Perbandingan
NIST CSF 2.0 vs SOC 2: kerangka kerja yang Anda adopsi vs laporan yang diaudit
NIST Cybersecurity Framework 2.0 · SOC 2 (Trust Services Criteria) · data 2026-10-27
Menurut Paul Gillet · Diperbarui 2026-10-17
NIST CSF 2.0 adalah kerangka kerja berbasis hasil yang bersifat sukarela: Anda menentukan profil target dan mengukur diri terhadapnya. SOC 2 adalah atestasi independen oleh CPA terhadap Trust Services Criteria AICPA, dan merupakan hal yang sering diminta banyak pelanggan di Amerika Utara dari penyedia SaaS dalam proses pengadaan.
Sebagian besar persyaratan keamanan SOC 2 (Common Criteria) memiliki padanan di CSF: akses logis, pemantauan, respons insiden, manajemen perubahan, penilaian risiko, dan manajemen vendor. Program yang selaras dengan CSF memberi Anda sebagian besar kontrol yang akan diuji auditor.
Dari CSF ke SOC 2, hampir setiap Common Criterion memiliki padanan CSF, termasuk kriteria lingkungan kontrol (etika, pengawasan dewan, akuntabilitas), yang dicakup CSF melalui fungsi Mengatur. Item yang tidak terpetakan adalah kategori opsional SOC 2, yaitu Processing Integrity dan Privacy, yang hampir tidak memiliki padanan dalam kerangka kerja keamanan. Tidak ada crosswalk SOC 2 yang bersifat publik dan dapat dibaca mesin, sehingga sisi SOC 2 dalam perbandingan ini merupakan pemetaan editorial ControlMapping.
Dari SOC 2 ke CSF, kesenjangannya sebagian besar berada pada hasil tata kelola dan ketahanan CSF yang lebih luas: strategi risiko, siklus manajemen risiko rantai pasok, intelijen ancaman, dan proses perbaikan, yang tidak secara eksplisit diwajibkan oleh SOC 2.
Sekilas
| NIST CSF 2.0 | SOC 2 | |
|---|---|---|
| Apa itu | Kerangka kerja berbasis hasil yang bersifat sukarela | Laporan atestasi atas kontrol |
| Siapa yang memeriksa | Anda sendiri, atau asesor yang Anda pilih | Firma CPA berlisensi |
| Keluaran | Profil Saat Ini dan Profil Target | Laporan SOC 2 Tipe I atau Tipe II |
| Cakupan | Risiko siber seluruh organisasi | Sistem yang diandalkan pelanggan |
| Siapa yang memintanya | Dewan, regulator, perusahaan asuransi | Tim manajemen risiko vendor pelanggan |
Bagaimana keduanya saling melengkapi
CSF menggambarkan apa yang dicapai program yang baik; SOC 2 membuktikan kepada pelanggan bahwa kontrol tertentu berfungsi. Banyak perusahaan menggunakan CSF untuk menyusun program dan melaporkan kepada dewan, sementara SOC 2 memberikan bukti kepada pelanggan. Karena SOC 2 tidak memiliki crosswalk yang berlisensi terbuka, setiap tautan SOC 2 di sini adalah penilaian editorial ControlMapping, disertai alasannya.
Siapa meminta apa
- SOC 2 diminta oleh pelanggan, terutama perusahaan besar di AS yang mengevaluasi penyedia perangkat lunak dan layanan. Laporan ini menjawab pertanyaan "dapatkah kami mempercayakan data kami kepada Anda?" dengan opini auditor independen.
- NIST CSF 2.0 diminta oleh dewan, regulator, perusahaan asuransi, dan mitra yang ingin mengetahui bagaimana suatu organisasi mengelola risiko siber secara keseluruhan. Tidak ada yang bisa menyerahkan "sertifikat CSF"; sebagai gantinya, Anda menunjukkan profil Anda beserta bukti yang mendasarinya.
- Semakin banyak perusahaan yang menggunakan CSF secara internal dan menyusun laporan SOC 2 untuk pelanggan. Keduanya saling melengkapi, bukan saling bersaing.
