比較
SOC 2 vs PCI DSS：顧客保証かカードブランド準拠か
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · データ 2026-10-27
SOC 2とPCI DSSは、企業向けに販売しつつカード決済にも関わるSaaSやフィンテック企業など、同一企業が両方を必要とするケースが多くあります。SOC 2は幅広いTrust Services Criteriaに対する第三者による保証（アテステーション）です。PCI DSS v4.0.1は規範的かつ契約上の基準で、カードホルダーデータ環境（CDE）に限定されます。
セキュリティの基本部分は重なっています。アクセス管理、ログ記録と監視、変更管理、脆弱性管理、インシデント対応、ベンダー管理がその例です。SOC 2向けに構築した統制は、通常PCIの意図は満たしますが、文言どおりとは限りません。
SOC 2からPCI DSSへ進む場合の追加作業は、PCIの具体性への対応です。具体的には、カードホルダーデータ環境（CDE）を囲む定義済みのネットワークセキュリティ統制、PANの保存と表示に関するルール、暗号鍵管理、CDEへのすべてのアクセスに対するMFA、スキャンとテストの頻度、決済ページのスクリプト完全性などです。SOC 2は手段を規定しないため、多くのPCI要件はマッピングされるのではなく、緩やかに関連するにとどまります。
PCI DSSからSOC 2へ進む場合、ほとんどのセキュリティ基準は対応しています。含める場合に限りますが、ギャップはSOC 2の任意カテゴリであるProcessing IntegrityとPrivacyです。本比較のSOC 2側は、公開された機械可読なSOC 2対応表が存在しないため、ControlMappingの編集によるマッピングです。
要点
- PCI準拠の決済プロバイダーを利用し、カードデータを自社システムの外に置くことで、PCIはプログラムではなく短い質問票で済むものになります。
- 要件が認める範囲でSOC 2のエビデンスをPCIに再利用できますが、PCIの頻度と技術的な仕様は必ず確認してください。
- SOC 2レポートはPCI関連の統制を記述できますが、PCIのReport on Compliance（RoC）やSAQの代わりにはなりません。
PCI DSS v4.0.1 の要件 260 件のうち、75 件は SOC 2 の何らかの項目にマッピングされ、72 件は緩やかに関連するのみで、113 件は当サイトのデータにマッピングがありません。
新規対応が必要と見込まれる項目: SOC 2 へのマッピングがない PCI DSS の要件 (113)
| PCI DSS | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.2.5 | Allowed services, protocols and ports approved | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.2.6 | Security features defined for insecure services | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.2.7 | Network security control rules reviewed every six months | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.2.8 | Network security control configuration files secured | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.3.2 | Outbound traffic from the CDE restricted | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.3.3 | Network controls between wireless networks and the CDE | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.4.2 | Inbound traffic from untrusted networks restricted | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.4.3 | Anti-spoofing measures in place | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.4.5 | Internal IP addresses and routing not disclosed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 2.2.4 | Only necessary services and functions enabled | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 2.2.5 | Insecure services justified and secured | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 2.2.6 | System security parameters set to prevent misuse | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 2.2.7 | Non-console administrative access encrypted | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 2.3.2 | Wireless keys changed when key holders leave | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.3.1.2 | Card verification code not kept after authorisation | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.5.1.2 | Disk-level encryption used only where it suffices | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.2 | Key management: secure key distribution | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.3 | Key management: secure key storage | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.5 | Key management: retiring weakened or compromised keys | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.6 | Key management: split knowledge and dual control | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.7 | Key management: preventing unauthorised key substitution | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 3.7.9 | Service providers give customers key-handling guidance | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 4.2.2 | PAN secured when sent by end-user messaging | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 5.3.3 | Removable media scanned or analysed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 5.3.4 | Anti-malware audit logs enabled and retained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 5.3.5 | Users cannot disable or alter anti-malware | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 6.5.3 | Pre-production environments separated from production | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 6.5.4 | Duties separated between production and pre-production | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 6.5.5 | Live PANs not used in pre-production | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 6.5.6 | Test data and accounts removed before go-live | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 7.2.5 | System and application accounts least privilege | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 7.2.6 | Access to cardholder data repositories restricted | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 