ISO 27001 vs SOC 2: apa yang tetap berlaku, dan apa yang tidak
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · data 2026-10-27
Menurut Paul Gillet · Diperbarui 2026-10-17
ISO/IEC 27001 dan SOC 2 menjawab pertanyaan pelanggan yang sama, "dapatkah kami mempercayai Anda dengan data kami?", dengan cara yang berbeda. ISO 27001 mensertifikasi sistem manajemen: badan sertifikasi terakreditasi memastikan bahwa Anda menjalankan sistem manajemen keamanan informasi (ISMS) yang memenuhi klausul 4 sampai 10 dan bahwa Anda telah menentukan, dalam Statement of Applicability, kontrol Annex A mana dari 93 kontrol yang berlaku. SOC 2 merupakan attestation: firma CPA melaporkan apakah kontrol Anda memenuhi Trust Services Criteria dari AICPA. Laporan Type II mencakup bagaimana kontrol tersebut beroperasi selama suatu periode, biasanya 3 sampai 12 bulan.
Tumpang tindih teknisnya sangat besar. Kontrol akses, pencatatan log dan pemantauan, manajemen perubahan, manajemen kerentanan, respons insiden, manajemen pemasok, dan pencadangan muncul di keduanya, dan sebagian besar pekerjaan keamanan yang Anda lakukan untuk satu standar juga berlaku untuk yang lain. Perbedaannya terletak pada struktur dan penekanan, bukan pada kontrol itu sendiri.
Dari SOC 2 ke ISO 27001, pekerjaan tambahan yang sebenarnya adalah sistem manajemennya. ISO mensyaratkan ruang lingkup ISMS yang terdefinisi, sasaran keamanan informasi, informasi terdokumentasi yang terkendali, proses penilaian dan perlakuan risiko beserta Statement of Applicability, audit internal, serta tinjauan manajemen. Ini adalah klausul ISO yang ditandai sebagai tidak cocok di bawah, ditambah beberapa kontrol Annex A (terutama keamanan fisik) yang sering kali diperlakukan secara ringan oleh auditor SOC 2 untuk perusahaan yang hanya menggunakan cloud.
Dari ISO 27001 ke SOC 2, hampir setiap kriteria keamanan, termasuk kriteria lingkungan kontrol (pengawasan dewan, integritas dan nilai etika, akuntabilitas), memiliki padanan ISO. Pekerjaan baru ada pada kategori opsional yang Anda sertakan. Processing Integrity dan sebagian besar kriteria Privacy tidak memiliki padanan ISMS dan ditampilkan di sini sebagai "Tidak ada pemetaan dalam data kami"; pengecualiannya adalah retensi, pemusnahan, dan pemberitahuan pelanggaran, yang sebagian ditangani oleh kontrol ISO untuk catatan, penghapusan, dan insiden. Availability dan Confidentiality biasanya mendekati apa yang sudah diwajibkan ISO.
Sekilas
| ISO 27001 | SOC 2 | |
|---|---|---|
| Yang Anda peroleh | Sertifikat untuk ISMS Anda, berlaku selama tiga tahun | Laporan: opini firma CPA mengenai kontrol Anda |
| Siapa yang menerbitkan | Badan sertifikasi terakreditasi | Firma CPA berlisensi |
| Apa yang diuji | Sistem manajemen (klausul 4–10) dan kontrol Annex A yang Anda pilih dalam Statement of Applicability | Kontrol terhadap Trust Services Criteria: Security, ditambah salah satu dari Availability, Confidentiality, Processing Integrity, Privacy |
| Periode yang dicakup | Audit titik waktu: Tahap 1 dan 2, kemudian surveilans tahunan | Type I: satu tanggal. Type II: biasanya 3–12 bulan operasi |
| Siapa yang memintanya | Pelanggan di seluruh dunia, terutama di Eropa, Asia, dan sektor publik | Sebagian besar tim vendor-risk pelanggan di AS |
| Dibagikan secara publik? | Sertifikat: ya; laporan audit: tidak | Tidak: dibagikan berdasarkan NDA |
| Perkiraan upaya pertama kali | Enam sampai dua belas bulan, sebagian besar untuk membangun ISMS | Tiga sampai sembilan bulan untuk Type II pertama, sebagian besar untuk bukti |
Yang mana yang Anda butuhkan?