Menggunakan CSF untuk mempersiapkan SOC 2
Jika Anda sudah menjalankan program berbasis CSF, Anda memiliki sebagian besar yang diuji oleh kriteria keamanan SOC 2. Petakan hasil CSF Anda ke Trust Services Criteria, lalu periksa tiga hal yang tidak diwajibkan oleh CSF: bahwa setiap kontrol menghasilkan bukti secara berkelanjutan (SOC 2 Tipe II mengambil sampel selama beberapa bulan), bahwa kriteria lingkungan kontrol tercakup (pengawasan dewan, integritas dan nilai etika, kompetensi, akuntabilitas), dan bahwa deskripsi sistem Anda sesuai dengan batas yang diperhatikan pelanggan. Laporan analisis kesenjangan CSF → SOC 2 mencantumkan setiap kriteria beserta padanan CSF-nya dan alasan untuk setiap tautan.
Biaya dan upaya
CSF sendiri gratis; upayanya terletak pada penilaian dan peningkatan profil Anda. SOC 2 menambah biaya firma CPA dan, untuk Tipe II, disiplin mengumpulkan bukti selama seluruh periode observasi. Bagi perusahaan dengan program CSF yang matang, upaya tambahan SOC 2 sebagian besar berupa pengumpulan bukti, deskripsi sistem, dan kategori opsional yang Anda sertakan. Bagi perusahaan yang memulai dari nol, membangun dengan CSF terlebih dahulu memberikan fondasi yang lebih luas; membangun dengan SOC 2 terlebih dahulu memberikan keluaran yang dihadapi pelanggan lebih cepat.
Jangka waktu
Dari program CSF yang berjalan hingga laporan SOC 2 Tipe II pertama biasanya memakan waktu enam sampai sembilan bulan: satu sampai tiga bulan untuk memetakan kontrol, menutup kesenjangan, dan menunjuk auditor, lalu periode observasi tiga sampai enam bulan dan beberapa minggu untuk laporan. Sebaliknya, perusahaan yang memiliki laporan SOC 2 dapat menyusun Profil Saat Ini CSF dalam hitungan minggu, karena sebagian besar hasil Melindungi, Mendeteksi, dan Merespons sudah memiliki bukti; fungsi Mengatur biasanya memerlukan pekerjaan paling banyak.
Contoh kasus: start-up fintech
Sebuah fintech dengan 30 karyawan memiliki laporan SOC 2 Tipe II untuk API pembayarannya. Dewan dan perusahaan asuransi sibernya kini menanyakan bagaimana perusahaan mengelola risiko siber secara lebih luas. Perusahaan menyusun Profil Saat Ini CSF 2.0 dari kontrol SOC 2-nya dan menemukan cakupan yang kuat untuk Melindungi, Mendeteksi, dan Merespons, dengan kesenjangan pada Mengatur: tidak ada pernyataan formal tentang selera risiko, tidak ada program risiko rantai pasok di luar kuesioner vendor, dan tidak ada pelaporan pengawasan rutin. Perusahaan menetapkan Profil Target, menambahkan laporan dewan triwulanan dalam istilah CSF, dan tetap mempertahankan siklus audit SOC 2-nya tanpa perubahan. Satu kumpulan kontrol kini menjawab kedua audiens.
Kesalahan umum
- Menganggap keselarasan CSF berarti kesiapan SOC 2. CSF tidak mewajibkan bukti berkelanjutan selama suatu periode, yang justru diuji oleh laporan Tipe II.
- Mengabaikan lingkungan kontrol. Kriteria CC1 sampai CC5 milik SOC 2 (pengawasan dewan, integritas, kompetensi, akuntabilitas) memerlukan bukti yang sering tidak dimiliki program CSF yang bersifat teknis.
- Terlalu melebarkan cakupan laporan SOC 2 agar sesuai dengan seluruh program CSF, alih-alih hanya sistem yang diandalkan pelanggan.
- Menjalankan dua program. Satu kumpulan kontrol yang dipetakan ke kedua arah menghindari duplikasi bukti.
