Confronto

ISO 27001 vs PCI DSS: un sistema di gestione vs regole prescrittive sui dati delle carte

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · dati al 2026-10-27

Per Paul Gillet · Aggiornato il 2026-10-17

PCI DSS v4.0.1 è un requisito contrattuale imposto dai circuiti di pagamento a chiunque memorizzi, elabori o trasmetta dati dei titolari di carta. È prescrittivo: circa 250 requisiti definiti, con procedure di verifica, validati da un Qualified Security Assessor oppure tramite un Self-Assessment Questionnaire, a seconda del proprio livello. ISO/IEC 27001 è basato sul rischio: si scelgono e si giustificano i controlli per un perimetro definito dall'organizzazione.

Un ISMS conforme a ISO 27001 offre una solida base per il lavoro su PCI. Governance, valutazione del rischio, policy, controllo degli accessi, logging e gestione degli incidenti sono tutti riutilizzabili, e il processo di gestione del rischio di ISO aiuta con le analisi del rischio mirate previste da PCI DSS v4.

Passando da ISO a PCI DSS, aspettatevi molti requisiti non mappati e solo debolmente correlati. Non perché ISO sia meno rigorosa, ma perché PCI specifica con precisione cosa fare e con quale frequenza: regole di controllo della sicurezza di rete per il cardholder data environment, protezione dei dati dei conti memorizzati e dei PAN, requisiti specifici di autenticazione e MFA, scansioni trimestrali e penetration test annuali, monitoraggio dell'integrità dei file e controlli sugli script delle pagine di pagamento. In parte si tratta anche di un limite dei dati: il crosswalk PCI di NIST copre solo una parte dello standard, quindi alcuni requisiti PCI non hanno un collegamento pubblicato con nulla.

Passando da PCI DSS a ISO, la copertura dell'Allegato A è buona, e il gap riguarda il sistema di gestione: perimetro dell'ISMS, obiettivi, informazioni documentate, audit interno e riesame della direzione.

In sintesi

	ISO 27001	PCI DSS
Cosa protegge	Tutte le informazioni nel perimetro dell'ISMS	I dati dei conti di pagamento e i sistemi che li circondano
Grado di prescrittività	Basato sul rischio: si scelgono i controlli	Prescrittivo: requisiti specifici, molti con frequenze stabilite
Chi lo richiede	Clienti e gare d'appalto	I circuiti di pagamento, tramite i contratti con gli acquirer
Valutazione	Organismo di certificazione	QSA Report on Compliance, oppure Self-Assessment Questionnaire
Frequenza	Sorveglianza annuale, ricertificazione ogni tre anni	Annuale, con scansioni esterne trimestrali

Usare ISO 27001 per PCI DSS

Un ISMS che include il cardholder data environment nel proprio perimetro copre gran parte del lavoro di PCI DSS su policy, rischio e governance, e molte aree tecniche si allineano. Il lavoro nuovo riguarda di solito le impostazioni e le frequenze specifiche di PCI: scansioni esterne trimestrali da parte di un Approved Scanning Vendor, MFA per tutti gli accessi al cardholder data environment, controlli sugli script delle pagine di pagamento, cadenze di revisione dei log e dettagli sulla gestione delle chiavi. L'elenco "nessuna mappatura" qui sotto indica dove guardare.

Chi ha bisogno di cosa

PCI DSS si applica a qualsiasi organizzazione che memorizza, elabora o trasmette dati di carte di pagamento, o che può incidere sulla loro sicurezza, perché i circuiti di pagamento lo richiedono tramite i contratti di acquiring. Il modo di validarlo dipende dal livello: i commercianti e i fornitori di servizi più grandi necessitano di un Report on Compliance annuale rilasciato da un Qualified Security Assessor; la maggior parte degli altri compila un Self-Assessment Questionnaire. ISO 27001 è volontaria e più ampia: copre tutta la sicurezza delle informazioni dell'organizzazione, non solo i dati delle carte, e si conclude con un certificato riconosciuto dai clienti.

Ridurre il perimetro PCI prima di costruire i controlli

Il requisito PCI DSS meno costoso è quello che non vi si applica. Prima di mappare i controlli ISO su PCI, riducete il cardholder data environment:

Esternalizzate la pagina di pagamento. Un sito e-commerce che reindirizza verso, o integra, la pagina di un fornitore di pagamenti conforme a PCI evita di tenere i dati delle carte sui propri server e può rientrare nel questionario più breve, SAQ A.
Tokenizzate. Sostituite i numeri di carta memorizzati con token forniti dal vostro fornitore di pagamenti, così non detenete mai i numeri di conto primari.
Segmentate. Isolate i sistemi che devono trattare i dati delle carte dal resto e verificate la segmentazione.

Ogni sistema escluso dal perimetro elimina in una volta decine di requisiti.

Costi e impegno

Per un'organizzazione certificata ISO, il costo di PCI DSS dipende quasi interamente dal perimetro. Con una pagina di pagamento completamente esternalizzata, il lavoro può ridursi a un questionario breve e a pochi controlli. Se i dati delle carte sono nei vostri sistemi, aspettatevi un impegno consistente sui Requisiti 3 (dati memorizzati), 8 (autenticazione), 10 (logging) e 11 (test), oltre alle scansioni esterne trimestrali da parte di un Approved Scanning Vendor e, ai livelli più alti, a una valutazione QSA. Il lavoro di governance è contenuto, perché l'ISMS copre già gran parte del Requisito 12.

Tempistiche

Pianificate prima la riduzione del perimetro: può cambiare completamente i tempi. Per un ambiente in perimetro, un'organizzazione certificata ISO ha in genere bisogno da tre a nove mesi per chiudere i gap tecnici specifici di PCI prima della prima valutazione, e le scansioni trimestrali devono essere già attive prima della data di valutazione. Inserite le frequenze fisse di PCI (scansioni trimestrali, revisioni semestrali, test annuali) nel calendario dell'ISMS, così che l'audit interno le verifichi insieme al resto.

Caso pratico: un e-commerce

Un e-commerce di medie dimensioni è certificato ISO 27001 per la propria piattaforma e-commerce, ed elabora i pagamenti con carta sui propri server. Il suo acquirer chiede la validazione PCI DSS. La gap analysis mostra una forte sovrapposizione in governance, risposta agli incidenti e gestione dei fornitori, ma ampi gap nel Requisito 3 (dati dei conti memorizzati), 6.4 (sicurezza della pagina di pagamento) e 11 (scansioni ASV e penetration test).

L'azienda riprogetta anzitutto il checkout con una pagina di pagamento integrata fornita dal proprio fornitore di pagamenti e tokenizza le carte memorizzate. I suoi sistemi non trattano più i numeri di carta, gran parte dei gap scompare e la validazione avviene con un breve questionario di autovalutazione. I controlli ISO coprono ciò che resta, con le frequenze PCI riportate nelle procedure esistenti.

