जोखिम प्रबंधन
A.5.23	Information security for use of cloud services	क्रॉसवॉक	12.8.1 12.8.5	वही विषय: क्लाउड सुरक्षा
A.5.24	Information security incident management planning and preparation	क्रॉसवॉक	12.10.1 12.10.2 12.10.3+1	वही विषय: घटना प्रतिक्रिया
A.5.25	Assessment and decision on information security events	क्रॉसवॉक	10.4.1 12.10.1 12.10.2+2	वही विषय: SIEM / SOC, घटना प्रतिक्रिया
A.5.26	Response to information security incidents	क्रॉसवॉक	12.10.1 12.10.2 12.10.3+1	वही विषय: घटना प्रतिक्रिया, शमन
A.5.27	Learning from information security incidents	क्रॉसवॉक	12.10.6	वही विषय: सीखे गए सबक
A.5.28	Collection of evidence	क्रॉसवॉक	10.3.2	वही विषय: फ़ॉरेंसिक
A.5.29	Information security during disruption	क्रॉसवॉक	12.10.1	वही विषय: रिकवरी योजना, व्यवसाय निरंतरता
A.5.30	ICT readiness for business continuity	क्रॉसवॉक	12.10.1	वही विषय: रिकवरी योजना, व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति
A.5.31	Legal, statutory, regulatory and contractual requirements	क्रॉसवॉक	12.4.2	वही विषय: अनुपालन
A.5.36	Compliance with policies, rules and standards for information security	संपादकीय	12.4.2	वही विषय: अनुपालन (संपादकीय पसंद)
A.5.37	Documented operating procedures	क्रॉसवॉक	12.1.1 12.1.2	वही विषय: शासन नीति
A.6 People controls · 4
A.6.1	Screening	क्रॉसवॉक	10.2.1 12.7.1	वही विषय: इनसाइडर थ्रेट
A.6.3	Information security awareness, education and training	क्रॉसवॉक	12.6.1 12.6.3	वही विषय: जागरूकता और प्रशिक्षण
A.6.4	Disciplinary process	क्रॉसवॉक	10.2.1 12.7.1	वही विषय: इनसाइडर थ्रेट
A.6.8	Information security event reporting	क्रॉसवॉक	12.10.1	वही विषय: रिपोर्टिंग
A.7 Physical controls · 10
A.7.1	Physical security perimeters	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.2	Physical entry	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.3	Securing offices, rooms and facilities	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.4	Physical security monitoring	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.5	Protecting against physical and environmental threats	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.6	Working in secure areas	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.8	Equipment siting and protection	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.11	Supporting utilities	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.12	Cabling security	क्रॉसवॉक	9.2.3 9.3.1.1 9.2.1+3	वही विषय: भौतिक सुरक्षा
A.7.14	Secure disposal or re-use of equipment	क्रॉसवॉक	6.3.2 12.5.1	वही विषय: एसेट प्रबंधन
A.8 Technological controls · 25
A.8.1	User endpoint devices	संपादकीय	5.2.1 5.2.2 5.3.2	वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद)
A.8.2	Privileged access rights	क्रॉसवॉक	7.2.2	वही विषय: विशेषाधिकार प्राप्त पहुँच
A.8.3	Information access restriction	क्रॉसवॉक	7.2.1 7.2.2 7.2.4+1	वही विषय: एक्सेस कंट्रोल
