Perbandingan

ISO 27001 vs PCI DSS: sistem manajemen vs aturan preskriptif untuk data kartu

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · data 2026-10-27

Menurut Paul Gillet · Diperbarui 2026-10-17

PCI DSS v4.0.1 adalah persyaratan kontraktual dari merek kartu pembayaran bagi siapa pun yang menyimpan, memproses, atau mentransmisikan data pemegang kartu. Standar ini bersifat preskriptif: terdapat sekitar 250 persyaratan yang ditetapkan beserta prosedur pengujiannya, dan divalidasi oleh Qualified Security Assessor atau melalui Self-Assessment Questionnaire, tergantung pada level Anda. ISO/IEC 27001 bersifat berbasis risiko: Anda memilih dan membenarkan kontrol untuk lingkup yang Anda tentukan sendiri.

ISMS ISO 27001 memberikan landasan yang kuat untuk pekerjaan PCI. Tata kelola, penilaian risiko, kebijakan, kontrol akses, pencatatan log, dan manajemen insiden dapat dibawa langsung ke PCI, dan proses risiko ISO membantu analisis risiko bertarget yang diminta oleh PCI DSS v4.

Dari ISO menuju PCI DSS, bersiaplah menghadapi banyak persyaratan yang tidak terpetakan dan yang hanya terkait secara longgar. Hal ini bukan karena ISO lebih lemah, melainkan karena PCI menetapkan secara rinci apa yang harus dilakukan dan seberapa sering: aturan kontrol keamanan jaringan untuk lingkungan data pemegang kartu, perlindungan data akun yang disimpan dan PAN, persyaratan autentikasi dan MFA yang spesifik, pemindaian triwulanan serta uji penetrasi tahunan, pemantauan integritas file, dan kontrol skrip pada halaman pembayaran. Sebagian dari tantangan ini juga disebabkan oleh keterbatasan data: crosswalk PCI dari NIST hanya mencakup sebagian standar, sehingga beberapa persyaratan PCI tidak memiliki tautan yang dipublikasikan ke pihak mana pun.

Dari PCI DSS menuju ISO, cakupan Annex A sudah baik, dan kesenjangannya terletak pada sistem manajemennya: lingkup ISMS, sasaran, informasi terdokumentasi, audit internal, dan tinjauan manajemen.

Sekilas

	ISO 27001	PCI DSS
Apa yang dilindungi	Seluruh informasi dalam lingkup ISMS	Data akun pembayaran dan sistem di sekitarnya
Tingkat preskriptif	Berbasis risiko: Anda memilih kontrol	Preskriptif: persyaratan spesifik, banyak dengan frekuensi yang telah ditetapkan
Siapa yang mewajibkan	Pelanggan dan tender	Merek kartu, melalui kontrak acquirer
Penilaian	Badan sertifikasi	QSA Report on Compliance, atau Self-Assessment Questionnaire
Frekuensi	Surveilans tahunan, resertifikasi setiap tiga tahun	Tahunan, dengan pemindaian eksternal triwulanan

Menggunakan ISO 27001 untuk PCI DSS

ISMS yang memasukkan lingkungan data pemegang kartu dalam lingkupnya mencakup sebagian besar pekerjaan kebijakan, risiko, dan tata kelola PCI DSS, dan banyak area teknis yang selaras. Pekerjaan baru biasanya berupa pengaturan dan frekuensi spesifik PCI: pemindaian eksternal triwulanan oleh Approved Scanning Vendor, MFA untuk seluruh akses ke lingkungan data pemegang kartu, kontrol skrip pada halaman pembayaran, jadwal tinjauan log, dan rincian manajemen kunci. Daftar "tidak ada pemetaan" di bawah ini adalah tempat untuk memulai.

Siapa yang membutuhkan yang mana

PCI DSS berlaku bagi organisasi mana pun yang menyimpan, memproses, atau mentransmisikan data kartu pembayaran, atau yang dapat memengaruhi keamanannya, karena merek kartu mewajibkannya melalui kontrak acquiring. Cara validasi bergantung pada level Anda: merchant dan penyedia layanan terbesar memerlukan Report on Compliance tahunan dari Qualified Security Assessor; sebagian besar lainnya menyelesaikan Self-Assessment Questionnaire. ISO 27001 bersifat sukarela dan lebih luas: mencakup seluruh keamanan informasi organisasi, bukan hanya data kartu, dan berujung pada sertifikat yang dikenali pelanggan.

Kurangi lingkup PCI sebelum membangun kontrol

Persyaratan PCI DSS yang paling murah adalah yang tidak berlaku bagi Anda. Sebelum memetakan kontrol ISO ke PCI, perkecil lingkungan data pemegang kartu:

Alihdayakan halaman pembayaran. Situs e-commerce yang mengarahkan pengguna ke, atau menyematkan, halaman penyedia pembayaran yang patuh PCI akan menjaga data kartu tetap berada di luar server sendiri dan dapat memenuhi syarat untuk kuesioner yang paling singkat, SAQ A.
Tokenisasi. Ganti nomor kartu yang tersimpan dengan token dari penyedia pembayaran Anda, sehingga Anda tidak pernah menyimpan primary account number.
Segmentasi. Isolasi sistem yang wajib berinteraksi dengan data kartu dari sistem lainnya, dan uji segmentasinya.

Setiap sistem yang dikeluarkan dari lingkup menghapus puluhan persyaratan sekaligus.

Biaya dan upaya

Bagi organisasi yang telah bersertifikat ISO, biaya PCI DSS hampir sepenuhnya bergantung pada lingkup. Dengan halaman pembayaran yang sepenuhnya dialihdayakan, pekerjaannya dapat berupa kuesioner singkat dan beberapa kontrol. Jika data kartu berada di sistem Anda sendiri, bersiaplah untuk pekerjaan yang signifikan pada Persyaratan 3 (data tersimpan), 8 (autentikasi), 10 (pencatatan log), dan 11 (pengujian), ditambah pemindaian eksternal triwulanan oleh Approved Scanning Vendor dan, pada level yang lebih tinggi, penilaian QSA. Pekerjaan tata kelola relatif ringan, karena ISMS sudah mencakup sebagian besar Persyaratan 12.

Jadwal

Rencanakan pengurangan lingkup terlebih dahulu; hal ini dapat mengubah jadwal secara keseluruhan. Untuk lingkungan yang berada dalam lingkup, organisasi bersertifikat ISO umumnya membutuhkan tiga hingga sembilan bulan untuk menutup kesenjangan teknis spesifik PCI sebelum penilaian pertama, dan pemindaian triwulanan harus sudah berjalan sebelum tanggal penilaian. Sesuaikan frekuensi tetap PCI (pemindaian triwulanan, tinjauan enam-bulanan, uji tahunan) ke dalam kalender ISMS agar audit internal memeriksanya bersama aktivitas lainnya.