Errori comuni

Mappare prima di definire il perimetro. Costruire controlli per un cardholder data environment che la tokenizzazione o una pagina di pagamento esternalizzata avrebbero potuto eliminare.
Usare le frequenze ISO. Una revisione annuale degli accessi soddisfa ISO; PCI DSS richiede ogni sei mesi. Progettate secondo la cadenza PCI.
Dimenticare l'ASV. Le scansioni esterne devono essere eseguite da un Approved Scanning Vendor, con cadenza trimestrale e con esiti superati.
Considerare il certificato ISO come prova per PCI. I valutatori richiedono evidenze specifiche PCI per ciascun requisito.
Trascurare la pagina di pagamento. La gestione degli script e il rilevamento delle manomissioni sulle pagine di pagamento sono tra i requisiti v4.0.1 più spesso mancati.

Punti chiave

In PCI, il perimetro è tutto: segmentare il cardholder data environment può ridurre drasticamente il lavoro.
ISO → PCI: mappate esplicitamente i controlli ISO su ciascun requisito PCI, e aspettatevi di aggiungere dettagli di frequenza e tecnici.
I requisiti con data futura di PCI DSS v4.0 sono diventati obbligatori il 31 marzo 2025; verificate di valutare secondo la v4.0.1.

Scarica questo confronto (CSV) Apri in analisi dei gap →

Hai ISO 27001 → ti serve PCI DSS

260 req.

77 mappati · · 107 senza mappatura Apri in vista dei gap →

Dei 260 requisiti di PCI DSS v4.0.1, 77 corrispondono a qualcosa in ISO 27001, 76 sono solo debolmente correlati e 107 non hanno mappature nei nostri dati.

Probabile lavoro aggiuntivo: requisiti di PCI DSS senza mappature verso ISO 27001 (107)

PCI DSS	Requisito	Corrispondenza	ISO 27001	Evidenze
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.2.5	Allowed services, protocols and ports approved	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.2.6	Security features defined for insecure services	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.2.7	Network security control rules reviewed every six months	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.2.8	Network security control configuration files secured	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.3.2	Outbound traffic from the CDE restricted	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.3.3	Network controls between wireless networks and the CDE	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.4.2	Inbound traffic from untrusted networks restricted	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.4.3	Anti-spoofing measures in place	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.4.4	Stored cardholder data not reachable from untrusted networks	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.4.5	Internal IP addresses and routing not disclosed	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
2.2.4	Only necessary services and functions enabled	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
2.2.5	Insecure services justified and secured	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
2.2.6	System security parameters set to prevent misuse	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
2.2.7	Non-console administrative access encrypted	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
2.3.2	Wireless keys changed when key holders leave	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.3.1.2	Card verification code not kept after authorisation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.3.1.3	PIN and PIN block not kept after authorisation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.3.2	Sensitive authentication data encrypted before authorisation	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.5.1.2	Disk-level encryption used only where it suffices	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.2	Key management: secure key distribution	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.3	Key management: secure key storage	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.5	Key management: retiring weakened or compromised keys	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.6	Key management: split knowledge and dual control	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.7	Key management: preventing unauthorised key substitution	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.8	Key custodians formally acknowledge their responsibilities	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
3.7.9	Service providers give customers key-handling guidance	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
4.2.2	PAN secured when sent by end-user messaging	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
5.3.3	Removable media scanned or analysed	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
5.3.4	Anti-malware audit logs enabled and retained	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
5.3.5	Users cannot disable or alter anti-malware	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
6.5.3	Pre-production environments separated from production	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
6.5.4	Duties separated between production and pre-production	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
6.5.5	Live PANs not used in pre-production	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
6.5.6	Test data and accounts removed before go-live	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
7.2.5	System and application accounts least privilege	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
7.2.6	Access to cardholder data repositories restricted	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
7.3.1	Access control system restricts access by need	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
7.3.2	Access control system enforces assigned permissions	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
7.3.3	Access control system set to deny by default	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.2.4	User ID changes authorised and controlled	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.2.7	Third-party remote access accounts enabled only when needed	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.3.2	Authentication factors unreadable in transit and storage	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.3.3	Identity verified before changing authentication factors	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.3.4	Account lockout after repeated failed attempts	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
8.6.1	Interactive use of system accounts managed	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.3.3	Visitor badges returned or deactivated	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.3.4	Visitor log maintained and retained	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.4.1	Media with cardholder data physically secured	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.4.3	Media sent off site tracked and secured	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.4.4	Management approves media moved off site	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.4.5	Inventory logs of electronic media kept	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.4.5.1	Electronic media inventories at least annually	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.5.1	Card-reading (POI) devices protected from tampering	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
9.5.1.3	Staff trained to spot POI tampering	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.2	Logs capture administrative actions	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.3	Logs capture access to audit logs	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.4	Logs capture invalid access attempts	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.5	Logs capture credential and privilege changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.6	Logs capture starting, stopping or pausing logging	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.2.1.7	Logs capture system-level object changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.4.2	Other logs reviewed periodically	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.4.3	Exceptions and anomalies addressed	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.6.2	Time configuration correct and consistent	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
10.7.3	Security control failures responded to promptly	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.3.1.2	Internal scans use authenticated scanning	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.3.1.3	Internal scans after significant changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.3.2.1	External scans after significant changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.1	Penetration testing methodology defined	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.2	Internal penetration test at least annually	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.3	External penetration test at least annually	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.5	Segmentation controls tested at least annually	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.6	Service providers test segmentation every six months	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.4.7	Multi-tenant providers support customer penetration tests	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.5.1.1	Service providers detect covert malware communication	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
11.5.2	Change-detection on critical files	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
12.5.2.1	Service providers confirm scope every six months	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
12.6.2	Awareness programme reviewed annually	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
12.6.3.1	Training covers phishing and social engineering	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
12.6.3.2	Training covers acceptable use of technology	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.1.3	Multi-tenant providers: customers reach only their own data	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.1.4	Multi-tenant providers: separation tested every six months	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.2.1	Multi-tenant providers: audit logging for each customer	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A2.1.2	Service providers: migration plan off SSL and early TLS	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.
A2.1.3	Service providers offer a secure connection option	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso ISO 27001 nei nostri dati.

Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (76)

PCI DSS	Requisito	Corrispondenza	ISO 27001	Evidenze
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
1.1.2	Roles for network security controls assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
1.2.4	Accurate account-data flow diagram maintained	Correlazione debole	A.5.19 A.5.20 A.5.22+5	Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: correlato, non una mappatura
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
2.1.2	Roles for secure configuration assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
2.3.1	Wireless vendor defaults changed	Correlazione debole	A.5.15 A.5.3 A.5.10+5	Condivide solo le sottocategorie CSF PR.AA-03, PR.DS-02: correlato, non una mappatura
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
3.1.2	Roles for protecting stored account data assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
3.5.1.3	Disk encryption access managed separately from OS access	Correlazione debole	A.5.15 A.5.1 A.5.3+5	Condivide solo le sottocategorie CSF PR.AA-03, PR.DS-01: correlato, non una mappatura
3.6.1.1	Service providers document their cryptographic architecture	Correlazione debole	A.5.15 A.5.16 A.8.2+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01, PR.AA-04: correlato, non una mappatura
3.6.1.2	Secret and private keys stored in approved forms	Correlazione debole	A.5.15 A.5.16 A.8.2+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01, PR.AA-04: correlato, non una mappatura
3.6.1.3	Cleartext key components accessible to fewest custodians	Correlazione debole	A.5.15 A.5.16 A.8.2+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01, PR.AA-04: correlato, non una mappatura
3.6.1.4	Keys stored in the fewest possible locations	Correlazione debole	A.5.15 A.5.16 A.8.2+5	Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01, PR.AA-04: correlato, non una mappatura
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
4.1.2	Roles for protecting data in transit assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
5.1.2	Roles for malware protection assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
5.2.3	Systems without anti-malware periodically re-evaluated	Correlazione debole	A.8.20 A.8.21 A.8.22+1	Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Correlazione debole	A.5.1 A.8.20 A.8.21+4	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, PR.IR-01: correlato, non una mappatura
5.3.2.1	Scan frequency set by targeted risk analysis	Correlazione debole	A.5.1 Clause 6.1.2 Clause 6.1.3	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
6.1.2	Roles for secure systems and software assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
6.2.3.1	Manual code reviews approved by someone else	Correlazione debole	A.5.8 A.5.9 A.5.11+5	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Correlazione debole	A.5.1 A.5.3 A.5.14+5	Condivide solo le sottocategorie CSF GV.PO-02, PR.AA-05: correlato, non una mappatura
7.1.2	Roles for access restriction assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
7.2.5.1	System and application account access periodically reviewed	Correlazione debole	A.5.1 A.5.3 A.5.14+5	Condivide solo le sottocategorie CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: correlato, non una mappatura
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	Correlazione debole	A.5.1 A.5.3 A.5.14+5	Condivide solo le sottocategorie CSF GV.PO-02, PR.AA-05: correlato, non una mappatura
8.1.2	Roles for identification and authentication assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
8.2.2	Shared or generic accounts only by documented exception	Correlazione debole	A.7.4 A.8.2 A.8.3+3	Condivide solo le sottocategorie CSF DE.CM-03, PR.AA-02: correlato, non una mappatura
8.2.5	Access revoked immediately on termination	Correlazione debole	A.5.19 A.5.20 A.5.21+5	Condivide solo le sottocategorie CSF GV.SC-10: correlato, non una mappatura
8.2.6	Inactive user accounts disabled within 90 days	Correlazione debole	A.5.1 A.5.3 A.5.14+5	Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura
8.2.8	Re-authentication after 15 minutes idle	Correlazione debole	A.5.15 A.5.3 A.5.10+5	Condivide solo le sottocategorie CSF PR.AA-03, PR.DS-10: correlato, non una mappatura
8.3.5	First-use and reset passwords unique and changed	Correlazione debole	A.8.2 A.8.3 A.8.5	Condivide solo le sottocategorie CSF PR.AA-02: correlato, non una mappatura
8.3.6	Minimum password length and complexity	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.3.7	Recent passwords cannot be reused	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.3.8	Authentication guidance communicated to users	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.3.9	Password-only access: change every 90 days or analyse risk	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.3.10	Service providers give customers password guidance	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.3.10.1	Service provider customer passwords: rotation or analysis	Correlazione debole	A.5.15 A.5.16 A.5.17+2	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
8.6.2	No hard-coded passwords for system accounts	Correlazione debole	A.5.15 A.5.16 A.5.18+2	Condivide solo le sottocategorie CSF PR.AA-01: correlato, non una mappatura
8.6.3	System account passwords protected and changed	Correlazione debole	A.5.1 Clause 6.1.3 A.5.15+5	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: correlato, non una mappatura
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+5	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
9.1.2	Roles for physical security assigned	Correlazione debole	A.5.2 A.5.3 A.7.5+5	Condivide solo le sottocategorie CSF GV.RR-02, PR.IR-02: correlato, non una mappatura
9.2.4	Consoles in sensitive areas locked when unattended	Correlazione debole	A.5.15 A.5.16 A.5.17+5	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
9.4.1.2	Security of offline backup location reviewed annually	Correlazione debole	A.8.13 A.7.4	Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03, DE.CM-02: correlato, non una mappatura
9.4.6	Hard-copy media destroyed when no longer needed	Correlazione debole	A.5.20 Clause 4.2 A.5.1+5	Condivide solo le sottocategorie CSF GV.OC-03, GV.SC-10, PR.DS-01: correlato, non una mappatura
9.4.7	Electronic media destroyed or made unrecoverable	Correlazione debole	A.5.20 A.8.13 Clause 4.2+5	Condivide solo le sottocategorie CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: correlato, non una mappatura
9.5.1.1	Inventory of POI devices kept	Correlazione debole	A.5.9 A.5.19 A.5.20+5	Condivide solo le sottocategorie CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: correlato, non una mappatura
9.5.1.2	POI devices inspected for tampering	Correlazione debole	A.7.4 A.5.9 A.5.19+5	Condivide solo le sottocategorie CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: correlato, non una mappatura
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Correlazione debole	A.5.1 Clause 6.1.2 Clause 6.1.3+5	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: correlato, non una mappatura
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
10.1.2	Roles for logging and monitoring assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
10.2.2	Log entries record who, what, when, where and outcome	Correlazione debole	A.5.25 A.5.27 A.5.28	Condivide solo le sottocategorie CSF RS.AN-03, RS.AN-07: correlato, non una mappatura
10.3.1	Read access to logs limited to need	Correlazione debole	A.5.26 A.5.28 A.8.15+1	Condivide solo le sottocategorie CSF DE.AE-06, RS.AN-06, PR.PS-04: correlato, non una mappatura
10.3.3	Logs promptly backed up to a central server	Correlazione debole	A.5.28 A.8.15 A.5.24+4	Condivide solo le sottocategorie CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: correlato, non una mappatura
10.3.4	File-integrity monitoring on logs	Correlazione debole	A.5.24 A.5.25 A.5.28+5	Condivide solo le sottocategorie CSF DE.AE-02, RS.AN-06: correlato, non una mappatura
10.4.2.1	Review frequency set by targeted risk analysis	Correlazione debole	A.5.1 Clause 6.1.3 A.5.9+5	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: correlato, non una mappatura
10.6.3	Time settings protected from change	Correlazione debole	A.8.15 A.8.17	Condivide solo le sottocategorie CSF PR.PS-04: correlato, non una mappatura
10.7.1	Service providers detect security control failures	Correlazione debole	A.5.1 A.5.19 Clause 9.1+5	Condivide solo le sottocategorie CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: correlato, non una mappatura
10.7.2	Critical security control failures detected and reported	Correlazione debole	A.5.1 A.5.19 Clause 9.1+5	Condivide solo le sottocategorie CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: correlato, non una mappatura
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Correlazione debole	A.5.1 A.5.31 A.5.32+2	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
11.1.2	Roles for security testing assigned	Correlazione debole	A.5.2 A.5.3 Clause 7.2	Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura
11.2.1	Wireless access points detected and unauthorised ones handled	Correlazione debole	A.8.15 A.8.16 A.8.20+3	Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Correlazione debole	A.5.1 Clause 6.1.2 Clause 6.1.3+2	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, ID.RA-05: correlato, non una mappatura
11.4.4	Penetration test findings corrected and retested	Correlazione debole	A.5.19 A.5.1 A.5.35+5	Condivide solo le sottocategorie CSF GV.OV-02, GV.OV-03, ID.IM-02: correlato, non una mappatura
11.6.1	Payment page changes and tampering detected	Correlazione debole	A.5.19 A.5.1 A.5.20+5	Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: correlato, non una mappatura
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	Correlazione debole	A.5.1 A.8.32 Clause 6.1.2+1	Condivide solo le sottocategorie CSF GV.RM-06, ID.RA-07: correlato, non una mappatura
12.3.3	Cipher suites and protocols reviewed annually	Correlazione debole	A.5.1 A.5.3 A.5.10+5	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, PR.DS-02: correlato, non una mappatura
12.3.4	Hardware and software technologies reviewed annually	Correlazione debole	A.5.19 A.5.1 A.5.20+5	Condivide solo le sottocategorie CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: correlato, non una mappatura
12.4.2.1	Service providers: quarterly review results documented	Correlazione debole	A.5.1 A.5.19 A.5.35+5	Condivide solo le sottocategorie CSF GV.OV-01, GV.OV-02, ID.IM-01: correlato, non una mappatura
12.5.3	Service providers review scope after organisational change	Correlazione debole	A.5.1 A.5.19 Clause 6.1.3+5	Condivide solo le sottocategorie CSF GV.OV-02, GV.RM-03, GV.RM-05: correlato, non una mappatura
12.9.1	Service providers acknowledge responsibilities to customers	Correlazione debole	A.5.19 A.5.20 A.5.31+5	Condivide solo le sottocategorie CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: correlato, non una mappatura
12.9.2	Service providers support customer compliance requests	Correlazione debole	A.5.19 A.5.20 A.5.31+5	Condivide solo le sottocategorie CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: correlato, non una mappatura
12.10.4.1	Training frequency set by targeted risk analysis	Correlazione debole	A.5.1 A.5.2 A.6.3+3	Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, PR.AT-02: correlato, non una mappatura
12.10.5	Plan covers alerts from security monitoring	Correlazione debole	A.5.26	Condivide solo le sottocategorie CSF GV.SC-08: correlato, non una mappatura
12.10.7	Procedures for PAN found where it shouldn't be	Correlazione debole	A.5.9	Condivide solo le sottocategorie CSF ID.AM-07: correlato, non una mappatura