- Menunda Mengatur hingga terakhir. Hasil Mengatur CSF 2.0 sering kali menjadi bagian terlemah dari program yang mengutamakan SOC 2, dan bagian yang paling sering ditanyakan dewan.
Poin utama
- CSF memberi tahu Anda seperti apa hasil yang baik; SOC 2 membuktikan kepada pelanggan bahwa Anda menjalankannya.
- Kumpulkan bukti secara berkelanjutan: laporan Tipe II memerlukan bukti selama seluruh periode audit.
- Perlakukan Processing Integrity dan Privacy sebagai proyek terpisah jika termasuk dalam cakupan.
Miliki NIST CSF 2.0 → butuhkan SOC 2
61 persyaratan 37 terpetakan · · 24 tanpa pemetaan Buka di tampilan kesenjangan →Dari 61 persyaratan SOC 2 (Trust Services Criteria), 37 dipetakan ke sesuatu dalam NIST CSF 2.0, 0 hanya terkait secara longgar, dan 24 tidak memiliki pemetaan dalam data kami.
Pemetaan SOC 2 dari AICPA tidak berlisensi terbuka, sehingga setiap tautan SOC 2 di sini bersifat editorial ControlMapping: kriteria yang belum kami petakan tidak dapat dicocokkan. Kriteria integritas pemrosesan (PI) dan sebagian besar kriteria privasi (P) tidak memiliki padanan dalam kerangka kerja keamanan.
Kemungkinan pekerjaan baru: persyaratan SOC 2 tanpa pemetaan ke NIST CSF 2.0 (24)
| SOC 2 | Persyaratan | Kecocokan | NIST CSF 2.0 | Bukti |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P2.1 | Choice and consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P3.1 | Collection limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P3.2 | Explicit consent where required | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P4.1 | Use limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P4.2 | Retention of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P4.3 | Disposal of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P5.1 | Data subject access | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P5.2 | Correction of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.1 | Disclosure to third parties with consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.2 | Record of authorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.3 | Record of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.4 | Privacy commitments from third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.5 | Notification by third parties of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.6 | Breach notification to affected individuals | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P6.7 | Accounting of disclosures to data subjects | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P7.1 | Quality of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| PI1.2 | Controls over system inputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| PI1.3 | Controls over system processing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| PI1.4 | Controls over system outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| PI1.5 | Storing inputs, items in processing and outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
Dipetakan (37)
| SOC 2 | Persyaratan | Kecocokan | NIST CSF 2.0 | Bukti |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | GV.OC-04PR.IR-03RC.RP-04 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | GV.OC-04PR.DS-11PR.IR-03+4 | Topik sama: Kelangsungan Usaha, Cadangan & Pemulihan, Pemulihan Bencana (pilihan editor) |
| A1.3 | Testing recovery plan procedures | Editorial | ID.IM-04PR.IR-03RC.RP-01+2 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana (pilihan editor) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | ID.AM-05ID.AM-07 | Topik sama: Klasifikasi Data (pilihan editor) |
| C1.2 | Disposing of confidential information | Editorial | PR.DS-01PR.DS-02PR.DS-10 | Topik sama: Perlindungan Data (pilihan editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | GV.PO-01GV.PO-02 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | GV.RR-01GV.RR-02GV.RR-03 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | GV.RR-01GV.RR-02GV.RR-03 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | PR.AT-01PR.AT-02 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | GV.RR-01GV.RR-02GV.RR-03 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | PR.AT-01PR.AT-02 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC2.3 | Communication with external parties | Editorial | RC.CO-03RC.CO-04RC.RP-05+2 | Topik sama: Komunikasi & Pemulihan (pilihan editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | GV.OC-01GV.OC-04GV.OC-05+4 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| CC3.2 | Risk identification and analysis | Editorial | ID.RA-03ID.RA-04ID.RA-05+1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.3 | Considering the potential for fraud | Editorial | ID.RA-03ID.RA-04ID.RA-05+1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | ID.RA-03ID.RA-04ID.RA-05+1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | GV.OC-03GV.OV-03 | Topik sama: Kepatuhan (pilihan editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | GV.OC-03GV.OV-03 | Topik sama: Kepatuhan (pilihan editor) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | GV.RM-01GV.RM-02GV.RM-03+1 | Topik sama: Manajemen Risiko (pilihan editor) |