Mulailah dari siapa yang bertanya. Jika pelanggan korporasi AS mengirim kuesioner keamanan yang meminta "SOC 2 Anda", laporan SOC 2 Type II adalah yang menutup kesepakatan; sertifikat ISO sering diterima tetapi tidak selalu. Jika pelanggan berada di Eropa, Asia, atau sektor publik, atau tender mencantumkan ISO/IEC 27001, sertifikat adalah jawaban yang diharapkan. Banyak perusahaan perangkat lunak yang menjual secara internasional akhirnya memiliki keduanya.
Jika belum ada yang bertanya, ISO 27001 membangun program yang lebih tahan lama, karena sistem manajemen mewajibkan penilaian risiko, sasaran, audit internal, dan tinjauan manajemen. SOC 2 lebih cepat menghasilkan deliverable pertama jika kesepakatan tertentu bergantung padanya.
Memenuhi keduanya tanpa mengerjakan semuanya dua kali
- Bangun satu set kontrol. Petakan setiap kontrol ke kontrol Annex A-nya dan kriteria Trust Services-nya; perbandingan di bawah menunjukkan di mana keduanya sejalan.
- Tulis ISMS sekali saja. Ruang lingkup, penilaian risiko, Statement of Applicability, audit internal, dan tinjauan manajemen adalah persyaratan ISO, tetapi juga memberi auditor SOC 2 bukti tata kelola yang diminta oleh CC1–CC5.
- Kumpulkan bukti secara berkelanjutan. SOC 2 Type II mengambil sampel bukti sepanjang periode, sehingga bukti yang dikumpulkan untuknya juga berguna untuk audit surveilans ISO.
- Selaraskan kalender audit. Beberapa firma menawarkan audit gabungan atau audit berurutan; menyelaraskan periode SOC 2 dengan siklus surveilans ISO mengurangi gangguan.
- Perhatikan kesenjangan di setiap arah. SOC 2 menambahkan Privacy dan Processing Integrity jika termasuk dalam ruang lingkup; ISO menambahkan klausul sistem manajemen dan keamanan fisik yang sering diperlakukan ringan oleh ruang lingkup SOC 2 yang hanya menggunakan cloud.
Biaya dan upaya
Tidak ada yang memiliki harga tetap. Biaya eksternal (badan sertifikasi atau firma CPA) bergantung pada ruang lingkup, jumlah karyawan, dan lokasi, dan biasanya lebih kecil daripada upaya internal dan alat bantu. Untuk perusahaan kecil yang pertama kali melakukannya, anggarkan beberapa bulan kerja paruh waktu dari seseorang yang memiliki program ini, ditambah biaya audit. Memenuhi keduanya lebih murah daripada dua kali lipat salah satunya, karena sebagian besar kontrol dan bukti dibagi bersama.
Garis waktu yang realistis untuk memenuhi keduanya
Jalur umum bagi perusahaan perangkat lunak yang dimulai dengan SOC 2:
- Bulan 1–3: kesiapan. Tentukan ruang lingkup sistem, tulis kebijakan, tutup kesenjangan yang ditemukan oleh Analisis kesenjangan, pilih firma CPA.
- Bulan 3: Type I (opsional), segera setelah kontrol dirancang dan diterapkan.
- Bulan 3–9: periode observasi Type II pertama, biasanya tiga sampai enam bulan, dengan laporan beberapa minggu setelah periode berakhir.
- Bulan 6–12: tambahkan ISMS. Tentukan ruang lingkup ISO, jalankan penilaian risiko, tulis Statement of Applicability, dan adakan audit internal serta tinjauan manajemen. Sebagian besar kontrol Annex A sudah berjalan untuk SOC 2.
- Bulan 10–14: audit Tahap 1 dan Tahap 2 ISO.
Memulai dengan ISO 27001 justru membalik urutannya: enam sampai dua belas bulan hingga sertifikasi, kemudian pemeriksaan kesiapan SOC 2 dan periode observasi tiga sampai enam bulan. Bagaimanapun, kerangka kerja kedua memerlukan sebagian kecil waktu dibanding yang pertama.
