Confronto
SOC 2 vs PCI DSS: fiducia dei clienti vs conformità ai circuiti di carte di pagamento
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · dati al 2026-10-27
SOC 2 e PCI DSS sono spesso richiesti alla stessa azienda, tipicamente un'impresa SaaS o fintech che vende a grandi clienti aziendali e che tocca anche i pagamenti con carta. SOC 2 è un'attestazione basata sui Trust Services Criteria, di ampio respiro. PCI DSS v4.0.1 è uno standard prescrittivo e contrattuale, limitato all'ambiente dei dati del titolare della carta (CDE).
I fondamentali di sicurezza si sovrappongono: gestione degli accessi, logging e monitoraggio, gestione delle modifiche, gestione delle vulnerabilità, risposta agli incidenti e gestione dei fornitori. I controlli costruiti per SOC 2 di solito soddisfano lo scopo di PCI, ma non sempre la sua formulazione letterale.
Passando da SOC 2 a PCI DSS, il lavoro aggiuntivo riguarda la specificità di PCI: controlli di sicurezza di rete definiti attorno al CDE, regole per la conservazione e la visualizzazione dei PAN, gestione delle chiavi crittografiche, MFA per tutti gli accessi al CDE, frequenze di scansione e test e integrità degli script sulle pagine di pagamento. Molti requisiti PCI sono solo in correlazione debole anziché mappati, perché SOC 2 non prescrive il meccanismo.
Passando da PCI DSS a SOC 2, la maggior parte dei criteri di sicurezza è coperta. Le lacune riguardano le categorie opzionali di SOC 2 Processing Integrity e Privacy, se le si includono. Il lato SOC 2 di questo confronto è la mappatura editoriale di ControlMapping (Redazione), poiché non esiste un crosswalk SOC 2 pubblico e leggibile dalle macchine.
Punti chiave
- Utilizzare un fornitore di pagamenti conforme a PCI e tenere i dati delle carte fuori dai propri sistemi può trasformare PCI in un breve questionario anziché in un programma.
- Riutilizzare le evidenze SOC 2 per PCI dove il requisito lo consente, ma verificare le frequenze e le specificità tecniche di PCI.
- Il proprio report SOC 2 può descrivere i controlli rilevanti per PCI, ma non sostituisce un Report on Compliance PCI né un SAQ.
Dei 260 requisiti di PCI DSS v4.0.1, 75 corrispondono a qualcosa in SOC 2, 72 sono solo debolmente correlati e 113 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di PCI DSS senza mappature verso SOC 2 (113)
| PCI DSS | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.2.5 | Allowed services, protocols and ports approved | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.2.6 | Security features defined for insecure services | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.2.7 | Network security control rules reviewed every six months | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.2.8 | Network security control configuration files secured | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.3.2 | Outbound traffic from the CDE restricted | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.3.3 | Network controls between wireless networks and the CDE | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.4.3 | Anti-spoofing measures in place | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 2.2.4 | Only necessary services and functions enabled | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 2.2.5 | Insecure services justified and secured | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 2.2.6 | System security parameters set to prevent misuse | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 2.2.7 | Non-console administrative access encrypted | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 2.3.2 | Wireless keys changed when key holders leave | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.3.1.2 | Card verification code not kept after authorisation | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.2 | Key management: secure key distribution | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.3 | Key management: secure key storage | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.6 | Key management: split knowledge and dual control | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 3.7.9 | Service providers give customers key-handling guidance | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 4.2.2 | PAN secured when sent by end-user messaging | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 5.3.3 | Removable media scanned or analysed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 5.3.5 | Users cannot disable or alter anti-malware | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 6.5.3 | Pre-production environments separated from production | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 6.5.4 | Duties separated between production and pre-production | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 6.5.5 | Live PANs not used in pre-production | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 6.5.6 | Test data and accounts removed before go-live | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 7.2.5 | System and application accounts least privilege | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 7.2.6 | Access to cardholder data repositories restricted | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 7.3.1 | Access control system restricts access by need | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 7.3.2 | Access control system enforces assigned permissions | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 7.3.3 | Access control system set to deny by default | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.2.4 | User ID changes authorised and controlled | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.2.5 | Access revoked immediately on termination | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.3.3 | Identity verified before changing authentication factors | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.3.4 | Account lockout after repeated failed attempts | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.3.5 | First-use and reset passwords unique and changed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 8.6.1 | Interactive use of system accounts managed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.3.3 | Visitor badges returned or deactivated | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.3.4 | Visitor log maintained and retained | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.4.1 | Media with cardholder data physically secured | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.4.3 | Media sent off site tracked and secured | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.4.4 | Management approves media moved off site | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.4.5 | Inventory logs of electronic media kept | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.4.5.1 | Electronic media inventories at least annually | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 9.5.1.3 | Staff trained to spot POI tampering | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.2 | Logs capture administrative actions | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.3 | Logs capture access to audit logs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.4 | Logs capture invalid access attempts | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.5 | Logs capture credential and privilege changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.2.1.7 | Logs capture system-level object changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.4.2 | Other logs reviewed periodically | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.4.3 | Exceptions and anomalies addressed | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.6.2 | Time configuration correct and consistent | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.7.1 | Service providers detect security control failures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 10.7.3 | Security control failures responded to promptly | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.3.1.2 | Internal scans use authenticated scanning | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.3.1.3 | Internal scans after significant changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.3.2.1 | External scans after significant changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.1 | Penetration testing methodology defined | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.2 | Internal penetration test at least annually | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.3 | External penetration test at least annually | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.5 | Segmentation controls tested at least annually | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.6 | Service providers test segmentation every six months | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.5.1.1 | Service providers detect covert malware communication | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 11.5.2 | Change-detection on critical files | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.4.2.1 | Service providers: quarterly review results documented | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.5.2.1 | Service providers confirm scope every six months | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.6.2 | Awareness programme reviewed annually | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.6.3.1 | Training covers phishing and social engineering | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.6.3.2 | Training covers acceptable use of technology | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.7.1 | Personnel screened before hire | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| 12.10.5 | Plan covers alerts from security monitoring | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
| A2.1.3 | Service providers offer a secure connection option | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso SOC 2 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (72)
| PCI DSS | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: correlato, non una mappatura | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | Condivide solo le sottocategorie CSF PR.AA-03, PR.DS-02: correlato, non una mappatura | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | Condivide solo le sottocategorie CSF PR.AA-03, PR.DS-01: correlato, non una mappatura | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01: correlato, non una mappatura | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01: correlato, non una mappatura | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01: correlato, non una mappatura | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | Condivide solo le sottocategorie CSF PR.AA-01, PR.DS-01: correlato, non una mappatura | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | Condivide solo le sottocategorie CSF ID.AM-08: correlato, non una mappatura | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | Condivide solo le sottocategorie CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: correlato, non una mappatura | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | Condivide solo le sottocategorie CSF GV.PO-02, PR.AA-05: correlato, non una mappatura | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | Condivide solo le sottocategorie CSF GV.PO-02, PR.AA-05: correlato, non una mappatura | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | Condivide solo le sottocategorie CSF DE.CM-03: correlato, non una mappatura | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | Condivide solo le sottocategorie CSF PR.AA-05: correlato, non una mappatura | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | Condivide solo le sottocategorie CSF PR.DS-10, PR.AA-03: correlato, non una mappatura | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03: correlato, non una mappatura | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | Condivide solo le sottocategorie CSF PR.AA-01: correlato, non una mappatura | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | Condivide solo le sottocategorie CSF GV.PO-02, PR.IR-02: correlato, non una mappatura | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | Condivide solo le sottocategorie CSF PR.AA-03, PR.AA-06: correlato, non una mappatura | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | Condivide solo le sottocategorie CSF