Confronto
SOC 2 vs HIPAA: report di assurance vs obbligo di legge
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · dati al 2026-10-27
Le aziende di healthcare technology spesso hanno bisogno di entrambi: HIPAA, perché trattano informazioni sanitarie protette, di norma in qualità di business associate, e SOC 2, perché i loro clienti chiedono un'assurance indipendente. Si tratta di strumenti diversi. HIPAA è una legge, fatta rispettare dall'Office for Civil Rights. SOC 2 è un'attestazione CPA volontaria. Alcuni auditor offrono un report SOC 2 con i criteri HIPAA aggiunti.
Le misure tecniche di salvaguardia si sovrappongono in larga parte: controllo degli accessi, audit logging, integrità, autenticazione, sicurezza della trasmissione, pianificazione di emergenza e consapevolezza in materia di sicurezza compaiono tutti in entrambi. Passando da SOC 2 a HIPAA, la maggior parte dei requisiti della Security Rule risulta mappata o correlata debolmente.
I requisiti HIPAA rimasti scoperti sono specifici: il riutilizzo dei supporti e il contenuto dei contratti con i business associate.
Passando da HIPAA a SOC 2, risulta non mappato un numero maggiore di elementi. SOC 2 prevede un criterio formale di gestione dei cambiamenti che la Security Rule non specifica, e le sue categorie facoltative Privacy e Processing Integrity vanno oltre la Security Rule. Il lato SOC 2 qui riportato deriva dalla mappatura editoriale di ControlMapping.
Punti chiave
- Un report SOC 2 non rende un'organizzazione conforme a HIPAA, ma i suoi controlli possono coprire gran parte delle salvaguardie HIPAA.
- Mantieni la valutazione del rischio HIPAA e i business associate agreement come artefatti separati ed espliciti.
- Valuta un SOC 2 con i criteri HIPAA se i clienti del settore sanitario continuano a chiederli entrambi.
Dei 69 requisiti di HIPAA Security Rule, 36 corrispondono a qualcosa in SOC 2, 31 sono solo debolmente correlati e 2 non hanno mappature nei nostri dati.
Copre solo la HIPAA Security Rule (non le Privacy Rule o le Breach Notification Rule).
Probabile lavoro aggiuntivo: requisiti di HIPAA senza mappature verso SOC 2 (2)
| HIPAA | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (31)
| HIPAA | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, GV.OC-03: correlato, non una mappatura | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | Condivide solo le sottocategorie CSF DE.CM-03: correlato, non una mappatura | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | Condivide solo le sottocategorie CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: correlato, non una mappatura | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | Condivide solo le sottocategorie CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: correlato, non una mappatura | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: correlato, non una mappatura | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, GV.OC-03: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | Condivide solo le sottocategorie CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: correlato, non una mappatura | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: correlato, non una mappatura | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | Condivide solo le sottocategorie CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: correlato, non una mappatura | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | Condivide solo le sottocategorie CSF PR.AT-01, PR.AT-02: correlato, non una mappatura | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | Condivide solo le sottocategorie CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: correlato, non una mappatura | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | Condivide solo le sottocategorie CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: correlato, non una mappatura | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | Condivide solo le sottocategorie CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: correlato, non una mappatura | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, GV.OC-03: correlato, non una mappatura | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | Condivide solo le sottocategorie CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: correlato, non una mappatura | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | Condivide solo le sottocategorie CSF PR.DS-02: correlato, non una mappatura | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | Condivide solo le sottocategorie CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: correlato, non una mappatura | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | Condivide solo le sottocategorie CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: correlato, non una mappatura | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | Condivide solo le sottocategorie CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: correlato, non una mappatura | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | Condivide solo le sottocategorie CSF ID.AM-08, ID.AM-03: correlato, non una mappatura | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Condivide solo le sottocategorie CSF ID.AM-08, ID.AM-03: correlato, non una mappatura | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Condivide