Contoh kasus: perusahaan SaaS dengan 50 karyawan
Bayangkan sebuah perusahaan perangkat lunak B2B dengan 50 karyawan yang memiliki laporan SOC 2 Type II yang mencakup Security, Availability, dan Confidentiality. Seorang pelanggan besar di Eropa kini mensyaratkan sertifikasi ISO 27001.
Yang tetap berlaku: kontrol akses, manajemen perubahan, pencatatan log dan pemantauan, manajemen kerentanan, respons insiden, manajemen vendor, pencadangan, dan kelangsungan bisnis. Perusahaan sudah menjalankan kontrol ini dan mengumpulkan buktinya, sehingga sebagian besar dapat dipindahkan ke Statement of Applicability apa adanya.
Yang baru: ISMS itu sendiri. Perusahaan memerlukan ruang lingkup yang terdokumentasi (kemungkinan produk, infrastrukturnya, dan tim yang mengelolanya), sasaran keamanan informasi beserta pengukurannya, metode dan register penilaian risiko formal, Statement of Applicability dengan pengecualian yang dijustifikasi, audit internal oleh pihak yang independen dari pekerjaan tersebut, serta tinjauan manajemen dengan notulen. Beberapa kontrol Annex A juga perlu perhatian, biasanya keamanan fisik untuk kantor dan intelijen ancaman.
Biayanya: sebagian besar berupa waktu orang yang memiliki ISMS, ditambah biaya badan sertifikasi dan auditor internal eksternal jika tidak ada pihak independen yang tersedia. Karena kontrol dan buktinya sudah ada, kerangka kerja kedua jauh lebih murah dibanding yang pertama.
Poin utama
- Jalankan satu set kontrol dan buktikan dua kali. Petakan setiap kontrol ke kontrol Annex A dan kriteria Trust Services sekaligus.
- SOC 2 → ISO: anggarkan untuk ISMS itu sendiri (ruang lingkup, sasaran, perlakuan risiko, SoA, audit internal, tinjauan manajemen), bukan kontrol teknis baru.
- ISO → SOC 2: putuskan lebih awal kategori opsional mana yang termasuk dalam ruang lingkup Anda. Privacy dan Processing Integrity adalah tempat pekerjaan baru muncul.
Miliki ISO 27001 → butuhkan SOC 2
61 persyaratan 41 terpetakan · · 20 tanpa pemetaan Buka di tampilan kesenjangan →Dari 61 persyaratan SOC 2 (Trust Services Criteria), 41 dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 20 tidak memiliki pemetaan dalam data kami.
Pemetaan SOC 2 dari AICPA tidak berlisensi terbuka, sehingga setiap tautan SOC 2 di sini bersifat editorial ControlMapping: kriteria yang belum kami petakan tidak dapat dicocokkan. Kriteria integritas pemrosesan (PI) dan sebagian besar kriteria privasi (P) tidak memiliki padanan dalam kerangka kerja keamanan.