7.3.1 | Access control system restricts access by need | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 7.3.2 | Access control system enforces assigned permissions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 7.3.3 | Access control system set to deny by default | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.2.4 | User ID changes authorised and controlled | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.2.5 | Access revoked immediately on termination | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.2.7 | Third-party remote access accounts enabled only when needed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.3.2 | Authentication factors unreadable in transit and storage | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.3.3 | Identity verified before changing authentication factors | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.3.4 | Account lockout after repeated failed attempts | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.3.5 | First-use and reset passwords unique and changed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 8.6.1 | Interactive use of system accounts managed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.3.3 | Visitor badges returned or deactivated | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.3.4 | Visitor log maintained and retained | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.4.1 | Media with cardholder data physically secured | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.4.3 | Media sent off site tracked and secured | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.4.4 | Management approves media moved off site | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.4.5 | Inventory logs of electronic media kept | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.4.5.1 | Electronic media inventories at least annually | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.5.1 | Card-reading (POI) devices protected from tampering | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 9.5.1.3 | Staff trained to spot POI tampering | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.2 | Logs capture administrative actions | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.3 | Logs capture access to audit logs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.4 | Logs capture invalid access attempts | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.5 | Logs capture credential and privilege changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.2.1.7 | Logs capture system-level object changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.4.2 | Other logs reviewed periodically | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.4.3 | Exceptions and anomalies addressed | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.6.2 | Time configuration correct and consistent | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.7.1 | Service providers detect security control failures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 10.7.3 | Security control failures responded to promptly | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.3.1.2 | Internal scans use authenticated scanning | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.3.1.3 | Internal scans after significant changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.3.2.1 | External scans after significant changes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.1 | Penetration testing methodology defined | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.2 | Internal penetration test at least annually | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.3 | External penetration test at least annually | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.5 | Segmentation controls tested at least annually | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.6 | Service providers test segmentation every six months | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.4.7 | Multi-tenant providers support customer penetration tests | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.5.1.1 | Service providers detect covert malware communication | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 11.5.2 | Change-detection on critical files | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.4.2.1 | Service providers: quarterly review results documented | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.5.2.1 | Service providers confirm scope every six months | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.6.2 | Awareness programme reviewed annually | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.6.3.1 | Training covers phishing and social engineering | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.6.3.2 | Training covers acceptable use of technology | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.7.1 | Personnel screened before hire | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| 12.10.5 | Plan covers alerts from security monitoring | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.1.4 | Multi-tenant providers: separation tested every six months | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
