比較
SOC 2とHIPAAの違い：保証報告書と法的義務
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · データ 2026-10-27
医療テクノロジー企業は、しばしば両方を必要とします。HIPAAは、保護対象の医療情報を取り扱うためであり、通常はビジネスアソシエイトとしての立場によります。一方、SOC 2は、顧客が独立した保証を求めるためです。両者は性質の異なる枠組みです。HIPAAは法律であり、公民権局（OCR）が執行します。SOC 2は任意のCPAによる評価（アテステーション）です。一部の監査人は、HIPAAの基準を追加したSOC 2報告書を提供しています。
技術的セーフガードは大きく重なります。アクセス制御、監査ログ、完全性、認証、伝送時のセキュリティ、コンティンジェンシープランニング、セキュリティ意識向上は、いずれも両方に含まれています。SOC 2からHIPAAへの対応を見ると、セキュリティ規則の要件の大半は対応付けられているか、緩やかに関連しています。
HIPAAにのみ残る要件は個別性が高く、メディアの再利用と、ビジネスアソシエイト契約の内容が該当します。
HIPAAからSOC 2への対応を見ると、対応先のない項目がより多くなります。SOC 2には、セキュリティ規則では明確に規定されていない正式な変更管理の基準が含まれており、任意のプライバシーおよび処理の完全性カテゴリーもセキュリティ規則の範囲を超えています。ここでのSOC 2側の対応は、ControlMappingの編集による対応付けです。
要点
- SOC 2報告書を取得しても、それだけでHIPAAに準拠したことにはなりませんが、その統制の多くはHIPAAのセーフガードの大部分を満たしうります。
- HIPAAのリスク分析とビジネスアソシエイト契約は、別個の明示的な成果物として管理してください。
- 医療分野の顧客から両方を求められ続けている場合は、HIPAAの基準を含むSOC 2の取得を検討してください。
HIPAA Security Rule の要件 69 件のうち、36 件は SOC 2 の何らかの項目にマッピングされ、31 件は緩やかに関連するのみで、2 件は当サイトのデータにマッピングがありません。
HIPAA セキュリティ規則のみを対象としています（プライバシー規則および違反通知規則は対象外）。
新規対応が必要と見込まれる項目: SOC 2 へのマッピングがない HIPAA の要件 (2)
| HIPAA | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (31)
| HIPAA | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | CSF GV.PO-01, GV.PO-02, GV.OC-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | CSF GV.PO-01, GV.PO-02, GV.OC-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | CSF PR.AT-01, PR.AT-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04… のみを共有: 関連はあるがマッピングではありません | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… のみを共有: 関連はあるがマッピングではありません | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02… のみを共有: 関連はあるがマッピングではありません | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | CSF GV.PO-01, GV.PO-02, GV.OC-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03… のみを共有: 関連はあるがマッピングではありません | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | CSF PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10 のみを共有: 関連はあるがマッピングではありません | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03 のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06… のみを共有: 関連はあるがマッピングではありません | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02… のみを共有: 関連はあるがマッピングではありません | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | CSF ID.AM-08, ID.AM-03, ID.RA-01 のみを共有: 関連はあるがマッピングではありません | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | CSF ID.AM-07, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (36)
| HIPAA | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 編集 | CC3.2CC3.3CC3.4+1 | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 編集 | CC3.1CC5.1CC7.1+1 | 同じトピック： リスクマネジメント, 脆弱性管理 (編集部のおすすめ) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 編集 | CC7.2CC7.3 | 同じトピック： 継続的モニタリング, SIEM / SOC (編集部のおすすめ) |
| §164.308(a)(2) | Assigned Security Responsibility | 編集 | CC1.2CC1.3CC1.5 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| §164.308(a)(4) | Information Access Management | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| §164.308(a)(5) | Security Awareness and Training | 編集 | CC1.4CC2.2 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 編集 | CC1.4CC2.2 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 編集 | CC6.8 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| §164.308(a)(6) | Security Incident Procedures | 編集 | CC7.3CC7.4 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| §164.308(a)(6)(ii) | Required Response and Reporting | 編集 | CC2.3CC7.3CC7.4 | 同じトピック： 報告, インシデント対応, 緩和策 (編集部のおすすめ) |
| §164.308(a)(7) | Contingency Plan | 編集 | A1.3CC7.5 | 同じトピック： 復旧計画 (編集部のおすすめ) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 編集 | A1.2 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 編集 | A1.2A1.3CC7.5 | 同じトピック： ディザスタリカバリ, 復旧計画 (編集部のおすすめ) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 編集 | A1.1A1.2CC9.1 | 同じトピック： 事業継続 (編集部のおすすめ) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 編集 | A1.2A1.3 | 同じトピック： ディザスタリカバリ (編集部のおすすめ) |