Kemungkinan pekerjaan baru: persyaratan SOC 2 tanpa pemetaan ke ISO 27001 (20)
| SOC 2 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P2.1 | Choice and consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P3.1 | Collection limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P3.2 | Explicit consent where required | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P4.1 | Use limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P5.1 | Data subject access | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P5.2 | Correction of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.1 | Disclosure to third parties with consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.2 | Record of authorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.3 | Record of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.4 | Privacy commitments from third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.5 | Notification by third parties of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P6.7 | Accounting of disclosures to data subjects | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P7.1 | Quality of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| PI1.2 | Controls over system inputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| PI1.3 | Controls over system processing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| PI1.4 | Controls over system outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| PI1.5 | Storing inputs, items in processing and outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
Dipetakan (41)
| SOC 2 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | A.5.29A.5.30A.8.14+1 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | A.5.29A.5.30A.8.13+2 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana, Cadangan & Pemulihan (pilihan editor) |
| A1.3 | Testing recovery plan procedures | Editorial | A.5.29A.5.30A.8.14 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana (pilihan editor) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | A.5.12A.5.13 | Topik sama: Klasifikasi Data (pilihan editor) |
| C1.2 | Disposing of confidential information | Editorial | A.5.14A.8.10A.8.11+1 | Topik sama: Perlindungan Data (pilihan editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | A.5.1A.5.37Clause 5.2+2 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | A.5.2A.5.4Clause 5.1+1 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | A.5.2A.5.4Clause 5.3 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | A.6.3Clause 7.3A.6.1+1 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | A.5.2A.5.4A.6.4+1 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | Editorial | Clause 9.1 | Editorial ControlMapping: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | A.6.3Clause 7.3A.5.1+1 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC2.3 | Communication with external parties | Editorial | A.5.5A.5.6A.5.26+2 | Topik sama: Pelaporan, Komunikasi, Komunikasi & Pemulihan (pilihan editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | Clause 4.1Clause 4.2Clause 6.1.1+3 | Topik sama: Lingkungan Bisnis, Manajemen Risiko (pilihan editor) |
| CC3.2 | Risk identification and analysis | Editorial | Clause 6.1.2Clause 6.1.3Clause 8.2 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.3 | Considering the potential for fraud | Editorial | Clause 6.1.2Clause 6.1.3 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | A.5.31A.5.36Clause 9.1+2 | Topik sama: Kepatuhan (pilihan editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | A.5.31A.5.36Clause 9.1+2 | Topik sama: Kepatuhan (pilihan editor) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | Clause 6.1.1Clause 6.1.3Clause 8.3 | Topik sama: Manajemen Risiko (pilihan editor) |
| CC5.2 | General controls over technology | Editorial | A.8.9Clause 6.1.3 | Topik sama: Konfigurasi Aman (pilihan editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | A.5.1A.5.37Clause 5.2 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | A.5.9A.5.11A.5.15+6 | Topik sama: Manajemen Aset, Kontrol Akses (pilihan editor) |
| CC6.2 | User registration, authorization and removal | Editorial | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | A.5.15A.5.16A.5.18+4 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.4 | Physical access restrictions | Editorial | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik (pilihan editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | A.5.14A.8.10A.8.11 | Topik sama: Perlindungan Data (pilihan editor) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | A.5.15A.8.5A.8.20+3 | Topik sama: Zero Trust, Firewall / Segmentasi Jaringan, WAF (pilihan editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | A.6.7A.8.1A.8.12+1 | Topik sama: Keamanan Seluler, DLP (pilihan editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | A.5.14A.8.1A.8.7+1 | Topik sama: Keamanan Email, Perlindungan Endpoint (pilihan editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | A.8.8A.8.9 | Topik sama: Manajemen Kerentanan, Manajemen Patch, Konfigurasi Aman (pilihan editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | A.8.15A.8.16A.8.17 | Topik sama: Pencatatan & Audit, Pemantauan Berkelanjutan, Deteksi Intrusi, Deteksi Anomali (pilihan editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | A.5.24A.5.25A.5.26+1 | Topik sama: Respons Insiden, SIEM / SOC (pilihan editor) |
