तुलना
SOC 2 बनाम HIPAA: आश्वासन रिपोर्ट बनाम कानूनी दायित्व
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · डेटा 2026-10-27
हेल्थकेयर तकनीक कंपनियों को अक्सर दोनों की ज़रूरत होती है: HIPAA इसलिए, क्योंकि वे संरक्षित स्वास्थ्य सूचना संभालती हैं, आमतौर पर एक व्यावसायिक सहयोगी (business associate) के रूप में, और SOC 2 इसलिए, क्योंकि उनके ग्राहक स्वतंत्र आश्वासन चाहते हैं। ये दोनों अलग प्रकार के साधन हैं। HIPAA एक कानून है, जिसे Office for Civil Rights लागू करता है। SOC 2 एक स्वैच्छिक CPA अटेस्टेशन है। कुछ ऑडिटर HIPAA मानदंड जोड़कर SOC 2 रिपोर्ट भी देते हैं।
तकनीकी सुरक्षा उपाय काफ़ी हद तक एक-दूसरे से मेल खाते हैं: एक्सेस नियंत्रण, ऑडिट लॉगिंग, इंटीग्रिटी, प्रमाणीकरण, ट्रांसमिशन सुरक्षा, आकस्मिक योजना (contingency planning) और सुरक्षा जागरूकता, ये सभी दोनों में मौजूद हैं। SOC 2 से HIPAA की ओर जाने पर Security Rule की अधिकांश आवश्यकताएँ या तो मैप की गई हैं या ढीले तौर पर संबंधित हैं।
HIPAA की वे आवश्यकताएँ जो शेष रह जाती हैं, विशिष्ट हैं: मीडिया का पुन: उपयोग और व्यावसायिक सहयोगी अनुबंधों की सामग्री।
HIPAA से SOC 2 की ओर जाने पर अधिक हिस्सा बेमेल रहता है। SOC 2 एक औपचारिक परिवर्तन-प्रबंधन मानदंड की अपेक्षा करता है, जिसे Security Rule स्पष्ट रूप से नहीं बताता, और इसकी वैकल्पिक Privacy और Processing Integrity श्रेणियाँ Security Rule से आगे जाती हैं। यहाँ SOC 2 वाला पक्ष ControlMapping की संपादकीय मैपिंग है।
मुख्य बिंदु
- SOC 2 रिपोर्ट होने से आप HIPAA अनुपालक नहीं बन जाते, लेकिन उसके नियंत्रण आपके HIPAA सुरक्षा उपायों के अधिकांश हिस्से को पूरा कर सकते हैं।
- अपना HIPAA जोखिम विश्लेषण और व्यावसायिक सहयोगी समझौते अलग, स्पष्ट आर्टिफ़ैक्ट के रूप में रखें।
- यदि हेल्थकेयर ग्राहक लगातार दोनों की माँग करते रहें, तो HIPAA मानदंडों वाले SOC 2 पर विचार करें।
69 HIPAA Security Rule आवश्यकताओं में से 36 SOC 2 में किसी चीज़ से मैप होती हैं, 31 केवल ढीले तौर पर संबंधित हैं, और 2 का हमारे डेटा में कोई मैपिंग नहीं है।
केवल HIPAA सुरक्षा नियम को कवर करता है (गोपनीयता या उल्लंघन सूचना नियम को नहीं)।
संभवतः नया कार्य: SOC 2 से कोई मैपिंग न रखने वाली HIPAA आवश्यकताएँ (2)
| HIPAA | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में SOC 2 से कोई मैपिंग नहीं। |
इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (31)
| HIPAA | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | केवल CSF GV.PO-01, GV.PO-02, GV.OC-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | केवल CSF DE.CM-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | केवल CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | केवल CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | केवल CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | केवल CSF GV.PO-01, GV.PO-02, GV.OC-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | केवल CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | केवल CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | केवल CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | केवल CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | केवल CSF PR.AT-01, PR.AT-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | केवल CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | केवल CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | केवल CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | केवल CSF GV.PO-01, GV.PO-02, GV.OC-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | केवल CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | केवल CSF PR.AA-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | केवल CSF PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | केवल CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | केवल CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | केवल CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | केवल CSF ID.AM-08, ID.AM-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | केवल CSF ID.AM-08, ID.AM-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | केवल CSF ID.AM-08, ID.AM-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | केवल CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | केवल CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02… साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | केवल CSF ID.AM-08, ID.AM-03, ID.RA-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | केवल CSF ID.AM-07, ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | केवल CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
