Perbandingan
SOC 2 vs PCI DSS: jaminan pelanggan vs kepatuhan terhadap card brand
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · data 2026-10-27
SOC 2 dan PCI DSS sering dibutuhkan oleh perusahaan yang sama, biasanya bisnis SaaS atau fintech yang sekaligus menjual ke perusahaan besar dan menangani pembayaran kartu. SOC 2 adalah attestation terhadap Trust Services Criteria yang luas. PCI DSS v4.0.1 adalah standar yang preskriptif dan bersifat kontraktual, dan cakupannya terbatas pada cardholder data environment.
Dasar-dasar keamanannya saling tumpang tindih: manajemen akses, logging dan monitoring, change management, manajemen kerentanan, incident response, dan manajemen vendor. Kontrol yang dibangun untuk SOC 2 biasanya memenuhi maksud PCI, tetapi belum tentu memenuhi redaksinya secara harfiah.
Saat beralih dari SOC 2 ke PCI DSS, pekerjaan tambahannya terletak pada kespesifikan PCI: kontrol keamanan jaringan yang terdefinisi di sekitar cardholder data environment, aturan untuk menyimpan dan menampilkan PAN, manajemen kunci kriptografi, MFA untuk seluruh akses ke CDE, frekuensi pemindaian dan pengujian, serta integritas skrip pada halaman pembayaran. Banyak persyaratan PCI hanya terkait secara longgar, bukan dipetakan secara langsung, karena SOC 2 tidak menetapkan mekanismenya.
Saat beralih dari PCI DSS ke SOC 2, sebagian besar kriteria keamanan sudah tercakup. Kesenjangannya ada pada kategori opsional SOC 2, yaitu Processing Integrity dan Privacy, jika Anda memasukkannya. Sisi SOC 2 dalam perbandingan ini adalah pemetaan editorial ControlMapping, karena belum ada crosswalk SOC 2 publik yang dapat dibaca mesin.
Poin utama
- Dengan menggunakan penyedia pembayaran yang sudah patuh PCI dan menjaga data kartu tetap di luar sistem Anda, PCI dapat menjadi kuesioner singkat, bukan sebuah program.
- Gunakan kembali bukti SOC 2 untuk PCI jika persyaratannya memungkinkan, tetapi periksa frekuensi dan detail teknis PCI.
- Laporan SOC 2 Anda dapat menjelaskan kontrol yang relevan dengan PCI, tetapi laporan tersebut tidak menggantikan PCI Report on Compliance atau SAQ.
Miliki SOC 2 → butuhkan PCI DSS
260 persyaratan 75 terpetakan · · 113 tanpa pemetaan Buka di tampilan kesenjangan →Dari 260 persyaratan PCI DSS v4.0.1, 75 dipetakan ke sesuatu dalam SOC 2, 72 hanya terkait secara longgar, dan 113 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan PCI DSS tanpa pemetaan ke SOC 2 (113)
| PCI DSS | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.2.5 | Allowed services, protocols and ports approved | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.2.6 | Security features defined for insecure services | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.2.7 | Network security control rules reviewed every six months | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.2.8 | Network security control configuration files secured | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.3.2 | Outbound traffic from the CDE restricted | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.3.3 | Network controls between wireless networks and the CDE | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.4.3 | Anti-spoofing measures in place | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 2.2.4 | Only necessary services and functions enabled | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 2.2.5 | Insecure services justified and secured | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 2.2.6 | System security parameters set to prevent misuse | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 2.2.7 | Non-console administrative access encrypted | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 2.3.2 | Wireless keys changed when key holders leave | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.3.1.2 | Card verification code not kept after authorisation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.2 | Key management: secure key distribution | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.3 | Key management: secure key storage | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.6 | Key management: split knowledge and dual control | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 3.7.9 | Service providers give customers key-handling guidance | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 4.2.2 | PAN secured when sent by end-user messaging | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 5.3.3 | Removable media scanned or analysed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 5.3.5 | Users cannot disable or alter anti-malware | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 6.5.3 | Pre-production environments separated from production | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 6.5.4 | Duties separated between production and pre-production | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 6.5.5 | Live PANs not used in pre-production | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 6.5.6 | Test data and accounts removed before