Evidenze riutilizzabili tra SOC 2, ISO 27001 e PCI DSS
Le organizzazioni con tre audit raccolgono spesso gli stessi screenshot tre volte. La maggior parte delle evidenze può servire tutti e tre, se le si raccoglie tenendo presente l'auditor più esigente.
Un'organizzazione con SOC 2, ISO 27001 e PCI DSS può facilmente spendere più tempo a rispondere alle richieste di evidenze che a gestire i controlli. Ogni auditor chiede "la revisione degli accessi", "le scansioni di vulnerabilità", "il test sugli incidenti", in formati leggermente diversi e per periodi leggermente diversi. Gran parte di quelle evidenze è la stessa. Il trucco è raccoglierle una sola volta, in una forma che soddisfi il più esigente dei tre.
Perché la sovrapposizione è ampia
I tre framework condividono gran parte del loro contenuto in materia di sicurezza. Passando da ISO 27001 a SOC 2, per esempio:
Dei 61 criteri di SOC 2, 41 (67%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 20 non hanno mappature nei nostri dati. Apri il report sui gap →
E da ISO 27001 a PCI DSS, la sovrapposizione è minore ma ancora sostanziale in governance e processi:
Dei 260 requisiti di PCI DSS, 77 (30%) corrispondono a qualcosa in ISO 27001, 76 sono solo debolmente correlati e 107 non hanno mappature nei nostri dati. Apri il report sui gap →
Dove i requisiti sono mappati, anche le evidenze di solito si sovrappongono.
Evidenze che servono tutti e tre
| Evidenza | SOC 2 | ISO 27001 | PCI DSS |
|---|---|---|---|
| Revisioni degli accessi utente (con approvazione e modifiche apportate) | CC6.2, CC6.3 | A.5.18 | 7.2.4 (ogni sei mesi) |
| Ticket di ingresso e uscita del personale con approvazioni | CC6.2 | A.5.16, A.5.18, A.6.5 | 8.2.4, 8.2.5 |
| Ticket di modifica con revisione, test e approvazione | CC8.1 | A.8.32 | 6.5.1, 6.5.2 |
| Risultati delle scansioni di vulnerabilità e relativa risoluzione | CC7.1 | A.8.8 | 11.3.1, 11.3.2, 6.3.3 |
| Report dei penetration test e relativi retest | CC4.1, CC7.1 | A.8.8 | 11.4.1 a 11.4.4 |
| Registro degli incidenti e test di risposta | CC7.3 a CC7.5 | A.5.24 a A.5.27 | 12.10.1, 12.10.2 |
| Registrazioni della formazione sulla consapevolezza della sicurezza | CC1.4, CC2.2 | A.6.3 | 12.6.1 a 12.6.3 |
| Documentazione di due diligence sui fornitori | CC9.2 | A.5.19 a A.5.22 | 12.8.1 a 12.8.5 |
| Test di ripristino dei backup | A1.2, A1.3 | A.8.13 | 9.4.1.1, 12.10.1 |
| Valutazione del rischio e relativa revisione | CC3.1 a CC3.4 | 6.1.2, 8.2 | 12.3.1 |
Raccogliere secondo lo standard più rigoroso
- Frequenza: PCI DSS spesso fissa la cadenza più stretta (revisioni degli accessi semestrali, scansioni trimestrali). Esegui i controlli con la frequenza PCI e gli altri saranno soddisfatti.
- Periodo: SOC 2 Type II campiona l'intero periodo di osservazione. Conserva le evidenze in modo continuativo, non solo prima degli audit.
- Completezza: gli auditor ISO possono chiedere come sai che la popolazione è completa. Conserva l'elenco completo (tutti gli uscenti, tutte le modifiche), non solo gli esempi che sceglieresti tu.
- Provenienza: le evidenze generate dal sistema (esportazioni, log, ticket con timestamp) sono migliori degli screenshot di una schermata predisposta da qualcuno.
Una struttura semplice
Un unico archivio di evidenze, organizzato per controllo anziché per framework. Ogni cartella di controllo contiene le evidenze di ciascun periodo, denominate in modo coerente, con un breve indice che indica quali requisiti del framework soddisfano. Quando un auditor chiede "evidenza di 7.2.4", cerchi il controllo, non il framework.
Punti chiave
- Gran parte delle evidenze (revisioni degli accessi, ticket di modifica, scansioni, registri degli incidenti, formazione) serve contemporaneamente SOC 2, ISO 27001 e PCI DSS.
- Raccogli secondo lo standard più rigoroso: le frequenze PCI e il periodo continuativo di SOC 2.
- Organizza le evidenze per controllo, non per framework, con un indice di ciò che ogni elemento soddisfa.
- Alcuni elementi non sono trasferibili, in particolare le scansioni ASV e i registri del sistema di gestione ISO.
Cosa non si trasferisce
- Scansioni specifiche PCI: le scansioni esterne devono essere eseguite da un Approved Scanning Vendor.
- Analisi del rischio mirate PCI per i requisiti con frequenza flessibile.
- Registri del sistema di gestione ISO: rapporti di audit interni, verbali del riesame della direzione e registri delle azioni correttive sono specifici di ISO (anche se gli auditor SOC 2 li apprezzano).
- Descrizione del sistema SOC 2: la tua descrizione narrativa del sistema nell'ambito.
Il nostro articolo su un unico set di controlli per SOC 2 e ISO 27001 tratta la progettazione dei controlli; la Gap analysis elenca le mappature tra due framework qualsiasi.
Domande
La stessa evidenza può essere usata per SOC 2 e ISO 27001?
Di solito sì. Entrambi cercano la prova che i controlli funzionano: ticket, revisioni, risultati di scansione, registrazioni di formazione. SOC 2 Type II richiede campioni lungo l'intero periodo di osservazione, quindi raccogli le evidenze in modo continuativo.
Quali evidenze richiede PCI DSS che SOC 2 non richiede?
Evidenze di frequenze e impostazioni specifiche di PCI: scansioni interne trimestrali ed esterne ASV, revisioni semestrali degli accessi e delle regole del firewall, analisi del rischio mirate e configurazioni specifiche per i dati del titolare della carta.
Per quanto tempo vanno conservate le evidenze di audit?
Almeno fino alla chiusura del ciclo di audit successivo, e più a lungo laddove un framework o una legge lo richieda; PCI DSS, ad esempio, richiede 12 mesi di storico dei log di audit.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-13Requisiti MFA confrontati tra 11 framework di sicurezzaQuali framework richiedono MFA, per chi e con quale rigore: PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2 e HIPAA a confronto diretto.
Analisi · 2026-09-15Requisiti di cifratura a confronto: cosa specificano i framework e cosa lasciano a teCome ISO 27001, PCI DSS, CMMC, HIPAA, GDPR e NIS2 trattano la cifratura dei dati a riposo e in transito e la gestione delle chiavi, con gli ID dei requisiti.