ISO 27001 बनाम SOC 2: क्या लागू होता है और क्या नहीं
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · डेटा 2026-10-27
Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17
ISO/IEC 27001 और SOC 2 एक ही ग्राहक प्रश्न का उत्तर देते हैं, “क्या हम आप पर अपना डेटा भरोसे से सौंप सकते हैं?”, लेकिन अलग-अलग तरीकों से। ISO 27001 एक प्रबंधन प्रणाली को प्रमाणित करता है: एक मान्यता-प्राप्त प्रमाणन निकाय पुष्टि करता है कि आप एक सूचना सुरक्षा प्रबंधन प्रणाली (ISMS) चलाते हैं जो खंड 4 से 10 की आवश्यकताओं को पूरा करती है, और आपने प्रयोज्यता विवरण (Statement of Applicability) में तय किया है कि 93 Annex A नियंत्रणों में से कौन से लागू होते हैं। SOC 2 एक अटेस्टेशन है: एक CPA फ़र्म रिपोर्ट करती है कि आपके नियंत्रण AICPA के ट्रस्ट सर्विसेज़ मानदंडों को पूरा करते हैं या नहीं। Type II रिपोर्ट यह बताती है कि एक अवधि में वे कैसे संचालित हुए, आमतौर पर 3 से 12 महीने।
तकनीकी ओवरलैप बड़ा है। एक्सेस कंट्रोल, लॉगिंग और मॉनिटरिंग, चेंज मैनेजमेंट, कमज़ोरी प्रबंधन, घटना प्रतिक्रिया, आपूर्तिकर्ता प्रबंधन और बैकअप दोनों में दिखते हैं, और एक के लिए किया गया अधिकांश सुरक्षा कार्य दूसरे में भी गिना जाता है। अंतर नियंत्रणों में नहीं, बल्कि संरचना और ज़ोर में है।
SOC 2 से ISO 27001 की ओर जाने पर असली अतिरिक्त काम प्रबंधन प्रणाली का है। ISO के लिए परिभाषित ISMS दायरा, सूचना सुरक्षा उद्देश्य, नियंत्रण में दस्तावेज़ित सूचना, प्रयोज्यता विवरण के साथ जोखिम मूल्यांकन और उपचार प्रक्रिया, आंतरिक ऑडिट और प्रबंधन समीक्षाएँ आवश्यक हैं। ये वे ISO खंड हैं जो नीचे की तुलना में असुमेलित दिखते हैं, साथ ही कुछ Annex A नियंत्रण भी (विशेषकर भौतिक सुरक्षा), जिन्हें केवल-क्लाउड कंपनियों के लिए SOC 2 ऑडिटर अक्सर हल्के में लेते हैं।
ISO 27001 से SOC 2 की ओर जाने पर लगभग हर सुरक्षा मानदंड का ISO में समकक्ष है, जिनमें नियंत्रण-वातावरण से जुड़े मानदंड (बोर्ड की निगरानी, अखंडता और नैतिक मूल्य, जवाबदेही) भी शामिल हैं। नया काम उन वैकल्पिक श्रेणियों में है जिन्हें आप शामिल करते हैं। प्रोसेसिंग इंटेग्रिटी और अधिकांश गोपनीयता (Privacy) मानदंडों का कोई ISMS समकक्ष नहीं है, इसलिए वे यहाँ कोई मैपिंग नहीं दिखाते; अपवाद हैं अवधारण, निपटान और उल्लंघन सूचना, जिन्हें ISO के रिकॉर्ड, मिटाने और घटना नियंत्रण आंशिक रूप से कवर करते हैं। उपलब्धता (Availability) और गोपनीयता (Confidentiality) आमतौर पर वही हैं जो ISO पहले से माँगता है।
एक नज़र में
| ISO 27001 | SOC 2 | |
|---|---|---|
| आपको क्या मिलता है | आपके ISMS के लिए प्रमाणपत्र, तीन वर्ष के लिए वैध | एक रिपोर्ट: आपके नियंत्रणों पर एक CPA फ़र्म की राय |
| जारी कौन करता है | एक मान्यता-प्राप्त प्रमाणन निकाय | एक लाइसेंसशुदा CPA फ़र्म |
| किसका परीक्षण होता है | प्रबंधन प्रणाली (खंड 4–10) और प्रयोज्यता विवरण में आपके चुने हुए Annex A नियंत्रण | ट्रस्ट सर्विसेज़ मानदंडों के नियंत्रण: सुरक्षा (Security), साथ में उपलब्धता, गोपनीयता, प्रोसेसिंग इंटेग्रिटी, गोपनीयता (Privacy) में से कोई भी |
| कवर की गई अवधि | बिंदु-समय ऑडिट: चरण 1 और 2, फिर वार्षिक निगरानी ऑडिट | Type I: एक तिथि। Type II: आमतौर पर 3–12 महीने का संचालन |
| इसे कौन माँगता है | दुनिया भर के ग्राहक, विशेषकर यूरोप, एशिया और सार्वजनिक क्षेत्र में | मुख्यतः अमेरिकी ग्राहकों की वेंडर-जोखिम टीमें |
| क्या यह सार्वजनिक रूप से साझा होता है? | प्रमाणपत्र, हाँ; ऑडिट रिपोर्ट, नहीं | नहीं: गोपनीयता समझौता (NDA) के तहत साझा होती है |
| पहली बार में अनुमानित प्रयास | छह से बारह महीने, मुख्यतः ISMS बनाने में | पहली Type II रिपोर्ट के लिए तीन से नौ महीने, मुख्यतः साक्ष्य जुटाने में |
आपको कौन सा चाहिए?