go-live | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 7.2.5 | System and application accounts least privilege | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 7.2.6 | Access to cardholder data repositories restricted | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 7.3.1 | Access control system restricts access by need | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 7.3.2 | Access control system enforces assigned permissions | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 7.3.3 | Access control system set to deny by default | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.2.4 | User ID changes authorised and controlled | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.2.5 | Access revoked immediately on termination | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.3.3 | Identity verified before changing authentication factors | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.3.4 | Account lockout after repeated failed attempts | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.3.5 | First-use and reset passwords unique and changed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 8.6.1 | Interactive use of system accounts managed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.3.3 | Visitor badges returned or deactivated | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.3.4 | Visitor log maintained and retained | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.4.1 | Media with cardholder data physically secured | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.4.3 | Media sent off site tracked and secured | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.4.4 | Management approves media moved off site | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.4.5 | Inventory logs of electronic media kept | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.4.5.1 | Electronic media inventories at least annually | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 9.5.1.3 | Staff trained to spot POI tampering | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.2 | Logs capture administrative actions | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.3 | Logs capture access to audit logs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.4 | Logs capture invalid access attempts | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.5 | Logs capture credential and privilege changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.2.1.7 | Logs capture system-level object changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.4.2 | Other logs reviewed periodically | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.4.3 | Exceptions and anomalies addressed | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.6.2 | Time configuration correct and consistent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.7.1 | Service providers detect security control failures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 10.7.3 | Security control failures responded to promptly | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.3.1.2 | Internal scans use authenticated scanning | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.3.1.3 | Internal scans after significant changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.3.2.1 | External scans after significant changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.1 | Penetration testing methodology defined | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.2 | Internal penetration test at least annually | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.3 | External penetration test at least annually | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.5 | Segmentation controls tested at least annually | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.6 | Service providers test segmentation every six months | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.5.1.1 | Service providers detect covert malware communication | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 11.5.2 | Change-detection on critical files | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.4.2.1 | Service providers: quarterly review results documented | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.5.2.1 | Service providers confirm scope every six months | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.6.2 | Awareness programme reviewed annually | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.6.3.1 | Training covers phishing and social engineering | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.6.3.2 | Training covers acceptable use of technology | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.7.1 | Personnel screened before hire | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| 12.10.5 | Plan covers alerts from security monitoring | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
| A2.1.3 | Service providers offer a secure connection option | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke SOC 2 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (72)
