SOC 2, ISO 27001, PCI DSS 전반에서 재사용할 수 있는 증거
감사를 세 번 받는 조직은 같은 스크린샷을 세 번 수집하는 경우가 많습니다. 대부분의 증거는 세 감사 모두에 쓸 수 있으며, 가장 까다로운 감사인을 염두에 두고 수집하면 됩니다.
SOC 2, ISO 27001, PCI DSS를 모두 받는 조직은 통제를 운영하는 시간보다 증거 요청에 답하는 데 더 많은 시간을 쓰기 쉽습니다. 각 감사인은 "접근 검토", "취약점 스캔", "사고 대응 테스트"를 요청하는데, 형식과 기간이 조금씩 다릅니다. 이 증거의 대부분은 동일합니다. 핵심은 세 기준 중 가장 까다로운 기준을 충족하는 형태로 한 번만 수집하는 것입니다.
중복이 큰 이유
세 프레임워크는 보안 주제의 대부분을 공유합니다. 예를 들어 ISO 27001에서 SOC 2로 옮겨 가면:
SOC 2의 기준 61개 중 41개(67%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 20개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →
ISO 27001에서 PCI DSS로 가면 중복은 더 작지만, 거버넌스와 프로세스 영역에서는 여전히 상당합니다:
PCI DSS의 요구사항 260개 중 77개(30%)는 ISO 27001의 항목에 대응되고, 76개는 느슨하게만 관련되며, 107개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →
요구사항이 대응되는 곳에서는 증거도 대체로 겹칩니다.
세 감사 모두에 쓰이는 증거
| 증거 | SOC 2 | ISO 27001 | PCI DSS |
|---|---|---|---|
| 사용자 접근 검토(승인 및 변경 사항 포함) | CC6.2, CC6.3 | A.5.18 | 7.2.4(6개월마다) |
| 승인이 포함된 입사·퇴사 티켓 | CC6.2 | A.5.16, A.5.18, A.6.5 | 8.2.4, 8.2.5 |
| 검토, 테스트, 승인이 포함된 변경 티켓 | CC8.1 | A.8.32 | 6.5.1, 6.5.2 |
| 취약점 스캔 결과 및 조치 | CC7.1 | A.8.8 | 11.3.1, 11.3.2, 6.3.3 |
| 침투 테스트 보고서 및 재테스트 | CC4.1, CC7.1 | A.8.8 | 11.4.1 ~ 11.4.4 |
| 사고 등록부 및 대응 테스트 | CC7.3 ~ CC7.5 | A.5.24 ~ A.5.27 | 12.10.1, 12.10.2 |
| 보안 인식 교육 기록 | CC1.4, CC2.2 | A.6.3 | 12.6.1 ~ 12.6.3 |
| 공급업체 실사 기록 | CC9.2 | A.5.19 ~ A.5.22 | 12.8.1 ~ 12.8.5 |
| 백업 복구 테스트 | A1.2, A1.3 | A.8.13 | 9.4.1.1, 12.10.1 |
| 위험 평가 및 그 검토 | CC3.1 ~ CC3.4 | 6.1.2, 8.2 | 12.3.1 |
가장 엄격한 기준에 맞춰 수집하기
- 빈도: PCI DSS는 대개 가장 짧은 주기를 요구합니다(6개월마다 접근 검토, 분기별 스캔). PCI의 빈도에 맞춰 통제를 운영하면 나머지도 충족됩니다.
- 기간: SOC 2 Type II는 전체 관찰 기간에 걸쳐 표본을 검사합니다. 감사 직전에만이 아니라 증거를 지속적으로 보관하십시오.
- 완전성: ISO 감사인은 모집단이 완전하다는 것을 어떻게 아는지 물을 수 있습니다. 직접 고를 예시만이 아니라 전체 목록(모든 퇴사자, 모든 변경)을 보관하십시오.
- 출처: 시스템이 생성한 증거(내보내기, 로그, 타임스탬프가 있는 티켓)가 누군가 정리해 둔 화면 캡처보다 낫습니다.