PR.DS-11, RC.RP-03, DE.CM-02: correlato, non una mappatura | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | Condivide solo le sottocategorie CSF PR.DS-01, GV.OC-03: correlato, non una mappatura | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | Condivide solo le sottocategorie CSF PR.DS-11, PR.DS-01, GV.OC-03: correlato, non una mappatura | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | Condivide solo le sottocategorie CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: correlato, non una mappatura | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | Condivide solo le sottocategorie CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: correlato, non una mappatura | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | Condivide solo le sottocategorie CSF RS.AN-03, RS.AN-07: correlato, non una mappatura | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | Condivide solo le sottocategorie CSF PR.PS-04, DE.AE-06, RS.AN-06: correlato, non una mappatura | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | Condivide solo le sottocategorie CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: correlato, non una mappatura | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | Condivide solo le sottocategorie CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: correlato, non una mappatura | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: correlato, non una mappatura | |
| 10.6.3 | Time settings protected from change | CC7.2 | Condivide solo le sottocategorie CSF PR.PS-04: correlato, non una mappatura | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | Condivide solo le sottocategorie CSF GV.RR-02: correlato, non una mappatura | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | Condivide solo le sottocategorie CSF DE.CM-01, PR.IR-01: correlato, non una mappatura | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | Condivide solo le sottocategorie CSF RC.RP-05: correlato, non una mappatura | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: correlato, non una mappatura | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | Condivide solo le sottocategorie CSF GV.RM-06: correlato, non una mappatura | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | Condivide solo le sottocategorie CSF GV.RM-03: correlato, non una mappatura | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: correlato, non una mappatura | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | Condivide solo le sottocategorie CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: correlato, non una mappatura | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Condivide solo le sottocategorie CSF GV.RM-03, GV.RM-06: correlato, non una mappatura | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | Condivide solo le sottocategorie CSF ID.AM-07: correlato, non una mappatura | |
Mappato (75)
| PCI DSS | Requisito | Corrispondenza | SOC 2 | Evidenze |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Redazione | CC6.6 | Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione) |
| 1.2.3 | Accurate network diagram maintained | Redazione | CC6.6 | Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione) |
| 1.3.1 | Inbound traffic to the CDE restricted | Redazione | CC6.6 | Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione) |
| 1.4.1 | Network controls between trusted and untrusted networks | Redazione | CC6.6 | Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Redazione | CC5.2CC7.1 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| 2.2.2 | Vendor default accounts managed or removed | Redazione | CC5.2CC7.1 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Redazione | C1.2CC6.5 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Redazione | C1.2CC6.5 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| 3.4.1 | PAN masked when displayed | Redazione | C1.2CC6.5 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| 3.4.2 | PAN copying prevented over remote-access technologies | Redazione | CC6.7 | Stesso argomento: DLP (selezione della redazione) |
| 3.5.1 | PAN rendered unreadable wherever stored | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| 3.6.1 | Procedures protect keys that secure stored account data | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| 3.7.1 | Key management: strong key generation | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Redazione | CC6.1CC6.7 | Stesso argomento: Crittografia (selezione della redazione) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Redazione | CC6.8 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Redazione | CC6.8 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Redazione | CC6.8 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| 5.4.1 | Mechanisms to detect and protect against phishing | Redazione | CC6.8 | Stesso argomento: Sicurezza della posta elettronica (selezione della redazione) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Redazione | CC8.1 | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| 6.2.2 | Developers trained in secure software development | Redazione | CC8.1 | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| 6.2.3 | Custom code reviewed before release | Redazione | CC8.1 | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Redazione | CC7.1 | Stesso argomento: Gestione delle vulnerabilità, Gestione delle patch (selezione della redazione) |
| 6.3.2 | Inventory of custom software and its components | Redazione | CC6.1CC9.2 | Stesso argomento: Gestione degli asset, Gestione del rischio della supply chain (selezione della redazione) |
| 6.3.3 | Security patches installed promptly | Redazione | CC7.1 | Stesso argomento: Gestione delle patch (selezione della redazione) |
| 6.4.1 | Public web applications protected against attacks | Redazione | CC6.6 | Stesso argomento: Sicurezza web (selezione della redazione) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Redazione | CC6.6 | Stesso argomento: WAF (selezione della redazione) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Redazione | CC6.6 | Stesso argomento: Sicurezza web (selezione della redazione) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Redazione | CC6.1CC6.2CC6.3+1 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| 7.2.2 | Access assigned by job function and least privilege | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi, Accesso privilegiato (selezione della redazione) |