solo le sottocategorie CSF ID.AM-08, ID.AM-03: correlato, non una mappatura | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | Condivide solo le sottocategorie CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: correlato, non una mappatura | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | Condivide solo le sottocategorie CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: correlato, non una mappatura | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | Condivide solo le sottocategorie CSF ID.AM-08, ID.AM-03, ID.RA-01: correlato, non una mappatura | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | Condivide solo le sottocategorie CSF ID.AM-07, ID.AM-08: correlato, non una mappatura | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | Condivide solo le sottocategorie CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: correlato, non una mappatura | |
Mappato (36)
| HIPAA | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Redazione | CC3.2CC3.3CC3.4+1 | Stesso argomento: Risk Assessment (selezione della redazione) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Redazione | CC3.1CC5.1CC7.1+1 | Stesso argomento: Gestione del rischio, Gestione delle vulnerabilità (selezione della redazione) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Redazione | CC7.2CC7.3 | Stesso argomento: Monitoraggio continuo, SIEM / SOC (selezione della redazione) |
| §164.308(a)(2) | Assigned Security Responsibility | Redazione | CC1.2CC1.3CC1.5 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| §164.308(a)(4) | Information Access Management | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| §164.308(a)(5) | Security Awareness and Training | Redazione | CC1.4CC2.2 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Redazione | CC1.4CC2.2 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Redazione | CC6.8 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| §164.308(a)(6) | Security Incident Procedures | Redazione | CC7.3CC7.4 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| §164.308(a)(6)(ii) | Required Response and Reporting | Redazione | CC2.3CC7.3CC7.4 | Stesso argomento: Segnalazione, Gestione degli incidenti, Mitigazione (selezione della redazione) |
| §164.308(a)(7) | Contingency Plan | Redazione | A1.3CC7.5 | Stesso argomento: Pianificazione del ripristino (selezione della redazione) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Redazione | A1.2 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Redazione | A1.2A1.3CC7.5 | Stesso argomento: Disaster Recovery, Pianificazione del ripristino (selezione della redazione) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Redazione | A1.1A1.2CC9.1 | Stesso argomento: Continuità operativa (selezione della redazione) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Redazione | A1.2A1.3 | Stesso argomento: Disaster Recovery (selezione della redazione) |
| §164.308(a)(8) | Evaluation | Redazione | CC4.1CC4.2CC7.1 | Stesso argomento: Conformità, Gestione delle vulnerabilità (selezione della redazione) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Redazione | CC9.2 | Stesso argomento: Sicurezza del cloud, Gestione del rischio dei fornitori (selezione della redazione) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(b) | Workstation Use | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(c) | Workstation Security | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| §164.310(d) | Device and Media Controls | Redazione | CC6.1CC6.7 | Stesso argomento: Gestione degli asset, Sicurezza mobile (selezione della redazione) |
| §164.310(d)(2)(i) | Required Disposal | Redazione | C1.2CC6.5 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| §164.310(d)(2)(iii) | Addressable Accountability | Redazione | CC6.1 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Redazione | A1.2 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| §164.312(a)(2)(i) | Required Unique User Identification | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| §164.312(b) | Audit Controls | Redazione | CC7.2 | Stesso argomento: Logging e audit (selezione della redazione) |
| §164.312(c) | Integrity | Redazione | C1.2CC6.5 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| §164.312(d) | Person or Entity Authentication | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| §164.312(e)(2)(ii) | Addressable Encryption | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Redazione | CC9.2 | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Redazione | CC1.1CC5.3 | Stesso argomento: Politica di governance (selezione della redazione) |
| §164.316(b)(2)(iii) | Required Updates | Redazione | CC1.1CC5.3 | Stesso argomento: Politica di governance (selezione della redazione) |
Dei 61 requisiti di SOC 2 (Trust Services Criteria), 33 corrispondono a qualcosa in HIPAA, 3 sono solo debolmente correlati e 25 non hanno mappature nei nostri dati.
Le mappature SOC 2 di AICPA non sono rilasciate con licenza aperta, quindi ogni collegamento SOC 2 presente qui è una scelta editoriale di ControlMapping: i criteri che non abbiamo mappato non possono corrispondere. I criteri di integrità del trattamento (PI) e la maggior parte dei criteri di privacy (P) non hanno un equivalente nei framework di sicurezza.