मैप किया गया (36)
| HIPAA | आवश्यकता | मिलान | SOC 2 | साक्ष्य |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | संपादकीय | CC3.2CC3.3CC3.4+1 | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | संपादकीय | CC3.1CC5.1CC7.1+1 | वही विषय: जोखिम प्रबंधन, भेद्यता प्रबंधन (संपादकीय पसंद) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | संपादकीय | CC7.2CC7.3 | वही विषय: सतत निगरानी, SIEM / SOC (संपादकीय पसंद) |
| §164.308(a)(2) | Assigned Security Responsibility | संपादकीय | CC1.2CC1.3CC1.5 | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| §164.308(a)(4) | Information Access Management | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| §164.308(a)(5) | Security Awareness and Training | संपादकीय | CC1.4CC2.2 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | संपादकीय | CC1.4CC2.2 | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | संपादकीय | CC6.8 | वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| §164.308(a)(6) | Security Incident Procedures | संपादकीय | CC7.3CC7.4 | वही विषय: घटना प्रतिक्रिया (संपादकीय पसंद) |
| §164.308(a)(6)(ii) | Required Response and Reporting | संपादकीय | CC2.3CC7.3CC7.4 | वही विषय: रिपोर्टिंग, घटना प्रतिक्रिया, शमन (संपादकीय पसंद) |
| §164.308(a)(7) | Contingency Plan | संपादकीय | A1.3CC7.5 | वही विषय: रिकवरी योजना (संपादकीय पसंद) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | संपादकीय | A1.2 | वही विषय: बैकअप और रिकवरी (संपादकीय पसंद) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | संपादकीय | A1.2A1.3CC7.5 | वही विषय: आपदा पुनर्प्राप्ति, रिकवरी योजना (संपादकीय पसंद) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | संपादकीय | A1.1A1.2CC9.1 | वही विषय: व्यवसाय निरंतरता (संपादकीय पसंद) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | संपादकीय | A1.2A1.3 | वही विषय: आपदा पुनर्प्राप्ति (संपादकीय पसंद) |
| §164.308(a)(8) | Evaluation | संपादकीय | CC4.1CC4.2CC7.1 | वही विषय: अनुपालन, भेद्यता प्रबंधन (संपादकीय पसंद) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | संपादकीय | CC9.2 | वही विषय: क्लाउड सुरक्षा, वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| §164.310(b) | Workstation Use | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| §164.310(c) | Workstation Security | संपादकीय | CC6.4 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| §164.310(d) | Device and Media Controls | संपादकीय | CC6.1CC6.7 | वही विषय: एसेट प्रबंधन, मोबाइल सुरक्षा (संपादकीय पसंद) |
| §164.310(d)(2)(i) | Required Disposal | संपादकीय | C1.2CC6.5 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| §164.310(d)(2)(iii) | Addressable Accountability | संपादकीय | CC6.1 | वही विषय: एसेट प्रबंधन (संपादकीय पसंद) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | संपादकीय | A1.2 | वही विषय: बैकअप और रिकवरी (संपादकीय पसंद) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| §164.312(a)(2)(i) | Required Unique User Identification | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | संपादकीय | CC6.1CC6.7 | वही विषय: एन्क्रिप्शन (संपादकीय पसंद) |
| §164.312(b) | Audit Controls | संपादकीय | CC7.2 | वही विषय: लॉगिंग और ऑडिट (संपादकीय पसंद) |
| §164.312(c) | Integrity | संपादकीय | C1.2CC6.5 | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| §164.312(d) | Person or Entity Authentication | संपादकीय | CC6.1CC6.2CC6.3 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| §164.312(e)(2)(ii) | Addressable Encryption | संपादकीय | CC6.1CC6.7 | वही विषय: एन्क्रिप्शन (संपादकीय पसंद) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | संपादकीय | CC9.2 | वही विषय: वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | संपादकीय | CC1.1CC5.3 | वही विषय: शासन नीति (संपादकीय पसंद) |
| §164.316(b)(2)(iii) | Required Updates | संपादकीय | CC1.1CC5.3 | वही विषय: शासन नीति (संपादकीय पसंद) |
61 SOC 2 (Trust Services Criteria) आवश्यकताओं में से 33 HIPAA में किसी चीज़ से मैप होती हैं, 3 केवल ढीले तौर पर संबंधित हैं, और 25 का हमारे डेटा में कोई मैपिंग नहीं है।
AICPA के SOC 2 मैपिंग खुले लाइसेंस के तहत नहीं हैं, इसलिए यहाँ हर SOC 2 लिंक ControlMapping का संपादकीय है: जिन मानदंडों का हमने मैपिंग नहीं किया है, वे मेल नहीं खा सकते। प्रोसेसिंग इंटेग्रिटी (PI) मानदंडों और अधिकांश गोपनीयता (P) मानदंडों का सुरक्षा फ़्रेमवर्क में कोई समकक्ष नहीं है।