| CC5.2 | General controls over technology | Editorial | PR.PS-01 | Topik sama: Konfigurasi Aman (pilihan editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | GV.PO-01GV.PO-02 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | ID.AM-01ID.AM-02ID.AM-04+6 | Topik sama: Manajemen Aset (pilihan editor) |
| CC6.2 | User registration, authorization and removal | Editorial | PR.AA-01PR.AA-05 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | PR.AA-01PR.AA-05 | Topik sama: Kontrol Akses, Akses Istimewa (pilihan editor) |
| CC6.4 | Physical access restrictions | Editorial | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik (pilihan editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | PR.DS-01PR.DS-02PR.DS-10 | Topik sama: Perlindungan Data (pilihan editor) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | DE.CM-01ID.AM-03PR.AA-03+4 | Topik sama: WAF, Firewall / Segmentasi Jaringan, Zero Trust (pilihan editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | PR.AA-05PR.DS-01PR.DS-02+2 | Topik sama: Keamanan Seluler, Enkripsi, DLP (pilihan editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | DE.CM-09PR.DS-02PR.PS-05 | Topik sama: Perlindungan Endpoint, Keamanan Email (pilihan editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | ID.RA-01ID.RA-08PR.PS-01+1 | Topik sama: Manajemen Kerentanan, Konfigurasi Aman (pilihan editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | DE.AE-02DE.AE-03DE.AE-04+4 | Topik sama: Deteksi Intrusi, Deteksi Anomali, Pencatatan & Audit (pilihan editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | DE.AE-03DE.AE-06DE.AE-08+5 | Topik sama: SIEM / SOC (pilihan editor) |
| CC7.4 | Responding to identified security incidents | Editorial | ID.IM-04RS.AN-03RS.AN-06+7 | Topik sama: Respons Insiden, Forensik (pilihan editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | ID.IM-03ID.IM-04RC.CO-03+5 | Topik sama: Pelajaran yang Dipetik, Perencanaan Pemulihan, Komunikasi & Pemulihan (pilihan editor) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | PR.PS-06 | Topik sama: Pengembangan Aman (pilihan editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | GV.OC-04GV.RM-01GV.RM-02+4 | Topik sama: Kelangsungan Usaha, Manajemen Risiko (pilihan editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | DE.CM-06GV.SC-01GV.SC-03+10 | Topik sama: Manajemen Risiko Vendor, Risiko Rantai Pasok (pilihan editor) |
Miliki SOC 2 → butuhkan NIST CSF 2.0
106 persyaratan 86 terpetakan · · 20 tanpa pemetaan Buka di tampilan kesenjangan →Dari 106 persyaratan NIST Cybersecurity Framework 2.0, 86 dipetakan ke sesuatu dalam SOC 2, 0 hanya terkait secara longgar, dan 20 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan NIST CSF 2.0 tanpa pemetaan ke SOC 2 (20)
| NIST CSF 2.0 | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| Detect (DE) · 1 | ||||
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Govern (GV) · 10 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.RR-04 | Cybersecurity is included in human resources practices | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Identify (ID) · 4 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| RS.MA-05 | The criteria for initiating incident recovery are applied | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
Dipetakan (86)
| NIST CSF 2.0 | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| Detect (DE) · 10 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Editorial | CC7.2 | Topik sama: Deteksi Intrusi, Deteksi Anomali (pilihan editor) |