| PCI DSS | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | Hanya berbagi CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: terkait, bukan pemetaan | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | Hanya berbagi CSF PR.AA-03, PR.DS-02: terkait, bukan pemetaan | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | Hanya berbagi CSF PR.AA-03, PR.DS-01: terkait, bukan pemetaan | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | Hanya berbagi CSF PR.AA-01, PR.DS-01: terkait, bukan pemetaan | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | Hanya berbagi CSF PR.AA-01, PR.DS-01: terkait, bukan pemetaan | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | Hanya berbagi CSF PR.AA-01, PR.DS-01: terkait, bukan pemetaan | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | Hanya berbagi CSF PR.AA-01, PR.DS-01: terkait, bukan pemetaan | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | Hanya berbagi CSF ID.AM-08: terkait, bukan pemetaan | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | Hanya berbagi CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: terkait, bukan pemetaan | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | Hanya berbagi CSF GV.PO-02, PR.AA-05: terkait, bukan pemetaan | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | Hanya berbagi CSF GV.PO-02, PR.AA-05: terkait, bukan pemetaan | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | Hanya berbagi CSF DE.CM-03: terkait, bukan pemetaan | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | Hanya berbagi CSF PR.AA-05: terkait, bukan pemetaan | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | Hanya berbagi CSF PR.DS-10, PR.AA-03: terkait, bukan pemetaan | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | Hanya berbagi CSF PR.AA-03: terkait, bukan pemetaan | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | Hanya berbagi CSF PR.AA-01: terkait, bukan pemetaan | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | Hanya berbagi CSF GV.PO-02, PR.IR-02: terkait, bukan pemetaan | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | Hanya berbagi CSF PR.AA-03, PR.AA-06: terkait, bukan pemetaan | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | Hanya berbagi CSF PR.DS-11, RC.RP-03, DE.CM-02: terkait, bukan pemetaan | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | Hanya berbagi CSF PR.DS-01, GV.OC-03: terkait, bukan pemetaan | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | Hanya berbagi CSF PR.DS-11, PR.DS-01, GV.OC-03: terkait, bukan pemetaan | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | Hanya berbagi CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: terkait, bukan pemetaan | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | Hanya berbagi CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: terkait, bukan pemetaan | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | Hanya berbagi CSF RS.AN-03, RS.AN-07: terkait, bukan pemetaan | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | Hanya berbagi CSF PR.PS-04, DE.AE-06, RS.AN-06: terkait, bukan pemetaan | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | Hanya berbagi CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: terkait, bukan pemetaan | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | Hanya berbagi CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: terkait, bukan pemetaan | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | Hanya berbagi CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: terkait, bukan pemetaan | |
| 10.6.3 | Time settings protected from change | CC7.2 | Hanya berbagi CSF PR.PS-04: terkait, bukan pemetaan | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | Hanya berbagi CSF GV.RR-02: terkait, bukan pemetaan | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | Hanya berbagi CSF DE.CM-01, PR.IR-01: terkait, bukan pemetaan | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | Hanya berbagi CSF RC.RP-05: terkait, bukan pemetaan | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | Hanya berbagi CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: terkait, bukan pemetaan | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | Hanya berbagi CSF GV.RM-06: terkait, bukan pemetaan | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | Hanya berbagi CSF GV.RM-03: terkait, bukan pemetaan | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | Hanya berbagi CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: terkait, bukan pemetaan | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | Hanya berbagi CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: terkait, bukan pemetaan | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Hanya berbagi CSF GV.RM-03, GV.RM-06: terkait, bukan pemetaan | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | Hanya berbagi CSF ID.AM-07: terkait, bukan pemetaan | |
Dipetakan (75)
