Perbandingan
SOC 2 vs HIPAA: laporan jaminan vs kewajiban hukum
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · data 2026-10-27
Perusahaan teknologi kesehatan sering membutuhkan keduanya: HIPAA karena mereka menangani informasi kesehatan yang dilindungi, biasanya sebagai business associate, dan SOC 2 karena pelanggan mereka menginginkan jaminan independen. Keduanya merupakan instrumen yang berbeda. HIPAA adalah undang-undang yang ditegakkan oleh Office for Civil Rights. SOC 2 adalah atestasi CPA yang bersifat sukarela. Beberapa auditor menawarkan laporan SOC 2 dengan kriteria HIPAA ditambahkan.
Safeguard teknis saling tumpang tindih dengan baik: kontrol akses, pencatatan audit, integritas, autentikasi, keamanan transmisi, perencanaan kontingensi, dan kesadaran keamanan muncul di kedua kerangka. Dari SOC 2 ke HIPAA, sebagian besar persyaratan Security Rule dipetakan atau terkait secara longgar.
Persyaratan HIPAA yang tersisa bersifat spesifik: penggunaan ulang media dan isi kontrak business associate.
Dari HIPAA ke SOC 2, lebih banyak yang tidak terpetakan. SOC 2 mengharapkan kriteria manajemen perubahan secara formal yang tidak dijabarkan secara rinci dalam Security Rule, dan kategori opsional Privacy serta Processing Integrity-nya melampaui Security Rule. Sisi SOC 2 di sini merupakan pemetaan editorial ControlMapping.
Poin utama
- Laporan SOC 2 tidak membuat Anda patuh terhadap HIPAA, tetapi kontrolnya dapat mencakup sebagian besar safeguard HIPAA Anda.
- Simpan analisis risiko HIPAA dan perjanjian business associate Anda sebagai artefak terpisah dan eksplisit.
- Pertimbangkan SOC 2 dengan kriteria HIPAA jika pelanggan di bidang kesehatan terus meminta keduanya.
Miliki SOC 2 → butuhkan HIPAA
69 persyaratan 36 terpetakan · · 2 tanpa pemetaan Buka di tampilan kesenjangan →Dari 69 persyaratan HIPAA Security Rule, 36 dipetakan ke sesuatu dalam SOC 2, 31 hanya terkait secara longgar, dan 2 tidak memiliki pemetaan dalam data kami.
Hanya mencakup HIPAA Security Rule (tidak mencakup Privacy Rule atau Breach Notification Rule).
Kemungkinan pekerjaan baru: persyaratan HIPAA tanpa pemetaan ke SOC 2 (2)
| HIPAA | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (31)
| HIPAA | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | Hanya berbagi CSF GV.PO-01, GV.PO-02, GV.OC-03: terkait, bukan pemetaan | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | Hanya berbagi CSF DE.CM-03: terkait, bukan pemetaan | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | Hanya berbagi CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: terkait, bukan pemetaan | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | Hanya berbagi CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: terkait, bukan pemetaan | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | Hanya berbagi CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: terkait, bukan pemetaan | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | Hanya berbagi CSF GV.PO-01, GV.PO-02, GV.OC-03: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | Hanya berbagi CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: terkait, bukan pemetaan | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | Hanya berbagi CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: terkait, bukan pemetaan | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | Hanya berbagi CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: terkait, bukan pemetaan | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | Hanya berbagi CSF PR.AT-01, PR.AT-02: terkait, bukan pemetaan | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | Hanya berbagi CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: terkait, bukan pemetaan | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | Hanya berbagi CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: terkait, bukan pemetaan | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | Hanya berbagi CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: terkait, bukan pemetaan | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | Hanya berbagi CSF GV.PO-01, GV.PO-02, GV.OC-03: terkait, bukan pemetaan | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | Hanya berbagi CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: terkait, bukan pemetaan | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | Hanya berbagi CSF PR.DS-02: terkait, bukan pemetaan | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | Hanya berbagi CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: terkait, bukan pemetaan | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | Hanya berbagi CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: terkait, bukan pemetaan | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | Hanya berbagi CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: terkait, bukan pemetaan | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | Hanya berbagi CSF ID.AM-08, ID.AM-03: terkait, bukan pemetaan | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Hanya berbagi CSF ID.AM-08, ID.AM-03: terkait, bukan pemetaan | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Hanya berbagi CSF ID.AM-08, ID.AM-03: terkait, bukan pemetaan | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | Hanya berbagi CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: terkait, bukan pemetaan | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | Hanya berbagi CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: terkait, bukan pemetaan | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | Hanya berbagi CSF ID.AM-08, ID.AM-03, ID.RA-01: terkait, bukan pemetaan | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | Hanya berbagi CSF ID.AM-07, ID.AM-08: terkait, bukan pemetaan | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | Hanya berbagi CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: terkait, bukan pemetaan | |
Dipetakan (36)
| HIPAA | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Editorial | CC3.2CC3.3CC3.4+1 | Topik sama: Penilaian Risiko (pilihan editor) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Editorial | CC3.1CC5.1CC7.1+1 | Topik sama: Manajemen Risiko, Manajemen Kerentanan (pilihan editor) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Editorial | CC7.2CC7.3 | Topik sama: Pemantauan Berkelanjutan, SIEM / SOC (pilihan editor) |
| §164.308(a)(2) | Assigned Security Responsibility | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| §164.308(a)(4) | Information Access Management | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| §164.308(a)(5) | Security Awareness and Training | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| §164.308(a)(6) | Security Incident Procedures | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| §164.308(a)(6)(ii) | Required Response and Reporting | Editorial | CC2.3CC7.3CC7.4 | Topik sama: Pelaporan, Respons Insiden, Mitigasi (pilihan editor) |
| §164.308(a)(7) | Contingency Plan | Editorial | A1.3CC7.5 | Topik sama: Perencanaan Pemulihan (pilihan editor) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Editorial | A1.2A1.3CC7.5 | Topik sama: Pemulihan Bencana, Perencanaan Pemulihan (pilihan editor) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Editorial | A1.1A1.2CC9.1 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Editorial | A1.2A1.3 | Topik sama: Pemulihan Bencana (pilihan editor) |
| §164.308(a)(8) | Evaluation | Editorial | CC4.1CC4.2CC7.1 | Topik sama: Kepatuhan, Manajemen Kerentanan (pilihan editor) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Editorial | CC9.2 | Topik sama: Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(b) | Workstation Use | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(c) | Workstation Security | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| §164.310(d) | Device and Media Controls | Editorial | CC6.1CC6.7 | Topik sama: Manajemen Aset, Keamanan Seluler (pilihan editor) |
| §164.310(d)(2)(i) | Required Disposal | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| §164.310(d)(2)(iii) | Addressable Accountability | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| §164.312(a)(2)(i) | Required Unique User Identification | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| §164.312(b) | Audit Controls | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| §164.312(c) | Integrity | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| §164.312(d) | Person or Entity Authentication | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| §164.312(e)(2)(ii) | Addressable Encryption | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| §164.316(b)(2)(iii) | Required Updates | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
Miliki HIPAA → butuhkan SOC 2
61 persyaratan 33 terpetakan · · 25 tanpa pemetaan Buka di tampilan kesenjangan →Dari 61 persyaratan SOC 2 (Trust Services Criteria), 33 dipetakan ke sesuatu dalam HIPAA, 3 hanya terkait secara longgar, dan 25 tidak memiliki pemetaan dalam data kami.
Pemetaan SOC 2 dari AICPA tidak berlisensi terbuka, sehingga setiap tautan SOC 2 di sini bersifat editorial ControlMapping: kriteria yang belum kami petakan tidak dapat dicocokkan. Kriteria integritas pemrosesan (PI) dan sebagian besar kriteria privasi (P) tidak memiliki padanan dalam kerangka kerja keamanan.