| §164.308(a)(8) | Evaluation | 編集 | CC4.1CC4.2CC7.1 | 同じトピック： コンプライアンス, 脆弱性管理 (編集部のおすすめ) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 編集 | CC9.2 | 同じトピック： クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(b) | Workstation Use | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(c) | Workstation Security | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| §164.310(d) | Device and Media Controls | 編集 | CC6.1CC6.7 | 同じトピック： 資産管理, モバイルセキュリティ (編集部のおすすめ) |
| §164.310(d)(2)(i) | Required Disposal | 編集 | C1.2CC6.5 | 同じトピック： データ保護 (編集部のおすすめ) |
| §164.310(d)(2)(iii) | Addressable Accountability | 編集 | CC6.1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 編集 | A1.2 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| §164.312(a)(2)(i) | Required Unique User Identification | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| §164.312(b) | Audit Controls | 編集 | CC7.2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| §164.312(c) | Integrity | 編集 | C1.2CC6.5 | 同じトピック： データ保護 (編集部のおすすめ) |
| §164.312(d) | Person or Entity Authentication | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| §164.312(e)(2)(ii) | Addressable Encryption | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 編集 | CC9.2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 編集 | CC1.1CC5.3 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| §164.316(b)(2)(iii) | Required Updates | 編集 | CC1.1CC5.3 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
SOC 2 (Trust Services Criteria) の要件 61 件のうち、33 件は HIPAA の何らかの項目にマッピングされ、3 件は緩やかに関連するのみで、25 件は当サイトのデータにマッピングがありません。
AICPAのSOC 2対応表はオープンライセンスではないため、ここに掲載しているSOC 2のリンクはすべてControlMapping編集部による判断です。マッピングしていない基準は一致とはみなせません。処理の完全性（PI）基準と、プライバシー（P）基準の大半には、セキュリティフレームワークに相当する項目がありません。
新規対応が必要と見込まれる項目: HIPAA へのマッピングがない SOC 2 の要件 (25)
| SOC 2 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P2.1 | Choice and consent | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P3.1 | Collection limited to privacy objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P3.2 | Explicit consent where required | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P4.1 | Use limited to privacy objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P4.2 | Retention of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P4.3 | Disposal of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P5.1 | Data subject access | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P5.2 | Correction of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.1 | Disclosure to third parties with consent | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.2 | Record of authorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.3 | Record of unauthorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.4 | Privacy commitments from third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.5 | Notification by third parties of unauthorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.6 | Breach notification to affected individuals | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P6.7 | Accounting of disclosures to data subjects | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P7.1 | Quality of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| P8.1 | Handling privacy inquiries, complaints and disputes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| PI1.2 | Controls over system inputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| PI1.3 | Controls over system processing | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| PI1.4 | Controls over system outputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
| PI1.5 | Storing inputs, items in processing and outputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには HIPAA へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (3)
| SOC 2 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | CSF ID.AM-05 のみを共有: 関連はあるがマッピングではありません | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | CSF PR.PS-01 のみを共有: 関連はあるがマッピングではありません | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01… のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (33)
| SOC 2 | 要件 | 一致 | HIPAA | 証跡 |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | 編集 | §164.308(a)(7)(ii)(C) | 同じトピック： 事業継続 (編集部のおすすめ) |
| A1.2 | Environmental protections, backups and recovery infrastructure | 編集 | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | 同じトピック： バックアップと復旧, ディザスタリカバリ, 事業継続 (編集部のおすすめ) |
