Framework
SOC 2 (Trust Services Criteria)
Di cosa si tratta
Il framework dell'AICPA per la reportistica sui controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria: Sicurezza (sempre inclusa) più, facoltativamente, Disponibilità, Riservatezza, Integrità dell'elaborazione e Privacy.
Chi ne ha bisogno
Organizzazioni di servizi, in particolare aziende di software e cloud, i cui clienti necessitano di garanzie prima di affidare loro dei dati. Si tratta di un'aspettativa di mercato, prevalentemente proveniente da clienti statunitensi, e non di un requisito di legge.
Come viene valutato
Uno studio CPA abilitato esamina i controlli e rilascia un report: il Type I copre la progettazione a una data specifica, il Type II copre l'efficacia operativa su un periodo di solito compreso tra 3 e 12 mesi. Non esiste alcun certificato. Vedi come ottenere un report SOC 2.
Leggi la guida: Come ottenere un report SOC 2 →
61
Criteri
41
Mappato su un altro framework
92%
Argomenti coperti (46/50)
Le mappature SOC 2 di AICPA non sono rilasciate con licenza aperta, quindi ogni collegamento SOC 2 presente qui è una scelta editoriale di ControlMapping: i criteri che non abbiamo mappato non possono corrispondere. I criteri di integrità del trattamento (PI) e la maggior parte dei criteri di privacy (P) non hanno un equivalente nei framework di sicurezza.
Confronti
Requisiti
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
| ID | Requisito | Argomenti | Mappato in |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | Continuità operativa | 8 di 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | Backup e ripristino, Continuità operativa, Disaster Recovery | 11 di 13 |
| A1.3 | Testing recovery plan procedures | Pianificazione del ripristino, Disaster Recovery | 10 di 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | Classificazione dei dati | 9 di 13 |
| C1.2 | Disposing of confidential information | Protezione dei dati | 11 di 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | Politica di governance | 9 di 13 |
| CC1.2 | Board independence and oversight of internal control | Ruoli e responsabilità | 9 di 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Ruoli e responsabilità | 9 di 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Consapevolezza e formazione | 10 di 13 |
| CC1.5 | Accountability for internal control responsibilities | Ruoli e responsabilità | 9 di 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 di 13 |
| CC2.2 | Internal communication of objectives and responsibilities | Consapevolezza e formazione | 10 di 13 |
| CC2.3 | Communication with external parties | Comunicazione, Segnalazione, Comunicazioni e ripristino | 12 di 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | Gestione del rischio, Contesto aziendale | 10 di 13 |
| CC3.2 | Risk identification and analysis | Risk Assessment | 10 di 13 |
| CC3.3 | Considering the potential for fraud | Risk Assessment | 10 di 13 |
| CC3.4 | Identifying and assessing significant changes | Risk Assessment | 10 di 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | Conformità | 10 di 13 |
| CC4.2 | Communicating and remediating control deficiencies | Conformità | 10 di 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | Gestione del rischio | 10 di 13 |
| CC5.2 | General controls over technology | Configurazione sicura | 9 di 13 |
| CC5.3 | Control activities deployed through policies and procedures | Politica di governance | 9 di 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | Gestione degli asset, Controllo degli accessi, Autenticazione a più fattori, Crittografia | 13 di 13 |
| CC6.2 | User registration, authorization and removal | Controllo degli accessi | 11 di 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | Controllo degli accessi, Accesso privilegiato | 12 di 13 |
| CC6.4 | Physical access restrictions | Sicurezza fisica | 8 di 13 |
| CC6.5 | Protection of data when assets are disposed of | Protezione dei dati | 11 di 13 |
| CC6.6 | Protection against threats from outside system boundaries | Firewall / Segmentazione di rete, Sicurezza web, Zero Trust, WAF | 9 di 13 |
| CC6.7 | Restricting transmission, movement and removal of information | Crittografia, Sicurezza mobile, DLP | 11 di 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Protezione degli endpoint, Sicurezza della posta elettronica | 10 di 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Gestione delle vulnerabilità, Gestione delle patch, Configurazione sicura | 13 di 13 |
| CC7.2 | Monitoring system components for anomalies | Monitoraggio continuo, Logging e audit, Intrusion Detection, Rilevamento delle anomalie | 11 di 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, Gestione degli incidenti | 12 di 13 |
| CC7.4 | Responding to identified security incidents | Gestione degli incidenti, Analisi forense, Mitigazione | 12 di 13 |
| CC7.5 | Recovering from identified security incidents | Pianificazione del ripristino, Lezioni apprese, Comunicazioni e ripristino | 11 di 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | Sviluppo sicuro | 8 di 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | Gestione del rischio, Continuità operativa | 10 di 13 |
| CC9.2 | Managing vendor and business partner risk | Gestione del rischio della supply chain, Sicurezza del cloud, Gestione del rischio dei fornitori | 12 di 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | nessuno |
| P2.1 | Choice and consent | — | nessuno |
| P3.1 | Collection limited to privacy objectives | — | nessuno |
| P3.2 | Explicit consent where required | — | nessuno |
| P4.1 | Use limited to privacy objectives | — | nessuno |
| P4.2 | Retention of personal information | — | 1 di 13 |
| P4.3 | Disposal of personal information | — | 1 di 13 |
| P5.1 | Data subject access | — | nessuno |
| P5.2 | Correction of personal information | — | nessuno |
| P6.1 | Disclosure to third parties with consent | — | nessuno |
| P6.2 | Record of authorized disclosures | — | nessuno |
| P6.3 | Record of unauthorized disclosures | — | nessuno |
| P6.4 | Privacy commitments from third parties | — | nessuno |
| P6.5 | Notification by third parties of unauthorized disclosures | — | nessuno |
| P6.6 | Breach notification to affected individuals | — | 1 di 13 |
| P6.7 | Accounting of disclosures to data subjects | — | nessuno |
| P7.1 | Quality of personal information | — | nessuno |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | nessuno |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | nessuno |
| PI1.2 | Controls over system inputs | — | nessuno |
| PI1.3 | Controls over system processing | — | nessuno |
| PI1.4 | Controls over system outputs | — | nessuno |
| PI1.5 | Storing inputs, items in processing and outputs | — | nessuno |
Copertura dell'argomento
Argomenti con requisiti SOC 2 mappati (46):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentContesto aziendaleClassificazione dei datiGestione delle vulnerabilitàControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza mobileSicurezza del cloudWAFDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseComunicazioneMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaLezioni appreseComunicazioni e ripristinoDisaster RecoveryGestione del rischio dei fornitoriSicurezza fisica
Nessuna mappatura nei nostri dati Nessun requisito di SOC 2 (4):