| PCI DSS | Persyaratan | Kecocokan | SOC 2 | Bukti |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| 1.2.3 | Accurate network diagram maintained | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| 1.3.1 | Inbound traffic to the CDE restricted | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| 1.4.1 | Network controls between trusted and untrusted networks | Editorial | CC6.6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Editorial | CC5.2CC7.1 | Topik sama: Konfigurasi Aman (pilihan editor) |
| 2.2.2 | Vendor default accounts managed or removed | Editorial | CC5.2CC7.1 | Topik sama: Konfigurasi Aman (pilihan editor) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| 3.4.1 | PAN masked when displayed | Editorial | C1.2CC6.5 | Topik sama: Perlindungan Data (pilihan editor) |
| 3.4.2 | PAN copying prevented over remote-access technologies | Editorial | CC6.7 | Topik sama: DLP (pilihan editor) |
| 3.5.1 | PAN rendered unreadable wherever stored | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| 3.6.1 | Procedures protect keys that secure stored account data | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| 3.7.1 | Key management: strong key generation | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Editorial | CC6.1CC6.7 | Topik sama: Enkripsi (pilihan editor) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Editorial | CC6.8 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| 5.4.1 | Mechanisms to detect and protect against phishing | Editorial | CC6.8 | Topik sama: Keamanan Email (pilihan editor) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| 6.2.2 | Developers trained in secure software development | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| 6.2.3 | Custom code reviewed before release | Editorial | CC8.1 | Topik sama: Pengembangan Aman (pilihan editor) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan, Manajemen Patch (pilihan editor) |
| 6.3.2 | Inventory of custom software and its components | Editorial | CC6.1CC9.2 | Topik sama: Manajemen Aset, Risiko Rantai Pasok (pilihan editor) |
| 6.3.3 | Security patches installed promptly | Editorial | CC7.1 | Topik sama: Manajemen Patch (pilihan editor) |
| 6.4.1 | Public web applications protected against attacks | Editorial | CC6.6 | Topik sama: Keamanan Web (pilihan editor) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Editorial | CC6.6 | Topik sama: WAF (pilihan editor) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Editorial | CC6.6 | Topik sama: Keamanan Web (pilihan editor) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Editorial | CC6.1CC6.2CC6.3+1 | Topik sama: Kontrol Akses (pilihan editor) |
| 7.2.2 | Access assigned by job function and least privilege | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses, Akses Istimewa (pilihan editor) |
| 7.2.4 | User accounts and privileges reviewed every six months | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Editorial | CC6.1CC6.2CC6.3 | Topik sama: Kontrol Akses (pilihan editor) |
| 8.3.1 | User and admin access requires an authentication factor | Editorial | CC6.6 | Topik sama: Zero Trust (pilihan editor) |
| 8.4.1 | MFA for non-console administrative access to the CDE | Editorial | CC6.1 | Topik sama: Autentikasi Multi-Faktor (pilihan editor) |
| 8.4.2 | MFA for all access into the CDE | Editorial | CC6.1 | Topik sama: Autentikasi Multi-Faktor (pilihan editor) |
| 8.4.3 | MFA for remote network access | Editorial | CC6.1 | Topik sama: Autentikasi Multi-Faktor (pilihan editor) |
| 8.5.1 | MFA systems configured to resist misuse | Editorial | CC6.1 | Topik sama: Autentikasi Multi-Faktor (pilihan editor) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.2.3 | Physical access to network hardware restricted | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.3.1 | Personnel physical access authorised and managed | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Editorial | CC6.4 | Topik sama: Keamanan Fisik (pilihan editor) |
| 9.4.1.1 | Offline backup media stored securely | Editorial | A1.2 | Topik sama: Cadangan & Pemulihan (pilihan editor) |
| 9.4.2 | Media classified by data sensitivity | Editorial | C1.1 | Topik sama: Klasifikasi Data (pilihan editor) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| 10.3.2 | Logs protected from modification | Editorial | CC7.2CC7.4 | Topik sama: Pencatatan & Audit, Forensik (pilihan editor) |
| 10.4.1 | Security event and critical logs reviewed daily | Editorial | CC7.2CC7.3 | Topik sama: Pemantauan Berkelanjutan, SIEM / SOC (pilihan editor) |
| 10.4.1.1 | Automated mechanisms for log review | Editorial | CC7.2 | Topik sama: Deteksi Anomali (pilihan editor) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| 10.6.1 | System clocks synchronised | Editorial | CC7.2 | Topik sama: Pencatatan & Audit (pilihan editor) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan (pilihan editor) |
| 11.3.2 | External ASV scans every three months | Editorial | CC7.1 | Topik sama: Manajemen Kerentanan (pilihan editor) |