| 7.2.4 | User accounts and privileges reviewed every six months | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Redazione | CC6.1CC6.2CC6.3 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| 8.3.1 | User and admin access requires an authentication factor | Redazione | CC6.6 | Stesso argomento: Zero Trust (selezione della redazione) |
| 8.4.1 | MFA for non-console administrative access to the CDE | Redazione | CC6.1 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| 8.4.2 | MFA for all access into the CDE | Redazione | CC6.1 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| 8.4.3 | MFA for remote network access | Redazione | CC6.1 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| 8.5.1 | MFA systems configured to resist misuse | Redazione | CC6.1 | Stesso argomento: Autenticazione a più fattori (selezione della redazione) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.2.3 | Physical access to network hardware restricted | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.3.1 | Personnel physical access authorised and managed | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Redazione | CC6.4 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| 9.4.1.1 | Offline backup media stored securely | Redazione | A1.2 | Stesso argomento: Backup e ripristino (selezione della redazione) |
| 9.4.2 | Media classified by data sensitivity | Redazione | C1.1 | Stesso argomento: Classificazione dei dati (selezione della redazione) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Redazione | CC7.2 | Stesso argomento: Logging e audit (selezione della redazione) |
| 10.3.2 | Logs protected from modification | Redazione | CC7.2CC7.4 | Stesso argomento: Logging e audit, Analisi forense (selezione della redazione) |
| 10.4.1 | Security event and critical logs reviewed daily | Redazione | CC7.2CC7.3 | Stesso argomento: Monitoraggio continuo, SIEM / SOC (selezione della redazione) |
| 10.4.1.1 | Automated mechanisms for log review | Redazione | CC7.2 | Stesso argomento: Rilevamento delle anomalie (selezione della redazione) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Redazione | CC7.2 | Stesso argomento: Logging e audit (selezione della redazione) |
| 10.6.1 | System clocks synchronised | Redazione | CC7.2 | Stesso argomento: Logging e audit (selezione della redazione) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Redazione | CC7.1 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| 11.3.2 | External ASV scans every three months | Redazione | CC7.1 | Stesso argomento: Gestione delle vulnerabilità (selezione della redazione) |
| 11.5.1 | Intrusion detection or prevention on network traffic | Redazione | CC7.2 | Stesso argomento: Intrusion Detection (selezione della redazione) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | Redazione | CC1.1CC5.3 | Stesso argomento: Politica di governance (selezione della redazione) |
| 12.1.2 | Security policy reviewed at least annually | Redazione | CC1.1CC5.3 | Stesso argomento: Politica di governance (selezione della redazione) |
| 12.1.3 | Security roles and responsibilities defined | Redazione | CC1.2CC1.3CC1.5 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| 12.1.4 | Executive responsibility for information security assigned | Redazione | CC1.2CC1.3CC1.5 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Redazione | CC3.1CC3.2CC3.3+3 | Stesso argomento: Gestione del rischio, Risk Assessment (selezione della redazione) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Redazione | CC4.1CC4.2 | Stesso argomento: Conformità (selezione della redazione) |
| 12.5.1 | Inventory of in-scope system components | Redazione | CC6.1 | Stesso argomento: Gestione degli asset (selezione della redazione) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Redazione | CC3.1 | Stesso argomento: Contesto aziendale (selezione della redazione) |
| 12.6.1 | Formal security awareness programme | Redazione | CC1.4CC2.2 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| 12.6.3 | Awareness training on hire and at least annually | Redazione | CC1.4CC2.2 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| 12.8.1 | List of third-party service providers kept | Redazione | CC9.2 | Stesso argomento: Gestione del rischio della supply chain, Sicurezza del cloud, Gestione del rischio dei fornitori (selezione della redazione) |
| 12.8.2 | Written agreements with service providers | Redazione | CC9.2 | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| 12.8.3 | Due diligence before engaging service providers | Redazione | CC9.2 | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| 12.8.4 | Service provider compliance monitored annually | Redazione | CC9.2 | Stesso argomento: Gestione del rischio dei fornitori (selezione della redazione) |
| 12.8.5 | Responsibilities split with each provider documented | Redazione | CC9.2 | Stesso argomento: Sicurezza del cloud, Gestione del rischio dei fornitori (selezione della redazione) |
| 12.10.1 | Incident response plan ready to activate | Redazione | A1.1A1.2A1.3+5 | Stesso argomento: Continuità operativa, Disaster Recovery, Pianificazione del ripristino (selezione della redazione) |
| 12.10.2 | Incident response plan reviewed and tested annually | Redazione | CC7.3CC7.4 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| 12.10.3 | Incident response staff available around the clock | Redazione | CC7.3CC7.4 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| 12.10.4 | Incident response staff trained | Redazione | CC7.3CC7.4 | Stesso argomento: Gestione degli incidenti (selezione della redazione) |
| 12.10.6 | Plan updated from lessons learned and industry changes | Redazione | CC7.5 | Stesso argomento: Lezioni apprese (selezione della redazione) |
Dei 61 requisiti di SOC 2 (Trust Services Criteria), 37 corrispondono a qualcosa in PCI DSS, 0 sono solo debolmente correlati e 24 non hanno mappature nei nostri dati.
