Satu risk assessment untuk ISO 27001, SOC 2 dan HIPAA
ISO 27001, SOC 2 dan HIPAA semuanya berawal dari satu risk assessment. Anda hanya membutuhkan satu, asalkan dirancang untuk menjawab ketiga auditor.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Risk assessment adalah titik awal tiga kerangka kerja paling umum. ISO 27001 membangun semuanya di atasnya (klausul 6.1.2). SOC 2 mengalokasikan satu bagian dari common criteria-nya untuk hal ini (CC3.1 hingga CC3.4). HIPAA Security Rule menjadikan risk analysis sebagai spesifikasi implementasi wajib pertamanya (§164.308(a)(1)(ii)(A)), dan ini adalah dokumen pertama yang diminta oleh investigator HHS. Banyak organisasi menjalankan tiga penilaian. Satu sudah cukup.
Apa yang diperiksa setiap kerangka kerja
- ISO 27001 menuntut metode yang terdefinisi dan dapat diulang, dengan kriteria penerimaan; risiko yang diidentifikasi untuk kerahasiaan, integritas dan ketersediaan; pemilik; analisis kemungkinan dan konsekuensi; serta keterkaitan dengan perlakuan risiko dan Statement of Applicability.
- SOC 2 menuntut tujuan yang dirumuskan cukup jelas untuk mengidentifikasi risiko (CC3.1), risiko yang diidentifikasi dan dianalisis di seluruh entitas (CC3.2), risiko kecurangan dipertimbangkan (CC3.3) dan perubahan dinilai (CC3.4).
- HIPAA menuntut penilaian risiko dan kerentanan terhadap ePHI yang akurat dan menyeluruh, di mana pun ePHI dibuat, diterima, dipelihara, atau ditransmisikan, tetap diperbarui, dan diikuti oleh manajemen risiko (§164.308(a)(1)(ii)(B)).
Dalam data kami, persyaratan-persyaratan ini saling terkait secara langsung:
| Kerangka kerja | Penilaian Risiko | Tautan |
|---|---|---|
| NIST CSF 2.0 | ID.RA-03ID.RA-04ID.RA-05ID.RA-06 | Definisi topik |
| ISO 27001 | Clause 6.1.2Clause 6.1.3 | Crosswalk |
| CIS v8.1 | — | Tidak ada pemetaan dalam data kami |
| SOC 2 | CC3.2CC3.4CC3.3 | Editorial |
| PCI DSS | 12.3.1 | Crosswalk |
| CMMC | RA.L2-3.11.1 | Crosswalk |
| 800-53 | RA-3RA-7 | Crosswalk |
| HIPAA | §164.308(a)(1)(ii)(A) | Crosswalk |
| GDPR | Art.35(1)Art.35(7) | Editorial |
| NIS2 | 2.1 | Crosswalk |
| Essential Eight | — | Tidak ada pemetaan dalam data kami |
Detail lengkap dan alasan untuk setiap tautan: Penilaian Risiko di seluruh kerangka kerja →
Merancang satu penilaian untuk ketiganya
- Tentukan ruang lingkupnya agar mencakup semuanya: ruang lingkup ISMS, sistem SOC 2, dan setiap lokasi ePHI. Catat aset mana yang berada di bawah kerangka kerja mana.
- Gunakan satu metode: berbasis aset atau skenario, dengan skala kemungkinan dan dampak, kriteria penerimaan, dan pemilik. Persyaratan ISO untuk metode yang terdokumentasi dan dapat diulang adalah yang paling ketat, jadi penuhi itu.
- Tambahkan pertanyaan pemandu spesifik kerangka kerja: risiko kecurangan (SOC 2 CC3.3), ancaman dan kerentanan khusus ePHI (HIPAA), serta risiko hukum dan kontraktual.
- Kaitkan setiap risiko dengan perlakuannya: kontrol yang dipilih, risiko residual, persetujuan penerimaan oleh pemilik. Satu tabel ini menjadi masukan bagi Statement of Applicability ISO, aktivitas kontrol SOC 2, dan manajemen risiko HIPAA.
