Criteri SOC 2 senza equivalente in ISO 27001

Una certificazione ISO 27001 copre gran parte di un report SOC 2, ma non tutto. I criteri che non si riportano provengono tutti da due categorie facoltative.

Se la vostra organizzazione possiede già la ISO 27001 e un cliente richiede un report SOC 2, gran parte del lavoro è già fatto. I controlli di sicurezza si sovrappongono in larga misura, e l'ISMS fornisce agli auditor SOC 2 le evidenze di governance che cercano. Tuttavia, un gruppo di criteri SOC 2 non ha alcun corrispettivo in ISO 27001, ed è importante conoscerli prima di concordare lo scopo con il vostro auditor.

Il dato principale

Dei 61 criteri di SOC 2, 41 (67%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 20 non hanno mappature nei nostri dati. Apri il report sui gap →

Nessuno dei criteri SOC 2 è semplicemente "correlato in modo debole" a ISO: ciascuno o trova una corrispondenza o non la trova. Questa netta separazione è un indizio di ciò che sta accadendo.

I criteri senza mappatura ISO

SOC 2	Requisito	Corrispondenza	ISO 27001
P1.1	Privacy notice	Nessuna mappatura nei nostri dati	—
P2.1	Choice and consent	Nessuna mappatura nei nostri dati	—
P3.1	Collection limited to privacy objectives	Nessuna mappatura nei nostri dati	—
P3.2	Explicit consent where required	Nessuna mappatura nei nostri dati	—
P4.1	Use limited to privacy objectives	Nessuna mappatura nei nostri dati	—
P5.1	Data subject access	Nessuna mappatura nei nostri dati	—
P5.2	Correction of personal information	Nessuna mappatura nei nostri dati	—
P6.1	Disclosure to third parties with consent	Nessuna mappatura nei nostri dati	—
P6.2	Record of authorized disclosures	Nessuna mappatura nei nostri dati	—
P6.3	Record of unauthorized disclosures	Nessuna mappatura nei nostri dati	—
P6.4	Privacy commitments from third parties	Nessuna mappatura nei nostri dati	—
P6.5	Notification by third parties of unauthorized disclosures	Nessuna mappatura nei nostri dati	—
P6.7	Accounting of disclosures to data subjects	Nessuna mappatura nei nostri dati	—
P7.1	Quality of personal information	Nessuna mappatura nei nostri dati	—
P8.1	Handling privacy inquiries, complaints and disputes	Nessuna mappatura nei nostri dati	—
PI1.1	Information about processing objectives	Nessuna mappatura nei nostri dati	—
PI1.2	Controls over system inputs	Nessuna mappatura nei nostri dati	—
PI1.3	Controls over system processing	Nessuna mappatura nei nostri dati	—
PI1.4	Controls over system outputs	Nessuna mappatura nei nostri dati	—
PI1.5	Storing inputs, items in processing and outputs	Nessuna mappatura nei nostri dati	—

Ogni criterio dell'elenco appartiene a due delle cinque categorie di SOC 2: Processing Integrity (PI1) e Privacy (da P1 a P8). Entrambe sono facoltative. La categoria Security, i criteri comuni da CC1 a CC9 che ogni report SOC 2 include, è mappata integralmente, così come Availability e Confidentiality.

Fotografia di una calcolatrice, fatture ritagliate e un rotolo di carta di una calcolatrice a nastro sulla scrivania di un contabile — Processing integrity riguarda la correttezza dei numeri finali, che ISO 27001 non verifica.

Perché Processing Integrity non ha un equivalente ISO

Processing Integrity verifica se un sistema elabora i dati in modo completo, accurato, tempestivo e autorizzato: che gli input siano controllati, che gli errori di elaborazione siano intercettati, che gli output raggiungano il destinatario corretto e che i dati conservati restino coerenti. Riguarda la correttezza del servizio in sé, non la sicurezza che lo circonda.