Contoh kasus: pengecer daring

Sebuah pengecer daring berskala menengah telah bersertifikat ISO 27001 untuk platform e-commerce-nya dan memproses pembayaran kartu di server sendiri. Acquirer-nya meminta validasi PCI DSS. Analisis kesenjangan menunjukkan tumpang tindih yang kuat dalam tata kelola, respons insiden, dan manajemen pemasok, tetapi kesenjangan besar pada Persyaratan 3 (data akun tersimpan), 6.4 (keamanan halaman pembayaran), dan 11 (pemindaian ASV dan uji penetrasi).

Pengecer tersebut pertama-tama merancang ulang checkout agar menggunakan halaman pembayaran tersemat dari penyedia pembayarannya dan melakukan tokenisasi kartu yang tersimpan. Sistemnya sendiri tidak lagi menyentuh nomor kartu, sebagian besar kesenjangan hilang, dan validasi dilakukan dengan self-assessment questionnaire yang singkat. Kontrol ISO-nya mencakup sisa yang ada, dengan frekuensi PCI dituliskan ke dalam prosedur yang sudah ada.

Kesalahan umum

Memetakan sebelum menentukan lingkup. Membangun kontrol untuk lingkungan data pemegang kartu yang sebenarnya bisa dihilangkan melalui tokenisasi atau halaman pembayaran yang dialihdayakan.
Menggunakan frekuensi ISO. Tinjauan akses tahunan memenuhi ISO; PCI DSS mewajibkan setiap enam bulan. Rancang sesuai ritme PCI.
Melupakan ASV. Pemindaian eksternal harus dilakukan oleh Approved Scanning Vendor, setiap triwulan, dengan hasil lulus.
Menganggap sertifikat ISO sebagai bukti PCI. Asesor memerlukan bukti spesifik PCI untuk setiap persyaratan.
Mengabaikan halaman pembayaran. Manajemen skrip dan deteksi perubahan tidak sah pada halaman pembayaran termasuk persyaratan v4.0.1 yang paling sering terlewat.

Poin utama

Dalam PCI, lingkup adalah segalanya: segmentasi lingkungan data pemegang kartu dapat mengurangi pekerjaan secara drastis.
ISO → PCI: petakan kontrol ISO ke setiap persyaratan PCI secara eksplisit, dan siapkan penambahan detail frekuensi dan teknis.
Persyaratan PCI DSS v4.0 yang berlaku di kemudian hari menjadi wajib sejak 31 Maret 2025; pastikan Anda menilai berdasarkan v4.0.1.

Unduh perbandingan ini (CSV) Buka di analisis kesenjangan →

Miliki ISO 27001 → butuhkan PCI DSS

260 persyaratan

77 terpetakan · · 107 tanpa pemetaan Buka di tampilan kesenjangan →

Dari 260 persyaratan PCI DSS v4.0.1, 77 dipetakan ke sesuatu dalam ISO 27001, 76 hanya terkait secara longgar, dan 107 tidak memiliki pemetaan dalam data kami.

Kemungkinan pekerjaan baru: persyaratan PCI DSS tanpa pemetaan ke ISO 27001 (107)

PCI DSS	Persyaratan	Kecocokan	ISO 27001	Bukti
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.2.5	Allowed services, protocols and ports approved	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.2.6	Security features defined for insecure services	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.2.7	Network security control rules reviewed every six months	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.2.8	Network security control configuration files secured	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.3.2	Outbound traffic from the CDE restricted	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.3.3	Network controls between wireless networks and the CDE	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.4.2	Inbound traffic from untrusted networks restricted	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.4.3	Anti-spoofing measures in place	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.4.4	Stored cardholder data not reachable from untrusted networks	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.4.5	Internal IP addresses and routing not disclosed	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
2.2.4	Only necessary services and functions enabled	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
2.2.5	Insecure services justified and secured	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
2.2.6	System security parameters set to prevent misuse	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
2.2.7	Non-console administrative access encrypted	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
2.3.2	Wireless keys changed when key holders leave	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.3.1.2	Card verification code not kept after authorisation	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.3.1.3	PIN and PIN block not kept after authorisation	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.3.2	Sensitive authentication data encrypted before authorisation	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.5.1.2	Disk-level encryption used only where it suffices	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.2	Key management: secure key distribution	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.3	Key management: secure key storage	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.5	Key management: retiring weakened or compromised keys	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.6	Key management: split knowledge and dual control	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.7	Key management: preventing unauthorised key substitution	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.8	Key custodians formally acknowledge their responsibilities	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
3.7.9	Service providers give customers key-handling guidance	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
4.2.2	PAN secured when sent by end-user messaging	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
5.3.3	Removable media scanned or analysed	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
5.3.4	Anti-malware audit logs enabled and retained	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
5.3.5	Users cannot disable or alter anti-malware	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
6.5.3	Pre-production environments separated from production	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
6.5.4	Duties separated between production and pre-production	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
6.5.5	Live PANs not used in pre-production	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
6.5.6	Test data and accounts removed before go-live	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
7.2.5	System and application accounts least privilege	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
7.2.6	Access to cardholder data repositories restricted	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
7.3.1	Access control system restricts access by need	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
7.3.2	Access control system enforces assigned permissions	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
7.3.3	Access control system set to deny by default	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.2.4	User ID changes authorised and controlled	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.2.7	Third-party remote access accounts enabled only when needed	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.3.2	Authentication factors unreadable in transit and storage	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.3.3	Identity verified before changing authentication factors	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.3.4	Account lockout after repeated failed attempts	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
8.6.1	Interactive use of system accounts managed	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.3.3	Visitor badges returned or deactivated	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.3.4	Visitor log maintained and retained	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.4.1	Media with cardholder data physically secured	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.4.3	Media sent off site tracked and secured	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.4.4	Management approves media moved off site	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.4.5	Inventory logs of electronic media kept	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.4.5.1	Electronic media inventories at least annually	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.5.1	Card-reading (POI) devices protected from tampering	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
9.5.1.3	Staff trained to spot POI tampering	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.2	Logs capture administrative actions	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.3	Logs capture access to audit logs	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.4	Logs capture invalid access attempts	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.5	Logs capture credential and privilege changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.6	Logs capture starting, stopping or pausing logging	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.2.1.7	Logs capture system-level object changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.4.2	Other logs reviewed periodically	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.4.3	Exceptions and anomalies addressed	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.6.2	Time configuration correct and consistent	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
10.7.3	Security control failures responded to promptly	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.3.1.2	Internal scans use authenticated scanning	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.3.1.3	Internal scans after significant changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.3.2.1	External scans after significant changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.1	Penetration testing methodology defined	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.2	Internal penetration test at least annually	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.3	External penetration test at least annually	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.5	Segmentation controls tested at least annually	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.6	Service providers test segmentation every six months	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.4.7	Multi-tenant providers support customer penetration tests	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.5.1.1	Service providers detect covert malware communication	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
11.5.2	Change-detection on critical files	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
12.5.2.1	Service providers confirm scope every six months	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
12.6.2	Awareness programme reviewed annually	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
12.6.3.1	Training covers phishing and social engineering	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
12.6.3.2	Training covers acceptable use of technology	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.1.3	Multi-tenant providers: customers reach only their own data	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.1.4	Multi-tenant providers: separation tested every six months	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.2.1	Multi-tenant providers: audit logging for each customer	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A2.1.2	Service providers: migration plan off SSL and early TLS	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.
A2.1.3	Service providers offer a secure connection option	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke ISO 27001 dalam data kami.

Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (76)

PCI DSS	Persyaratan	Kecocokan	ISO 27001	Bukti
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
1.1.2	Roles for network security controls assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
1.2.4	Accurate account-data flow diagram maintained	Terkait secara longgar	A.5.19 A.5.20 A.5.22+5	Hanya berbagi CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
2.1.2	Roles for secure configuration assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
2.3.1	Wireless vendor defaults changed	Terkait secara longgar	A.5.15 A.5.3 A.5.10+5	Hanya berbagi CSF PR.AA-03, PR.DS-02: terkait, bukan pemetaan
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
3.1.2	Roles for protecting stored account data assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
3.5.1.3	Disk encryption access managed separately from OS access	Terkait secara longgar	A.5.15 A.5.1 A.5.3+5	Hanya berbagi CSF PR.AA-03, PR.DS-01: terkait, bukan pemetaan
3.6.1.1	Service providers document their cryptographic architecture	Terkait secara longgar	A.5.15 A.5.16 A.8.2+5	Hanya berbagi CSF PR.AA-01, PR.DS-01, PR.AA-04: terkait, bukan pemetaan
3.6.1.2	Secret and private keys stored in approved forms	Terkait secara longgar	A.5.15 A.5.16 A.8.2+5	Hanya berbagi CSF PR.AA-01, PR.DS-01, PR.AA-04: terkait, bukan pemetaan
3.6.1.3	Cleartext key components accessible to fewest custodians	Terkait secara longgar	A.5.15 A.5.16 A.8.2+5	Hanya berbagi CSF PR.AA-01, PR.DS-01, PR.AA-04: terkait, bukan pemetaan
3.6.1.4	Keys stored in the fewest possible locations	Terkait secara longgar	A.5.15 A.5.16 A.8.2+5	Hanya berbagi CSF PR.AA-01, PR.DS-01, PR.AA-04: terkait, bukan pemetaan
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
4.1.2	Roles for protecting data in transit assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
5.1.2	Roles for malware protection assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
5.2.3	Systems without anti-malware periodically re-evaluated	Terkait secara longgar	A.8.20 A.8.21 A.8.22+1	Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Terkait secara longgar	A.5.1 A.8.20 A.8.21+4	Hanya berbagi CSF GV.RM-03, GV.RM-06, PR.IR-01: terkait, bukan pemetaan
5.3.2.1	Scan frequency set by targeted risk analysis	Terkait secara longgar	A.5.1 Clause 6.1.2 Clause 6.1.3	Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
6.1.2	Roles for secure systems and software assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
6.2.3.1	Manual code reviews approved by someone else	Terkait secara longgar	A.5.8 A.5.9 A.5.11+5	Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Terkait secara longgar	A.5.1 A.5.3 A.5.14+5	Hanya berbagi CSF GV.PO-02, PR.AA-05: terkait, bukan pemetaan
7.1.2	Roles for access restriction assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
7.2.5.1	System and application account access periodically reviewed	Terkait secara longgar	A.5.1 A.5.3 A.5.14+5	Hanya berbagi CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: terkait, bukan pemetaan
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	Terkait secara longgar	A.5.1 A.5.3 A.5.14+5	Hanya berbagi CSF GV.PO-02, PR.AA-05: terkait, bukan pemetaan
8.1.2	Roles for identification and authentication assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
8.2.2	Shared or generic accounts only by documented exception	Terkait secara longgar	A.7.4 A.8.2 A.8.3+3	Hanya berbagi CSF DE.CM-03, PR.AA-02: terkait, bukan pemetaan
8.2.5	Access revoked immediately on termination	Terkait secara longgar	A.5.19 A.5.20 A.5.21+5	Hanya berbagi CSF GV.SC-10: terkait, bukan pemetaan
8.2.6	Inactive user accounts disabled within 90 days	Terkait secara longgar	A.5.1 A.5.3 A.5.14+5	Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan
8.2.8	Re-authentication after 15 minutes idle	Terkait secara longgar	A.5.15 A.5.3 A.5.10+5	Hanya berbagi CSF PR.AA-03, PR.DS-10: terkait, bukan pemetaan
8.3.5	First-use and reset passwords unique and changed	Terkait secara longgar	A.8.2 A.8.3 A.8.5	Hanya berbagi CSF PR.AA-02: terkait, bukan pemetaan
8.3.6	Minimum password length and complexity	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.3.7	Recent passwords cannot be reused	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.3.8	Authentication guidance communicated to users	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.3.9	Password-only access: change every 90 days or analyse risk	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.3.10	Service providers give customers password guidance	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.3.10.1	Service provider customer passwords: rotation or analysis	Terkait secara longgar	A.5.15 A.5.16 A.5.17+2	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
8.6.2	No hard-coded passwords for system accounts	Terkait secara longgar	A.5.15 A.5.16 A.5.18+2	Hanya berbagi CSF PR.AA-01: terkait, bukan pemetaan
8.6.3	System account passwords protected and changed	Terkait secara longgar	A.5.1 Clause 6.1.3 A.5.15+5	Hanya berbagi CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: terkait, bukan pemetaan
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+5	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
9.1.2	Roles for physical security assigned	Terkait secara longgar	A.5.2 A.5.3 A.7.5+5	Hanya berbagi CSF GV.RR-02, PR.IR-02: terkait, bukan pemetaan
9.2.4	Consoles in sensitive areas locked when unattended	Terkait secara longgar	A.5.15 A.5.16 A.5.17+5	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