संभवतः नया कार्य: HIPAA से कोई मैपिंग न रखने वाली SOC 2 आवश्यकताएँ (25)
| SOC 2 | आवश्यकता | मिलान | HIPAA | साक्ष्य |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P2.1 | Choice and consent | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P3.1 | Collection limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P3.2 | Explicit consent where required | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P4.1 | Use limited to privacy objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P4.2 | Retention of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P4.3 | Disposal of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P5.1 | Data subject access | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P5.2 | Correction of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.1 | Disclosure to third parties with consent | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.2 | Record of authorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.3 | Record of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.4 | Privacy commitments from third parties | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.5 | Notification by third parties of unauthorized disclosures | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.6 | Breach notification to affected individuals | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P6.7 | Accounting of disclosures to data subjects | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P7.1 | Quality of personal information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| P8.1 | Handling privacy inquiries, complaints and disputes | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| PI1.2 | Controls over system inputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| PI1.3 | Controls over system processing | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| PI1.4 | Controls over system outputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
| PI1.5 | Storing inputs, items in processing and outputs | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में HIPAA से कोई मैपिंग नहीं। |
इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (3)
| SOC 2 | आवश्यकता | मिलान | HIPAA | साक्ष्य |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | केवल CSF ID.AM-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | केवल CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… साझा करता है: संबंधित, मैपिंग नहीं | |
मैप किया गया (33)
| SOC 2 | आवश्यकता | मिलान | HIPAA | साक्ष्य |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | संपादकीय | §164.308(a)(7)(ii)(C) | वही विषय: व्यवसाय निरंतरता (संपादकीय पसंद) |
| A1.2 | Environmental protections, backups and recovery infrastructure | संपादकीय | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | वही विषय: बैकअप और रिकवरी, आपदा पुनर्प्राप्ति, व्यवसाय निरंतरता (संपादकीय पसंद) |
| A1.3 | Testing recovery plan procedures | संपादकीय | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | वही विषय: रिकवरी योजना, आपदा पुनर्प्राप्ति (संपादकीय पसंद) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | संपादकीय | §164.310(d)(2)(i)§164.312(c) | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | संपादकीय | §164.316(a)§164.316(b)(2)(iii) | वही विषय: शासन नीति (संपादकीय पसंद) |
| CC1.2 | Board independence and oversight of internal control | संपादकीय | §164.308(a)(2) | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | संपादकीय | §164.308(a)(2) | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | संपादकीय | §164.308(a)(5)§164.308(a)(5)(ii)(A) | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| CC1.5 | Accountability for internal control responsibilities | संपादकीय | §164.308(a)(2) | वही विषय: भूमिकाएँ और उत्तरदायित्व (संपादकीय पसंद) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | संपादकीय | §164.308(a)(5)§164.308(a)(5)(ii)(A) | वही विषय: जागरूकता और प्रशिक्षण (संपादकीय पसंद) |
| CC2.3 | Communication with external parties | संपादकीय | §164.308(a)(6)(ii) | वही विषय: रिपोर्टिंग (संपादकीय पसंद) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | संपादकीय | §164.308(a)(1)(ii)(B) | वही विषय: जोखिम प्रबंधन (संपादकीय पसंद) |