शुरुआत इस बात से करें कि पूछ कौन रहा है। यदि अमेरिकी एंटरप्राइज़ ग्राहक सुरक्षा प्रश्नावली भेजते हैं जिनमें “आपका SOC 2” माँगा जाता है, तो SOC 2 Type II रिपोर्ट ही सौदा पक्का करती है; ISO प्रमाणपत्र अक्सर स्वीकार किया जाता है, पर हमेशा नहीं। यदि ग्राहक यूरोप, एशिया या सार्वजनिक क्षेत्र में हैं, या निविदाओं में ISO/IEC 27001 लिखा है, तो प्रमाणपत्र ही अपेक्षित उत्तर है। अंतरराष्ट्रीय स्तर पर बेचने वाली कई सॉफ़्टवेयर कंपनियाँ अंततः दोनों रखती हैं।
यदि अभी तक कोई नहीं पूछ रहा, तो ISO 27001 अधिक टिकाऊ कार्यक्रम बनाता है, क्योंकि प्रबंधन प्रणाली जोखिम मूल्यांकन, उद्देश्यों, आंतरिक ऑडिट और प्रबंधन समीक्षा को अनिवार्य बनाती है। यदि कोई विशेष सौदा इस पर निर्भर है, तो SOC 2 पहले डिलीवरेबल तक जल्दी पहुँचता है।
सब कुछ दो बार किए बिना दोनों करना
- एक नियंत्रण सेट बनाएँ। हर नियंत्रण को उसके Annex A नियंत्रण और ट्रस्ट सर्विसेज़ मानदंड से मैप करें; नीचे की तुलना दिखाती है कि वे कहाँ मेल खाते हैं।
- ISMS एक बार लिखें। दायरा, जोखिम मूल्यांकन, प्रयोज्यता विवरण, आंतरिक ऑडिट और प्रबंधन समीक्षा ISO आवश्यकताएँ हैं, पर ये SOC 2 ऑडिटरों को वह शासन-साक्ष्य भी देते हैं जो CC1–CC5 माँगते हैं।
- साक्ष्य लगातार एकत्र करें। SOC 2 Type II पूरी अवधि में साक्ष्य का नमूना लेता है, इसलिए उसके लिए जुटाए गए साक्ष्य ISO निगरानी ऑडिट में भी काम आते हैं।
- ऑडिट कैलेंडर मिलाएँ। कुछ फ़र्म संयुक्त या लगातार (back-to-back) ऑडिट देती हैं; SOC 2 अवधि को ISO निगरानी चक्र के साथ मिलाने से व्यवधान घटता है।
- दोनों दिशाओं के अंतरों पर नज़र रखें। यदि दायरे में हों तो SOC 2 गोपनीयता (Privacy) और प्रोसेसिंग इंटेग्रिटी जोड़ता है; ISO प्रबंधन-प्रणाली खंड और भौतिक सुरक्षा जोड़ता है, जिन्हें केवल-क्लाउड SOC 2 दायरे हल्के में लेते हैं।
लागत और प्रयास
किसी की कीमत तय नहीं होती। बाहरी शुल्क (प्रमाणन निकाय या CPA फ़र्म) दायरे, कर्मचारियों की संख्या और स्थानों पर निर्भर करता है, और आमतौर पर आंतरिक प्रयास और टूलिंग से कम होता है। पहली बार करने वाली छोटी कंपनी के लिए उस व्यक्ति के कुछ महीनों के अंशकालिक काम का बजट रखें जो कार्यक्रम का मालिक है, साथ में ऑडिट शुल्क। दोनों करना किसी एक को दो गुना करने से कम खर्चीला है, क्योंकि अधिकांश नियंत्रण और साक्ष्य साझा होते हैं।
दोनों करने की एक यथार्थवादी समयरेखा
SOC 2 से शुरुआत करने वाली सॉफ़्टवेयर कंपनी का एक सामान्य रास्ता:
- महीने 1–3: तैयारी। सिस्टम का दायरा तय करें, नीतियाँ लिखें, गैप विश्लेषण में मिले गैप बंद करें, CPA फ़र्म चुनें।
- महीना 3: Type I (वैकल्पिक), जैसे ही नियंत्रण डिज़ाइन होकर लागू हो जाएँ।
- महीने 3–9: पहली Type II अवलोकन अवधि, आमतौर पर तीन से छह महीने, जिसके अंत के कुछ हफ़्ते बाद रिपोर्ट आती है।
- महीने 6–12: ISMS जोड़ें। ISO दायरा परिभाषित करें, जोखिम मूल्यांकन चलाएँ, प्रयोज्यता विवरण लिखें, और एक आंतरिक ऑडिट व एक प्रबंधन समीक्षा करें। अधिकांश Annex A नियंत्रण SOC 2 के लिए पहले से चल रहे होते हैं।
- महीने 10–14: ISO चरण 1 और चरण 2 ऑडिट।
ISO 27001 से शुरू करने पर क्रम उलट जाता है: प्रमाणन तक छह से बारह महीने, फिर SOC 2 तैयारी जाँच और तीन से छह महीने की अवलोकन अवधि। किसी भी तरह, दूसरे फ़्रेमवर्क में पहले के समय का एक अंश लगता है।
कार्यकारी उदाहरण: 50 कर्मचारियों वाली SaaS कंपनी
मान लीजिए 50 कर्मचारियों की एक B2B सॉफ़्टवेयर कंपनी के पास सुरक्षा, उपलब्धता और गोपनीयता को कवर करने वाली SOC 2 Type II रिपोर्ट है। एक बड़ा यूरोपीय ग्राहक अब ISO 27001 प्रमाणन माँगता है।
क्या आगे बढ़ता है: एक्सेस कंट्रोल, चेंज मैनेजमेंट, लॉगिंग और मॉनिटरिंग, कमज़ोरी प्रबंधन, घटना प्रतिक्रिया, वेंडर प्रबंधन, बैकअप और व्यवसाय निरंतरता। कंपनी ये नियंत्रण पहले से चलाती है और इनके लिए साक्ष्य जुटाती है, इसलिए ये काफ़ी हद तक जैसे हैं वैसे ही प्रयोज्यता विवरण में चले जाते हैं।
क्या नया है: ISMS स्वयं। कंपनी को एक दस्तावेज़ित दायरा चाहिए (संभवतः उत्पाद, उसका इंफ़्रास्ट्रक्चर और उसे चलाने वाली टीमें), मापन के साथ सूचना सुरक्षा उद्देश्य, एक औपचारिक जोखिम मूल्यांकन विधि और रजिस्टर, न्यायसंगत बहिष्करणों वाला प्रयोज्यता विवरण, काम से स्वतंत्र किसी व्यक्ति द्वारा आंतरिक ऑडिट, और कार्यवृत्त के साथ प्रबंधन समीक्षा। कुछ Annex A नियंत्रणों पर भी ध्यान चाहिए, आमतौर पर कार्यालय की भौतिक सुरक्षा और थ्रेट इंटेलिजेंस।