A.8.5	Secure authentication	क्रॉसवॉक	6.2.3 7.2.1 8.3.1+5	वही विषय: API सुरक्षा, ज़ीरो ट्रस्ट
A.8.7	Protection against malware	संपादकीय	5.2.1 5.2.2 5.3.2	वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद)
A.8.8	Management of technical vulnerabilities	क्रॉसवॉक	6.3.1 6.3.3 11.3.1+1	वही विषय: भेद्यता प्रबंधन, पैच प्रबंधन
A.8.9	Configuration management	क्रॉसवॉक	2.2.1 2.2.2	वही विषय: सुरक्षित कॉन्फ़िगरेशन
A.8.10	Information deletion	क्रॉसवॉक	3.2.1 3.3.1 3.4.1	वही विषय: डेटा संरक्षण
A.8.11	Data masking	क्रॉसवॉक	3.2.1 3.3.1 3.4.1	वही विषय: डेटा संरक्षण
A.8.12	Data leakage prevention	संपादकीय	3.4.2	वही विषय: DLP (संपादकीय पसंद)
A.8.13	Information backup	क्रॉसवॉक	9.4.1.1	वही विषय: बैकअप और रिकवरी
A.8.14	Redundancy of information processing facilities	क्रॉसवॉक	12.10.1	वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति
A.8.15	Logging	क्रॉसवॉक	10.2.1 10.3.2 10.6.1+1	वही विषय: लॉगिंग और ऑडिट
A.8.16	Monitoring activities	क्रॉसवॉक	10.2.1 10.4.1 12.7.1+2	वही विषय: इनसाइडर थ्रेट, सतत निगरानी, SIEM / SOC
A.8.17	Clock synchronization	क्रॉसवॉक	10.2.1 10.3.2 10.6.1+1	वही विषय: लॉगिंग और ऑडिट
A.8.18	Use of privileged utility programs	क्रॉसवॉक	7.2.2	वही विषय: विशेषाधिकार प्राप्त पहुँच
A.8.19	Installation of software on operational systems	क्रॉसवॉक	5.2.1 5.2.2 5.3.2	वही विषय: एंडपॉइंट सुरक्षा
A.8.20	Networks security	क्रॉसवॉक	1.2.3 1.2.1 1.3.1+2	वही विषय: फ़ायरवॉल / नेट सेग
A.8.21	Security of network services	क्रॉसवॉक	1.2.3 1.2.1 1.3.1+1	वही विषय: फ़ायरवॉल / नेट सेग
A.8.22	Segregation of networks	क्रॉसवॉक	1.2.3 7.2.1 8.3.1+3	वही विषय: फ़ायरवॉल / नेट सेग, ज़ीरो ट्रस्ट
A.8.24	Use of cryptography	क्रॉसवॉक	3.5.1 3.6.1 4.2.1+3	वही विषय: एन्क्रिप्शन
A.8.25	Secure development life cycle	क्रॉसवॉक	6.2.2 6.2.3 6.2.1	वही विषय: सुरक्षित विकास
A.8.26	Application security requirements	क्रॉसवॉक	6.2.2 6.2.3 6.2.1+3	वही विषय: सुरक्षित विकास, API सुरक्षा
A.8.28	Secure coding	क्रॉसवॉक	6.2.2 6.2.3 6.2.1	वही विषय: सुरक्षित विकास
A.8.29	Security testing in development and acceptance	क्रॉसवॉक	6.2.2 6.2.3 6.2.1	वही विषय: सुरक्षित विकास
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	क्रॉसवॉक	12.5.2	वही विषय: व्यावसायिक परिवेश
Clause 4.2	Understanding the needs and expectations of interested parties	क्रॉसवॉक	12.5.2	वही विषय: व्यावसायिक परिवेश
Clause 5.2	Policy	क्रॉसवॉक	12.1.1 12.1.2	वही विषय: शासन नीति
Clause 6.1.1	General	क्रॉसवॉक	12.3.1	वही विषय: जोखिम प्रबंधन
Clause 6.1.2	Information security risk assessment	क्रॉसवॉक	12.3.1	वही विषय: जोखिम मूल्यांकन
Clause 6.1.3	Information security risk treatment	क्रॉसवॉक	12.3.1	वही विषय: जोखिम प्रबंधन, जोखिम मूल्यांकन
Clause 7.3	Awareness	क्रॉसवॉक	12.6.1 12.6.3	वही विषय: जागरूकता और प्रशिक्षण
Clause 9.1	Monitoring, measurement, analysis and evaluation	क्रॉसवॉक	12.4.2	वही विषय: अनुपालन
Clause 10.1	Continual improvement	संपादकीय	12.10.6	वही विषय: सीखे गए सबक (संपादकीय पसंद)