Mappato (77)

PCI DSS	Requisito	Corrispondenza	ISO 27001	Evidenze
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Redazione	A.8.20 A.8.21 A.8.22	Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione)
1.2.3	Accurate network diagram maintained	Crosswalk	A.8.20 A.8.21 A.8.22	Stesso argomento: Firewall / Segmentazione di rete
1.3.1	Inbound traffic to the CDE restricted	Redazione	A.8.20 A.8.21 A.8.22	Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione)
1.4.1	Network controls between trusted and untrusted networks	Redazione	A.8.20 A.8.21 A.8.22	Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Crosswalk	A.8.9	Stesso argomento: Configurazione sicura
2.2.2	Vendor default accounts managed or removed	Crosswalk	A.8.9	Stesso argomento: Configurazione sicura
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Crosswalk	A.5.14 A.8.10 A.8.11	Stesso argomento: Protezione dei dati
3.3.1	Sensitive authentication data not kept after authorisation	Crosswalk	A.5.14 A.8.10 A.8.11	Stesso argomento: Protezione dei dati
3.4.1	PAN masked when displayed	Crosswalk	A.5.14 A.8.10 A.8.11	Stesso argomento: Protezione dei dati
3.4.2	PAN copying prevented over remote-access technologies	Redazione	A.8.12	Stesso argomento: DLP (selezione della redazione)
3.5.1	PAN rendered unreadable wherever stored	Crosswalk	A.8.24	Stesso argomento: Crittografia
3.6.1	Procedures protect keys that secure stored account data	Crosswalk	A.8.24	Stesso argomento: Crittografia
3.7.1	Key management: strong key generation	Redazione	A.8.24	Stesso argomento: Crittografia (selezione della redazione)
3.7.4	Key management: key changes at end of cryptoperiod	Redazione	A.8.24	Stesso argomento: Crittografia (selezione della redazione)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Crosswalk	A.8.24	Stesso argomento: Crittografia
4.2.1.1	Inventory of trusted keys and certificates kept	Redazione	A.8.24	Stesso argomento: Crittografia (selezione della redazione)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Crosswalk	A.8.19 A.8.1 A.8.7	Stesso argomento: Protezione degli endpoint
5.2.2	Anti-malware detects, removes or contains known malware	Crosswalk	A.8.19 A.8.1 A.8.7	Stesso argomento: Protezione degli endpoint
5.3.2	Periodic scans or continuous behavioural analysis	Crosswalk	A.8.19 A.8.1 A.8.7	Stesso argomento: Protezione degli endpoint
5.4.1	Mechanisms to detect and protect against phishing	Redazione	A.5.14	Stesso argomento: Sicurezza della posta elettronica (selezione della redazione)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	Redazione	A.8.25 A.8.26 A.8.28+1	Stesso argomento: Sviluppo sicuro (selezione della redazione)
6.2.2	Developers trained in secure software development	Crosswalk	A.8.25 A.8.26 A.8.28+1	Stesso argomento: Sviluppo sicuro
6.2.3	Custom code reviewed before release	Crosswalk	A.8.5 A.8.25 A.8.26+2	Stesso argomento: Sicurezza delle API, Sviluppo sicuro
6.2.4	Coding techniques prevent common software attacks	Redazione	A.8.5 A.8.26	Stesso argomento: Sicurezza delle API (selezione della redazione)
6.3.1	Vulnerabilities identified and risk-ranked	Crosswalk	A.5.7 A.8.8	Stesso argomento: Threat Intelligence, Gestione delle vulnerabilità, Gestione delle patch
6.3.2	Inventory of custom software and its components	Crosswalk	A.5.9 A.5.11 A.5.19+2	Stesso argomento: Gestione degli asset, Gestione del rischio della supply chain
6.3.3	Security patches installed promptly	Crosswalk	A.8.8	Stesso argomento: Gestione delle patch
6.4.1	Public web applications protected against attacks	Redazione	A.8.26	Stesso argomento: Sicurezza web (selezione della redazione)
6.4.2	Automated solution blocks attacks on public web apps	Redazione	A.8.20	Stesso argomento: WAF (selezione della redazione)
6.4.3	Payment page scripts authorised and integrity-checked	Redazione	A.8.26	Stesso argomento: Sicurezza web (selezione della redazione)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Crosswalk	A.5.15 A.5.16 A.5.18+3	Stesso argomento: Controllo degli accessi, Zero Trust
7.2.2	Access assigned by job function and least privilege	Crosswalk	A.5.15 A.5.16 A.5.18+3	Stesso argomento: Controllo degli accessi
7.2.4	User accounts and privileges reviewed every six months	Crosswalk	A.5.15 A.5.16 A.5.18+1	Stesso argomento: Controllo degli accessi
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Crosswalk	A.5.15 A.5.16 A.5.18+1	Stesso argomento: Controllo degli accessi
8.3.1	User and admin access requires an authentication factor	Crosswalk	A.5.15 A.8.5 A.8.22	Stesso argomento: Zero Trust
8.4.1	MFA for non-console administrative access to the CDE	Redazione	A.8.5	Stesso argomento: Autenticazione a più fattori (selezione della redazione)
8.4.2	MFA for all access into the CDE	Redazione	A.8.5	Stesso argomento: Autenticazione a più fattori (selezione della redazione)
8.4.3	MFA for remote network access	Redazione	A.8.5	Stesso argomento: Autenticazione a più fattori (selezione della redazione)