| A2.1.3 | Service providers offer a secure connection option | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには SOC 2 へのマッピングがありません。 |
要確認：関連性は緩やかなもののみ（共通するCSFのアウトカムがあるだけで、マッピングではありません） (72)
| PCI DSS | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07… のみを共有: 関連はあるがマッピングではありません | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | CSF PR.AA-03, PR.DS-02 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | CSF PR.AA-03, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | CSF PR.AA-01, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | CSF PR.AA-01, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | CSF PR.AA-01, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | CSF PR.AA-01, PR.DS-01 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | CSF PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | CSF ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | CSF GV.PO-02, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | CSF GV.PO-02, PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | CSF DE.CM-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | CSF PR.AA-05 のみを共有: 関連はあるがマッピングではありません | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | CSF PR.DS-10, PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | CSF PR.AA-03 のみを共有: 関連はあるがマッピングではありません | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | CSF PR.AA-01 のみを共有: 関連はあるがマッピングではありません | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | CSF GV.PO-02, PR.IR-02 のみを共有: 関連はあるがマッピングではありません | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | CSF PR.AA-03, PR.AA-06 のみを共有: 関連はあるがマッピングではありません | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | CSF PR.DS-11, RC.RP-03, DE.CM-02 のみを共有: 関連はあるがマッピングではありません | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | CSF PR.DS-01, GV.OC-03 のみを共有: 関連はあるがマッピングではありません | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | CSF PR.DS-11, PR.DS-01, GV.OC-03 のみを共有: 関連はあるがマッピングではありません | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09 のみを共有: 関連はあるがマッピングではありません | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09 のみを共有: 関連はあるがマッピングではありません | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | CSF RS.AN-03, RS.AN-07 のみを共有: 関連はあるがマッピングではありません | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | CSF PR.PS-04, DE.AE-06, RS.AN-06 のみを共有: 関連はあるがマッピングではありません | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06… のみを共有: 関連はあるがマッピングではありません | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06 のみを共有: 関連はあるがマッピングではありません | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04 のみを共有: 関連はあるがマッピングではありません | |
| 10.6.3 | Time settings protected from change | CC7.2 | CSF PR.PS-04 のみを共有: 関連はあるがマッピングではありません | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | CSF GV.OV-03 のみを共有: 関連はあるがマッピングではありません | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | CSF GV.PO-02 のみを共有: 関連はあるがマッピングではありません | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | CSF GV.RR-02 のみを共有: 関連はあるがマッピングではありません | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | CSF DE.CM-01, PR.IR-01 のみを共有: 関連はあるがマッピングではありません | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | CSF RC.RP-05 のみを共有: 関連はあるがマッピングではありません | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09… のみを共有: 関連はあるがマッピングではありません | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | CSF GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | CSF GV.RM-03 のみを共有: 関連はあるがマッピングではありません | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05… のみを共有: 関連はあるがマッピングではありません | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05… のみを共有: 関連はあるがマッピングではありません | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | CSF GV.RM-03, GV.RM-06 のみを共有: 関連はあるがマッピングではありません | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | CSF ID.AM-07 のみを共有: 関連はあるがマッピングではありません | |
マッピング済み (75)