Kemungkinan pekerjaan baru: persyaratan SOC 2 tanpa pemetaan ke HIPAA (25)
| SOC 2 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P2.1 | Choice and consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P3.1 | Collection limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P3.2 | Explicit consent where required | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P4.1 | Use limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P4.2 | Retention of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P4.3 | Disposal of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P5.1 | Data subject access | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P5.2 | Correction of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.1 | Disclosure to third parties with consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.2 | Record of authorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.3 | Record of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.4 | Privacy commitments from third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.5 | Notification by third parties of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.6 | Breach notification to affected individuals | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P6.7 | Accounting of disclosures to data subjects | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P7.1 | Quality of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| PI1.2 | Controls over system inputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| PI1.3 | Controls over system processing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| PI1.4 | Controls over system outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
| PI1.5 | Storing inputs, items in processing and outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke HIPAA dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (3)
| SOC 2 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | Hanya berbagi CSF ID.AM-05: terkait, bukan pemetaan | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Hanya berbagi CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: terkait, bukan pemetaan | |
Dipetakan (33)
| SOC 2 | Persyaratan | Kecocokan | HIPAA | Bukti |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | §164.308(a)(7)(ii)(C) | Topik sama: Kelangsungan Usaha (pilihan editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | Topik sama: Cadangan & Pemulihan, Pemulihan Bencana, Kelangsungan Usaha (pilihan editor) |
| A1.3 | Testing recovery plan procedures | Editorial | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana (pilihan editor) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | Editorial | §164.310(d)(2)(i)§164.312(c) | Topik sama: Perlindungan Data (pilihan editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | §164.316(a)§164.316(b)(2)(iii) | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | §164.308(a)(2) | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | §164.308(a)(2) | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | §164.308(a)(2) | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC2.3 | Communication with external parties | Editorial | §164.308(a)(6)(ii) | Topik sama: Pelaporan (pilihan editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | §164.308(a)(1)(ii)(B) | Topik sama: Manajemen Risiko (pilihan editor) |
| CC3.2 | Risk identification and analysis | Editorial | §164.308(a)(1)(ii)(A) | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.3 | Considering the potential for fraud | Editorial | §164.308(a)(1)(ii)(A) | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | §164.308(a)(1)(ii)(A) | Topik sama: Penilaian Risiko (pilihan editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | §164.308(a)(8) | Topik sama: Kepatuhan (pilihan editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | §164.308(a)(8) | Topik sama: Kepatuhan (pilihan editor) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | §164.308(a)(1)(ii)(B) | Topik sama: Manajemen Risiko (pilihan editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | §164.316(a)§164.316(b)(2)(iii) | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | Editorial | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | Topik sama: Kontrol Akses, Manajemen Aset (pilihan editor) |
| CC6.2 | User registration, authorization and removal | Editorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.4 | Physical access restrictions | Editorial | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | Topik sama: Keamanan Fisik (pilihan editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | §164.310(d)(2)(i)§164.312(c) | Topik sama: Perlindungan Data (pilihan editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | Topik sama: Keamanan Seluler, Enkripsi (pilihan editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | §164.308(a)(5)(ii)(B) | Topik sama: Perlindungan Endpoint (pilihan editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Topik sama: Manajemen Kerentanan (pilihan editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | §164.308(a)(1)(ii)(D)§164.312(b) | Topik sama: Pemantauan Berkelanjutan, Pencatatan & Audit (pilihan editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Topik sama: SIEM / SOC, Respons Insiden (pilihan editor) |
| CC7.4 | Responding to identified security incidents | Editorial | §164.308(a)(6)§164.308(a)(6)(ii) | Topik sama: Respons Insiden, Mitigasi (pilihan editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Topik sama: Perencanaan Pemulihan (pilihan editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | Topik sama: Manajemen Risiko, Kelangsungan Usaha (pilihan editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | §164.308(b)(1)§164.314(a) | Topik sama: Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor) |
Menurut topik
Keduanya mencakup (26):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoManajemen KerentananKontrol AksesEnkripsiPerlindungan DataCadangan & PemulihanPerlindungan EndpointKeamanan SelulerKeamanan CloudPemantauan BerkelanjutanPencatatan & AuditSIEM / SOCRespons InsidenMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPemulihan BencanaManajemen Risiko VendorKeamanan Fisik
Hanya SOC 2 (20):
Risiko Rantai PasokLingkungan BisnisKlasifikasi DataAutentikasi Multi-FaktorAkses IstimewaFirewall / Segmentasi JaringanManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustWAFDLPDeteksi IntrusiDeteksi AnomaliForensikKomunikasiPelajaran yang DipetikKomunikasi & Pemulihan
Hanya HIPAA (1):
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.