लागत क्या है: मुख्यतः उस व्यक्ति का समय जो ISMS का मालिक है, साथ में प्रमाणन निकाय का शुल्क और, यदि कोई स्वतंत्र व्यक्ति उपलब्ध न हो, तो बाहरी आंतरिक ऑडिटर। चूँकि नियंत्रण और साक्ष्य पहले से मौजूद हैं, दूसरे फ़्रेमवर्क की लागत पहले की तुलना में कहीं कम है।
मुख्य बिंदु
- एक नियंत्रण सेट चलाएँ और उसके साक्ष्य दो बार दें। हर नियंत्रण को एक Annex A नियंत्रण और एक ट्रस्ट सर्विसेज़ मानदंड, दोनों से मैप करें।
- SOC 2 → ISO: ISMS के लिए बजट रखें (दायरा, उद्देश्य, जोखिम उपचार, SoA, आंतरिक ऑडिट, प्रबंधन समीक्षा), नए तकनीकी नियंत्रणों के लिए नहीं।
- ISO → SOC 2: जल्दी तय करें कि आप किन वैकल्पिक श्रेणियों के दायरे में हैं। गोपनीयता (Privacy) और प्रोसेसिंग इंटेग्रिटी वहीं नया काम आता है।
61 SOC 2 (Trust Services Criteria) आवश्यकताओं में से 41 ISO 27001 में किसी चीज़ से मैप होती हैं, 0 केवल ढीले तौर पर संबंधित हैं, और 20 का हमारे डेटा में कोई मैपिंग नहीं है।
AICPA के SOC 2 मैपिंग खुले लाइसेंस के तहत नहीं हैं, इसलिए यहाँ हर SOC 2 लिंक ControlMapping का संपादकीय है: जिन मानदंडों का हमने मैपिंग नहीं किया है, वे मेल नहीं खा सकते। प्रोसेसिंग इंटेग्रिटी (PI) मानदंडों और अधिकांश गोपनीयता (P) मानदंडों का सुरक्षा फ़्रेमवर्क में कोई समकक्ष नहीं है।
संभवतः नया कार्य: ISO 27001 से कोई मैपिंग न रखने वाली SOC 2 आवश्यकताएँ (20)
| SOC 2 | आवश्यकता | मिलान | ISO 27001 | साक्ष्य |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P2.1 | Choice and consent | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P3.1 | Collection limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P3.2 | Explicit consent where required | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P4.1 | Use limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P5.1 | Data subject access | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P5.2 | Correction of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.1 | Disclosure to third parties with consent | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.2 | Record of authorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.3 | Record of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.4 | Privacy commitments from third parties | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.5 | Notification by third parties of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P6.7 | Accounting of disclosures to data subjects | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P7.1 | Quality of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| P8.1 | Handling privacy inquiries, complaints and disputes | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| PI1.2 | Controls over system inputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| PI1.3 | Controls over system processing | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| PI1.4 | Controls over system outputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| PI1.5 | Storing inputs, items in processing and outputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
मैप किया गया (41)
| SOC 2 | आवश्यकता | मिलान | ISO 27001 | साक्ष्य |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | संपादकीय | A.5.29A.5.30A.8.14+1 | वही विषय: व्यवसाय निरंतरता (संपादकीय पसंद) |
| A1.2 | Environmental protections, backups and recovery infrastructure | संपादकीय | A.5.29A.5.30A.8.13+2 | वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति, बैकअप और रिकवरी (संपादकीय पसंद) |
| A1.3 | Testing recovery plan procedures | संपादकीय | A.5.29A.5.30A.8.14 | वही विषय: रिकवरी योजना, आपदा पुनर्प्राप्ति (संपादकीय पसंद) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | संपादकीय | A.5.12A.5.13 | वही विषय: डेटा वर्गीकरण (संपादकीय पसंद) |
| C1.2 | Disposing of confidential information | संपादकीय | A.5.14A.8.10A.8.11+1 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | संपादकीय | A.5.1A.5.37Clause 5.2+2 | वही विषय: शासन नीति (संपादकीय पसंद) |
