Bukti yang Dapat Dipakai Ulang: SOC 2, ISO 27001, PCI DSS

Organisasi yang memiliki SOC 2, ISO 27001 dan PCI DSS bisa dengan mudah menghabiskan lebih banyak waktu untuk menjawab permintaan bukti daripada menjalankan kontrol. Setiap auditor meminta "tinjauan akses", "pemindaian kerentanan", "uji insiden", dengan format dan periode yang sedikit berbeda. Sebagian besar bukti itu sama. Triknya adalah mengumpulkannya sekali, dalam bentuk yang memenuhi tuntutan terberat dari ketiganya.

Mengapa tumpang tindihnya besar

Ketiga kerangka kerja ini berbagi sebagian besar materi keamanan. Misalnya, dari ISO 27001 ke SOC 2:

Dari 61 kriteria SOC 2, 41 (67%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 20 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Dan dari ISO 27001 ke PCI DSS, tumpang tindihnya lebih kecil tetapi tetap substansial dalam tata kelola dan proses:

Dari 260 persyaratan PCI DSS, 77 (30%) dipetakan ke sesuatu dalam ISO 27001, 76 hanya terkait secara longgar, dan 107 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Di mana persyaratan dipetakan, bukti biasanya juga tumpang tindih.

Bukti yang memenuhi ketiganya

Bukti	SOC 2	ISO 27001	PCI DSS
Tinjauan akses pengguna (dengan persetujuan dan perubahan yang dilakukan)	CC6.2, CC6.3	A.5.18	7.2.4 (setiap enam bulan)
Tiket bergabung dan keluar karyawan dengan persetujuan	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
Tiket perubahan dengan tinjauan, pengujian dan persetujuan	CC8.1	A.8.32	6.5.1, 6.5.2
Hasil pemindaian kerentanan dan remediasinya	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
Laporan uji penetrasi dan uji ulang	CC4.1, CC7.1	A.8.8	11.4.1 sampai 11.4.4
Register insiden dan uji respons	CC7.3 sampai CC7.5	A.5.24 sampai A.5.27	12.10.1, 12.10.2
Catatan pelatihan kesadaran keamanan	CC1.4, CC2.2	A.6.3	12.6.1 sampai 12.6.3
Catatan uji tuntas pemasok	CC9.2	A.5.19 sampai A.5.22	12.8.1 sampai 12.8.5
Uji pemulihan cadangan	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
Penilaian risiko dan tinjauannya	CC3.1 sampai CC3.4	6.1.2, 8.2	12.3.1

Kumpulkan sesuai standar terketat

• Frekuensi: PCI DSS sering menetapkan jadwal tercepat (tinjauan akses enam-bulanan, pemindaian triwulanan). Jalankan kontrol sesuai frekuensi PCI dan kerangka kerja lain juga terpenuhi.
• Periode: SOC 2 Tipe II mengambil sampel di seluruh periode observasi. Simpan bukti secara berkelanjutan, bukan hanya menjelang audit.
• Kelengkapan: auditor ISO mungkin menanyakan bagaimana Anda tahu populasinya lengkap. Simpan daftar lengkap (semua karyawan yang keluar, semua perubahan), bukan hanya contoh yang Anda pilih.
• Asal-usul: bukti yang dihasilkan sistem (ekspor, log, tiket dengan cap waktu) lebih unggul daripada tangkapan layar layar yang sudah diatur seseorang.

Struktur sederhana

Satu penyimpanan bukti, diatur berdasarkan kontrol, bukan berdasarkan kerangka kerja. Setiap folder kontrol berisi bukti untuk setiap periode, diberi nama secara konsisten, dengan indeks singkat yang menyebutkan persyaratan kerangka kerja mana yang dipenuhinya. Saat auditor meminta "bukti 7.2.4", Anda mencari kontrolnya, bukan kerangka kerjanya.

Poin utama

• Sebagian besar bukti (tinjauan akses, tiket perubahan, pemindaian, catatan insiden, pelatihan) memenuhi SOC 2, ISO 27001 dan PCI DSS sekaligus.
• Kumpulkan sesuai standar terketat: frekuensi PCI dan periode berkelanjutan SOC 2.
• Atur bukti berdasarkan kontrol, bukan kerangka kerja, dengan indeks tentang apa yang dipenuhi setiap item.
• Beberapa item tidak dapat dialihkan, terutama pemindaian ASV dan catatan sistem manajemen ISO.

Yang tidak dapat dialihkan

• Pemindaian khusus PCI: pemindaian eksternal harus dilakukan oleh Approved Scanning Vendor.
• Analisis risiko tertarget PCI untuk persyaratan dengan frekuensi fleksibel.
• Catatan sistem manajemen ISO: laporan audit internal, notulen tinjauan manajemen, dan log tindakan korektif bersifat khusus ISO (meskipun auditor SOC 2 menghargainya).
• Deskripsi sistem SOC 2: narasi Anda sendiri tentang sistem dalam lingkup.

Postingan kami tentang satu kumpulan kontrol untuk SOC 2 dan ISO 27001 membahas perancangan kontrol; analisis kesenjangan mencantumkan pemetaan antara dua kerangka kerja mana pun.

Pertanyaan

Apakah bukti yang sama dapat digunakan untuk SOC 2 dan ISO 27001?

Biasanya, ya. Keduanya mencari bukti bahwa kontrol berjalan: tiket, tinjauan, hasil pemindaian, catatan pelatihan. SOC 2 Tipe II memerlukan sampel di seluruh periode observasi, jadi kumpulkan bukti secara berkelanjutan.

Bukti apa yang dibutuhkan PCI DSS tetapi tidak dibutuhkan SOC 2?

Bukti frekuensi dan pengaturan khusus PCI: pemindaian internal triwulanan dan pemindaian eksternal ASV, tinjauan akses dan aturan firewall enam-bulanan, analisis risiko tertarget, serta konfigurasi khusus data pemegang kartu.

Berapa lama bukti audit harus disimpan?

Setidaknya sampai siklus audit berikutnya selesai, dan lebih lama jika kerangka kerja atau undang-undang mensyaratkannya; PCI DSS, misalnya, mensyaratkan riwayat log audit selama 12 bulan.