| CC7.4 | Responding to identified security incidents | Editorial | A.5.24A.5.25A.5.26+1 | Topik sama: Respons Insiden, Mitigasi (pilihan editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | A.5.26A.5.27A.5.29+3 | Topik sama: Komunikasi & Pemulihan, Pelajaran yang Dipetik, Perencanaan Pemulihan (pilihan editor) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | A.8.25A.8.26A.8.28+3 | Topik sama: Pengembangan Aman (pilihan editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | A.5.29A.5.30A.8.14+2 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | A.5.19A.5.20A.5.21+2 | Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor (pilihan editor) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | Editorial | A.5.33A.5.34 | Editorial ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | Editorial | A.5.34A.8.10 | Editorial ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | Editorial | A.5.24A.5.26A.5.34 | Editorial ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
Miliki SOC 2 → butuhkan ISO 27001
123 persyaratan 98 terpetakan · · 4 tanpa pemetaan Buka di tampilan kesenjangan →Dari 123 persyaratan ISO/IEC 27001:2022, 98 dipetakan ke sesuatu dalam SOC 2, 21 hanya terkait secara longgar, dan 4 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan ISO 27001 tanpa pemetaan ke SOC 2 (4)
| ISO 27001 | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Clause 7.5.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Clause 7.5.2 | Creating and updating | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Clause 7.5.3 | Control of documented information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (21)
| ISO 27001 | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | Hanya berbagi CSF ID.RA-03, ID.RA-05, ID.RA-06: terkait, bukan pemetaan | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | Hanya berbagi CSF GV.OC-05, ID.AM-08: terkait, bukan pemetaan | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | Hanya berbagi CSF PR.AA-03, PR.AA-05: terkait, bukan pemetaan | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-03: terkait, bukan pemetaan | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | Hanya berbagi CSF PR.DS-01, PR.IR-02: terkait, bukan pemetaan | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | Hanya berbagi CSF ID.AM-08, PR.DS-01: terkait, bukan pemetaan | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | Hanya berbagi CSF ID.AM-08, PR.IR-02: terkait, bukan pemetaan | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.8.23 | Web filtering | CC6.6CC9.2 | Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | Hanya berbagi CSF PR.PS-06: terkait, bukan pemetaan | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-03: terkait, bukan pemetaan | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | Hanya berbagi CSF GV.SC-01, GV.SC-03, RC.RP-04: terkait, bukan pemetaan | |
Dipetakan (98)
| ISO 27001 | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | Editorial | CC1.1CC5.3CC2.2 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| A.5.2 | Information security roles and responsibilities | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| A.5.3 | Segregation of duties | Editorial | CC6.3 | Editorial ControlMapping: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| A.5.5 | Contact with authorities | Editorial | CC2.3 | Topik sama: Pelaporan (pilihan editor) |
| A.5.6 | Contact with special interest groups | Editorial | CC2.3 | Topik sama: Komunikasi (pilihan editor) |
| A.5.9 | Inventory of information and other associated assets | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| A.5.11 | Return of assets | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| A.5.12 | Classification of information | Editorial | C1.1 | Topik sama: Klasifikasi Data (pilihan editor) |
| A.5.13 | Labelling of information | Editorial | C1.1 | Topik sama: Klasifikasi Data (pilihan editor) |
| A.5.14 | Information transfer | Editorial | C1.2CC6.5CC6.8 | Topik sama: Perlindungan Data, Keamanan Email (pilihan editor) |
| A.5.15 | Access control | Editorial | CC6.1CC6.2CC6.3+1 | Topik sama: Kontrol Akses (pilihan editor) |
| A.5.16 | Identity management | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| A.5.18 | Access rights | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| A.5.19 | Information security in supplier relationships | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok, Manajemen Risiko Vendor (pilihan editor) |
| A.5.20 | Addressing information security within supplier agreements | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| A.5.21 | Managing information security in the ICT supply chain | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| A.5.22 | Monitoring, review and change management of supplier services | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| A.5.23 | Information security for use of cloud services | Editorial | CC9.2 | Topik sama: Keamanan Cloud (pilihan editor) |
| A.5.24 | Information security incident management planning and preparation | Editorial | CC7.3CC7.4P6.6 | Topik sama: Respons Insiden (pilihan editor) |
