Un set di controlli per SOC 2 e ISO 27001 senza lavoro doppio

Le aziende che vendono software a livello internazionale finiscono spesso per avere entrambi: un report SOC 2 per i clienti statunitensi e un certificato ISO 27001 per tutti gli altri. Se li gestite come due progetti, scrivete due serie di policy, raccogliete due volte le stesse evidenze e affrontate audit sovrapposti. Se li gestite da un unico set di controlli, il secondo framework costa una frazione del primo.

Ecco come impostarlo.

Quanto si sovrappongono

Direzione	Mappato	Correlazione debole	Nessuna mappatura
Hai ISO 27001 → ti serve SOC 2	41 di 61 (67%)	0	20	report →
Hai SOC 2 → ti serve ISO 27001	98 di 123 (80%)	21	4	report →

Passando da SOC 2 a ISO 27001, quasi ogni controllo dell'Annex A e ogni clausola dell'ISMS è mappato su un criterio SOC 2. Le poche voci senza mappatura riguardano la meccanica del sistema di gestione di ISO: la definizione dell'ISMS stesso e il controllo delle informazioni documentate. Nel verso opposto, i criteri SOC 2 senza controparte in ISO sono le categorie facoltative Privacy e Processing Integrity; i criteri di Security sono tutti mappati.

Quindi la sovrapposizione riguarda i controlli di sicurezza. Le differenze stanno nella struttura: ISO richiede un sistema di gestione attorno ai controlli, mentre SOC 2 richiede la prova che abbiano funzionato per un periodo di tempo.

Passo 1: scegliere una struttura portante

Un set di controlli comune richiede una struttura primaria a cui tutto si riconduce. Usate l'Annex A di ISO 27001 come struttura portante se avete o volete il certificato, perché la Statement of Applicability elenca già ogni controllo con la relativa motivazione. Usate i criteri SOC 2 se il report è il vostro principale prodotto. Entrambe le scelte funzionano; ciò che conta è che ogni controllo abbia una sola collocazione.

Passo 2: scrivere ciascun controllo una sola volta

Per ogni controllo, tenete un unico record con:

• Una descrizione chiara di ciò che fate ("L'accesso alla produzione è concesso tramite un ticket approvato dal responsabile del sistema e rivisto trimestralmente").
• Un responsabile e una frequenza.
• I riferimenti ai framework che soddisfa, per esempio ISO A.5.15 e A.5.18, SOC 2 CC6.1–CC6.3.
• Le evidenze che produce e dove sono conservate.

I riferimenti derivano da una mappatura come la nostra. Per il controllo degli accessi, appare così:

Framework	Controllo degli accessi	Collegamento
NIST CSF 2.0	PR.AA-01PR.AA-05	Definizione dell'argomento
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Crosswalk
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Crosswalk
SOC 2	CC6.1CC6.2CC6.3	Redazione
PCI DSS	7.2.17.2.27.2.48.2.1	Crosswalk
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Crosswalk
800-53	AC-2AC-3	Crosswalk
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Crosswalk
GDPR	Art.25(2)Art.32(1)(b)	Redazione
NIS2	11.111.211.5	Crosswalk
Essential Eight	—	Nessuna mappatura nei nostri dati

Dettaglio completo e motivazione di ogni collegamento: Controllo degli accessi nei framework →

Passo 3: raccogliere le evidenze una volta, etichettarle due volte

Gli auditor SOC 2 Type II campionano le evidenze dell'intero periodo di osservazione: ticket, revisioni, scansioni, registrazioni di formazione. Gli auditor di sorveglianza ISO chiedono gli stessi tipi di registrazioni. Raccogliete ciascun elemento una sola volta, in un unico punto, ed etichettatelo con tutti i riferimenti ai framework associati al suo controllo.

Passo 4: allineare i calendari

• Avviate il periodo di osservazione SOC 2 quando i controlli sono in funzione da alcune settimane, non il giorno in cui vengono attivati.
• Pianificate gli audit interni ISO e i riesami della direzione in modo che producano registrazioni all'interno del periodo SOC 2: sono anche buone evidenze di governance per i criteri comuni SOC 2.
• Chiedete se i vostri auditor possono coordinare il lavoro sul campo. Anche quando non possono, tenere i due audit ravvicinati significa un solo giro di richieste di evidenze.

Passo 5: colmare le lacune che ciascun lato lascia

Eseguite il report di Gap analysis SOC 2 → ISO 27001 e quello inverso. Aspettatevi due tipi di nuovo lavoro:

• Per ISO: il sistema di gestione. Ambito, obiettivi, valutazione e trattamento del rischio, Statement of Applicability, audit interni, riesame della direzione e azioni correttive.
• Per SOC 2: le eventuali categorie facoltative che includete e l'abitudine di conservare le evidenze in modo continuo per un intero periodo.

Il nostro confronto ISO 27001 vs SOC 2 elenca ogni requisito in entrambe le direzioni, e le guide SOC 2 e ISO 27001 trattano gli audit in sé.

Una nota sulle mappature

Non esiste alcun crosswalk SOC 2 con licenza aperta, quindi ogni collegamento SOC 2 di questo sito è frutto del giudizio della Redazione di ControlMapping, con la motivazione indicata. Usate la mappatura per progettare il set di controlli, poi verificate i dettagli con i vostri auditor prima di farvi affidamento.

Domande

Un solo auditor può svolgere insieme SOC 2 e ISO 27001?

Alcune società hanno sia uno studio CPA sia un organismo di certificazione accreditato e coordinano gli audit, ma restano due incarichi con due risultati: un report SOC 2 e un certificato ISO 27001.

Quale dei due conviene avviare per primo, SOC 2 o ISO 27001?

Quello richiesto per primo dai clienti. Se costruite il set di controlli comune descritto qui, il secondo aggiunge per lo più le clausole del sistema di gestione (per ISO) oppure il periodo di evidenza e i criteri facoltativi (per SOC 2).