Probabile lavoro aggiuntivo: requisiti di SOC 2 senza mappature verso HIPAA (25)
| SOC 2 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P2.1 | Choice and consent | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P3.1 | Collection limited to privacy objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P3.2 | Explicit consent where required | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P4.1 | Use limited to privacy objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P4.2 | Retention of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P4.3 | Disposal of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P5.1 | Data subject access | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P5.2 | Correction of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.1 | Disclosure to third parties with consent | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.2 | Record of authorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.3 | Record of unauthorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.4 | Privacy commitments from third parties | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.5 | Notification by third parties of unauthorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.6 | Breach notification to affected individuals | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P6.7 | Accounting of disclosures to data subjects | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P7.1 | Quality of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| PI1.2 | Controls over system inputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| PI1.3 | Controls over system processing | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| PI1.4 | Controls over system outputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
| PI1.5 | Storing inputs, items in processing and outputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso HIPAA nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (3)
| SOC 2 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | Condivide solo le sottocategorie CSF ID.AM-05: correlato, non una mappatura | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Condivide solo le sottocategorie CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: correlato, non una mappatura | |
Mappato (33)
| SOC 2 | Requisito | Corrispondenza | HIPAA | Evidenze |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Redazione | §164.308(a)(7)(ii)(C) | Stesso argomento: Continuità operativa (selezione della redazione) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Redazione | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | Stesso argomento: Backup e ripristino, Disaster Recovery, Continuità operativa (selezione della redazione) |
| A1.3 | Testing recovery plan procedures | Redazione | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Stesso argomento: Pianificazione del ripristino, Disaster Recovery (selezione della redazione) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | Redazione | §164.310(d)(2)(i)§164.312(c) | Stesso argomento: Protezione dei dati (selezione della redazione) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Redazione | §164.316(a)§164.316(b)(2)(iii) | Stesso argomento: Politica di governance (selezione della redazione) |
| CC1.2 | Board independence and oversight of internal control | Redazione | §164.308(a)(2) | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Redazione | §164.308(a)(2) | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Redazione | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| CC1.5 | Accountability for internal control responsibilities | Redazione | §164.308(a)(2) | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Redazione | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| CC2.3 | Communication with external parties | Redazione | §164.308(a)(6)(ii) | Stesso argomento: Segnalazione (selezione della redazione) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Redazione | §164.308(a)(1)(ii)(B) | Stesso argomento: Gestione del rischio (selezione della redazione) |
| CC3.2 | Risk identification and analysis | Redazione | §164.308(a)(1)(ii)(A) | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC3.3 | Considering the potential for fraud | Redazione | §164.308(a)(1)(ii)(A) | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC3.4 | Identifying and assessing significant changes | Redazione | §164.308(a)(1)(ii)(A) | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Redazione | §164.308(a)(8) | Stesso argomento: Conformità (selezione della redazione) |
| CC4.2 | Communicating and remediating control deficiencies | Redazione | §164.308(a)(8) | Stesso argomento: Conformità (selezione della redazione) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | Redazione | §164.308(a)(1)(ii)(B) | Stesso argomento: Gestione del rischio (selezione della redazione) |
| CC5.3 | Control activities deployed through policies and procedures | Redazione | §164.316(a)§164.316(b)(2)(iii) | Stesso argomento: Politica di governance (selezione della redazione) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | Redazione | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | Stesso argomento: Controllo degli accessi, Gestione degli asset (selezione della redazione) |
| CC6.2 | User registration, authorization and removal | Redazione | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Redazione | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| CC6.4 | Physical access restrictions | Redazione | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| CC6.5 | Protection of data when assets are disposed of | Redazione | §164.310(d)(2)(i)§164.312(c) | Stesso argomento: Protezione dei dati (selezione della redazione) |
| CC6.7 | Restricting transmission, movement and removal of information | Redazione | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | Stesso argomento: Sicurezza mobile, Crittografia (selezione della redazione) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Redazione | §164.308(a)(5)(ii)(B) | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Redazione | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| CC7.2 | Monitoring system components for anomalies | Redazione | §164.308(a)(1)(ii)(D)§164.312(b) | Stesso argomento: Monitoraggio continuo, Logging e audit (selezione della redazione) |
| CC7.3 | Evaluating security events to determine if they are incidents | Redazione | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Stesso argomento: SIEM / SOC, Gestione degli incidenti (selezione della redazione) |
| CC7.4 | Responding to identified security incidents | Redazione | §164.308(a)(6)§164.308(a)(6)(ii) | Stesso argomento: Gestione degli incidenti, Mitigazione (selezione della redazione) |
| CC7.5 | Recovering from identified security incidents | Redazione | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Stesso argomento: Pianificazione del ripristino (selezione della redazione) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Redazione | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | Stesso argomento: Gestione del rischio, Continuità operativa (selezione della redazione) |
| CC9.2 | Managing vendor and business partner risk | Redazione | §164.308(b)(1)§164.314(a) | Stesso argomento: Sicurezza del cloud, Gestione del rischio dei fornitori (selezione della redazione) |
Per tema
Coperti da entrambi (26):
Politica di governanceConsapevolezza e formazioneGestione del rischioRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentGestione delle vulnerabilitàControllo degli accessiCrittografiaProtezione dei datiBackup e ripristinoProtezione degli endpointSicurezza mobileSicurezza del cloudMonitoraggio continuoLogging e auditSIEM / SOCGestione degli incidentiMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaDisaster RecoveryGestione del rischio dei fornitoriSicurezza fisica
Solo SOC 2 (20):
Gestione del rischio della supply chainContesto aziendaleClassificazione dei datiAutenticazione a più fattoriAccesso privilegiatoFirewall / Segmentazione di reteGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustWAFDLPIntrusion DetectionRilevamento delle anomalieAnalisi forenseComunicazioneLezioni appreseComunicazioni e ripristino
Solo HIPAA (1):
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.