Satu set kontrol untuk SOC 2 dan ISO 27001: jalankan keduanya tanpa mengerjakan semuanya dua kali

Perusahaan yang menjual perangkat lunak secara internasional sering kali memiliki keduanya: laporan SOC 2 untuk pelanggan di AS dan sertifikat ISO 27001 untuk pelanggan lainnya. Jika dijalankan sebagai dua proyek, Anda akan menulis dua set kebijakan, mengumpulkan bukti yang sama dua kali, dan menghadapi audit yang saling tumpang tindih. Jika dijalankan dari satu set kontrol, kerangka kerja kedua hanya membutuhkan sebagian kecil biaya kerangka pertama.

Berikut cara menyiapkannya.

Seberapa besar tumpang tindihnya

Arah	Dipetakan	Terkait secara longgar	Tidak ada pemetaan
Miliki ISO 27001 → butuhkan SOC 2	41 dari 61 (67%)	0	20	laporan →
Miliki SOC 2 → butuhkan ISO 27001	98 dari 123 (80%)	21	4	laporan →

Dari SOC 2 ke ISO 27001, hampir setiap kontrol Lampiran A dan klausul SMKI dipetakan ke kriteria SOC 2. Beberapa yang tidak memiliki pemetaan adalah mekanisme sistem manajemen ISO: mendefinisikan SMKI itu sendiri dan mengendalikan informasi terdokumentasi. Sebaliknya, kriteria SOC 2 yang tidak memiliki padanan di ISO adalah kategori opsional Privacy dan Processing Integrity; seluruh kriteria Security dapat dipetakan.

Jadi, tumpang tindihnya ada pada kontrol keamanan. Perbedaannya ada pada struktur: ISO menghendaki sistem manajemen di sekitar kontrol, sedangkan SOC 2 menghendaki bukti bahwa kontrol beroperasi selama suatu periode.

Langkah 1: pilih tulang punggung

Satu set kontrol bersama memerlukan satu struktur utama tempat semua hal dipetakan. Gunakan Lampiran A ISO 27001 sebagai tulang punggung jika Anda sudah memiliki atau ingin mendapatkan sertifikat, karena Statement of Applicability sudah mencantumkan setiap kontrol beserta alasannya. Gunakan kriteria SOC 2 jika laporan merupakan keluaran utama Anda. Keduanya bisa dipakai; yang penting setiap kontrol memiliki satu tempat asal.

Langkah 2: tulis setiap kontrol sekali

Untuk setiap kontrol, simpan satu catatan yang berisi:

• Pernyataan sederhana tentang apa yang Anda lakukan ("Akses ke produksi diberikan melalui tiket yang disetujui oleh pemilik sistem dan ditinjau setiap kuartal").
• Seorang pemilik dan frekuensi.
• Referensi kerangka kerja yang dipenuhinya, misalnya ISO A.5.15 dan A.5.18, SOC 2 CC6.1–CC6.3.
• Bukti yang dihasilkannya, dan di mana bukti tersebut disimpan.

Referensi berasal dari pemetaan seperti yang kami sediakan. Untuk kontrol akses, bentuknya seperti ini:

Kerangka kerja	Kontrol Akses	Tautan
NIST CSF 2.0	PR.AA-01PR.AA-05	Definisi topik
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Crosswalk
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Crosswalk
SOC 2	CC6.1CC6.2CC6.3	Editorial
PCI DSS	7.2.17.2.27.2.48.2.1	Crosswalk
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Crosswalk
800-53	AC-2AC-3	Crosswalk
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Crosswalk
GDPR	Art.25(2)Art.32(1)(b)	Editorial
NIS2	11.111.211.5	Crosswalk
Essential Eight	—	Tidak ada pemetaan dalam data kami

Detail lengkap dan alasan untuk setiap tautan: Kontrol Akses di seluruh kerangka kerja →

Langkah 3: kumpulkan bukti sekali, beri tag dua kali

Auditor SOC 2 Type II mengambil sampel bukti dari seluruh periode observasi: tiket, tinjauan, pemindaian, catatan pelatihan. Auditor surveilans ISO meminta jenis catatan yang sama. Kumpulkan setiap bukti sekali, di satu tempat, dan beri tag dengan setiap referensi kerangka kerja yang dimiliki kontrolnya.

Langkah 4: selaraskan jadwal

• Mulai periode observasi SOC 2 ketika kontrol Anda sudah berjalan beberapa minggu, bukan pada hari kontrol itu diluncurkan.
• Jadwalkan audit internal ISO dan tinjauan manajemen agar menghasilkan catatan di dalam periode SOC 2: keduanya merupakan bukti tata kelola yang baik untuk common criteria SOC 2.
• Tanyakan apakah auditor Anda dapat mengoordinasikan pekerjaan lapangan. Bahkan jika tidak bisa, menempatkan kedua audit berdekatan berarti hanya ada satu putaran permintaan bukti.

Langkah 5: isi kesenjangan yang ditinggalkan masing-masing pihak

Jalankan laporan kesenjangan SOC 2 → ISO 27001 dan sebaliknya. Bersiaplah untuk dua jenis pekerjaan baru:

• Untuk ISO: sistem manajemen. Ruang lingkup, sasaran, penilaian dan perlakuan risiko, Statement of Applicability, audit internal, tinjauan manajemen, dan tindakan korektif.
• Untuk SOC 2: kategori opsional apa pun yang Anda sertakan, dan kebiasaan menyimpan bukti secara berkelanjutan selama satu periode penuh.

Perbandingan ISO 27001 vs SOC 2 kami mencantumkan setiap persyaratan di kedua arah, dan panduan SOC 2 serta ISO 27001 membahas audit itu sendiri.

Catatan tentang pemetaan

Belum ada Crosswalk SOC 2 yang dilisensikan secara terbuka, sehingga setiap tautan SOC 2 di situs ini merupakan keputusan Editorial ControlMapping, dengan alasannya ditampilkan. Gunakan pemetaan untuk merancang set kontrol, lalu konfirmasi rinciannya dengan auditor Anda sebelum mengandalkannya.

Pertanyaan

Bisakah satu auditor melakukan SOC 2 dan ISO 27001 sekaligus?

Beberapa firma memiliki praktik CPA sekaligus badan sertifikasi terakreditasi dan mengoordinasikan audit, tetapi keduanya tetap merupakan dua engagement dengan dua keluaran: laporan SOC 2 dan sertifikat ISO 27001.

Mana yang sebaiknya didahulukan, SOC 2 atau ISO 27001?

Yang diminta pelanggan Anda terlebih dahulu. Jika Anda membangun set kontrol bersama seperti yang dijelaskan di sini, yang kedua sebagian besar hanya menambahkan klausul sistem manajemen (untuk ISO) atau periode bukti dan kriteria opsional (untuk SOC 2).