간단한 구조
프레임워크가 아닌 통제별로 구분한 하나의 증거 저장소를 두십시오. 각 통제 폴더에는 기간별 증거를 일관된 이름으로 보관하고, 각 프레임워크 요구사항 중 무엇을 충족하는지 적은 짧은 색인을 함께 둡니다. 감사인이 "7.2.4 증거"를 요청하면 프레임워크가 아니라 해당 통제를 찾아보면 됩니다.
핵심 요약
- 대부분의 증거(접근 검토, 변경 티켓, 스캔, 사고 기록, 교육)는 SOC 2, ISO 27001, PCI DSS에 동시에 쓰입니다.
- 가장 엄격한 기준에 맞춰 수집하십시오: PCI의 빈도와 SOC 2의 지속적 기간.
- 증거는 프레임워크가 아니라 통제별로 정리하고, 각 항목이 무엇을 충족하는지 색인을 달아 두십시오.
- 일부 항목은 다른 프레임워크로 옮겨지지 않습니다. 특히 ASV 스캔과 ISO 경영시스템 기록이 그렇습니다.
옮겨지지 않는 항목
- PCI 전용 스캔: 외부 스캔은 반드시 승인 스캐닝 공급업체(Approved Scanning Vendor)가 수행해야 합니다.
- PCI 대상 위험 분석: 빈도가 유연한 요구사항에 대한 것입니다.
- ISO 경영시스템 기록: 내부 감사 보고서, 경영검토 회의록, 시정조치 로그는 ISO 전용입니다(다만 SOC 2 감사인도 이를 반깁니다).
- SOC 2 시스템 설명: 범위에 포함된 시스템에 대한 귀사의 서술 문서입니다.
SOC 2와 ISO 27001을 위한 단일 통제 세트 글에서 통제 설계를 다루며, 격차 분석에서는 두 프레임워크 간 매핑 목록을 확인할 수 있습니다.
질문
같은 증거를 SOC 2와 ISO 27001에 모두 사용할 수 있습니까?
대개 가능합니다. 두 기준 모두 통제가 작동한다는 증거를 찾습니다. 티켓, 검토 기록, 스캔 결과, 교육 기록 등이 그것입니다. SOC 2 Type II는 전체 관찰 기간에 걸친 표본이 필요하므로 증거를 지속적으로 수집하십시오.
SOC 2에는 필요 없지만 PCI DSS에 필요한 증거는 무엇입니까?
PCI 전용 빈도 및 설정에 대한 증거입니다: 분기별 내부 스캔 및 ASV 외부 스캔, 6개월마다 수행하는 접근 및 방화벽 규칙 검토, 대상 위험 분석, 카드 소지자 데이터 전용 구성.
감사 증거는 얼마나 보관해야 합니까?
최소한 다음 감사 주기가 종료될 때까지 보관해야 하며, 프레임워크나 법률이 요구하는 경우 그보다 길게 보관해야 합니다. 예를 들어 PCI DSS는 감사 로그 이력을 12개월 보관하도록 요구합니다.
2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.
관련 게시물
분석 · 2026-10-27APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건ISO 27001 ISMS는 APRA의 CPS 234 거의 모든 항목을 다루지만, APRA는 이사회 책임, 제3자 보증, 엄격한 통보 기한을 추가로 요구합니다.
분석 · 2026-10-1311개 보안 프레임워크의 MFA 요구사항 비교어떤 프레임워크가 MFA를 요구하는지, 대상과 강도는 어떠한지 확인하세요. PCI DSS, CMMC, NIS2, Essential Eight, ISO 27001, SOC 2, HIPAA를 한눈에 비교합니다.
분석 · 2026-09-15프레임워크별 암호화 요구사항 비교: 명시 사항과 조직 재량ISO 27001, PCI DSS, CMMC, HIPAA, GDPR, NIS2가 저장 데이터 암호화, 전송 중 암호화, 키 관리를 어떻게 다루는지 요구사항 ID와 함께 정리합니다.