Kriteria SOC 2 tanpa padanan ISO 27001, dan alasan keberadaannya

Jika organisasi Anda sudah memiliki ISO 27001 dan pelanggan meminta laporan SOC 2, sebagian besar pekerjaan sudah selesai. Kontrol keamanannya sangat tumpang tindih, dan ISMS memberi auditor SOC 2 bukti tata kelola yang mereka cari. Namun, sekelompok kriteria SOC 2 sama sekali tidak memiliki padanan di ISO 27001, dan hal ini penting diketahui sebelum Anda menyepakati lingkup dengan auditor Anda.

Angka utama

Dari 61 kriteria SOC 2, 41 (67%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 20 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Tidak ada kriteria SOC 2 yang hanya "terkait secara longgar" dengan ISO: setiap kriteria either dipetakan atau tidak. Pemisahan yang jelas ini menjadi petunjuk tentang apa yang sebenarnya terjadi.

Kriteria tanpa pemetaan ISO

SOC 2	Persyaratan	Kecocokan	ISO 27001
P1.1	Privacy notice	Tidak ada pemetaan dalam data kami	—
P2.1	Choice and consent	Tidak ada pemetaan dalam data kami	—
P3.1	Collection limited to privacy objectives	Tidak ada pemetaan dalam data kami	—
P3.2	Explicit consent where required	Tidak ada pemetaan dalam data kami	—
P4.1	Use limited to privacy objectives	Tidak ada pemetaan dalam data kami	—
P5.1	Data subject access	Tidak ada pemetaan dalam data kami	—
P5.2	Correction of personal information	Tidak ada pemetaan dalam data kami	—
P6.1	Disclosure to third parties with consent	Tidak ada pemetaan dalam data kami	—
P6.2	Record of authorized disclosures	Tidak ada pemetaan dalam data kami	—
P6.3	Record of unauthorized disclosures	Tidak ada pemetaan dalam data kami	—
P6.4	Privacy commitments from third parties	Tidak ada pemetaan dalam data kami	—
P6.5	Notification by third parties of unauthorized disclosures	Tidak ada pemetaan dalam data kami	—
P6.7	Accounting of disclosures to data subjects	Tidak ada pemetaan dalam data kami	—
P7.1	Quality of personal information	Tidak ada pemetaan dalam data kami	—
P8.1	Handling privacy inquiries, complaints and disputes	Tidak ada pemetaan dalam data kami	—
PI1.1	Information about processing objectives	Tidak ada pemetaan dalam data kami	—
PI1.2	Controls over system inputs	Tidak ada pemetaan dalam data kami	—
PI1.3	Controls over system processing	Tidak ada pemetaan dalam data kami	—
PI1.4	Controls over system outputs	Tidak ada pemetaan dalam data kami	—
PI1.5	Storing inputs, items in processing and outputs	Tidak ada pemetaan dalam data kami	—

Setiap kriteria dalam daftar berasal dari dua dari lima kategori SOC 2: Processing Integrity (PI1) dan Privacy (P1 sampai P8). Keduanya bersifat opsional. Kategori Security, yakni kriteria umum CC1 sampai CC9 yang disertakan dalam setiap laporan SOC 2, dipetakan sepenuhnya, begitu pula Availability dan Confidentiality.

Mengapa Processing Integrity tidak memiliki padanan ISO

Processing Integrity menanyakan apakah sebuah sistem memproses data secara lengkap, akurat, tepat waktu dan sesuai kewenangan: bahwa input diperiksa, kesalahan pemrosesan terdeteksi, output sampai ke tujuan yang tepat, dan data tersimpan tetap konsisten. Kategori ini berkaitan dengan ketepatan layanan itu sendiri, bukan keamanan di sekitarnya.