| CC1.2 | Board independence and oversight of internal control | संपादकीय | A.5.2A.5.4Clause 5.1+1 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | संपादकीय | A.5.2A.5.4Clause 5.3 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | संपादकीय | A.6.3Clause 7.3A.6.1+1 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| CC1.5 | Accountability for internal control responsibilities | संपादकीय | A.5.2A.5.4A.6.4+1 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | संपादकीय | Clause 9.1 | ControlMapping संपादकीय: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | संपादकीय | A.6.3Clause 7.3A.5.1+1 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| CC2.3 | Communication with external parties | संपादकीय | A.5.5A.5.6A.5.26+2 | वही विषय: रिपोर्टिंग, संचार, संचार और बहाली (संपादकीय पसंद) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | संपादकीय | Clause 4.1Clause 4.2Clause 6.1.1+3 | वही विषय: व्यावसायिक परिवेश, जोखिम प्रबंधन (संपादकीय पसंद) |
| CC3.2 | Risk identification and analysis | संपादकीय | Clause 6.1.2Clause 6.1.3Clause 8.2 | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC3.3 | Considering the potential for fraud | संपादकीय | Clause 6.1.2Clause 6.1.3 | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC3.4 | Identifying and assessing significant changes | संपादकीय | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | संपादकीय | A.5.31A.5.36Clause 9.1+2 | वही विषय: अनुपालन (संपादकीय पसंद) |
| CC4.2 | Communicating and remediating control deficiencies | संपादकीय | A.5.31A.5.36Clause 9.1+2 | वही विषय: अनुपालन (संपादकीय पसंद) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | संपादकीय | Clause 6.1.1Clause 6.1.3Clause 8.3 | वही विषय: जोखिम प्रबंधन (संपादकीय पसंद) |
| CC5.2 | General controls over technology | संपादकीय | A.8.9Clause 6.1.3 | वही विषय: सुरक्षित कॉन्फ़िगरेशन (संपादकीय पसंद) |
| CC5.3 | Control activities deployed through policies and procedures | संपादकीय | A.5.1A.5.37Clause 5.2 | वही विषय: शासन नीति (संपादकीय पसंद) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | संपादकीय | A.5.9A.5.11A.5.15+6 | वही विषय: एसेट प्रबंधन, एक्सेस कंट्रोल (संपादकीय पसंद) |
| CC6.2 | User registration, authorization and removal | संपादकीय | A.5.15A.5.16A.5.18+1 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| CC6.3 | Role-based access, least privilege and segregation of duties | संपादकीय | A.5.15A.5.16A.5.18+4 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| CC6.4 | Physical access restrictions | संपादकीय | A.7.1A.7.2A.7.3+6 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| CC6.5 | Protection of data when assets are disposed of | संपादकीय | A.5.14A.8.10A.8.11 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| CC6.6 | Protection against threats from outside system boundaries | संपादकीय | A.5.15A.8.5A.8.20+3 | वही विषय: ज़ीरो ट्रस्ट, फ़ायरवॉल / नेट सेग, WAF (संपादकीय पसंद) |
| CC6.7 | Restricting transmission, movement and removal of information | संपादकीय | A.6.7A.8.1A.8.12+1 | वही विषय: मोबाइल सुरक्षा, DLP (संपादकीय पसंद) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | संपादकीय | A.5.14A.8.1A.8.7+1 | वही विषय: ईमेल सुरक्षा, एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | संपादकीय | A.8.8A.8.9 | वही विषय: भेद्यता प्रबंधन, पैच प्रबंधन, सुरक्षित कॉन्फ़िगरेशन (संपादकीय पसंद) |
| CC7.2 | Monitoring system components for anomalies | संपादकीय | A.8.15A.8.16A.8.17 | वही विषय: लॉगिंग और ऑडिट, सतत निगरानी, घुसपैठ का पता लगाना, विसंगति पहचान (Anomaly Detection) (संपादकीय पसंद) |
| CC7.3 | Evaluating security events to determine if they are incidents | संपादकीय | A.5.24A.5.25A.5.26+1 | वही विषय: घटना प्रतिक्रिया, SIEM / SOC (संपादकीय पसंद) |
| CC7.4 | Responding to identified security incidents | संपादकीय | A.5.24A.5.25A.5.26+1 | वही विषय: घटना प्रतिक्रिया, शमन (संपादकीय पसंद) |
| CC7.5 | Recovering from identified security incidents | संपादकीय | A.5.26A.5.27A.5.29+3 | वही विषय: संचार और बहाली, सीखे गए सबक, रिकवरी योजना (संपादकीय पसंद) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | संपादकीय | A.8.25A.8.26A.8.28+3 | वही विषय: सुरक्षित विकास (संपादकीय पसंद) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | संपादकीय | A.5.29A.5.30A.8.14+2 | वही विषय: व्यवसाय निरंतरता (संपादकीय पसंद) |