| 11.5.1 | Intrusion detection or prevention on network traffic | Editorial | CC7.2 | Topik sama: Deteksi Intrusi (pilihan editor) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| 12.1.2 | Security policy reviewed at least annually | Editorial | CC1.1CC5.3 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| 12.1.3 | Security roles and responsibilities defined | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| 12.1.4 | Executive responsibility for information security assigned | Editorial | CC1.2CC1.3CC1.5 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Editorial | CC3.1CC3.2CC3.3+3 | Topik sama: Manajemen Risiko, Penilaian Risiko (pilihan editor) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Editorial | CC4.1CC4.2 | Topik sama: Kepatuhan (pilihan editor) |
| 12.5.1 | Inventory of in-scope system components | Editorial | CC6.1 | Topik sama: Manajemen Aset (pilihan editor) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Editorial | CC3.1 | Topik sama: Lingkungan Bisnis (pilihan editor) |
| 12.6.1 | Formal security awareness programme | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| 12.6.3 | Awareness training on hire and at least annually | Editorial | CC1.4CC2.2 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| 12.8.1 | List of third-party service providers kept | Editorial | CC9.2 | Topik sama: Risiko Rantai Pasok, Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor) |
| 12.8.2 | Written agreements with service providers | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| 12.8.3 | Due diligence before engaging service providers | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| 12.8.4 | Service provider compliance monitored annually | Editorial | CC9.2 | Topik sama: Manajemen Risiko Vendor (pilihan editor) |
| 12.8.5 | Responsibilities split with each provider documented | Editorial | CC9.2 | Topik sama: Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor) |
| 12.10.1 | Incident response plan ready to activate | Editorial | A1.1A1.2A1.3+5 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana, Perencanaan Pemulihan (pilihan editor) |
| 12.10.2 | Incident response plan reviewed and tested annually | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| 12.10.3 | Incident response staff available around the clock | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| 12.10.4 | Incident response staff trained | Editorial | CC7.3CC7.4 | Topik sama: Respons Insiden (pilihan editor) |
| 12.10.6 | Plan updated from lessons learned and industry changes | Editorial | CC7.5 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
Miliki PCI DSS → butuhkan SOC 2
61 persyaratan 37 terpetakan · · 24 tanpa pemetaan Buka di tampilan kesenjangan →Dari 61 persyaratan SOC 2 (Trust Services Criteria), 37 dipetakan ke sesuatu dalam PCI DSS, 0 hanya terkait secara longgar, dan 24 tidak memiliki pemetaan dalam data kami.
Pemetaan SOC 2 dari AICPA tidak berlisensi terbuka, sehingga setiap tautan SOC 2 di sini bersifat editorial ControlMapping: kriteria yang belum kami petakan tidak dapat dicocokkan. Kriteria integritas pemrosesan (PI) dan sebagian besar kriteria privasi (P) tidak memiliki padanan dalam kerangka kerja keamanan.
Kemungkinan pekerjaan baru: persyaratan SOC 2 tanpa pemetaan ke PCI DSS (24)
| SOC 2 | Persyaratan | Kecocokan | PCI DSS | Bukti |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P2.1 | Choice and consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P3.1 | Collection limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P3.2 | Explicit consent where required | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P4.1 | Use limited to privacy objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P4.2 | Retention of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P4.3 | Disposal of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P5.1 | Data subject access | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P5.2 | Correction of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.1 | Disclosure to third parties with consent | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.2 | Record of authorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.3 | Record of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.4 | Privacy commitments from third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.5 | Notification by third parties of unauthorized disclosures | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.6 | Breach notification to affected individuals | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P6.7 | Accounting of disclosures to data subjects | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P7.1 | Quality of personal information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| PI1.2 | Controls over system inputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| PI1.3 | Controls over system processing | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| PI1.4 | Controls over system outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