| A.5.25 | Assessment and decision on information security events | Editorial | CC7.3CC7.4 | Topik sama: SIEM / SOC, Respons Insiden (pilihan editor) |
| A.5.26 | Response to information security incidents | Editorial | CC2.3CC7.3CC7.4+2 | Topik sama: Komunikasi & Pemulihan, Respons Insiden, Mitigasi (pilihan editor) |
| A.5.27 | Learning from information security incidents | Editorial | CC7.5 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
| A.5.28 | Collection of evidence | Editorial | CC7.4 | Topik sama: Forensik (pilihan editor) |
| A.5.29 | Information security during disruption | Editorial | A1.1A1.2A1.3+2 | Topik sama: Kelangsungan Usaha, Perencanaan Pemulihan (pilihan editor) |
| A.5.30 | ICT readiness for business continuity | Editorial | A1.1A1.2A1.3+2 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana, Perencanaan Pemulihan (pilihan editor) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Editorial | CC4.1CC4.2 | Topik sama: Kepatuhan (pilihan editor) |
| A.5.33 | Protection of records | Editorial | P4.2 | Editorial ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | Editorial | P4.2P4.3P6.6 | Editorial ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; Editorial ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; Editorial ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | Editorial | CC4.1 | Editorial ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | CC4.1CC4.2 | Topik sama: Kepatuhan (pilihan editor) |
| A.5.37 | Documented operating procedures | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Editorial | CC1.4 | Editorial ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| A.6.4 | Disciplinary process | Editorial | CC1.1CC1.5 | Editorial ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Editorial ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | Editorial | CC6.7 | Topik sama: Keamanan Seluler (pilihan editor) |
| A.6.8 | Information security event reporting | Editorial | CC2.3 | Topik sama: Pelaporan (pilihan editor) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.2 | Physical entry | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.3 | Securing offices, rooms and facilities | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.4 | Physical security monitoring | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.5 | Protecting against physical and environmental threats | Editorial | CC6.4A1.2 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.6 | Working in secure areas | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.8 | Equipment siting and protection | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.11 | Supporting utilities | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.12 | Cabling security | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| A.7.14 | Secure disposal or re-use of equipment | Editorial | CC6.1C1.2 | Topik sama: Manajemen Aset (pilihan editor) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | Editorial | CC6.7CC6.8 | Topik sama: Keamanan Seluler, Perlindungan Endpoint (pilihan editor) |
| A.8.2 | Privileged access rights | Editorial | CC6.3 | Topik sama: Akses Istimewa (pilihan editor) |
| A.8.3 | Information access restriction | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| A.8.5 | Secure authentication | Editorial | CC6.1CC6.6 | Topik sama: Autentikasi Multi-Faktor, Zero Trust (pilihan editor) |
| A.8.6 | Capacity management | Editorial | A1.1 | Editorial ControlMapping: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.8 | Management of technical vulnerabilities | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan, Manajemen Patch (pilihan editor) |
| A.8.9 | Configuration management | Editorial | CC5.2CC7.1CC8.1 | Topik sama: Konfigurasi Aman (pilihan editor) |
| A.8.10 | Information deletion | Editorial | C1.2CC6.5P4.3 | Topik sama: Perlindungan Data (pilihan editor) |
| A.8.11 | Data masking | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| A.8.12 | Data leakage prevention | Editorial | CC6.7 | Topik sama: DLP (pilihan editor) |
| A.8.13 | Information backup | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| A.8.14 | Redundancy of information processing facilities | Editorial | A1.1A1.2A1.3+1 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana (pilihan editor) |
| A.8.15 | Logging | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| A.8.16 | Monitoring activities | Editorial | CC7.2CC7.3 | Topik sama: Pemantauan Berkelanjutan, Deteksi Intrusi, Deteksi Anomali, SIEM / SOC (pilihan editor) |
| A.8.17 | Clock synchronization | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| A.8.18 | Use of privileged utility programs | Editorial | CC6.3 | Topik sama: Akses Istimewa (pilihan editor) |
| A.8.19 | Installation of software on operational systems | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.20 | Networks security | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan, WAF (pilihan editor) |
| A.8.21 | Security of network services | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| A.8.22 | Segregation of networks | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan, Zero Trust (pilihan editor) |