| CC9.2 | Managing vendor and business partner risk | संपादकीय | A.5.19A.5.20A.5.21+2 | वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | संपादकीय | A.5.33A.5.34 | ControlMapping संपादकीय: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | संपादकीय | A.5.34A.8.10 | ControlMapping संपादकीय: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | संपादकीय | A.5.24A.5.26A.5.34 | ControlMapping संपादकीय: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
123 ISO/IEC 27001:2022 आवश्यकताओं में से 98 SOC 2 में किसी चीज़ से मैप होती हैं, 21 केवल ढीले तौर पर संबंधित हैं, और 4 का हमारे डेटा में कोई मैपिंग नहीं है।
संभवतः नया कार्य: SOC 2 से कोई मैपिंग न रखने वाली ISO 27001 आवश्यकताएँ (4)
| ISO 27001 | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
| Clause 7.5.1 | General | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
| Clause 7.5.2 | Creating and updating | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
| Clause 7.5.3 | Control of documented information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (21)
| ISO 27001 | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | केवल CSF ID.RA-03, ID.RA-05, ID.RA-06 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | केवल CSF GV.OC-05, ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | केवल CSF PR.AA-03, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | केवल CSF GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | केवल CSF PR.DS-01, PR.IR-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | केवल CSF ID.AM-08, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | केवल CSF ID.AM-08, PR.IR-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | केवल CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.23 | Web filtering | CC6.6CC9.2 | केवल CSF PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | केवल CSF PR.IR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | केवल CSF PR.PS-06 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | केवल CSF GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | केवल CSF GV.SC-01, GV.SC-03, RC.RP-04 साझा करता है: संबंधित, मैपिंग नहीं | |
मैप किया गया (98)
| ISO 27001 | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | संपादकीय | CC1.1CC5.3CC2.2 | वही विषय: शासन नीति (संपादकीय पसंद) |
| A.5.2 | Information security roles and responsibilities | संपादकीय | CC1.2CC1.3CC1.5 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| A.5.3 | Segregation of duties | संपादकीय | CC6.3 | ControlMapping संपादकीय: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | संपादकीय | CC1.2CC1.3CC1.5 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| A.5.5 | Contact with authorities | संपादकीय | CC2.3 | वही विषय: रिपोर्टिंग (संपादकीय पसंद) |
| A.5.6 | Contact with special interest groups | संपादकीय | CC2.3 | वही विषय: संचार (संपादकीय पसंद) |
| A.5.9 | Inventory of information and other associated assets | संपादकीय | CC6.1 | वही विषय: एसेट प्रबंधन (संपादकीय पसंद) |
| A.5.11 | Return of assets | संपादकीय | CC6.1 | वही विषय: एसेट प्रबंधन (संपादकीय पसंद) |
| A.5.12 | Classification of information | संपादकीय | C1.1 | वही विषय: डेटा वर्गीकरण (संपादकीय पसंद) |
| A.5.13 | Labelling of information | संपादकीय | C1.1 | वही विषय: डेटा वर्गीकरण (संपादकीय पसंद) |
| A.5.14 | Information transfer | संपादकीय | C1.2CC6.5CC6.8 | वही विषय: डेटा संरक्षण, ईमेल सुरक्षा (संपादकीय पसंद) |
| A.5.15 | Access control | संपादकीय | CC6.1CC6.2CC6.3+1 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| A.5.16 | Identity management | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| A.5.18 | Access rights | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| A.5.19 | Information security in supplier relationships | संपादकीय | CC9.2 | वही विषय: आपूर्ति श्रृंखला जोखिम, वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| A.5.20 | Addressing information security within supplier agreements | संपादकीय | CC9.2 | वही विषय: वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| A.5.21 | Managing information security in the ICT supply chain | संपादकीय | CC9.2 | वही विषय: आपूर्ति श्रृंखला जोखिम (संपादकीय पसंद) |