| A1.3 | Testing recovery plan procedures | 編集 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | 編集 | §164.310(d)(2)(i)§164.312(c) | 同じトピック： データ保護 (編集部のおすすめ) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | 編集 | §164.316(a)§164.316(b)(2)(iii) | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| CC1.2 | Board independence and oversight of internal control | 編集 | §164.308(a)(2) | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 編集 | §164.308(a)(2) | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 編集 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CC1.5 | Accountability for internal control responsibilities | 編集 | §164.308(a)(2) | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | 編集 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CC2.3 | Communication with external parties | 編集 | §164.308(a)(6)(ii) | 同じトピック： 報告 (編集部のおすすめ) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | 編集 | §164.308(a)(1)(ii)(B) | 同じトピック： リスクマネジメント (編集部のおすすめ) |
| CC3.2 | Risk identification and analysis | 編集 | §164.308(a)(1)(ii)(A) | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC3.3 | Considering the potential for fraud | 編集 | §164.308(a)(1)(ii)(A) | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC3.4 | Identifying and assessing significant changes | 編集 | §164.308(a)(1)(ii)(A) | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | 編集 | §164.308(a)(8) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| CC4.2 | Communicating and remediating control deficiencies | 編集 | §164.308(a)(8) | 同じトピック： コンプライアンス (編集部のおすすめ) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | 編集 | §164.308(a)(1)(ii)(B) | 同じトピック： リスクマネジメント (編集部のおすすめ) |
| CC5.3 | Control activities deployed through policies and procedures | 編集 | §164.316(a)§164.316(b)(2)(iii) | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | 編集 | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | 同じトピック： アクセス制御, 資産管理 (編集部のおすすめ) |
| CC6.2 | User registration, authorization and removal | 編集 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CC6.3 | Role-based access, least privilege and segregation of duties | 編集 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CC6.4 | Physical access restrictions | 編集 | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| CC6.5 | Protection of data when assets are disposed of | 編集 | §164.310(d)(2)(i)§164.312(c) | 同じトピック： データ保護 (編集部のおすすめ) |
| CC6.7 | Restricting transmission, movement and removal of information | 編集 | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | 同じトピック： モバイルセキュリティ, 暗号化 (編集部のおすすめ) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | 編集 | §164.308(a)(5)(ii)(B) | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 編集 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| CC7.2 | Monitoring system components for anomalies | 編集 | §164.308(a)(1)(ii)(D)§164.312(b) | 同じトピック： 継続的モニタリング, ログ記録と監査 (編集部のおすすめ) |
| CC7.3 | Evaluating security events to determine if they are incidents | 編集 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 同じトピック： SIEM / SOC, インシデント対応 (編集部のおすすめ) |
| CC7.4 | Responding to identified security incidents | 編集 | §164.308(a)(6)§164.308(a)(6)(ii) | 同じトピック： インシデント対応, 緩和策 (編集部のおすすめ) |
| CC7.5 | Recovering from identified security incidents | 編集 | §164.308(a)(7)§164.308(a)(7)(ii)(B) | 同じトピック： 復旧計画 (編集部のおすすめ) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | 編集 | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | 同じトピック： リスクマネジメント, 事業継続 (編集部のおすすめ) |
| CC9.2 | Managing vendor and business partner risk | 編集 | §164.308(b)(1)§164.314(a) | 同じトピック： クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ) |
トピック別
両方でカバー（26）：
ガバナンスポリシー意識向上とトレーニングリスクマネジメント役割と責任コンプライアンス資産管理リスクアセスメント脆弱性管理アクセス制御暗号化データ保護バックアップと復旧エンドポイント保護モバイルセキュリティクラウドセキュリティ継続的モニタリングログ記録と監査SIEM / SOCインシデント対応緩和策報告復旧計画事業継続ディザスタリカバリベンダーリスク管理物理的セキュリティ
SOC 2 のみ（20）:
サプライチェーンリスク事業環境データ分類多要素認証特権アクセスファイアウォール / ネットワークセグメンテーションパッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストWAFDLP侵入検知異常検知フォレンジックコミュニケーション教訓の反映連絡と復旧
HIPAA のみ（1）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.