| CC3.2 | Risk identification and analysis | संपादकीय | §164.308(a)(1)(ii)(A) | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC3.3 | Considering the potential for fraud | संपादकीय | §164.308(a)(1)(ii)(A) | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC3.4 | Identifying and assessing significant changes | संपादकीय | §164.308(a)(1)(ii)(A) | वही विषय: जोखिम मूल्यांकन (संपादकीय पसंद) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | संपादकीय | §164.308(a)(8) | वही विषय: अनुपालन (संपादकीय पसंद) |
| CC4.2 | Communicating and remediating control deficiencies | संपादकीय | §164.308(a)(8) | वही विषय: अनुपालन (संपादकीय पसंद) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | संपादकीय | §164.308(a)(1)(ii)(B) | वही विषय: जोखिम प्रबंधन (संपादकीय पसंद) |
| CC5.3 | Control activities deployed through policies and procedures | संपादकीय | §164.316(a)§164.316(b)(2)(iii) | वही विषय: शासन नीति (संपादकीय पसंद) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | संपादकीय | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | वही विषय: एक्सेस कंट्रोल, एसेट प्रबंधन (संपादकीय पसंद) |
| CC6.2 | User registration, authorization and removal | संपादकीय | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| CC6.3 | Role-based access, least privilege and segregation of duties | संपादकीय | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | वही विषय: एक्सेस कंट्रोल (संपादकीय पसंद) |
| CC6.4 | Physical access restrictions | संपादकीय | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | वही विषय: भौतिक सुरक्षा (संपादकीय पसंद) |
| CC6.5 | Protection of data when assets are disposed of | संपादकीय | §164.310(d)(2)(i)§164.312(c) | वही विषय: डेटा संरक्षण (संपादकीय पसंद) |
| CC6.7 | Restricting transmission, movement and removal of information | संपादकीय | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | वही विषय: मोबाइल सुरक्षा, एन्क्रिप्शन (संपादकीय पसंद) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | संपादकीय | §164.308(a)(5)(ii)(B) | वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | संपादकीय | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | वही विषय: भेद्यता प्रबंधन (संपादकीय पसंद) |
| CC7.2 | Monitoring system components for anomalies | संपादकीय | §164.308(a)(1)(ii)(D)§164.312(b) | वही विषय: सतत निगरानी, लॉगिंग और ऑडिट (संपादकीय पसंद) |
| CC7.3 | Evaluating security events to determine if they are incidents | संपादकीय | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | वही विषय: SIEM / SOC, घटना प्रतिक्रिया (संपादकीय पसंद) |
| CC7.4 | Responding to identified security incidents | संपादकीय | §164.308(a)(6)§164.308(a)(6)(ii) | वही विषय: घटना प्रतिक्रिया, शमन (संपादकीय पसंद) |
| CC7.5 | Recovering from identified security incidents | संपादकीय | §164.308(a)(7)§164.308(a)(7)(ii)(B) | वही विषय: रिकवरी योजना (संपादकीय पसंद) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | संपादकीय | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | वही विषय: जोखिम प्रबंधन, व्यवसाय निरंतरता (संपादकीय पसंद) |
| CC9.2 | Managing vendor and business partner risk | संपादकीय | §164.308(b)(1)§164.314(a) | वही विषय: क्लाउड सुरक्षा, वेंडर जोखिम प्रबंधन (संपादकीय पसंद) |
विषय के अनुसार
दोनों में शामिल (26):
शासन नीतिजागरूकता और प्रशिक्षणजोखिम प्रबंधनभूमिकाएँ और उत्तरदायित्वअनुपालनएसेट प्रबंधनजोखिम मूल्यांकनभेद्यता प्रबंधनएक्सेस कंट्रोलएन्क्रिप्शनडेटा संरक्षणबैकअप और रिकवरीएंडपॉइंट सुरक्षामोबाइल सुरक्षाक्लाउड सुरक्षासतत निगरानीलॉगिंग और ऑडिटSIEM / SOCघटना प्रतिक्रियाशमनरिपोर्टिंगरिकवरी योजनाव्यवसाय निरंतरताआपदा पुनर्प्राप्तिवेंडर जोखिम प्रबंधनभौतिक सुरक्षा
केवल SOC 2 (20):
आपूर्ति श्रृंखला जोखिमव्यावसायिक परिवेशडेटा वर्गीकरणमल्टी-फ़ैक्टर ऑथेंटिकेशनविशेषाधिकार प्राप्त पहुँचफ़ायरवॉल / नेट सेगपैच प्रबंधनसुरक्षित कॉन्फ़िगरेशनसुरक्षित विकासईमेल सुरक्षावेब सुरक्षाज़ीरो ट्रस्टWAFDLPघुसपैठ का पता लगानाविसंगति पहचान (Anomaly Detection)फ़ॉरेंसिकसंचारसीखे गए सबकसंचार और बहाली
केवल HIPAA (1):
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. मैप किया गया = ControlMapping के किसी विषय में एक साथ संकलित, या सीधे लिंक किया गया। क्रॉसवॉक अनुपालन को सिद्ध नहीं करते। पद्धति · डेटा डाउनलोड करें · गलती की रिपोर्ट करें.