| A.5.22 | Monitoring, review and change management of supplier services | संपादकीय | CC9.2 | वही विषय: वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| A.5.23 | Information security for use of cloud services | संपादकीय | CC9.2 | वही विषय: क्लाउड सुरक्षा (संपादकीय पसंद) |
| A.5.24 | Information security incident management planning and preparation | संपादकीय | CC7.3CC7.4P6.6 | वही विषय: घटना प्रतिक्रिया (संपादकीय पसंद) |
| A.5.25 | Assessment and decision on information security events | संपादकीय | CC7.3CC7.4 | वही विषय: SIEM / SOC, घटना प्रतिक्रिया (संपादकीय पसंद) |
| A.5.26 | Response to information security incidents | संपादकीय | CC2.3CC7.3CC7.4+2 | वही विषय: संचार और बहाली, घटना प्रतिक्रिया, शमन (संपादकीय पसंद) |
| A.5.27 | Learning from information security incidents | संपादकीय | CC7.5 | वही विषय: सीखे गए सबक (संपादकीय पसंद) |
| A.5.28 | Collection of evidence | संपादकीय | CC7.4 | वही विषय: फ़ॉरेंसिक (संपादकीय पसंद) |
| A.5.29 | Information security during disruption | संपादकीय | A1.1A1.2A1.3+2 | वही विषय: व्यवसाय निरंतरता, रिकवरी योजना (संपादकीय पसंद) |
| A.5.30 | ICT readiness for business continuity | संपादकीय | A1.1A1.2A1.3+2 | वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति, रिकवरी योजना (संपादकीय पसंद) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | संपादकीय | CC4.1CC4.2 | वही विषय: अनुपालन (संपादकीय पसंद) |
| A.5.33 | Protection of records | संपादकीय | P4.2 | ControlMapping संपादकीय: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | संपादकीय | P4.2P4.3P6.6 | ControlMapping संपादकीय: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; ControlMapping संपादकीय: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; ControlMapping संपादकीय: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | संपादकीय | CC4.1 | ControlMapping संपादकीय: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | संपादकीय | CC4.1CC4.2 | वही विषय: अनुपालन (संपादकीय पसंद) |
| A.5.37 | Documented operating procedures | संपादकीय | CC1.1CC5.3 | वही विषय: शासन नीति (संपादकीय पसंद) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | संपादकीय | CC1.4 | ControlMapping संपादकीय: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | संपादकीय | CC1.4CC2.2 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| A.6.4 | Disciplinary process | संपादकीय | CC1.1CC1.5 | ControlMapping संपादकीय: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; ControlMapping संपादकीय: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | संपादकीय | CC6.7 | वही विषय: मोबाइल सुरक्षा (संपादकीय पसंद) |
| A.6.8 | Information security event reporting | संपादकीय | CC2.3 | वही विषय: रिपोर्टिंग (संपादकीय पसंद) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.2 | Physical entry | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.3 | Securing offices, rooms and facilities | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.4 | Physical security monitoring | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.5 | Protecting against physical and environmental threats | संपादकीय | CC6.4A1.2 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.6 | Working in secure areas | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.8 | Equipment siting and protection | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.11 | Supporting utilities | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.12 | Cabling security | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| A.7.14 | Secure disposal or re-use of equipment | संपादकीय | CC6.1C1.2 | वही विषय: एसेट प्रबंधन (संपादकीय पसंद) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | संपादकीय | CC6.7CC6.8 | वही विषय: मोबाइल सुरक्षा, एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| A.8.2 | Privileged access rights | संपादकीय | CC6.3 | वही विषय: विशेषाधिकार प्राप्त पहुँच (संपादकीय पसंद) |