8.5.1	MFA systems configured to resist misuse	Redazione	A.8.5	Stesso argomento: Autenticazione a più fattori (selezione della redazione)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Redazione	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica (selezione della redazione)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Redazione	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica (selezione della redazione)
9.2.3	Physical access to network hardware restricted	Crosswalk	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica
9.3.1	Personnel physical access authorised and managed	Redazione	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica (selezione della redazione)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Crosswalk	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica
9.3.2	Visitor access authorised, escorted and identifiable	Redazione	A.7.1 A.7.2 A.7.3+6	Stesso argomento: Sicurezza fisica (selezione della redazione)
9.4.1.1	Offline backup media stored securely	Crosswalk	A.8.13	Stesso argomento: Backup e ripristino
9.4.2	Media classified by data sensitivity	Redazione	A.5.12 A.5.13	Stesso argomento: Classificazione dei dati (selezione della redazione)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Crosswalk	A.6.1 A.6.4 A.8.15+2	Stesso argomento: Minaccia interna, Logging e audit
10.3.2	Logs protected from modification	Crosswalk	A.5.28 A.8.15 A.8.17	Stesso argomento: Analisi forense, Logging e audit
10.4.1	Security event and critical logs reviewed daily	Crosswalk	A.5.25 A.8.16	Stesso argomento: SIEM / SOC, Monitoraggio continuo
10.4.1.1	Automated mechanisms for log review	Redazione	A.8.16	Stesso argomento: Rilevamento delle anomalie (selezione della redazione)
10.5.1	Audit logs retained 12 months, three immediately available	Redazione	A.8.15 A.8.17	Stesso argomento: Logging e audit (selezione della redazione)
10.6.1	System clocks synchronised	Crosswalk	A.8.15 A.8.17	Stesso argomento: Logging e audit
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Crosswalk	A.8.8	Stesso argomento: Gestione delle vulnerabilità
11.3.2	External ASV scans every three months	Crosswalk	A.8.8	Stesso argomento: Gestione delle vulnerabilità
11.5.1	Intrusion detection or prevention on network traffic	Redazione	A.8.16	Stesso argomento: Intrusion Detection (selezione della redazione)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	Crosswalk	A.5.1 A.5.37 Clause 5.2	Stesso argomento: Politica di governance
12.1.2	Security policy reviewed at least annually	Crosswalk	A.5.1 A.5.37 Clause 5.2	Stesso argomento: Politica di governance
12.1.3	Security roles and responsibilities defined	Crosswalk	A.5.2 A.5.4	Stesso argomento: Ruoli e responsabilità
12.1.4	Executive responsibility for information security assigned	Crosswalk	A.5.2 A.5.4	Stesso argomento: Ruoli e responsabilità
12.3.1	Targeted risk analysis for flexible-frequency requirements	Crosswalk	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	Stesso argomento: Gestione del rischio, Risk Assessment
12.4.2	Service providers: quarterly reviews of operational tasks	Crosswalk	A.5.31 Clause 9.1 A.5.36	Stesso argomento: Conformità
12.5.1	Inventory of in-scope system components	Crosswalk	A.5.9 A.5.11 A.7.14	Stesso argomento: Gestione degli asset
12.5.2	PCI DSS scope confirmed annually and on change	Crosswalk	Clause 4.1 Clause 4.2	Stesso argomento: Contesto aziendale
12.6.1	Formal security awareness programme	Crosswalk	A.6.3 Clause 7.3	Stesso argomento: Consapevolezza e formazione
12.6.3	Awareness training on hire and at least annually	Crosswalk	A.6.3 Clause 7.3	Stesso argomento: Consapevolezza e formazione
12.7.1	Personnel screened before hire	Crosswalk	A.6.1 A.6.4 A.8.16	Stesso argomento: Minaccia interna
12.8.1	List of third-party service providers kept	Crosswalk	A.5.19 A.5.20 A.5.21+2	Stesso argomento: Gestione del rischio della supply chain, Gestione del rischio dei fornitori
12.8.2	Written agreements with service providers	Crosswalk	A.5.19 A.5.20 A.5.22	Stesso argomento: Gestione del rischio dei fornitori
12.8.3	Due diligence before engaging service providers	Crosswalk	A.5.19 A.5.20 A.5.22	Stesso argomento: Gestione del rischio dei fornitori
12.8.4	Service provider compliance monitored annually	Crosswalk	A.5.19 A.5.20 A.5.22	Stesso argomento: Gestione del rischio dei fornitori
12.8.5	Responsibilities split with each provider documented	Crosswalk	A.5.19 A.5.20 A.5.22+1	Stesso argomento: Gestione del rischio dei fornitori
12.10.1	Incident response plan ready to activate	Crosswalk	A.5.5 A.5.24 A.5.25+5	Stesso argomento: Segnalazione, Gestione degli incidenti
12.10.2	Incident response plan reviewed and tested annually	Crosswalk	A.5.24 A.5.25 A.5.26	Stesso argomento: Gestione degli incidenti
12.10.3	Incident response staff available around the clock	Crosswalk	A.5.24 A.5.25 A.5.26	Stesso argomento: Gestione degli incidenti
12.10.4	Incident response staff trained	Crosswalk	A.5.24 A.5.25 A.5.26	Stesso argomento: Gestione degli incidenti
12.10.6	Plan updated from lessons learned and industry changes	Crosswalk	A.5.27 Clause 10.1	Stesso argomento: Lezioni apprese

Hai PCI DSS → ti serve ISO 27001

123 req.