9.4.1.2	Security of offline backup location reviewed annually	Terkait secara longgar	A.8.13 A.7.4	Hanya berbagi CSF PR.DS-11, RC.RP-03, DE.CM-02: terkait, bukan pemetaan
9.4.6	Hard-copy media destroyed when no longer needed	Terkait secara longgar	A.5.20 Clause 4.2 A.5.1+5	Hanya berbagi CSF GV.OC-03, GV.SC-10, PR.DS-01: terkait, bukan pemetaan
9.4.7	Electronic media destroyed or made unrecoverable	Terkait secara longgar	A.5.20 A.8.13 Clause 4.2+5	Hanya berbagi CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: terkait, bukan pemetaan
9.5.1.1	Inventory of POI devices kept	Terkait secara longgar	A.5.9 A.5.19 A.5.20+5	Hanya berbagi CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: terkait, bukan pemetaan
9.5.1.2	POI devices inspected for tampering	Terkait secara longgar	A.7.4 A.5.9 A.5.19+5	Hanya berbagi CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: terkait, bukan pemetaan
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Terkait secara longgar	A.5.1 Clause 6.1.2 Clause 6.1.3+5	Hanya berbagi CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: terkait, bukan pemetaan
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
10.1.2	Roles for logging and monitoring assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
10.2.2	Log entries record who, what, when, where and outcome	Terkait secara longgar	A.5.25 A.5.27 A.5.28	Hanya berbagi CSF RS.AN-03, RS.AN-07: terkait, bukan pemetaan
10.3.1	Read access to logs limited to need	Terkait secara longgar	A.5.26 A.5.28 A.8.15+1	Hanya berbagi CSF DE.AE-06, RS.AN-06, PR.PS-04: terkait, bukan pemetaan
10.3.3	Logs promptly backed up to a central server	Terkait secara longgar	A.5.28 A.8.15 A.5.24+4	Hanya berbagi CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: terkait, bukan pemetaan
10.3.4	File-integrity monitoring on logs	Terkait secara longgar	A.5.24 A.5.25 A.5.28+5	Hanya berbagi CSF DE.AE-02, RS.AN-06: terkait, bukan pemetaan
10.4.2.1	Review frequency set by targeted risk analysis	Terkait secara longgar	A.5.1 Clause 6.1.3 A.5.9+5	Hanya berbagi CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: terkait, bukan pemetaan
10.6.3	Time settings protected from change	Terkait secara longgar	A.8.15 A.8.17	Hanya berbagi CSF PR.PS-04: terkait, bukan pemetaan
10.7.1	Service providers detect security control failures	Terkait secara longgar	A.5.1 A.5.19 Clause 9.1+5	Hanya berbagi CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: terkait, bukan pemetaan
10.7.2	Critical security control failures detected and reported	Terkait secara longgar	A.5.1 A.5.19 Clause 9.1+5	Hanya berbagi CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: terkait, bukan pemetaan
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Terkait secara longgar	A.5.1 A.5.31 A.5.32+2	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
11.1.2	Roles for security testing assigned	Terkait secara longgar	A.5.2 A.5.3 Clause 7.2	Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan
11.2.1	Wireless access points detected and unauthorised ones handled	Terkait secara longgar	A.8.15 A.8.16 A.8.20+3	Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Terkait secara longgar	A.5.1 Clause 6.1.2 Clause 6.1.3+2	Hanya berbagi CSF GV.RM-03, GV.RM-06, ID.RA-05: terkait, bukan pemetaan
11.4.4	Penetration test findings corrected and retested	Terkait secara longgar	A.5.19 A.5.1 A.5.35+5	Hanya berbagi CSF GV.OV-02, GV.OV-03, ID.IM-02: terkait, bukan pemetaan
11.6.1	Payment page changes and tampering detected	Terkait secara longgar	A.5.19 A.5.1 A.5.20+5	Hanya berbagi CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: terkait, bukan pemetaan
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	Terkait secara longgar	A.5.1 A.8.32 Clause 6.1.2+1	Hanya berbagi CSF GV.RM-06, ID.RA-07: terkait, bukan pemetaan
12.3.3	Cipher suites and protocols reviewed annually	Terkait secara longgar	A.5.1 A.5.3 A.5.10+5	Hanya berbagi CSF GV.RM-03, GV.RM-06, PR.DS-02: terkait, bukan pemetaan
12.3.4	Hardware and software technologies reviewed annually	Terkait secara longgar	A.5.19 A.5.1 A.5.20+5	Hanya berbagi CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: terkait, bukan pemetaan
12.4.2.1	Service providers: quarterly review results documented	Terkait secara longgar	A.5.1 A.5.19 A.5.35+5	Hanya berbagi CSF GV.OV-01, GV.OV-02, ID.IM-01: terkait, bukan pemetaan
12.5.3	Service providers review scope after organisational change	Terkait secara longgar	A.5.1 A.5.19 Clause 6.1.3+5	Hanya berbagi CSF GV.OV-02, GV.RM-03, GV.RM-05: terkait, bukan pemetaan
12.9.1	Service providers acknowledge responsibilities to customers	Terkait secara longgar	A.5.19 A.5.20 A.5.31+5	Hanya berbagi CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: terkait, bukan pemetaan
12.9.2	Service providers support customer compliance requests	Terkait secara longgar	A.5.19 A.5.20 A.5.31+5	Hanya berbagi CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: terkait, bukan pemetaan
12.10.4.1	Training frequency set by targeted risk analysis	Terkait secara longgar	A.5.1 A.5.2 A.6.3+3	Hanya berbagi CSF GV.RM-03, GV.RM-06, PR.AT-02: terkait, bukan pemetaan
12.10.5	Plan covers alerts from security monitoring	Terkait secara longgar	A.5.26	Hanya berbagi CSF GV.SC-08: terkait, bukan pemetaan
12.10.7	Procedures for PAN found where it shouldn't be	Terkait secara longgar	A.5.9	Hanya berbagi CSF ID.AM-07: terkait, bukan pemetaan