Output yang memenuhi ketiga auditor
- Metode yang telah disetujui.
- Risk register dengan pemilik, skor, dan keputusan perlakuan.
- Rencana perlakuan risiko dengan tanggal.
- Persetujuan pemilik atas risiko residual.
- Bukti peninjauan minimal setahun sekali dan setelah perubahan signifikan.
Format risk register sederhana
Satu baris per risiko berfungsi untuk ketiga kerangka kerja:
| Bidang | Contoh |
|---|---|
| Risiko | Ransomware mengenkripsi database produksi |
| Aset | Database produksi, cadangan, penyimpanan ePHI |
| Kerangka kerja | ISO 27001, SOC 2, HIPAA |
| Kemungkinan dan dampak | Mungkin, parah |
| Kontrol yang ada | MFA, EDR, cadangan harian |
| Perlakuan | Isolasi cadangan; uji pemulihan setiap kuartal |
| Pemilik | Kepala infrastruktur |
| Risiko residual dan penerimaan | Sedang, diterima oleh CTO |
| Tanggal tinjauan | Kuartal berikutnya |
Kolom kerangka kerja adalah kuncinya: dengan kolom ini, satu register dapat menjawab tiga auditor tanpa tiga spreadsheet.
Poin utama
- Satu metode dan satu register dapat memenuhi ISO 27001, SOC 2 dan HIPAA.
- Tambahkan pertanyaan pemandu spesifik kerangka kerja: risiko kecurangan dan lokasi ePHI.
- Tinjau minimal setahun sekali dan setelah perubahan signifikan.
Temuan umum
- Risiko generik ("peretas", "pelanggaran data") tanpa keterkaitan dengan aset atau kontrol tertentu.
- Tidak ada pemilik, atau tim keamanan memiliki setiap risiko.
- Lokasi ePHI terlewat: ekspor, cadangan, email, sistem uji.
- Tidak mutakhir: dinilai sekali untuk audit pertama dan tidak pernah lagi.
Untuk informasi lebih lanjut tentang keterkaitan kerangka kerja ini, lihat perbandingan ISO 27001 vs HIPAA dan topik Risk Assessment. Analisis kesenjangan menampilkan setiap pemetaan antara dua kerangka kerja mana pun.
Pertanyaan
Apakah analisis risiko HIPAA sama dengan penilaian risiko ISO 27001?
Keduanya sangat tumpang tindih. HIPAA mensyaratkan penilaian risiko yang akurat dan menyeluruh terhadap kerahasiaan, integritas dan ketersediaan ePHI; penilaian risiko ISO 27001 yang mencakup ePHI dalam ruang lingkup dan mencatat elemen spesifik HIPAA dapat melayani keduanya.
Seberapa sering penilaian risiko harus dilakukan?
ISO 27001 mensyaratkan penilaian risiko pada interval yang direncanakan dan setelah perubahan signifikan. Auditor SOC 2 biasanya mengharapkan penilaian risiko minimal setahun sekali. HIPAA mensyaratkan analisis risiko tetap mutakhir.
Apakah penilaian risiko sebaiknya bersifat kualitatif atau kuantitatif?
Keduanya dapat digunakan untuk ketiga kerangka kerja, selama metodenya terdefinisi, diterapkan secara konsisten, dan menghasilkan hasil yang dapat dibandingkan. Sebagian besar organisasi memulai dengan kualitatif lalu menambahkan angka di mana keputusan membutuhkannya.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-13Persyaratan MFA dibandingkan di 11 kerangka kerja keamananKerangka kerja mana yang mewajibkan MFA, untuk siapa, dan seberapa ketat: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, dan HIPAA dibandingkan berdampingan.
Analisis · 2026-09-29Aturan Keamanan HIPAA melalui kacamata NIST CSF 2.0Program NIST CSF 2.0 memetakan hampir setiap persyaratan Aturan Keamanan HIPAA. Apa yang tetap berlaku, dua yang tidak, dan apa yang ditambahkan CSF di luar HIPAA.