| PI1.5 | Storing inputs, items in processing and outputs | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke PCI DSS dalam data kami. |
Dipetakan (37)
| SOC 2 | Persyaratan | Kecocokan | PCI DSS | Bukti |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | 12.10.1 | Topik sama: Kelangsungan Usaha (pilihan editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | 9.4.1.112.10.1 | Topik sama: Cadangan & Pemulihan, Kelangsungan Usaha, Pemulihan Bencana (pilihan editor) |
| A1.3 | Testing recovery plan procedures | Editorial | 12.10.1 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana (pilihan editor) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | 9.4.2 | Topik sama: Klasifikasi Data (pilihan editor) |
| C1.2 | Disposing of confidential information | Editorial | 3.2.13.3.13.4.1 | Topik sama: Perlindungan Data (pilihan editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | 12.1.112.1.2 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | 12.1.312.1.4 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | 12.1.312.1.4 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | 12.6.112.6.3 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | 12.1.312.1.4 | Topik sama: Peran & Tanggung Jawab (pilihan editor) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | 12.6.112.6.3 | Topik sama: Kesadaran & Pelatihan (pilihan editor) |
| CC2.3 | Communication with external parties | Editorial | 12.10.1 | Topik sama: Pelaporan (pilihan editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | 12.3.112.5.2 | Topik sama: Manajemen Risiko, Lingkungan Bisnis (pilihan editor) |
| CC3.2 | Risk identification and analysis | Editorial | 12.3.1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.3 | Considering the potential for fraud | Editorial | 12.3.1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | 12.3.1 | Topik sama: Penilaian Risiko (pilihan editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | 12.4.2 | Topik sama: Kepatuhan (pilihan editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | 12.4.2 | Topik sama: Kepatuhan (pilihan editor) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | 12.3.1 | Topik sama: Manajemen Risiko (pilihan editor) |
| CC5.2 | General controls over technology | Editorial | 2.2.12.2.2 | Topik sama: Konfigurasi Aman (pilihan editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | 12.1.112.1.2 | Topik sama: Kebijakan Tata Kelola (pilihan editor) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | 3.5.13.6.13.7.1+13 | Topik sama: Enkripsi (pilihan editor) |
| CC6.2 | User registration, authorization and removal | Editorial | 7.2.17.2.27.2.4+1 | Topik sama: Kontrol Akses (pilihan editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | 7.2.17.2.27.2.4+1 | Topik sama: Kontrol Akses, Akses Istimewa (pilihan editor) |
| CC6.4 | Physical access restrictions | Editorial | 9.2.19.2.1.19.2.3+3 | Topik sama: Keamanan Fisik (pilihan editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | 3.2.13.3.13.4.1 | Topik sama: Perlindungan Data (pilihan editor) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | 1.2.11.2.31.3.1+6 | Topik sama: Firewall / Segmentasi Jaringan (pilihan editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | 3.4.23.5.13.6.1+4 | Topik sama: DLP, Enkripsi (pilihan editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | 5.2.15.2.25.3.2+1 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | 2.2.12.2.26.3.1+3 | Topik sama: Konfigurasi Aman, Manajemen Kerentanan, Manajemen Patch (pilihan editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | 10.2.110.3.210.4.1+4 | Topik sama: Pencatatan & Audit, Pemantauan Berkelanjutan (pilihan editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | 10.4.112.10.112.10.2+2 | Topik sama: SIEM / SOC, Respons Insiden (pilihan editor) |
| CC7.4 | Responding to identified security incidents | Editorial | 10.3.212.10.112.10.2+2 | Topik sama: Forensik, Respons Insiden, Mitigasi (pilihan editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | 12.10.112.10.6 | Topik sama: Perencanaan Pemulihan, Pelajaran yang Dipetik (pilihan editor) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | 6.2.16.2.26.2.3 | Topik sama: Pengembangan Aman (pilihan editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | 12.3.112.10.1 | Topik sama: Manajemen Risiko, Kelangsungan Usaha (pilihan editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | 6.3.212.8.112.8.2+3 | Topik sama: Risiko Rantai Pasok, Keamanan Cloud, Manajemen Risiko Vendor (pilihan editor) |
Menurut topik
Keduanya mencakup (43):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoRisiko Rantai PasokPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoLingkungan BisnisKlasifikasi DataManajemen KerentananKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan CloudWAFDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPelajaran yang DipetikPemulihan BencanaManajemen Risiko VendorKeamanan Fisik
Hanya SOC 2 (3):
Hanya PCI DSS (3):
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.