ISO 27001 è una norma sulla sicurezza delle informazioni. Tutela la riservatezza, l'integrità e la disponibilità delle informazioni, ma per "integrità" si intende la protezione da modifiche non autorizzate, non la verifica che un'elaborazione delle buste paga abbia calcolato correttamente ogni stipendio. Nessun controllo dell'Allegato A richiede di validare l'elaborazione dei processi aziendali. Quindi, se un cliente si affida al vostro sistema per ottenere i numeri corretti (pagamenti, fatturazione, buste paga, sinistri, pipeline di dati), Processing Integrity rappresenta un lavoro nuovo anche con un ISMS maturo: validazione degli input, riconciliazione, gestione degli errori e controlli sugli output, con relative evidenze.

Perché la maggior parte dei criteri sulla Privacy non ha un equivalente ISO

I criteri di Privacy di SOC 2 seguono il ciclo di vita delle informazioni personali: informativa (P1), scelta e consenso (P2), raccolta (P3), utilizzo, conservazione e smaltimento (P4), accesso e rettifica (P5), comunicazione a terzi (P6), qualità (P7) e monitoraggio e reclami (P8). Sono requisiti di un programma di privacy, più vicini al GDPR che alla sicurezza.

ISO 27001 ne tocca alcuni. A.5.34 richiede di identificare e rispettare gli obblighi di protezione dei dati personali, A.5.33 riguarda la protezione delle registrazioni e A.8.10 la cancellazione delle informazioni. Per questo conservazione (P4.2), smaltimento (P4.3) e notifica di violazione (P6.6) risultano mappati nei nostri dati, tramite collegamenti editoriali con motivazioni dichiarate. Il resto, come le informative sulla privacy, il consenso, le richieste di accesso degli interessati e i registri delle comunicazioni, non ha un controllo nell'Allegato A.

Se vi servono, la ISO/IEC 27701 estende un ISMS a un sistema di gestione delle informazioni sulla privacy ed è la norma complementare naturale. Sul versante GDPR, vedete come ISO 27001 si confronta con gli articoli sulla sicurezza del GDPR.

Cosa fare

Concordate prima lo scopo. Includete Processing Integrity o Privacy solo se i clienti ne hanno bisogno. Molti report SOC 2 coprono solo Security, oppure Security più Availability e Confidentiality.
Se li includete, trattateli come controlli nuovi, non come un esercizio di mappatura ISO: definiteli, eseguiteli e conservate le evidenze per l'intero periodo di osservazione.
Riutilizzate l'ISMS per tutto il resto. Il report di gap ISO 27001 → SOC 2 elenca ogni criterio con la sua corrispondenza ISO, e il nostro articolo su gestire un unico insieme di controlli per entrambe illustra gli aspetti pratici.

L'altra direzione è una storia diversa: passando da SOC 2 a ISO 27001, il lavoro nuovo è il sistema di gestione in sé. Il confronto ISO 27001 vs SOC 2 copre entrambe le direzioni.

Una nota sui dati

Non esiste un crosswalk SOC 2 con licenza aperta, quindi ogni collegamento SOC 2 qui è una valutazione editoriale di ControlMapping, con la motivazione indicata in ogni pagina di requisito. I conteggi sopra sono calcolati in tempo reale dai dati correnti.

Domande

ISO 27001 copre i criteri SOC 2 sulla Privacy?

Per lo più no. ISO 27001 protegge i dati personali in quanto informazioni (A.5.34), ma non richiede informative sulla privacy, consenso, accesso degli interessati o registri delle comunicazioni. La ISO/IEC 27701 estende un ISMS alla gestione della privacy ed è la corrispondenza più vicina.

Devo includere Processing Integrity in un report SOC 2?

No. È richiesta solo la categoria Security (i criteri comuni). Aggiungete Processing Integrity quando i clienti si affidano al vostro sistema per elaborare i loro dati in modo completo e accurato, ad esempio per pagamenti o buste paga.

Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.

Criteri SOC 2 senza equivalente in ISO 27001, e perché esistono