| DE.AE-03 | Information is correlated from multiple sources | Editorial | CC7.2CC7.3 | Topik sama: Pencatatan & Audit, SIEM / SOC (pilihan editor) |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Editorial | CC7.2 | Topik sama: Deteksi Anomali (pilihan editor) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Editorial | CC7.3 | Topik sama: SIEM / SOC (pilihan editor) |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Editorial | CC7.3 | Topik sama: SIEM / SOC (pilihan editor) |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Editorial | CC6.6CC7.2 | Topik sama: WAF, Pemantauan Berkelanjutan, Deteksi Intrusi (pilihan editor) |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Editorial | CC7.2 | Topik sama: Pemantauan Berkelanjutan (pilihan editor) |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Editorial | CC6.8CC7.2 | Topik sama: Perlindungan Endpoint, Keamanan Email, Pemantauan Berkelanjutan, Deteksi Anomali (pilihan editor) |
| Govern (GV) · 21 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Editorial | CC3.1 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Editorial | CC4.1CC4.2 | Topik sama: Kepatuhan (pilihan editor) |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Editorial | A1.1A1.2CC3.1+1 | Topik sama: Kelangsungan Usaha, Lingkungan Bisnis (pilihan editor) |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Editorial | CC3.1 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Editorial | CC4.1CC4.2 | Topik sama: Kepatuhan (pilihan editor) |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Editorial | CC3.1CC5.1CC9.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Editorial | CC3.1CC5.1CC9.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Editorial | CC3.1CC5.1CC9.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Editorial | CC3.1CC5.1CC9.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| Identify (ID) · 17 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Editorial | CC6.1CC9.2 | Topik sama: Manajemen Aset, Keamanan Cloud (pilihan editor) |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Editorial | C1.1 | Topik sama: Klasifikasi Data (pilihan editor) |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Editorial | C1.1 | Topik sama: Klasifikasi Data (pilihan editor) |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Editorial | CC7.5 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Editorial | A1.3CC7.3CC7.4+1 | Topik sama: Perencanaan Pemulihan, Respons Insiden (pilihan editor) |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan (pilihan editor) |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Editorial | CC3.2CC3.3CC3.4 | Topik sama: Penilaian Risiko (pilihan editor) |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Editorial | CC3.2CC3.3CC3.4 | Topik sama: Penilaian Risiko (pilihan editor) |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Editorial | CC3.2CC3.3CC3.4 | Topik sama: Penilaian Risiko (pilihan editor) |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Editorial | CC3.2CC3.3CC3.4 | Topik sama: Penilaian Risiko (pilihan editor) |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan (pilihan editor) |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok (pilihan editor) |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| PR.AA-03 | Users, services, and hardware are authenticated | Editorial | CC6.1CC6.6 | Topik sama: Autentikasi Multi-Faktor, Zero Trust (pilihan editor) |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Editorial | CC6.6 | Topik sama: Zero Trust (pilihan editor) |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Editorial | CC6.1CC6.2CC6.3+2 | Topik sama: Kontrol Akses, Akses Istimewa (pilihan editor) |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Editorial | C1.2CC6.1CC6.5+1 | Topik sama: Perlindungan Data, Enkripsi (pilihan editor) |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Editorial | C1.2CC6.1CC6.5+2 | Topik sama: Perlindungan Data, Enkripsi (pilihan editor) |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Editorial | C1.2CC6.5CC6.7 | Topik sama: Perlindungan Data, DLP (pilihan editor) |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Editorial | CC6.6CC9.2 | Topik sama: Firewall / Segmentasi Jaringan, Keamanan Web, Zero Trust, WAF, Keamanan Cloud (pilihan editor) |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Editorial | A1.1A1.2A1.3+1 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana (pilihan editor) |