ISO 27001 adalah standar keamanan informasi. Standar ini melindungi kerahasiaan, integritas dan ketersediaan informasi, tetapi "integritas" di sana berarti perlindungan terhadap perubahan yang tidak sah, bukan apakah proses penggajian menghitung setiap gaji dengan benar. Tidak ada kontrol Lampiran A yang meminta Anda memvalidasi pemrosesan bisnis. Jadi, jika pelanggan mengandalkan sistem Anda untuk memastikan angka sudah benar (pembayaran, penagihan, penggajian, klaim, alur data), Processing Integrity merupakan pekerjaan baru meskipun ISMS Anda sudah matang: validasi input, rekonsiliasi, penanganan kesalahan, dan kontrol output, lengkap dengan buktinya.

Mengapa sebagian besar kriteria Privacy tidak memiliki padanan ISO

Kriteria Privacy SOC 2 mengikuti siklus hidup informasi pribadi: pemberitahuan (P1), pilihan dan persetujuan (P2), pengumpulan (P3), penggunaan, retensi dan pemusnahan (P4), akses dan koreksi (P5), pengungkapan (P6), kualitas (P7), serta pemantauan dan pengaduan (P8). Kriteria ini merupakan persyaratan program privasi, lebih dekat ke GDPR daripada ke keamanan.

ISO 27001 menyentuh beberapa di antaranya. A.5.34 mewajibkan Anda mengidentifikasi dan memenuhi kewajiban perlindungan data pribadi, A.5.33 mencakup perlindungan catatan, dan A.8.10 mengatur penghapusan informasi. Itulah sebabnya retensi (P4.2), pemusnahan (P4.3) dan pemberitahuan pelanggaran (P6.6) memang dipetakan dalam data kami, melalui tautan editorial dengan alasan yang dinyatakan. Sisanya, seperti pemberitahuan privasi, persetujuan, permintaan akses subjek data, dan catatan pengungkapan, tidak memiliki kontrol Lampiran A.

Jika Anda membutuhkannya, ISO/IEC 27701 memperluas ISMS menjadi sistem manajemen informasi privasi dan merupakan standar pendamping yang paling tepat. Dari sisi GDPR, lihat bagaimana ISO 27001 dibandingkan dengan pasal keamanan GDPR.

Apa yang harus dilakukan

1. Sepakati lingkup terlebih dahulu. Sertakan Processing Integrity atau Privacy hanya jika pelanggan membutuhkannya. Banyak laporan SOC 2 hanya mencakup Security, atau Security ditambah Availability dan Confidentiality.
2. Jika Anda menyertakannya, perlakukan sebagai kontrol baru, bukan sebagai latihan pemetaan ISO: tulis, jalankan, dan simpan bukti sepanjang periode observasi.
3. Gunakan kembali ISMS untuk hal lainnya. Laporan kesenjangan ISO 27001 → SOC 2 mencantumkan setiap kriteria beserta padanan ISO-nya, dan artikel kami tentang menjalankan satu kumpulan kontrol untuk keduanya membahas mekanismenya.

Arah sebaliknya adalah cerita yang berbeda: dari SOC 2 ke ISO 27001, pekerjaan baru adalah sistem manajemennya itu sendiri. Perbandingan ISO 27001 vs SOC 2 membahas kedua arah.

Catatan tentang data

Tidak ada crosswalk SOC 2 yang berlisensi terbuka, sehingga setiap tautan SOC 2 di sini merupakan penilaian editorial ControlMapping, dengan alasan yang ditampilkan pada setiap halaman persyaratan. Angka-angka di atas dihitung secara langsung dari data terkini.

Pertanyaan

Apakah ISO 27001 mencakup kriteria Privacy SOC 2?

Sebagian besar tidak. ISO 27001 melindungi data pribadi sebagai informasi (A.5.34), tetapi tidak mewajibkan pemberitahuan privasi, persetujuan, akses subjek data, atau catatan pengungkapan. ISO/IEC 27701 memperluas ISMS ke manajemen privasi dan merupakan padanan yang lebih tepat.

Apakah saya harus menyertakan Processing Integrity dalam laporan SOC 2?

Tidak. Hanya kategori Security (kriteria umum) yang wajib. Tambahkan Processing Integrity ketika pelanggan mengandalkan sistem Anda untuk memproses data mereka secara lengkap dan akurat, misalnya pembayaran atau penggajian.