| PCI DSS | 要件 | 一致 | SOC 2 | 証跡 |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | 編集 | CC6.6 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| 1.2.3 | Accurate network diagram maintained | 編集 | CC6.6 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| 1.3.1 | Inbound traffic to the CDE restricted | 編集 | CC6.6 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| 1.4.1 | Network controls between trusted and untrusted networks | 編集 | CC6.6 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | 編集 | CC5.2CC7.1 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| 2.2.2 | Vendor default accounts managed or removed | 編集 | CC5.2CC7.1 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | 編集 | C1.2CC6.5 | 同じトピック： データ保護 (編集部のおすすめ) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | 編集 | C1.2CC6.5 | 同じトピック： データ保護 (編集部のおすすめ) |
| 3.4.1 | PAN masked when displayed | 編集 | C1.2CC6.5 | 同じトピック： データ保護 (編集部のおすすめ) |
| 3.4.2 | PAN copying prevented over remote-access technologies | 編集 | CC6.7 | 同じトピック： DLP (編集部のおすすめ) |
| 3.5.1 | PAN rendered unreadable wherever stored | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| 3.6.1 | Procedures protect keys that secure stored account data | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| 3.7.1 | Key management: strong key generation | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | 編集 | CC6.1CC6.7 | 同じトピック： 暗号化 (編集部のおすすめ) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | 編集 | CC6.8 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | 編集 | CC6.8 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | 編集 | CC6.8 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| 5.4.1 | Mechanisms to detect and protect against phishing | 編集 | CC6.8 | 同じトピック： メールセキュリティ (編集部のおすすめ) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | 編集 | CC8.1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| 6.2.2 | Developers trained in secure software development | 編集 | CC8.1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| 6.2.3 | Custom code reviewed before release | 編集 | CC8.1 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | 編集 | CC7.1 | 同じトピック： 脆弱性管理, パッチ管理 (編集部のおすすめ) |
| 6.3.2 | Inventory of custom software and its components | 編集 | CC6.1CC9.2 | 同じトピック： 資産管理, サプライチェーンリスク (編集部のおすすめ) |
| 6.3.3 | Security patches installed promptly | 編集 | CC7.1 | 同じトピック： パッチ管理 (編集部のおすすめ) |
| 6.4.1 | Public web applications protected against attacks | 編集 | CC6.6 | 同じトピック： Web セキュリティ (編集部のおすすめ) |
| 6.4.2 | Automated solution blocks attacks on public web apps | 編集 | CC6.6 | 同じトピック： WAF (編集部のおすすめ) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | 編集 | CC6.6 | 同じトピック： Web セキュリティ (編集部のおすすめ) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | 編集 | CC6.1CC6.2CC6.3+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| 7.2.2 | Access assigned by job function and least privilege | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御, 特権アクセス (編集部のおすすめ) |
| 7.2.4 | User accounts and privileges reviewed every six months | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | 編集 | CC6.1CC6.2CC6.3 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| 8.3.1 | User and admin access requires an authentication factor | 編集 | CC6.6 | 同じトピック： ゼロトラスト (編集部のおすすめ) |
| 8.4.1 | MFA for non-console administrative access to the CDE | 編集 | CC6.1 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| 8.4.2 | MFA for all access into the CDE | 編集 | CC6.1 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| 8.4.3 | MFA for remote network access | 編集 | CC6.1 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| 8.5.1 | MFA systems configured to resist misuse | 編集 | CC6.1 | 同じトピック： 多要素認証 (編集部のおすすめ) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.2.3 | Physical access to network hardware restricted | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.3.1 | Personnel physical access authorised and managed | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | 編集 | CC6.4 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| 9.4.1.1 | Offline backup media stored securely | 編集 | A1.2 | 同じトピック： バックアップと復旧 (編集部のおすすめ) |
| 9.4.2 | Media classified by data sensitivity | 編集 | C1.1 | 同じトピック： データ分類 (編集部のおすすめ) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | 編集 | CC7.2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 10.3.2 | Logs protected from modification | 編集 | CC7.2CC7.4 | 同じトピック： ログ記録と監査, フォレンジック (編集部のおすすめ) |
| 10.4.1 | Security event and critical logs reviewed daily | 編集 | CC7.2CC7.3 | 同じトピック： 継続的モニタリング, SIEM / SOC (編集部のおすすめ) |
| 10.4.1.1 | Automated mechanisms for log review | 編集 | CC7.2 | 同じトピック： 異常検知 (編集部のおすすめ) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | 編集 | CC7.2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| 10.6.1 | System clocks synchronised | 編集 | CC7.2 | 同じトピック： ログ記録と監査 (編集部のおすすめ) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | 編集 | CC7.1 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| 11.3.2 | External ASV scans every three months | 編集 | CC7.1 | 同じトピック： 脆弱性管理 (編集部のおすすめ) |