| PR.PS-01 | Configuration management practices are established and applied | Editorial | CC5.2CC6.7CC7.1+1 | Topik sama: Konfigurasi Aman, Keamanan Seluler (pilihan editor) |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Editorial | CC7.1 | Topik sama: Manajemen Patch (pilihan editor) |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Editorial | CC6.6CC8.1 | Topik sama: Keamanan Web, Pengembangan Aman (pilihan editor) |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Editorial | CC2.3CC7.5 | Topik sama: Komunikasi & Pemulihan (pilihan editor) |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Editorial | CC2.3CC7.5 | Topik sama: Komunikasi & Pemulihan (pilihan editor) |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Editorial | A1.3CC7.5 | Topik sama: Perencanaan Pemulihan (pilihan editor) |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Editorial | A1.2A1.3CC7.5 | Topik sama: Pemulihan Bencana, Perencanaan Pemulihan (pilihan editor) |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Editorial | A1.1A1.2CC9.1 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Editorial | A1.2A1.3CC2.3+1 | Topik sama: Pemulihan Bencana, Komunikasi & Pemulihan (pilihan editor) |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Editorial | CC7.5 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Editorial | CC7.4 | Topik sama: Forensik (pilihan editor) |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Editorial | CC7.4 | Topik sama: Forensik (pilihan editor) |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Editorial | CC7.4 | Topik sama: Forensik (pilihan editor) |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Editorial | CC2.3 | Topik sama: Pelaporan (pilihan editor) |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Editorial | CC2.3 | Topik sama: Komunikasi (pilihan editor) |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| RS.MA-02 | Incident reports are triaged and validated | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| RS.MA-03 | Incidents are categorized and prioritized | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| RS.MA-04 | Incidents are escalated or elevated as needed | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| RS.MI-01 | Incidents are contained | Editorial | CC7.4 | Topik sama: Mitigasi (pilihan editor) |
| RS.MI-02 | Incidents are eradicated | Editorial | CC7.4 | Topik sama: Mitigasi (pilihan editor) |
Menurut topik
Keduanya mencakup (46):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoRisiko Rantai PasokPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoLingkungan BisnisKlasifikasi DataManajemen KerentananKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan SelulerKeamanan CloudWAFDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikKomunikasiMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPelajaran yang DipetikKomunikasi & PemulihanPemulihan BencanaManajemen Risiko VendorKeamanan Fisik
Hanya NIST CSF 2.0 (4):
Pertanyaan
Apakah SOC 2 didasarkan pada NIST?
Tidak. SOC 2 menggunakan Trust Services Criteria dari AICPA, yang mengacu pada kerangka kerja pengendalian internal COSO. AICPA memang menerbitkan pemetaan dari kriteria tersebut ke kerangka kerja NIST, tetapi tidak dengan lisensi terbuka.
Apakah SOC 2 didasarkan pada NIST CSF?
Tidak. SOC 2 menggunakan Trust Services Criteria dari AICPA, yang mengacu pada kerangka kerja pengendalian internal COSO. Keduanya sangat tumpang tindih dalam konten keamanan, tetapi dikembangkan secara independen.
Dapatkah laporan SOC 2 menunjukkan keselarasan dengan NIST CSF?
Tidak secara formal; opini SOC 2 berkaitan dengan Trust Services Criteria. Namun, kontrol yang diuji dalam laporan SOC 2 merupakan bukti kuat untuk banyak hasil CSF, dan beberapa organisasi memetakan keduanya untuk pelaporan internal mereka.
Mana yang harus dilakukan start-up lebih dahulu, NIST CSF atau SOC 2?
Jika pelanggan meminta laporan SOC 2, mulailah dari sana. Jika tidak, CSF adalah cara gratis untuk menyusun program, dan kontrolnya nanti akan mendukung laporan SOC 2.
Berapa lama laporan SOC 2 tetap berlaku?
Laporan SOC 2 mencakup periode yang sudah berlalu. Pelanggan umumnya mengharapkan laporan Tipe II baru setiap tahun, idealnya tanpa celah antarperiode.
Apakah NIST CSF memiliki tingkat kematangan?
CSF 2.0 memiliki Tier (Partial, Risk Informed, Repeatable, Adaptive) yang menggambarkan seberapa ketat tata kelola dan pengelolaan risiko suatu organisasi. Tier bukan tingkat sertifikasi.
Dapatkah auditor SOC 2 menilai NIST CSF?
Beberapa firma audit menawarkan penilaian CSF tersendiri, tetapi ini berbeda dari pemeriksaan SOC 2 dan opininya.
Apakah SOC 2 mencakup seluruh isi NIST CSF 2.0?
Tidak. SOC 2 mencakup sebagian besar hasil Melindungi, Mendeteksi, dan Merespons dengan baik, tetapi fungsi Mengatur CSF 2.0 (strategi risiko, manajemen risiko rantai pasok, pengawasan) dan beberapa hasil Mengidentifikasi serta Memulihkan melampaui apa yang diwajibkan oleh Trust Services Criteria.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.