Dipetakan (77)

PCI DSS	Persyaratan	Kecocokan	ISO 27001	Bukti
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Editorial	A.8.20 A.8.21 A.8.22	Topik sama: Firewall / Segmentasi Jaringan (pilihan editor)
1.2.3	Accurate network diagram maintained	Crosswalk	A.8.20 A.8.21 A.8.22	Topik sama: Firewall / Segmentasi Jaringan
1.3.1	Inbound traffic to the CDE restricted	Editorial	A.8.20 A.8.21 A.8.22	Topik sama: Firewall / Segmentasi Jaringan (pilihan editor)
1.4.1	Network controls between trusted and untrusted networks	Editorial	A.8.20 A.8.21 A.8.22	Topik sama: Firewall / Segmentasi Jaringan (pilihan editor)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Crosswalk	A.8.9	Topik sama: Konfigurasi Aman
2.2.2	Vendor default accounts managed or removed	Crosswalk	A.8.9	Topik sama: Konfigurasi Aman
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Crosswalk	A.5.14 A.8.10 A.8.11	Topik sama: Perlindungan Data
3.3.1	Sensitive authentication data not kept after authorisation	Crosswalk	A.5.14 A.8.10 A.8.11	Topik sama: Perlindungan Data
3.4.1	PAN masked when displayed	Crosswalk	A.5.14 A.8.10 A.8.11	Topik sama: Perlindungan Data
3.4.2	PAN copying prevented over remote-access technologies	Editorial	A.8.12	Topik sama: DLP (pilihan editor)
3.5.1	PAN rendered unreadable wherever stored	Crosswalk	A.8.24	Topik sama: Enkripsi
3.6.1	Procedures protect keys that secure stored account data	Crosswalk	A.8.24	Topik sama: Enkripsi
3.7.1	Key management: strong key generation	Editorial	A.8.24	Topik sama: Enkripsi (pilihan editor)
3.7.4	Key management: key changes at end of cryptoperiod	Editorial	A.8.24	Topik sama: Enkripsi (pilihan editor)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Crosswalk	A.8.24	Topik sama: Enkripsi
4.2.1.1	Inventory of trusted keys and certificates kept	Editorial	A.8.24	Topik sama: Enkripsi (pilihan editor)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Crosswalk	A.8.19 A.8.1 A.8.7	Topik sama: Perlindungan Endpoint
5.2.2	Anti-malware detects, removes or contains known malware	Crosswalk	A.8.19 A.8.1 A.8.7	Topik sama: Perlindungan Endpoint
5.3.2	Periodic scans or continuous behavioural analysis	Crosswalk	A.8.19 A.8.1 A.8.7	Topik sama: Perlindungan Endpoint
5.4.1	Mechanisms to detect and protect against phishing	Editorial	A.5.14	Topik sama: Keamanan Email (pilihan editor)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	Editorial	A.8.25 A.8.26 A.8.28+1	Topik sama: Pengembangan Aman (pilihan editor)
6.2.2	Developers trained in secure software development	Crosswalk	A.8.25 A.8.26 A.8.28+1	Topik sama: Pengembangan Aman
6.2.3	Custom code reviewed before release	Crosswalk	A.8.5 A.8.25 A.8.26+2	Topik sama: Keamanan API, Pengembangan Aman
6.2.4	Coding techniques prevent common software attacks	Editorial	A.8.5 A.8.26	Topik sama: Keamanan API (pilihan editor)
6.3.1	Vulnerabilities identified and risk-ranked	Crosswalk	A.5.7 A.8.8	Topik sama: Intelijen Ancaman, Manajemen Kerentanan, Manajemen Patch
6.3.2	Inventory of custom software and its components	Crosswalk	A.5.9 A.5.11 A.5.19+2	Topik sama: Manajemen Aset, Risiko Rantai Pasok
6.3.3	Security patches installed promptly	Crosswalk	A.8.8	Topik sama: Manajemen Patch
6.4.1	Public web applications protected against attacks	Editorial	A.8.26	Topik sama: Keamanan Web (pilihan editor)
6.4.2	Automated solution blocks attacks on public web apps	Editorial	A.8.20	Topik sama: WAF (pilihan editor)
6.4.3	Payment page scripts authorised and integrity-checked	Editorial	A.8.26	Topik sama: Keamanan Web (pilihan editor)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Crosswalk	A.5.15 A.5.16 A.5.18+3	Topik sama: Kontrol Akses, Zero Trust
7.2.2	Access assigned by job function and least privilege	Crosswalk	A.5.15 A.5.16 A.5.18+3	Topik sama: Kontrol Akses
7.2.4	User accounts and privileges reviewed every six months	Crosswalk	A.5.15 A.5.16 A.5.18+1	Topik sama: Kontrol Akses
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Crosswalk	A.5.15 A.5.16 A.5.18+1	Topik sama: Kontrol Akses
8.3.1	User and admin access requires an authentication factor	Crosswalk	A.5.15 A.8.5 A.8.22	Topik sama: Zero Trust
8.4.1	MFA for non-console administrative access to the CDE	Editorial	A.8.5	Topik sama: Autentikasi Multi-Faktor (pilihan editor)
8.4.2	MFA for all access into the CDE	Editorial	A.8.5	Topik sama: Autentikasi Multi-Faktor (pilihan editor)
8.4.3	MFA for remote network access	Editorial	A.8.5	Topik sama: Autentikasi Multi-Faktor (pilihan editor)
8.5.1	MFA systems configured to resist misuse	Editorial	A.8.5	Topik sama: Autentikasi Multi-Faktor (pilihan editor)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Editorial	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik (pilihan editor)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Editorial	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik (pilihan editor)
9.2.3	Physical access to network hardware restricted	Crosswalk	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik
9.3.1	Personnel physical access authorised and managed	Editorial	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik (pilihan editor)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Crosswalk	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik
9.3.2	Visitor access authorised, escorted and identifiable	Editorial	A.7.1 A.7.2 A.7.3+6	Topik sama: Keamanan Fisik (pilihan editor)
9.4.1.1	Offline backup media stored securely	Crosswalk	A.8.13	Topik sama: Cadangan & Pemulihan
9.4.2	Media classified by data sensitivity	Editorial	A.5.12 A.5.13	Topik sama: Klasifikasi Data (pilihan editor)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Crosswalk	A.6.1 A.6.4 A.8.15+2	Topik sama: Ancaman Orang Dalam, Pencatatan & Audit
10.3.2	Logs protected from modification	Crosswalk	A.5.28 A.8.15 A.8.17	Topik sama: Forensik, Pencatatan & Audit
10.4.1	Security event and critical logs reviewed daily	Crosswalk	A.5.25 A.8.16	Topik sama: SIEM / SOC, Pemantauan Berkelanjutan
10.4.1.1	Automated mechanisms for log review	Editorial	A.8.16	Topik sama: Deteksi Anomali (pilihan editor)
10.5.1	Audit logs retained 12 months, three immediately available	Editorial	A.8.15 A.8.17	Topik sama: Pencatatan & Audit (pilihan editor)
10.6.1	System clocks synchronised	Crosswalk	A.8.15 A.8.17	Topik sama: Pencatatan & Audit
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Crosswalk	A.8.8	Topik sama: Manajemen Kerentanan
11.3.2	External ASV scans every three months	Crosswalk	A.8.8	Topik sama: Manajemen Kerentanan
11.5.1	Intrusion detection or prevention on network traffic	Editorial	A.8.16	Topik sama: Deteksi Intrusi (pilihan editor)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	Crosswalk	A.5.1 A.5.37 Clause 5.2	Topik sama: Kebijakan Tata Kelola
12.1.2	Security policy reviewed at least annually	Crosswalk	A.5.1 A.5.37 Clause 5.2	Topik sama: Kebijakan Tata Kelola
12.1.3	Security roles and responsibilities defined	Crosswalk	A.5.2 A.5.4	Topik sama: Peran & Tanggung Jawab
12.1.4	Executive responsibility for information security assigned	Crosswalk	A.5.2 A.5.4	Topik sama: Peran & Tanggung Jawab
12.3.1	Targeted risk analysis for flexible-frequency requirements	Crosswalk	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	Topik sama: Manajemen Risiko, Penilaian Risiko
12.4.2	Service providers: quarterly reviews of operational tasks	Crosswalk	A.5.31 Clause 9.1 A.5.36	Topik sama: Kepatuhan
12.5.1	Inventory of in-scope system components	Crosswalk	A.5.9 A.5.11 A.7.14	Topik sama: Manajemen Aset
12.5.2	PCI DSS scope confirmed annually and on change	Crosswalk	Clause 4.1 Clause 4.2	Topik sama: Lingkungan Bisnis
12.6.1	Formal security awareness programme	Crosswalk	A.6.3 Clause 7.3	Topik sama: Kesadaran & Pelatihan
12.6.3	Awareness training on hire and at least annually	Crosswalk	A.6.3 Clause 7.3	Topik sama: Kesadaran & Pelatihan
12.7.1	Personnel screened before hire	Crosswalk	A.6.1 A.6.4 A.8.16	Topik sama: Ancaman Orang Dalam
12.8.1	List of third-party service providers kept	Crosswalk	A.5.19 A.5.20 A.5.21+2	Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor
12.8.2	Written agreements with service providers	Crosswalk	A.5.19 A.5.20 A.5.22	Topik sama: Manajemen Risiko Vendor
12.8.3	Due diligence before engaging service providers	Crosswalk	A.5.19 A.5.20 A.5.22	Topik sama: Manajemen Risiko Vendor
12.8.4	Service provider compliance monitored annually	Crosswalk	A.5.19 A.5.20 A.5.22	Topik sama: Manajemen Risiko Vendor
12.8.5	Responsibilities split with each provider documented	Crosswalk	A.5.19 A.5.20 A.5.22+1	Topik sama: Manajemen Risiko Vendor
12.10.1	Incident response plan ready to activate	Crosswalk	A.5.5 A.5.24 A.5.25+5	Topik sama: Pelaporan, Respons Insiden
12.10.2	Incident response plan reviewed and tested annually	Crosswalk	A.5.24 A.5.25 A.5.26	Topik sama: Respons Insiden
12.10.3	Incident response staff available around the clock	Crosswalk	A.5.24 A.5.25 A.5.26	Topik sama: Respons Insiden
12.10.4	Incident response staff trained	Crosswalk	A.5.24 A.5.25 A.5.26	Topik sama: Respons Insiden
12.10.6	Plan updated from lessons learned and industry changes	Crosswalk	A.5.27 Clause 10.1	Topik sama: Pelajaran yang Dipetik