| 11.5.1 | Intrusion detection or prevention on network traffic | 編集 | CC7.2 | 同じトピック： 侵入検知 (編集部のおすすめ) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | 編集 | CC1.1CC5.3 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| 12.1.2 | Security policy reviewed at least annually | 編集 | CC1.1CC5.3 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| 12.1.3 | Security roles and responsibilities defined | 編集 | CC1.2CC1.3CC1.5 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| 12.1.4 | Executive responsibility for information security assigned | 編集 | CC1.2CC1.3CC1.5 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | 編集 | CC3.1CC3.2CC3.3+3 | 同じトピック： リスクマネジメント, リスクアセスメント (編集部のおすすめ) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | 編集 | CC4.1CC4.2 | 同じトピック： コンプライアンス (編集部のおすすめ) |
| 12.5.1 | Inventory of in-scope system components | 編集 | CC6.1 | 同じトピック： 資産管理 (編集部のおすすめ) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | 編集 | CC3.1 | 同じトピック： 事業環境 (編集部のおすすめ) |
| 12.6.1 | Formal security awareness programme | 編集 | CC1.4CC2.2 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| 12.6.3 | Awareness training on hire and at least annually | 編集 | CC1.4CC2.2 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| 12.8.1 | List of third-party service providers kept | 編集 | CC9.2 | 同じトピック： サプライチェーンリスク, クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ) |
| 12.8.2 | Written agreements with service providers | 編集 | CC9.2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| 12.8.3 | Due diligence before engaging service providers | 編集 | CC9.2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| 12.8.4 | Service provider compliance monitored annually | 編集 | CC9.2 | 同じトピック： ベンダーリスク管理 (編集部のおすすめ) |
| 12.8.5 | Responsibilities split with each provider documented | 編集 | CC9.2 | 同じトピック： クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ) |
| 12.10.1 | Incident response plan ready to activate | 編集 | A1.1A1.2A1.3+5 | 同じトピック： 事業継続, ディザスタリカバリ, 復旧計画 (編集部のおすすめ) |
| 12.10.2 | Incident response plan reviewed and tested annually | 編集 | CC7.3CC7.4 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| 12.10.3 | Incident response staff available around the clock | 編集 | CC7.3CC7.4 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| 12.10.4 | Incident response staff trained | 編集 | CC7.3CC7.4 | 同じトピック： インシデント対応 (編集部のおすすめ) |
| 12.10.6 | Plan updated from lessons learned and industry changes | 編集 | CC7.5 | 同じトピック： 教訓の反映 (編集部のおすすめ) |
SOC 2 (Trust Services Criteria) の要件 61 件のうち、37 件は PCI DSS の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、24 件は当サイトのデータにマッピングがありません。
AICPAのSOC 2対応表はオープンライセンスではないため、ここに掲載しているSOC 2のリンクはすべてControlMapping編集部による判断です。マッピングしていない基準は一致とはみなせません。処理の完全性（PI）基準と、プライバシー（P）基準の大半には、セキュリティフレームワークに相当する項目がありません。
新規対応が必要と見込まれる項目: PCI DSS へのマッピングがない SOC 2 の要件 (24)
| SOC 2 | 要件 | 一致 | PCI DSS | 証跡 |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P2.1 | Choice and consent | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P3.1 | Collection limited to privacy objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P3.2 | Explicit consent where required | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P4.1 | Use limited to privacy objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P4.2 | Retention of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P4.3 | Disposal of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P5.1 | Data subject access | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P5.2 | Correction of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.1 | Disclosure to third parties with consent | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.2 | Record of authorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.3 | Record of unauthorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.4 | Privacy commitments from third parties | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.5 | Notification by third parties of unauthorized disclosures | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.6 | Breach notification to affected individuals | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P6.7 | Accounting of disclosures to data subjects | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P7.1 | Quality of personal information | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| P8.1 | Handling privacy inquiries, complaints and disputes | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| PI1.2 | Controls over system inputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| PI1.3 | Controls over system processing | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| PI1.4 | Controls over system outputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