76 mappati · · 10 senza mappatura Apri in vista dei gap →

Dei 123 requisiti di ISO/IEC 27001:2022, 76 corrispondono a qualcosa in PCI DSS, 37 sono solo debolmente correlati e 10 non hanno mappature nei nostri dati.

Probabile lavoro aggiuntivo: requisiti di ISO 27001 senza mappature verso PCI DSS (10)

ISO 27001	Requisito	Corrispondenza	PCI DSS	Evidenze
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 5.1	Leadership and commitment	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 6.2	Information security objectives and planning to achieve them	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 6.3	Planning of changes	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 7.5.1	General	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 7.5.2	Creating and updating	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 7.5.3	Control of documented information	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 9.2.1	General	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 9.2.2	Internal audit programme	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.
Clause 10.2	Nonconformity and corrective action	Nessuna mappatura nei nostri dati	—	Nessuna mappatura verso PCI DSS nei nostri dati.

Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (37)

ISO 27001	Requisito	Corrispondenza	PCI DSS	Evidenze
A.5 Organizational controls · 9
A.5.3	Segregation of duties	Correlazione debole	7.2.2 12.1.3 1.1.2+5	Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-10, GV.RR-02: correlato, non una mappatura
A.5.6	Contact with special interest groups	Correlazione debole	12.10.6 10.7.1 10.7.2+5	Condivide solo le sottocategorie CSF GV.OV-01, RS.CO-03: correlato, non una mappatura
A.5.8	Information security in project management	Correlazione debole	1.2.3 1.2.4 6.2.1+5	Condivide solo le sottocategorie CSF GV.OC-05, ID.AM-08: correlato, non una mappatura
A.5.10	Acceptable use of information and other associated assets	Correlazione debole	2.3.1 3.2.1 3.3.1+5	Condivide solo le sottocategorie CSF PR.DS-02, PR.DS-10, PR.DS-01: correlato, non una mappatura
A.5.17	Authentication information	Correlazione debole	2.2.2 2.3.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura
A.5.32	Intellectual property rights	Correlazione debole	1.1.1 2.1.1 3.1.1+5	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
A.5.33	Protection of records	Correlazione debole	3.3.1 3.5.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
A.5.34	Privacy and protection of PII	Correlazione debole	1.1.1 2.1.1 3.1.1+5	Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura
A.5.35	Independent review of information security	Correlazione debole	11.4.4 12.3.4 12.4.2+5	Condivide solo le sottocategorie CSF GV.OV-02, ID.IM-02, ID.IM-01: correlato, non una mappatura
A.6 People controls · 4
A.6.2	Terms and conditions of employment	Correlazione debole	7.2.2 2.3.1 3.2.1+5	Condivide solo le sottocategorie CSF GV.RR-04, PR.DS-10, PR.DS-02: correlato, non una mappatura
A.6.5	Responsibilities after termination or change of employment	Correlazione debole	7.2.2 2.3.1 3.2.1+5	Condivide solo le sottocategorie CSF GV.RR-04, PR.DS-10, PR.DS-02: correlato, non una mappatura
A.6.6	Confidentiality or non-disclosure agreements	Correlazione debole	7.2.2 8.2.5 9.3.1.1+4	Condivide solo le sottocategorie CSF GV.RR-04: correlato, non una mappatura
A.6.7	Remote working	Correlazione debole	7.2.2 12.1.3 8.2.5+5	Condivide solo le sottocategorie CSF GV.RR-04, PR.AA-05, GV.PO-01: correlato, non una mappatura
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	Correlazione debole	3.3.1 3.5.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
A.7.9	Security of assets off-premises	Correlazione debole	3.3.1 3.5.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
A.7.10	Storage media	Correlazione debole	3.3.1 3.5.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
A.7.13	Equipment maintenance	Correlazione debole	6.2.1 6.2.2 6.2.3+5	Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura
A.8 Technological controls · 9
A.8.4	Access to source code	Correlazione debole	7.2.2 2.3.1 3.2.1+5	Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-10, PR.DS-02: correlato, non una mappatura
A.8.6	Capacity management	Correlazione debole	5.2.1 5.2.2 5.3.2+5	Condivide solo le sottocategorie CSF DE.CM-09: correlato, non una mappatura
A.8.23	Web filtering	Correlazione debole	1.2.3 1.2.4 5.2.1+5	Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura
A.8.27	Secure system architecture and engineering principles	Correlazione debole	12.10.1 12.10.2 12.10.6	Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura
A.8.30	Outsourced development	Correlazione debole	7.2.5.1 10.7.2 11.3.1+5	Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura
A.8.31	Separation of development, test and production environments	Correlazione debole	6.2.2 6.2.3 6.3.2+5	Condivide solo le sottocategorie CSF PR.PS-06: correlato, non una mappatura
A.8.32	Change management	Correlazione debole	12.3.1 7.2.5.1 8.6.3+5	Condivide solo le sottocategorie CSF GV.OV-03, ID.RA-07: correlato, non una mappatura
A.8.33	Test information	Correlazione debole	3.3.1 3.5.1 3.5.1.3+5	Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura
A.8.34	Protection of information systems during audit testing	Correlazione debole	7.2.5.1 10.7.2 11.3.1+5	Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	Correlazione debole	12.1.4 12.8.1 12.8.5+2	Condivide solo le sottocategorie CSF GV.OC-02: correlato, non una mappatura
Clause 5.3	Organizational roles, responsibilities and authorities	Correlazione debole	12.1.4 12.8.3 12.8.4+1	Condivide solo le sottocategorie CSF GV.SC-02: correlato, non una mappatura
Clause 7.1	Resources	Correlazione debole	12.1.4 12.10.3	Condivide solo le sottocategorie CSF GV.RR-03: correlato, non una mappatura
Clause 7.2	Competence	Correlazione debole	12.1.3 12.1.4 1.1.2+5	Condivide solo le sottocategorie CSF GV.RR-01, GV.RR-02, GV.RR-03: correlato, non una mappatura
Clause 7.4	Communication	Correlazione debole	12.10.1 12.8.2 12.10.3+3	Condivide solo le sottocategorie CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: correlato, non una mappatura
Clause 8.1	Operational planning and control	Correlazione debole	1.2.3 1.2.4 6.3.1+5	Condivide solo le sottocategorie CSF GV.SC-01, RC.RP-04, GV.SC-03: correlato, non una mappatura
Clause 8.2	Information security risk assessment	Correlazione debole	12.1.1 12.1.4 12.8.1+3	Condivide solo le sottocategorie CSF GV.OC-01, GV.OC-02: correlato, non una mappatura
Clause 8.3	Information security risk treatment	Correlazione debole	12.1.1 12.1.4 12.8.1+3	Condivide solo le sottocategorie CSF GV.OC-01, GV.OC-02: correlato, non una mappatura
Clause 9.3.1	General	Correlazione debole	2.2.1 2.2.2	Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura
Clause 9.3.2	Management review inputs	Correlazione debole	2.2.1 2.2.2	Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura
Clause 9.3.3	Management review results	Correlazione debole	2.2.1 2.2.2	Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura

Mappato (76)

ISO 27001	Requisito	Corrispondenza	PCI DSS	Evidenze
A.5 Organizational controls · 28
A.5.1	Policies for information security	Crosswalk	12.1.1 12.1.2	Stesso argomento: Politica di governance
A.5.2	Information security roles and responsibilities	Crosswalk	12.1.3 12.1.4	Stesso argomento: Ruoli e responsabilità
A.5.4	Management responsibilities	Crosswalk	12.1.3 12.1.4	Stesso argomento: Ruoli e responsabilità
A.5.5	Contact with authorities	Crosswalk	12.10.1	Stesso argomento: Segnalazione
A.5.7	Threat intelligence	Crosswalk	6.3.1	Stesso argomento: Threat Intelligence
A.5.9	Inventory of information and other associated assets	Crosswalk	6.3.2 12.5.1	Stesso argomento: Gestione degli asset
A.5.11	Return of assets	Crosswalk	6.3.2 12.5.1	Stesso argomento: Gestione degli asset
A.5.12	Classification of information	Redazione	9.4.2	Stesso argomento: Classificazione dei dati (selezione della redazione)
A.5.13	Labelling of information	Redazione	9.4.2	Stesso argomento: Classificazione dei dati (selezione della redazione)
A.5.14	Information transfer	Crosswalk	3.2.1 3.3.1 3.4.1+1	Stesso argomento: Protezione dei dati
A.5.15	Access control	Crosswalk	7.2.1 7.2.2 7.2.4+2	Stesso argomento: Controllo degli accessi, Zero Trust
A.5.16	Identity management	Crosswalk	7.2.1 7.2.2 7.2.4+1	Stesso argomento: Controllo degli accessi
A.5.18	Access rights	Crosswalk	7.2.1 7.2.2 7.2.4+1	Stesso argomento: Controllo degli accessi
A.5.19	Information security in supplier relationships	Crosswalk	6.3.2 12.8.1 12.8.2+3	Stesso argomento: Gestione del rischio della supply chain, Gestione del rischio dei fornitori
A.5.20	Addressing information security within supplier agreements	Crosswalk	12.8.1 12.8.2 12.8.3+2	Stesso argomento: Gestione del rischio dei fornitori
A.5.21	Managing information security in the ICT supply chain	Crosswalk	6.3.2 12.8.1	Stesso argomento: Gestione del rischio della supply chain
A.5.22	Monitoring, review and change management of supplier services	Crosswalk	12.8.1 12.8.2 12.8.3+2	Stesso argomento: Gestione del rischio dei fornitori
A.5.23	Information security for use of cloud services	Crosswalk	12.8.1 12.8.5	Stesso argomento: Sicurezza del cloud
A.5.24	Information security incident management planning and preparation	Crosswalk	12.10.1 12.10.2 12.10.3+1	Stesso argomento: Gestione degli incidenti
A.5.25	Assessment and decision on information security events	Crosswalk	10.4.1 12.10.1 12.10.2+2	Stesso argomento: SIEM / SOC, Gestione degli incidenti
A.5.26	Response to information security incidents	Crosswalk	12.10.1 12.10.2 12.10.3+1	Stesso argomento: Gestione degli incidenti, Mitigazione
A.5.27	Learning from information security incidents	Crosswalk	12.10.6	Stesso argomento: Lezioni apprese
A.5.28	Collection of evidence	Crosswalk	10.3.2	Stesso argomento: Analisi forense
A.5.29	Information security during disruption	Crosswalk	12.10.1	Stesso argomento: Pianificazione del ripristino, Continuità operativa
A.5.30	ICT readiness for business continuity	Crosswalk	12.10.1	Stesso argomento: Pianificazione del ripristino, Continuità operativa, Disaster Recovery
A.5.31	Legal, statutory, regulatory and contractual requirements	Crosswalk	12.4.2	Stesso argomento: Conformità
A.5.36	Compliance with policies, rules and standards for information security	Redazione	12.4.2	Stesso argomento: Conformità (selezione della redazione)
A.5.37	Documented operating procedures	Crosswalk	12.1.1 12.1.2	Stesso argomento: Politica di governance
A.6 People controls · 4
A.6.1	Screening	Crosswalk	10.2.1 12.7.1	Stesso argomento: Minaccia interna
A.6.3	Information security awareness, education and training	Crosswalk	12.6.1 12.6.3	Stesso argomento: Consapevolezza e formazione
A.6.4	Disciplinary process	Crosswalk	10.2.1 12.7.1	Stesso argomento: Minaccia interna
A.6.8	Information security event reporting	Crosswalk	12.10.1	Stesso argomento: Segnalazione
A.7 Physical controls · 10
A.7.1	Physical security perimeters	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.2	Physical entry	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.3	Securing offices, rooms and facilities	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.4	Physical security monitoring	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.5	Protecting against physical and environmental threats	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.6	Working in secure areas	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.8	Equipment siting and protection	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.11	Supporting utilities	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.12	Cabling security	Crosswalk	9.2.3 9.3.1.1 9.2.1+3	Stesso argomento: Sicurezza fisica
A.7.14	Secure disposal or re-use of equipment	Crosswalk	6.3.2 12.5.1	Stesso argomento: Gestione degli asset
A.8 Technological controls · 25
A.8.1	User endpoint devices	Redazione	5.2.1 5.2.2 5.3.2	Stesso argomento: Protezione degli endpoint (selezione della redazione)
A.8.2	Privileged access rights	Crosswalk	7.2.2	Stesso argomento: Accesso privilegiato
A.8.3	Information access restriction	Crosswalk	7.2.1 7.2.2 7.2.4+1	Stesso argomento: Controllo degli accessi
A.8.5	Secure authentication	Crosswalk	6.2.3 7.2.1 8.3.1+5	Stesso argomento: Sicurezza delle API, Zero Trust
A.8.7	Protection against malware	Redazione	5.2.1 5.2.2 5.3.2	Stesso argomento: Protezione degli endpoint (selezione della redazione)
A.8.8	Management of technical vulnerabilities	Crosswalk	6.3.1 6.3.3 11.3.1+1	Stesso argomento: Gestione delle vulnerabilità, Gestione delle patch
A.8.9	Configuration management	Crosswalk	2.2.1 2.2.2	Stesso argomento: Configurazione sicura
A.8.10	Information deletion	Crosswalk	3.2.1 3.3.1 3.4.1	Stesso argomento: Protezione dei dati
A.8.11	Data masking	Crosswalk	3.2.1 3.3.1 3.4.1	Stesso argomento: Protezione dei dati
A.8.12	Data leakage prevention	Redazione	3.4.2	Stesso argomento: DLP (selezione della redazione)
A.8.13	Information backup	Crosswalk	9.4.1.1	Stesso argomento: Backup e ripristino
A.8.14	Redundancy of information processing facilities	Crosswalk	12.10.1	Stesso argomento: Continuità operativa, Disaster Recovery
A.8.15	Logging	Crosswalk	10.2.1 10.3.2 10.6.1+1	Stesso argomento: Logging e audit
A.8.16	Monitoring activities	Crosswalk	10.2.1 10.4.1 12.7.1+2	Stesso argomento: Minaccia interna, Monitoraggio continuo, SIEM / SOC
A.8.17	Clock synchronization	Crosswalk	10.2.1 10.3.2 10.6.1+1	Stesso argomento: Logging e audit
A.8.18	Use of privileged utility programs	Crosswalk	7.2.2	Stesso argomento: Accesso privilegiato
A.8.19	Installation of software on operational systems	Crosswalk	5.2.1 5.2.2 5.3.2	Stesso argomento: Protezione degli endpoint
A.8.20	Networks security	Crosswalk	1.2.3 1.2.1 1.3.1+2	Stesso argomento: Firewall / Segmentazione di rete
A.8.21	Security of network services	Crosswalk	1.2.3 1.2.1 1.3.1+1	Stesso argomento: Firewall / Segmentazione di rete
A.8.22	Segregation of networks	Crosswalk	1.2.3 7.2.1 8.3.1+3	Stesso argomento: Firewall / Segmentazione di rete, Zero Trust
A.8.24	Use of cryptography	Crosswalk	3.5.1 3.6.1 4.2.1+3	Stesso argomento: Crittografia
A.8.25	Secure development life cycle	Crosswalk	6.2.2 6.2.3 6.2.1	Stesso argomento: Sviluppo sicuro
A.8.26	Application security requirements	Crosswalk	6.2.2 6.2.3 6.2.1+3	Stesso argomento: Sviluppo sicuro, Sicurezza delle API
A.8.28	Secure coding	Crosswalk	6.2.2 6.2.3 6.2.1	Stesso argomento: Sviluppo sicuro
A.8.29	Security testing in development and acceptance	Crosswalk	6.2.2 6.2.3 6.2.1	Stesso argomento: Sviluppo sicuro
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	Crosswalk	12.5.2	Stesso argomento: Contesto aziendale
Clause 4.2	Understanding the needs and expectations of interested parties	Crosswalk	12.5.2	Stesso argomento: Contesto aziendale
Clause 5.2	Policy	Crosswalk	12.1.1 12.1.2	Stesso argomento: Politica di governance
Clause 6.1.1	General	Crosswalk	12.3.1	Stesso argomento: Gestione del rischio
Clause 6.1.2	Information security risk assessment	Crosswalk	12.3.1	Stesso argomento: Risk Assessment
Clause 6.1.3	Information security risk treatment	Crosswalk	12.3.1	Stesso argomento: Gestione del rischio, Risk Assessment
Clause 7.3	Awareness	Crosswalk	12.6.1 12.6.3	Stesso argomento: Consapevolezza e formazione
Clause 9.1	Monitoring, measurement, analysis and evaluation	Crosswalk	12.4.2	Stesso argomento: Conformità
Clause 10.1	Continual improvement	Redazione	12.10.6	Stesso argomento: Lezioni apprese (selezione della redazione)