Le mappature SOC 2 di AICPA non sono rilasciate con licenza aperta, quindi ogni collegamento SOC 2 presente qui è una scelta editoriale di ControlMapping: i criteri che non abbiamo mappato non possono corrispondere. I criteri di integrità del trattamento (PI) e la maggior parte dei criteri di privacy (P) non hanno un equivalente nei framework di sicurezza.
Probabile lavoro aggiuntivo: requisiti di SOC 2 senza mappature verso PCI DSS (24)
| SOC 2 | Requisito | Corrispondenza | PCI DSS | Evidenze |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P2.1 | Choice and consent | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P3.1 | Collection limited to privacy objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P3.2 | Explicit consent where required | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P4.1 | Use limited to privacy objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P4.2 | Retention of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P4.3 | Disposal of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P5.1 | Data subject access | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P5.2 | Correction of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.1 | Disclosure to third parties with consent | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.2 | Record of authorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.3 | Record of unauthorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.4 | Privacy commitments from third parties | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.5 | Notification by third parties of unauthorized disclosures | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.6 | Breach notification to affected individuals | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P6.7 | Accounting of disclosures to data subjects | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P7.1 | Quality of personal information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| PI1.2 | Controls over system inputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| PI1.3 | Controls over system processing | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| PI1.4 | Controls over system outputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
| PI1.5 | Storing inputs, items in processing and outputs | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso PCI DSS nei nostri dati. |
Mappato (37)
| SOC 2 | Requisito | Corrispondenza | PCI DSS | Evidenze |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Redazione | 12.10.1 | Stesso argomento: Continuità operativa (selezione della redazione) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Redazione | 9.4.1.112.10.1 | Stesso argomento: Backup e ripristino, Continuità operativa, Disaster Recovery (selezione della redazione) |
| A1.3 | Testing recovery plan procedures | Redazione | 12.10.1 | Stesso argomento: Pianificazione del ripristino, Disaster Recovery (selezione della redazione) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Redazione | 9.4.2 | Stesso argomento: Classificazione dei dati (selezione della redazione) |
| C1.2 | Disposing of confidential information | Redazione | 3.2.13.3.13.4.1 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Redazione | 12.1.112.1.2 | Stesso argomento: Politica di governance (selezione della redazione) |
| CC1.2 | Board independence and oversight of internal control | Redazione | 12.1.312.1.4 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Redazione | 12.1.312.1.4 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Redazione | 12.6.112.6.3 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| CC1.5 | Accountability for internal control responsibilities | Redazione | 12.1.312.1.4 | Stesso argomento: Ruoli e responsabilità (selezione della redazione) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Redazione | 12.6.112.6.3 | Stesso argomento: Consapevolezza e formazione (selezione della redazione) |
| CC2.3 | Communication with external parties | Redazione | 12.10.1 | Stesso argomento: Segnalazione (selezione della redazione) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Redazione | 12.3.112.5.2 | Stesso argomento: Gestione del rischio, Contesto aziendale (selezione della redazione) |