| A.8.3 | Information access restriction | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| A.8.5 | Secure authentication | संपादकीय | CC6.1CC6.6 | वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन, ज़ीरो ट्रस्ट (संपादकीय पसंद) |
| A.8.6 | Capacity management | संपादकीय | A1.1 | ControlMapping संपादकीय: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | संपादकीय | CC6.8 | वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| A.8.8 | Management of technical vulnerabilities | संपादकीय | CC7.1 | वही विषय: भेद्यता प्रबंधन, पैच प्रबंधन (संपादकीय पसंद) |
| A.8.9 | Configuration management | संपादकीय | CC5.2CC7.1CC8.1 | वही विषय: सुरक्षित कॉन्फ़िगरेशन (संपादकीय पसंद) |
| A.8.10 | Information deletion | संपादकीय | C1.2CC6.5P4.3 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| A.8.11 | Data masking | संपादकीय | C1.2CC6.5 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| A.8.12 | Data leakage prevention | संपादकीय | CC6.7 | वही विषय: DLP (संपादकीय पसंद) |
| A.8.13 | Information backup | संपादकीय | A1.2 | वही विषय: बैकअप और रिकवरी (संपादकीय पसंद) |
| A.8.14 | Redundancy of information processing facilities | संपादकीय | A1.1A1.2A1.3+1 | वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति (संपादकीय पसंद) |
| A.8.15 | Logging | संपादकीय | CC7.2 | वही विषय: लॉगिंग और ऑडिट (संपादकीय पसंद) |
| A.8.16 | Monitoring activities | संपादकीय | CC7.2CC7.3 | वही विषय: सतत निगरानी, घुसपैठ का पता लगाना, विसंगति पहचान (Anomaly Detection), SIEM / SOC (संपादकीय पसंद) |
| A.8.17 | Clock synchronization | संपादकीय | CC7.2 | वही विषय: लॉगिंग और ऑडिट (संपादकीय पसंद) |
| A.8.18 | Use of privileged utility programs | संपादकीय | CC6.3 | वही विषय: विशेषाधिकार प्राप्त पहुँच (संपादकीय पसंद) |
| A.8.19 | Installation of software on operational systems | संपादकीय | CC6.8 | वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| A.8.20 | Networks security | संपादकीय | CC6.6 | वही विषय: फ़ायरवॉल / नेट सेग, WAF (संपादकीय पसंद) |
| A.8.21 | Security of network services | संपादकीय | CC6.6 | वही विषय: फ़ायरवॉल / नेट सेग (संपादकीय पसंद) |
| A.8.22 | Segregation of networks | संपादकीय | CC6.6 | वही विषय: फ़ायरवॉल / नेट सेग, ज़ीरो ट्रस्ट (संपादकीय पसंद) |
| A.8.24 | Use of cryptography | संपादकीय | CC6.1CC6.7 | वही विषय: एन्क्रिप्शन (संपादकीय पसंद) |
| A.8.25 | Secure development life cycle | संपादकीय | CC8.1 | वही विषय: सुरक्षित विकास (संपादकीय पसंद) |
| A.8.26 | Application security requirements | संपादकीय | CC6.6CC8.1 | वही विषय: वेब सुरक्षा, सुरक्षित विकास (संपादकीय पसंद) |
| A.8.28 | Secure coding | संपादकीय | CC8.1 | वही विषय: सुरक्षित विकास (संपादकीय पसंद) |
| A.8.29 | Security testing in development and acceptance | संपादकीय | CC8.1 | वही विषय: सुरक्षित विकास (संपादकीय पसंद) |
| A.8.32 | Change management | संपादकीय | CC8.1 | ControlMapping संपादकीय: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | संपादकीय | CC3.1 | वही विषय: व्यावसायिक परिवेश (संपादकीय पसंद) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | संपादकीय | CC3.1 | वही विषय: व्यावसायिक परिवेश (संपादकीय पसंद) |
| Clause 4.3 | Determining the scope of the ISMS | संपादकीय | CC3.1 | ControlMapping संपादकीय: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | संपादकीय | CC1.1CC1.2 | ControlMapping संपादकीय: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; ControlMapping संपादकीय: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | संपादकीय | CC1.1CC5.3 | वही विषय: शासन नीति (संपादकीय पसंद) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | संपादकीय | CC1.3CC1.5 | ControlMapping संपादकीय: Both require defined structures, reporting lines, roles and authorities for security.; ControlMapping संपादकीय: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | संपादकीय | CC3.1CC5.1CC9.1 | वही विषय: जोखिम प्रबंधन (संपादकीय पसंद) |
| Clause 6.1.2 | Information security risk assessment | संपादकीय | CC3.2CC3.3CC3.4 | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| Clause 6.1.3 | Information security risk treatment | संपादकीय | CC3.1CC3.2CC3.3+4 | वही विषय: जोखिम प्रबंधन, जोखिम मूल्यांकन (संपादकीय पसंद) |