Per tema

Coperti da entrambi (46):

Politica di governance Consapevolezza e formazione Gestione del rischio Gestione del rischio della supply chain Ruoli e responsabilità Conformità Gestione degli asset Risk Assessment Contesto aziendale Classificazione dei dati Gestione delle vulnerabilità Threat Intelligence Controllo degli accessi Autenticazione a più fattori Crittografia Protezione dei dati Backup e ripristino Accesso privilegiato Firewall / Segmentazione di rete Protezione degli endpoint Gestione delle patch Configurazione sicura Sviluppo sicuro Sicurezza della posta elettronica Sicurezza web Zero Trust Sicurezza del cloud WAF DLP Monitoraggio continuo Logging e audit Intrusion Detection Rilevamento delle anomalie SIEM / SOC Gestione degli incidenti Analisi forense Mitigazione Segnalazione Pianificazione del ripristino Continuità operativa Lezioni apprese Disaster Recovery Sicurezza delle API Minaccia interna Gestione del rischio dei fornitori Sicurezza fisica

Solo ISO 27001 (4):

Sicurezza mobile Sicurezza DNS Comunicazione Comunicazioni e ripristino

Domande

ISO 27001 sostituisce PCI DSS?

No. I circuiti di pagamento richiedono la validazione PCI DSS indipendentemente dalla certificazione ISO. ISO aiuta a gestire il programma da cui dipende la conformità PCI.

PCI DSS è una legge?

No. È uno standard applicato tramite contratti con i circuiti di pagamento e gli acquirer. Alcune giurisdizioni lo richiamano nella normativa, ma la sua autorità deriva dagli accordi delle reti di pagamento.

Un unico controllo può soddisfare sia ISO 27001 sia PCI DSS?

Spesso sì, se è implementato secondo i requisiti più specifici di PCI DSS. ISO 27001 accetta qualsiasi implementazione ben giustificata, quindi progettare secondo le frequenze e le impostazioni PCI di solito soddisfa entrambi.

Quale è più difficile, ISO 27001 o PCI DSS?

PCI DSS è più prescrittivo e tecnico entro il proprio perimetro; ISO 27001 è più ampia e richiede un sistema di gestione. Con un cardholder data environment ridotto, PCI DSS può essere la più leggera delle due.

Che cos'è il livello di commerciante PCI DSS?

I circuiti di pagamento classificano commercianti e fornitori di servizi in base al volume annuo di transazioni. Il livello determina come viene validata la conformità: un QSA Report on Compliance per i più grandi, un Self-Assessment Questionnaire per la maggior parte degli altri.

ISO 27001 aiuta nelle valutazioni PCI DSS?

Sì, soprattutto per policy, valutazione del rischio, ruoli, gestione dei fornitori e risposta agli incidenti. Non sostituisce le evidenze specifiche PCI.

PCI DSS v4.0.1 richiede una valutazione del rischio come ISO 27001?

Non una valutazione estesa a tutta l'organizzazione nella stessa forma. PCI DSS v4.0 ha introdotto analisi del rischio mirate per i requisiti la cui frequenza può essere definita dall'organizzazione, e prevede una revisione annuale della crittografia e delle tecnologie, ma la valutazione del rischio di ISO 27001 è più ampia.

ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.

Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · Correlazione debole condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.