Miliki PCI DSS → butuhkan ISO 27001

123 persyaratan

76 terpetakan · · 10 tanpa pemetaan Buka di tampilan kesenjangan →

Dari 123 persyaratan ISO/IEC 27001:2022, 76 dipetakan ke sesuatu dalam PCI DSS, 37 hanya terkait secara longgar, dan 10 tidak memiliki pemetaan dalam data kami.

Kemungkinan pekerjaan baru: persyaratan ISO 27001 tanpa pemetaan ke PCI DSS (10)

ISO 27001	Persyaratan	Kecocokan	PCI DSS	Bukti
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 5.1	Leadership and commitment	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 6.2	Information security objectives and planning to achieve them	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 6.3	Planning of changes	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 7.5.1	General	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 7.5.2	Creating and updating	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 7.5.3	Control of documented information	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 9.2.1	General	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 9.2.2	Internal audit programme	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.
Clause 10.2	Nonconformity and corrective action	Tidak ada pemetaan dalam data kami	—	Tidak ada pemetaan ke PCI DSS dalam data kami.

Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (37)

ISO 27001	Persyaratan	Kecocokan	PCI DSS	Bukti
A.5 Organizational controls · 9
A.5.3	Segregation of duties	Terkait secara longgar	7.2.2 12.1.3 1.1.2+5	Hanya berbagi CSF PR.AA-05, PR.DS-10, GV.RR-02: terkait, bukan pemetaan
A.5.6	Contact with special interest groups	Terkait secara longgar	12.10.6 10.7.1 10.7.2+5	Hanya berbagi CSF GV.OV-01, RS.CO-03: terkait, bukan pemetaan
A.5.8	Information security in project management	Terkait secara longgar	1.2.3 1.2.4 6.2.1+5	Hanya berbagi CSF GV.OC-05, ID.AM-08: terkait, bukan pemetaan
A.5.10	Acceptable use of information and other associated assets	Terkait secara longgar	2.3.1 3.2.1 3.3.1+5	Hanya berbagi CSF PR.DS-02, PR.DS-10, PR.DS-01: terkait, bukan pemetaan
A.5.17	Authentication information	Terkait secara longgar	2.2.2 2.3.1 3.5.1.3+5	Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan
A.5.32	Intellectual property rights	Terkait secara longgar	1.1.1 2.1.1 3.1.1+5	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
A.5.33	Protection of records	Terkait secara longgar	3.3.1 3.5.1 3.5.1.3+5	Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan
A.5.34	Privacy and protection of PII	Terkait secara longgar	1.1.1 2.1.1 3.1.1+5	Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan
A.5.35	Independent review of information security	Terkait secara longgar	11.4.4 12.3.4 12.4.2+5	Hanya berbagi CSF GV.OV-02, ID.IM-02, ID.IM-01: terkait, bukan pemetaan
A.6 People controls · 4
A.6.2	Terms and conditions of employment	Terkait secara longgar	7.2.2 2.3.1 3.2.1+5	Hanya berbagi CSF GV.RR-04, PR.DS-10, PR.DS-02: terkait, bukan pemetaan
A.6.5	Responsibilities after termination or change of employment	Terkait secara longgar	7.2.2 2.3.1 3.2.1+5	Hanya berbagi CSF GV.RR-04, PR.DS-10, PR.DS-02: terkait, bukan pemetaan
A.6.6	Confidentiality or non-disclosure agreements	Terkait secara longgar	7.2.2 8.2.5 9.3.1.1+4	Hanya berbagi CSF GV.RR-04: terkait, bukan pemetaan
A.6.7	Remote working	Terkait secara longgar	7.2.2 12.1.3 8.2.5+5	Hanya berbagi CSF GV.RR-04, PR.AA-05, GV.PO-01: terkait, bukan pemetaan
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	Terkait secara longgar	3.3.1 3.5.1 3.5.1.3+5	Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan
A.7.9	Security of assets off-premises	Terkait secara longgar	3.3.1 3.5.1 3.5.1.3+5	Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan
A.7.10	Storage media	Terkait secara longgar	3.3.1 3.5.1 3.5.1.3+5	Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan
A.7.13	Equipment maintenance	Terkait secara longgar	6.2.1 6.2.2 6.2.3+5	Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan
A.8 Technological controls · 9
A.8.4	Access to source code	Terkait secara longgar	7.2.2 2.3.1 3.2.1+5	Hanya berbagi CSF PR.AA-05, PR.DS-10, PR.DS-02: terkait, bukan pemetaan
A.8.6	Capacity management	Terkait secara longgar	5.2.1 5.2.2 5.3.2+5	Hanya berbagi CSF DE.CM-09: terkait, bukan pemetaan
A.8.23	Web filtering	Terkait secara longgar	1.2.3 1.2.4 5.2.1+5	Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan
A.8.27	Secure system architecture and engineering principles	Terkait secara longgar	12.10.1 12.10.2 12.10.6	Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan
A.8.30	Outsourced development	Terkait secara longgar	7.2.5.1 10.7.2 11.3.1+5	Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan
A.8.31	Separation of development, test and production environments	Terkait secara longgar	6.2.2 6.2.3 6.3.2+5	Hanya berbagi CSF PR.PS-06: terkait, bukan pemetaan
A.8.32	Change management	Terkait secara longgar	12.3.1 7.2.5.1 8.6.3+5	Hanya berbagi CSF GV.OV-03, ID.RA-07: terkait, bukan pemetaan
A.8.33	Test information	Terkait secara longgar	3.3.1 3.5.1 3.5.1.3+5	Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan
A.8.34	Protection of information systems during audit testing	Terkait secara longgar	7.2.5.1 10.7.2 11.3.1+5	Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	Terkait secara longgar	12.1.4 12.8.1 12.8.5+2	Hanya berbagi CSF GV.OC-02: terkait, bukan pemetaan
Clause 5.3	Organizational roles, responsibilities and authorities	Terkait secara longgar	12.1.4 12.8.3 12.8.4+1	Hanya berbagi CSF GV.SC-02: terkait, bukan pemetaan
Clause 7.1	Resources	Terkait secara longgar	12.1.4 12.10.3	Hanya berbagi CSF GV.RR-03: terkait, bukan pemetaan
Clause 7.2	Competence	Terkait secara longgar	12.1.3 12.1.4 1.1.2+5	Hanya berbagi CSF GV.RR-01, GV.RR-02, GV.RR-03: terkait, bukan pemetaan
Clause 7.4	Communication	Terkait secara longgar	12.10.1 12.8.2 12.10.3+3	Hanya berbagi CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: terkait, bukan pemetaan
Clause 8.1	Operational planning and control	Terkait secara longgar	1.2.3 1.2.4 6.3.1+5	Hanya berbagi CSF GV.SC-01, RC.RP-04, GV.SC-03: terkait, bukan pemetaan
Clause 8.2	Information security risk assessment	Terkait secara longgar	12.1.1 12.1.4 12.8.1+3	Hanya berbagi CSF GV.OC-01, GV.OC-02: terkait, bukan pemetaan
Clause 8.3	Information security risk treatment	Terkait secara longgar	12.1.1 12.1.4 12.8.1+3	Hanya berbagi CSF GV.OC-01, GV.OC-02: terkait, bukan pemetaan
Clause 9.3.1	General	Terkait secara longgar	2.2.1 2.2.2	Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan
Clause 9.3.2	Management review inputs	Terkait secara longgar	2.2.1 2.2.2	Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan
Clause 9.3.3	Management review results	Terkait secara longgar	2.2.1 2.2.2	Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan

Dipetakan (76)

ISO 27001	Persyaratan	Kecocokan	PCI DSS	Bukti
A.5 Organizational controls · 28
A.5.1	Policies for information security	Crosswalk	12.1.1 12.1.2	Topik sama: Kebijakan Tata Kelola
A.5.2	Information security roles and responsibilities	Crosswalk	12.1.3 12.1.4	Topik sama: Peran & Tanggung Jawab
A.5.4	Management responsibilities	Crosswalk	12.1.3 12.1.4	Topik sama: Peran & Tanggung Jawab
A.5.5	Contact with authorities	Crosswalk	12.10.1	Topik sama: Pelaporan
A.5.7	Threat intelligence	Crosswalk	6.3.1	Topik sama: Intelijen Ancaman
A.5.9	Inventory of information and other associated assets	Crosswalk	6.3.2 12.5.1	Topik sama: Manajemen Aset
A.5.11	Return of assets	Crosswalk	6.3.2 12.5.1	Topik sama: Manajemen Aset
A.5.12	Classification of information	Editorial	9.4.2	Topik sama: Klasifikasi Data (pilihan editor)
A.5.13	Labelling of information	Editorial	9.4.2	Topik sama: Klasifikasi Data (pilihan editor)
A.5.14	Information transfer	Crosswalk	3.2.1 3.3.1 3.4.1+1	Topik sama: Perlindungan Data
A.5.15	Access control	Crosswalk	7.2.1 7.2.2 7.2.4+2	Topik sama: Kontrol Akses, Zero Trust
A.5.16	Identity management	Crosswalk	7.2.1 7.2.2 7.2.4+1	Topik sama: Kontrol Akses
A.5.18	Access rights	Crosswalk	7.2.1 7.2.2 7.2.4+1	Topik sama: Kontrol Akses
A.5.19	Information security in supplier relationships	Crosswalk	6.3.2 12.8.1 12.8.2+3	Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor
A.5.20	Addressing information security within supplier agreements	Crosswalk	12.8.1 12.8.2 12.8.3+2	Topik sama: Manajemen Risiko Vendor
A.5.21	Managing information security in the ICT supply chain	Crosswalk	6.3.2 12.8.1	Topik sama: Risiko Rantai Pasok
A.5.22	Monitoring, review and change management of supplier services	Crosswalk	12.8.1 12.8.2 12.8.3+2	Topik sama: Manajemen Risiko Vendor
A.5.23	Information security for use of cloud services	Crosswalk	12.8.1 12.8.5	Topik sama: Keamanan Cloud
A.5.24	Information security incident management planning and preparation	Crosswalk	12.10.1 12.10.2 12.10.3+1	Topik sama: Respons Insiden
A.5.25	Assessment and decision on information security events	Crosswalk	10.4.1 12.10.1 12.10.2+2	Topik sama: SIEM / SOC, Respons Insiden
A.5.26	Response to information security incidents	Crosswalk	12.10.1 12.10.2 12.10.3+1	Topik sama: Respons Insiden, Mitigasi
A.5.27	Learning from information security incidents	Crosswalk	12.10.6	Topik sama: Pelajaran yang Dipetik
A.5.28	Collection of evidence	Crosswalk	10.3.2	Topik sama: Forensik
A.5.29	Information security during disruption	Crosswalk	12.10.1	Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha
A.5.30	ICT readiness for business continuity	Crosswalk	12.10.1	Topik sama: Perencanaan Pemulihan, Kelangsungan Usaha, Pemulihan Bencana
A.5.31	Legal, statutory, regulatory and contractual requirements	Crosswalk	12.4.2	Topik sama: Kepatuhan
A.5.36	Compliance with policies, rules and standards for information security	Editorial	12.4.2	Topik sama: Kepatuhan (pilihan editor)
A.5.37	Documented operating procedures	Crosswalk	12.1.1 12.1.2	Topik sama: Kebijakan Tata Kelola
A.6 People controls · 4
A.6.1	Screening	Crosswalk	10.2.1 12.7.1	Topik sama: Ancaman Orang Dalam
A.6.3	Information security awareness, education and training	Crosswalk	12.6.1 12.6.3	Topik sama: Kesadaran & Pelatihan
A.6.4	Disciplinary process	Crosswalk	10.2.1 12.7.1	Topik sama: Ancaman Orang Dalam
A.6.8	Information security event reporting	Crosswalk	12.10.1	Topik sama: Pelaporan
A.7 Physical controls · 10
A.7.1	Physical security perimeters	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.2	Physical entry	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.3	Securing offices, rooms and facilities	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.4	Physical security monitoring	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.5	Protecting against physical and environmental threats	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.6	Working in secure areas	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.8	Equipment siting and protection	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.11	Supporting utilities	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.12	Cabling security	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Topik sama: Keamanan Fisik
A.7.14	Secure disposal or re-use of equipment	Crosswalk	6.3.2 12.5.1	Topik sama: Manajemen Aset
A.8 Technological controls · 25
A.8.1	User endpoint devices	Editorial	5.2.1 5.2.2 5.3.2	Topik sama: Perlindungan Endpoint (pilihan editor)
A.8.2	Privileged access rights	Crosswalk	7.2.2	Topik sama: Akses Istimewa
A.8.3	Information access restriction	Crosswalk	7.2.1 7.2.2 7.2.4+1	Topik sama: Kontrol Akses
A.8.5	Secure authentication	Crosswalk	6.2.3 7.2.1 8.3.1+5	Topik sama: Keamanan API, Zero Trust
A.8.7	Protection against malware	Editorial	5.2.1 5.2.2 5.3.2	Topik sama: Perlindungan Endpoint (pilihan editor)
A.8.8	Management of technical vulnerabilities	Crosswalk	6.3.1 6.3.3 11.3.1+1	Topik sama: Manajemen Kerentanan, Manajemen Patch
A.8.9	Configuration management	Crosswalk	2.2.1 2.2.2	Topik sama: Konfigurasi Aman
A.8.10	Information deletion	Crosswalk	3.2.1 3.3.1 3.4.1	Topik sama: Perlindungan Data
A.8.11	Data masking	Crosswalk	3.2.1 3.3.1 3.4.1	Topik sama: Perlindungan Data
A.8.12	Data leakage prevention	Editorial	3.4.2	Topik sama: DLP (pilihan editor)
A.8.13	Information backup	Crosswalk	9.4.1.1	Topik sama: Cadangan & Pemulihan
A.8.14	Redundancy of information processing facilities	Crosswalk	12.10.1	Topik sama: Kelangsungan Usaha, Pemulihan Bencana
A.8.15	Logging	Crosswalk	10.2.1 10.3.2 10.6.1+1	Topik sama: Pencatatan & Audit
A.8.16	Monitoring activities	Crosswalk	10.2.1 10.4.1 12.7.1+2	Topik sama: Ancaman Orang Dalam, Pemantauan Berkelanjutan, SIEM / SOC
A.8.17	Clock synchronization	Crosswalk	10.2.1 10.3.2 10.6.1+1	Topik sama: Pencatatan & Audit
A.8.18	Use of privileged utility programs	Crosswalk	7.2.2	Topik sama: Akses Istimewa
A.8.19	Installation of software on operational systems	Crosswalk	5.2.1 5.2.2 5.3.2	Topik sama: Perlindungan Endpoint
A.8.20	Networks security	Crosswalk	1.2.3 1.2.1 1.3.1+2	Topik sama: Firewall / Segmentasi Jaringan
A.8.21	Security of network services	Crosswalk	1.2.3 1.2.1 1.3.1+1	Topik sama: Firewall / Segmentasi Jaringan
A.8.22	Segregation of networks	Crosswalk	1.2.3 7.2.1 8.3.1+3	Topik sama: Firewall / Segmentasi Jaringan, Zero Trust
A.8.24	Use of cryptography	Crosswalk	3.5.1 3.6.1 4.2.1+3	Topik sama: Enkripsi
A.8.25	Secure development life cycle	Crosswalk	6.2.2 6.2.3 6.2.1	Topik sama: Pengembangan Aman
A.8.26	Application security requirements	Crosswalk	6.2.2 6.2.3 6.2.1+3	Topik sama: Pengembangan Aman, Keamanan API
A.8.28	Secure coding	Crosswalk	6.2.2 6.2.3 6.2.1	Topik sama: Pengembangan Aman
A.8.29	Security testing in development and acceptance	Crosswalk	6.2.2 6.2.3 6.2.1	Topik sama: Pengembangan Aman
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	Crosswalk	12.5.2	Topik sama: Lingkungan Bisnis
Clause 4.2	Understanding the needs and expectations of interested parties	Crosswalk	12.5.2	Topik sama: Lingkungan Bisnis
Clause 5.2	Policy	Crosswalk	12.1.1 12.1.2	Topik sama: Kebijakan Tata Kelola
Clause 6.1.1	General	Crosswalk	12.3.1	Topik sama: Manajemen Risiko
Clause 6.1.2	Information security risk assessment	Crosswalk	12.3.1	Topik sama: Penilaian Risiko
Clause 6.1.3	Information security risk treatment	Crosswalk	12.3.1	Topik sama: Manajemen Risiko, Penilaian Risiko
Clause 7.3	Awareness	Crosswalk	12.6.1 12.6.3	Topik sama: Kesadaran & Pelatihan
Clause 9.1	Monitoring, measurement, analysis and evaluation	Crosswalk	12.4.2	Topik sama: Kepatuhan
Clause 10.1	Continual improvement	Editorial	12.10.6	Topik sama: Pelajaran yang Dipetik (pilihan editor)