| Clause 6.2 | Information security objectives and planning to achieve them | संपादकीय | CC3.1 | ControlMapping संपादकीय: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | संपादकीय | CC3.4 | ControlMapping संपादकीय: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | संपादकीय | CC1.4 | ControlMapping संपादकीय: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | संपादकीय | CC1.4CC2.2 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| Clause 7.4 | Communication | संपादकीय | CC2.3CC7.5CC2.2 | वही विषय: संचार, संचार और बहाली (संपादकीय पसंद) |
| Clause 8.2 | Information security risk assessment | संपादकीय | CC3.2CC3.4 | ControlMapping संपादकीय: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; ControlMapping संपादकीय: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | संपादकीय | CC5.1 | ControlMapping संपादकीय: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | संपादकीय | CC4.1CC4.2CC2.1 | वही विषय: अनुपालन (संपादकीय पसंद) |
| Clause 9.2.1 | General | संपादकीय | CC4.1 | ControlMapping संपादकीय: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | संपादकीय | CC4.1 | ControlMapping संपादकीय: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | संपादकीय | CC1.2CC4.2 | ControlMapping संपादकीय: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; ControlMapping संपादकीय: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | संपादकीय | CC1.2CC4.2 | ControlMapping संपादकीय: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; ControlMapping संपादकीय: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | संपादकीय | CC1.2CC4.2 | ControlMapping संपादकीय: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; ControlMapping संपादकीय: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | संपादकीय | CC7.5 | वही विषय: सीखे गए सबक (संपादकीय पसंद) |
| Clause 10.2 | Nonconformity and corrective action | संपादकीय | CC4.2 | ControlMapping संपादकीय: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
विषय के अनुसार
दोनों में शामिल (46):
केवल ISO 27001 (4):
प्रश्न
क्या ISO 27001 या SOC 2 बेहतर है?
कोई नहीं: दोनों एक ही सवाल का जवाब अलग दर्शकों के लिए देते हैं। ISO 27001 एक प्रबंधन प्रणाली के लिए अंतरराष्ट्रीय स्तर पर मान्यता-प्राप्त प्रमाणपत्र है; SOC 2 नियंत्रणों पर अमेरिकी शैली की अटेस्टेशन रिपोर्ट है। चुनाव इस आधार पर करें कि आपके ग्राहक क्या माँगते हैं।
क्या ISO 27001 प्रमाणन SOC 2 को कवर करता है?
औपचारिक रूप से नहीं: SOC 2 रिपोर्ट के लिए CPA फ़र्म द्वारा जाँच आवश्यक है। पर SOC 2 के अधिकांश सुरक्षा मानदंडों का ISO समकक्ष है, इसलिए ISO-प्रमाणित कंपनी को मुख्यतः वैकल्पिक श्रेणियाँ भरनी होती हैं और SOC 2 के प्रारूप में साक्ष्य जुटाने होते हैं।
क्या एक ही ऑडिटर दोनों कर सकता है?
कुछ फ़र्मों के पास मान्यता-प्राप्त प्रमाणन निकाय और CPA प्रैक्टिस दोनों होती हैं और वे समन्वित ऑडिट देती हैं, लेकिन दोनों अलग-अलग काम (engagement) रहते हैं, जिनकी डिलीवरेबल्स भी अलग होती हैं।
क्या SOC 2 या ISO 27001 हासिल करना कठिन है?
कोई भी सार्वभौमिक रूप से कठिन नहीं है। ISO 27001 अधिक शासन की माँग करता है (प्रबंधन प्रणाली और उसका दस्तावेज़ीकरण); SOC 2 Type II एक सतत अवधि में अधिक परिचालन साक्ष्य माँगता है। परिपक्व प्रक्रियाओं वाले पर कम दस्तावेज़ीकरण वाले संगठनों को अक्सर SOC 2 आसान लगता है; अच्छे दस्तावेज़ीकरण पर असमान साक्ष्य वाले संगठनों को अक्सर ISO आसान लगता है।
अंतरराष्ट्रीय स्तर पर कौन अधिक मान्यता-प्राप्त है?
ISO 27001। SOC 2 की अमेरिकी ग्राहकों द्वारा व्यापक रूप से माँग है और अन्यत्र उसकी समझ बढ़ रही है, पर ISO 27001 प्रमाणन अंतरराष्ट्रीय डिफ़ॉल्ट है, विशेषकर यूरोप, एशिया और सार्वजनिक-क्षेत्र की निविदाओं में।
इन्हें कितनी बार नवीनीकृत किया जाता है?
ISO 27001 प्रमाणपत्र तीन वर्ष के लिए वैध होता है, जिसमें पहले और दूसरे वर्ष में निगरानी ऑडिट होते हैं। SOC 2 रिपोर्ट एक बीती अवधि को कवर करती है, इसलिए ग्राहक हर साल नई Type II रिपोर्ट की अपेक्षा करते हैं, आदर्श रूप से अवधियों के बीच बिना किसी अंतर के।
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. मैप किया गया = ControlMapping के किसी विषय में एक साथ संकलित, या सीधे लिंक किया गया। क्रॉसवॉक अनुपालन को सिद्ध नहीं करते। पद्धति · डेटा डाउनलोड करें · गलती की रिपोर्ट करें.