| A.8.24 | Use of cryptography | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| A.8.25 | Secure development life cycle | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| A.8.26 | Application security requirements | Editorial | CC6.6CC8.1 | Topik sama: Keamanan Web, Pengembangan Aman (pilihan editor) |
| A.8.28 | Secure coding | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| A.8.29 | Security testing in development and acceptance | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| A.8.32 | Change management | Editorial | CC8.1 | Editorial ControlMapping: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | Editorial | CC3.1 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Editorial | CC3.1 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| Clause 4.3 | Determining the scope of the ISMS | Editorial | CC3.1 | Editorial ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | Editorial | CC1.1CC1.2 | Editorial ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Editorial ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Editorial | CC1.3CC1.5 | Editorial ControlMapping: Both require defined structures, reporting lines, roles and authorities for security.; Editorial ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | Editorial | CC3.1CC5.1CC9.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| Clause 6.1.2 | Information security risk assessment | Editorial | CC3.2CC3.3CC3.4 | Topik sama: Penilaian Risiko (pilihan editor) |
| Clause 6.1.3 | Information security risk treatment | Editorial | CC3.1CC3.2CC3.3+4 | Topik sama: Manajemen Risiko, Penilaian Risiko (pilihan editor) |
| Clause 6.2 | Information security objectives and planning to achieve them | Editorial | CC3.1 | Editorial ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | Editorial | CC3.4 | Editorial ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | Editorial | CC1.4 | Editorial ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| Clause 7.4 | Communication | Editorial | CC2.3CC7.5CC2.2 | Topik sama: Komunikasi, Komunikasi & Pemulihan (pilihan editor) |
| Clause 8.2 | Information security risk assessment | Editorial | CC3.2CC3.4 | Editorial ControlMapping: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; Editorial ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | Editorial | CC5.1 | Editorial ControlMapping: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Editorial | CC4.1CC4.2CC2.1 | Topik sama: Kepatuhan (pilihan editor) |
| Clause 9.2.1 | General | Editorial | CC4.1 | Editorial ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | Editorial | CC4.1 | Editorial ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | Editorial | CC1.2CC4.2 | Editorial ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Editorial ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | Editorial | CC1.2CC4.2 | Editorial ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Editorial ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | Editorial | CC1.2CC4.2 | Editorial ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Editorial ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | Editorial | CC7.5 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
| Clause 10.2 | Nonconformity and corrective action | Editorial | CC4.2 | Editorial ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
Menurut topik
Keduanya mencakup (46):
Hanya ISO 27001 (4):
Pertanyaan
Mana yang lebih baik, ISO 27001 atau SOC 2?
Tidak keduanya: keduanya menjawab pertanyaan yang sama untuk audiens yang berbeda. ISO 27001 adalah sertifikat yang diakui secara internasional untuk sistem manajemen; SOC 2 adalah laporan attestation bergaya AS atas kontrol. Pilih berdasarkan apa yang diminta pelanggan Anda.
Apakah sertifikasi ISO 27001 mencakup SOC 2?
Tidak secara formal: laporan SOC 2 memerlukan pemeriksaan oleh firma CPA. Namun sebagian besar kriteria keamanan SOC 2 memiliki padanan ISO, sehingga perusahaan yang sudah bersertifikat ISO terutama perlu melengkapi kategori opsional dan mengumpulkan bukti dalam format SOC 2.
Apakah satu auditor bisa melakukan keduanya?
Beberapa firma memiliki badan sertifikasi terakreditasi sekaligus praktik CPA dan menawarkan audit terkoordinasi, tetapi keduanya tetap merupakan penugasan terpisah dengan deliverable yang terpisah.
Mana yang lebih sulit diperoleh, SOC 2 atau ISO 27001?
Tidak ada yang secara universal lebih sulit. ISO 27001 menuntut lebih banyak tata kelola (sistem manajemen dan dokumentasinya); SOC 2 Type II menuntut lebih banyak bukti operasional selama periode yang berkelanjutan. Organisasi dengan proses yang matang tetapi sedikit dokumentasi sering menganggap SOC 2 lebih mudah; yang memiliki dokumentasi baik tetapi bukti yang tidak merata sering menganggap ISO lebih mudah.
Mana yang lebih diakui secara internasional?
ISO 27001. SOC 2 banyak diminta oleh pelanggan AS dan semakin dipahami di tempat lain, tetapi sertifikasi ISO 27001 adalah standar internasional yang lazim, terutama di Eropa, Asia, dan tender sektor publik.
Seberapa sering keduanya diperpanjang?
Sertifikat ISO 27001 berlaku tiga tahun, dengan audit surveilans pada tahun pertama dan kedua. Laporan SOC 2 mencakup periode yang sudah lewat, sehingga pelanggan mengharapkan laporan Type II baru setiap tahun, idealnya tanpa celah antarperiode.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.