| PI1.5 | Storing inputs, items in processing and outputs | 当サイトのデータにはマッピングがありません | — | 当サイトのデータには PCI DSS へのマッピングがありません。 |
マッピング済み (37)
| SOC 2 | 要件 | 一致 | PCI DSS | 証跡 |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | 編集 | 12.10.1 | 同じトピック： 事業継続 (編集部のおすすめ) |
| A1.2 | Environmental protections, backups and recovery infrastructure | 編集 | 9.4.1.112.10.1 | 同じトピック： バックアップと復旧, 事業継続, ディザスタリカバリ (編集部のおすすめ) |
| A1.3 | Testing recovery plan procedures | 編集 | 12.10.1 | 同じトピック： 復旧計画, ディザスタリカバリ (編集部のおすすめ) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | 編集 | 9.4.2 | 同じトピック： データ分類 (編集部のおすすめ) |
| C1.2 | Disposing of confidential information | 編集 | 3.2.13.3.13.4.1 | 同じトピック： データ保護 (編集部のおすすめ) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | 編集 | 12.1.112.1.2 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| CC1.2 | Board independence and oversight of internal control | 編集 | 12.1.312.1.4 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 編集 | 12.1.312.1.4 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 編集 | 12.6.112.6.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CC1.5 | Accountability for internal control responsibilities | 編集 | 12.1.312.1.4 | 同じトピック： 役割と責任 (編集部のおすすめ) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | 編集 | 12.6.112.6.3 | 同じトピック： 意識向上とトレーニング (編集部のおすすめ) |
| CC2.3 | Communication with external parties | 編集 | 12.10.1 | 同じトピック： 報告 (編集部のおすすめ) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | 編集 | 12.3.112.5.2 | 同じトピック： リスクマネジメント, 事業環境 (編集部のおすすめ) |
| CC3.2 | Risk identification and analysis | 編集 | 12.3.1 | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC3.3 | Considering the potential for fraud | 編集 | 12.3.1 | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC3.4 | Identifying and assessing significant changes | 編集 | 12.3.1 | 同じトピック： リスクアセスメント (編集部のおすすめ) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | 編集 | 12.4.2 | 同じトピック： コンプライアンス (編集部のおすすめ) |
| CC4.2 | Communicating and remediating control deficiencies | 編集 | 12.4.2 | 同じトピック： コンプライアンス (編集部のおすすめ) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | 編集 | 12.3.1 | 同じトピック： リスクマネジメント (編集部のおすすめ) |
| CC5.2 | General controls over technology | 編集 | 2.2.12.2.2 | 同じトピック： 安全な構成 (編集部のおすすめ) |
| CC5.3 | Control activities deployed through policies and procedures | 編集 | 12.1.112.1.2 | 同じトピック： ガバナンスポリシー (編集部のおすすめ) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | 編集 | 3.5.13.6.13.7.1+13 | 同じトピック： 暗号化 (編集部のおすすめ) |
| CC6.2 | User registration, authorization and removal | 編集 | 7.2.17.2.27.2.4+1 | 同じトピック： アクセス制御 (編集部のおすすめ) |
| CC6.3 | Role-based access, least privilege and segregation of duties | 編集 | 7.2.17.2.27.2.4+1 | 同じトピック： アクセス制御, 特権アクセス (編集部のおすすめ) |
| CC6.4 | Physical access restrictions | 編集 | 9.2.19.2.1.19.2.3+3 | 同じトピック： 物理的セキュリティ (編集部のおすすめ) |
| CC6.5 | Protection of data when assets are disposed of | 編集 | 3.2.13.3.13.4.1 | 同じトピック： データ保護 (編集部のおすすめ) |
| CC6.6 | Protection against threats from outside system boundaries | 編集 | 1.2.11.2.31.3.1+6 | 同じトピック： ファイアウォール / ネットワークセグメンテーション (編集部のおすすめ) |
| CC6.7 | Restricting transmission, movement and removal of information | 編集 | 3.4.23.5.13.6.1+4 | 同じトピック： DLP, 暗号化 (編集部のおすすめ) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | 編集 | 5.2.15.2.25.3.2+1 | 同じトピック： エンドポイント保護 (編集部のおすすめ) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 編集 | 2.2.12.2.26.3.1+3 | 同じトピック： 安全な構成, 脆弱性管理, パッチ管理 (編集部のおすすめ) |
| CC7.2 | Monitoring system components for anomalies | 編集 | 10.2.110.3.210.4.1+4 | 同じトピック： ログ記録と監査, 継続的モニタリング (編集部のおすすめ) |
| CC7.3 | Evaluating security events to determine if they are incidents | 編集 | 10.4.112.10.112.10.2+2 | 同じトピック： SIEM / SOC, インシデント対応 (編集部のおすすめ) |
| CC7.4 | Responding to identified security incidents | 編集 | 10.3.212.10.112.10.2+2 | 同じトピック： フォレンジック, インシデント対応, 緩和策 (編集部のおすすめ) |
| CC7.5 | Recovering from identified security incidents | 編集 | 12.10.112.10.6 | 同じトピック： 復旧計画, 教訓の反映 (編集部のおすすめ) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | 編集 | 6.2.16.2.26.2.3 | 同じトピック： セキュア開発 (編集部のおすすめ) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | 編集 | 12.3.112.10.1 | 同じトピック： リスクマネジメント, 事業継続 (編集部のおすすめ) |
| CC9.2 | Managing vendor and business partner risk | 編集 | 6.3.212.8.112.8.2+3 | 同じトピック： サプライチェーンリスク, クラウドセキュリティ, ベンダーリスク管理 (編集部のおすすめ) |
トピック別
両方でカバー（43）：
ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメント事業環境データ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストクラウドセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応フォレンジック緩和策報告復旧計画事業継続教訓の反映ディザスタリカバリベンダーリスク管理物理的セキュリティ
SOC 2 のみ（3）:
PCI DSS のみ（3）:
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. マッピング済み = ControlMapping のトピックで一緒にまとめられているか、直接リンクされている状態。クロスウォークは準拠の証明にはなりません。 方法論 · データをダウンロード · 誤りを報告.