विषय के अनुसार

दोनों में शामिल (46):

केवल ISO 27001 (4):

मोबाइल सुरक्षा DNS सुरक्षा संचार संचार और बहाली

प्रश्न

क्या ISO 27001 PCI DSS की जगह ले सकता है?

नहीं। कार्ड ब्रांड ISO प्रमाणन की परवाह किए बिना PCI DSS सत्यापन माँगते हैं। ISO उस कार्यक्रम को चलाने में मदद करता है जिस पर PCI अनुपालन निर्भर है।

क्या PCI DSS एक कानून है?

नहीं। यह एक मानक है जो कार्ड ब्रांड और एक्वायरर के साथ अनुबंधों के माध्यम से लागू होता है। कुछ क्षेत्राधिकार इसका कानून में उल्लेख करते हैं, लेकिन इसका अधिकार भुगतान नेटवर्क समझौतों से आता है।

क्या एक नियंत्रण ISO 27001 और PCI DSS, दोनों को पूरा कर सकता है?

अक्सर हाँ, यदि उसे PCI DSS की अधिक विशिष्ट आवश्यकताओं के अनुसार लागू किया गया हो। ISO 27001 किसी भी अच्छी तरह से औचित्यपूर्ण कार्यान्वयन को स्वीकार करता है, इसलिए PCI की आवृत्तियों और सेटिंग्स के अनुसार डिज़ाइन करना आमतौर पर दोनों को संतुष्ट करता है।

कौन सा कठिन है, ISO 27001 या PCI DSS?

PCI DSS अपने दायरे के भीतर अधिक निर्धारित और तकनीकी है; ISO 27001 व्यापक है और एक प्रबंधन प्रणाली की माँग करता है। छोटे कार्डधारक डेटा वातावरण के साथ, PCI DSS दोनों में से हल्का हो सकता है।

PCI DSS मर्चेंट स्तर क्या है?

कार्ड ब्रांड मर्चेंट और सर्विस प्रोवाइडर को वार्षिक लेनदेन मात्रा के आधार पर वर्गीकृत करते हैं। स्तर तय करता है कि अनुपालन कैसे सत्यापित होगा: सबसे बड़ों के लिए QSA अनुपालन रिपोर्ट, अधिकतर अन्य के लिए सेल्फ-असेसमेंट प्रश्नावली।

क्या ISO 27001 PCI DSS मूल्यांकन में मदद करता है?

हाँ, विशेषकर नीतियों, जोखिम आकलन, भूमिकाओं, आपूर्तिकर्ता प्रबंधन और घटना प्रतिक्रिया में। यह PCI-विशिष्ट साक्ष्य का स्थान नहीं लेता।

क्या PCI DSS v4.0.1 को ISO 27001 की तरह जोखिम आकलन चाहिए?

उसी रूप में संपूर्ण-संगठन स्तर का नहीं। PCI DSS v4.0 ने उन आवश्यकताओं के लिए लक्षित जोखिम विश्लेषण पेश किए जिनकी आवृत्ति आप तय कर सकते हैं, और क्रिप्टोग्राफी व तकनीकों की वार्षिक समीक्षा की अपेक्षा रखता है, लेकिन ISO 27001 का जोखिम आकलन अधिक व्यापक है।

आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।

क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · ढीले तौर पर संबंधित केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. मैप किया गया = ControlMapping के किसी विषय में एक साथ संकलित, या सीधे लिंक किया गया। क्रॉसवॉक अनुपालन को सिद्ध नहीं करते। पद्धति · डेटा डाउनलोड करें · गलती की रिपोर्ट करें.