Menurut topik

Keduanya mencakup (46):

Hanya ISO 27001 (4):

Keamanan Seluler Keamanan DNS Komunikasi Komunikasi & Pemulihan

Pertanyaan

Apakah ISO 27001 menggantikan PCI DSS?

Tidak. Merek kartu mewajibkan validasi PCI DSS terlepas dari sertifikasi ISO. ISO membantu Anda menjalankan program yang menjadi dasar kepatuhan PCI.

Apakah PCI DSS merupakan undang-undang?

Tidak. Standar ini ditegakkan melalui kontrak dengan merek kartu dan acquirer. Beberapa yurisdiksi merujuknya dalam peraturan perundang-undangan, tetapi kewenangannya berasal dari perjanjian jaringan pembayaran.

Dapatkah satu kontrol memenuhi ISO 27001 sekaligus PCI DSS?

Sering kali bisa, jika diimplementasikan sesuai persyaratan PCI DSS yang lebih spesifik. ISO 27001 menerima implementasi apa pun yang dibenarkan dengan baik, sehingga merancang sesuai frekuensi dan pengaturan PCI biasanya memenuhi keduanya.

Mana yang lebih sulit, ISO 27001 atau PCI DSS?

PCI DSS lebih preskriptif dan teknis dalam lingkupnya; ISO 27001 lebih luas dan mensyaratkan sistem manajemen. Dengan lingkungan data pemegang kartu yang kecil, PCI DSS bisa menjadi yang lebih ringan dari keduanya.

Apa yang dimaksud dengan level merchant PCI DSS?

Merek kartu mengklasifikasikan merchant dan penyedia layanan berdasarkan volume transaksi tahunan. Level tersebut menentukan cara validasi kepatuhan: QSA Report on Compliance untuk yang terbesar, Self-Assessment Questionnaire untuk sebagian besar lainnya.

Apakah ISO 27001 membantu asesmen PCI DSS?

Ya, terutama untuk kebijakan, penilaian risiko, peran, manajemen pemasok, dan respons insiden. ISO tidak menggantikan bukti spesifik PCI.

Apakah PCI DSS v4.0.1 mewajibkan penilaian risiko seperti ISO 27001?

Tidak dalam bentuk yang sama untuk seluruh organisasi. PCI DSS v4.0 memperkenalkan analisis risiko bertarget untuk persyaratan yang frekuensinya dapat Anda tetapkan, dan mengharapkan tinjauan tahunan terhadap kriptografi dan teknologi, tetapi penilaian risiko ISO 27001 lebih luas.

ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.

Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · Terkait secara longgar hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.