| CC3.2 | Risk identification and analysis | Redazione | 12.3.1 | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC3.3 | Considering the potential for fraud | Redazione | 12.3.1 | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC3.4 | Identifying and assessing significant changes | Redazione | 12.3.1 | Stesso argomento: Risk Assessment (selezione della redazione) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Redazione | 12.4.2 | Stesso argomento: Conformità (selezione della redazione) |
| CC4.2 | Communicating and remediating control deficiencies | Redazione | 12.4.2 | Stesso argomento: Conformità (selezione della redazione) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Redazione | 12.3.1 | Stesso argomento: Gestione del rischio (selezione della redazione) |
| CC5.2 | General controls over technology | Redazione | 2.2.12.2.2 | Stesso argomento: Configurazione sicura (selezione della redazione) |
| CC5.3 | Control activities deployed through policies and procedures | Redazione | 12.1.112.1.2 | Stesso argomento: Politica di governance (selezione della redazione) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Redazione | 3.5.13.6.13.7.1+13 | Stesso argomento: Crittografia (selezione della redazione) |
| CC6.2 | User registration, authorization and removal | Redazione | 7.2.17.2.27.2.4+1 | Stesso argomento: Controllo degli accessi (selezione della redazione) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Redazione | 7.2.17.2.27.2.4+1 | Stesso argomento: Controllo degli accessi, Accesso privilegiato (selezione della redazione) |
| CC6.4 | Physical access restrictions | Redazione | 9.2.19.2.1.19.2.3+3 | Stesso argomento: Sicurezza fisica (selezione della redazione) |
| CC6.5 | Protection of data when assets are disposed of | Redazione | 3.2.13.3.13.4.1 | Stesso argomento: Protezione dei dati (selezione della redazione) |
| CC6.6 | Protection against threats from outside system boundaries | Redazione | 1.2.11.2.31.3.1+6 | Stesso argomento: Firewall / Segmentazione di rete (selezione della redazione) |
| CC6.7 | Restricting transmission, movement and removal of information | Redazione | 3.4.23.5.13.6.1+4 | Stesso argomento: DLP, Crittografia (selezione della redazione) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Redazione | 5.2.15.2.25.3.2+1 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Redazione | 2.2.12.2.26.3.1+3 | Stesso argomento: Configurazione sicura, Gestione delle vulnerabilità, Gestione delle patch (selezione della redazione) |
| CC7.2 | Monitoring system components for anomalies | Redazione | 10.2.110.3.210.4.1+4 | Stesso argomento: Logging e audit, Monitoraggio continuo (selezione della redazione) |
| CC7.3 | Evaluating security events to determine if they are incidents | Redazione | 10.4.112.10.112.10.2+2 | Stesso argomento: SIEM / SOC, Gestione degli incidenti (selezione della redazione) |
| CC7.4 | Responding to identified security incidents | Redazione | 10.3.212.10.112.10.2+2 | Stesso argomento: Analisi forense, Gestione degli incidenti, Mitigazione (selezione della redazione) |
| CC7.5 | Recovering from identified security incidents | Redazione | 12.10.112.10.6 | Stesso argomento: Pianificazione del ripristino, Lezioni apprese (selezione della redazione) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Redazione | 6.2.16.2.26.2.3 | Stesso argomento: Sviluppo sicuro (selezione della redazione) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Redazione | 12.3.112.10.1 | Stesso argomento: Gestione del rischio, Continuità operativa (selezione della redazione) |
| CC9.2 | Managing vendor and business partner risk | Redazione | 6.3.212.8.112.8.2+3 | Stesso argomento: Gestione del rischio della supply chain, Sicurezza del cloud, Gestione del rischio dei fornitori (selezione della redazione) |
Per tema
Coperti da entrambi (43):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentContesto aziendaleClassificazione dei datiGestione delle vulnerabilitàControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza del cloudWAFDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaLezioni appreseDisaster RecoveryGestione del rischio dei fornitoriSicurezza fisica
Solo SOC 2 (3):
Solo PCI DSS (3):
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.