비교
SOC 2 vs HIPAA: 검증 보고서 대 법적 의무
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · 데이터 2026-10-27
의료 기술 기업은 흔히 두 가지 모두를 필요로 합니다. 보호 대상 건강 정보를 주로 비즈니스 어소시에이트로서 처리하기 때문에 HIPAA가 필요하고, 고객이 독립적인 검증을 원하기 때문에 SOC 2가 필요합니다. 두 제도는 성격이 다릅니다. HIPAA는 법률이며 Office for Civil Rights가 집행합니다. SOC 2는 자발적인 CPA 독립 검증입니다. 일부 감사인은 HIPAA 기준을 추가한 SOC 2 보고서를 제공하기도 합니다.
기술적 안전장치는 상당 부분 겹칩니다. 접근 통제, 감사 로깅, 무결성, 인증, 전송 보안, 비상 계획, 보안 인식 교육은 모두 두 제도에 포함되어 있습니다. SOC 2에서 HIPAA로 대응시키면 Security Rule 요구사항 대부분이 매핑되거나 느슨하게 관련됨으로 나타납니다.
HIPAA에만 남는 요구사항은 구체적입니다. 바로 매체 재사용과 비즈니스 어소시에이트 계약의 내용입니다.
HIPAA에서 SOC 2로 대응시키면 매칭되지 않는 항목이 더 많습니다. SOC 2는 Security Rule이 명시하지 않는 공식 변경 관리 기준을 요구하며, 선택 사항인 Privacy 및 Processing Integrity 범주는 Security Rule의 범위를 넘어섭니다. 여기서 SOC 2 측 매핑은 ControlMapping의 편집 콘텐츠 매핑입니다.
핵심 요점
- SOC 2 보고서가 있다고 해서 HIPAA 준수가 자동으로 충족되지는 않지만, 그 통제 항목들이 HIPAA 안전장치의 대부분을 차지할 수 있습니다.
- HIPAA 위험 분석과 비즈니스 어소시에이트 계약은 별도의 명시적인 산출물로 유지하십시오.
- 의료 고객이 계속해서 두 가지를 모두 요청한다면 HIPAA 기준을 포함한 SOC 2 보고서를 고려하십시오.
HIPAA Security Rule 요구사항 69개 중 36개는 SOC 2의 항목에 매핑되고, 31개는 느슨하게만 관련되며, 2개는 보유 데이터에 매핑이 없습니다.
HIPAA 보안 규칙(Security Rule)만 포괄합니다(프라이버시 규칙 및 위반 통지 규칙은 제외).
신규 작업이 필요할 가능성: SOC 2에 매핑되지 않은 HIPAA 요구사항 (2)
| HIPAA | 요구사항 | 일치 | SOC 2 | 증거 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 보유 데이터에 매핑 없음 | — | 보유 데이터에 SOC 2에 대한 매핑이 없습니다. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 보유 데이터에 매핑 없음 | — | 보유 데이터에 SOC 2에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (31)
| HIPAA | 요구사항 | 일치 | SOC 2 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | CSF GV.PO-01, GV.PO-02, GV.OC-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | CSF DE.CM-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | CSF GV.PO-01, GV.PO-02, GV.OC-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | CSF PR.AT-01, PR.AT-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | CSF GV.PO-01, GV.PO-02, GV.OC-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | CSF PR.DS-02만 공유: 관련은 있으나 매핑은 아님 | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | CSF PR.DS-01, PR.DS-02, PR.DS-10만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | CSF ID.AM-08, ID.AM-03만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | CSF ID.AM-08, ID.AM-03, ID.RA-01만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | CSF ID.AM-07, ID.AM-08만 공유: 관련은 있으나 매핑은 아님 | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (36)
| HIPAA | 요구사항 | 일치 | SOC 2 | 증거 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 편집 콘텐츠 | CC3.2CC3.3CC3.4+1 | 같은 주제: 위험 평가 (편집부 추천) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 편집 콘텐츠 | CC3.1CC5.1CC7.1+1 | 같은 주제: 위험 관리, 취약점 관리 (편집부 추천) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 편집 콘텐츠 | CC7.2CC7.3 | 같은 주제: 지속적 모니터링, SIEM / SOC (편집부 추천) |
| §164.308(a)(2) | Assigned Security Responsibility | 편집 콘텐츠 | CC1.2CC1.3CC1.5 | 같은 주제: 역할 및 책임 (편집부 추천) |
| §164.308(a)(4) | Information Access Management | 편집 콘텐츠 | CC6.1CC6.2CC6.3 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.308(a)(5) | Security Awareness and Training | 편집 콘텐츠 | CC1.4CC2.2 | 같은 주제: 인식 제고 및 교육 (편집부 추천) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 편집 콘텐츠 | CC1.4CC2.2 | 같은 주제: 인식 제고 및 교육 (편집부 추천) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 편집 콘텐츠 | CC6.8 | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| §164.308(a)(6) | Security Incident Procedures | 편집 콘텐츠 | CC7.3CC7.4 | 같은 주제: 사고 대응 (편집부 추천) |
| §164.308(a)(6)(ii) | Required Response and Reporting | 편집 콘텐츠 | CC2.3CC7.3CC7.4 | 같은 주제: 보고, 사고 대응, 완화 (편집부 추천) |
| §164.308(a)(7) | Contingency Plan | 편집 콘텐츠 | A1.3CC7.5 | 같은 주제: 복구 계획 수립 (편집부 추천) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 편집 콘텐츠 | A1.2 | 같은 주제: 백업 및 복구 (편집부 추천) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 편집 콘텐츠 | A1.2A1.3CC7.5 | 같은 주제: 재해 복구, 복구 계획 수립 (편집부 추천) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 편집 콘텐츠 | A1.1A1.2CC9.1 | 같은 주제: 비즈니스 연속성 (편집부 추천) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 편집 콘텐츠 | A1.2A1.3 | 같은 주제: 재해 복구 (편집부 추천) |
| §164.308(a)(8) | Evaluation | 편집 콘텐츠 | CC4.1CC4.2CC7.1 | 같은 주제: 컴플라이언스, 취약점 관리 (편집부 추천) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 편집 콘텐츠 | CC9.2 | 같은 주제: 클라우드 보안, 벤더 리스크 관리 (편집부 추천) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 편집 콘텐츠 | CC6.4 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 편집 콘텐츠 | CC6.4 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 편집 콘텐츠 | CC6.4 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(b) | Workstation Use | 편집 콘텐츠 | CC6.4 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(c) | Workstation Security | 편집 콘텐츠 | CC6.4 | 같은 주제: 물리적 보안 (편집부 추천) |
| §164.310(d) | Device and Media Controls | 편집 콘텐츠 | CC6.1CC6.7 | 같은 주제: 자산 관리, 모바일 보안 (편집부 추천) |
| §164.310(d)(2)(i) | Required Disposal | 편집 콘텐츠 | C1.2CC6.5 | 같은 주제: 데이터 보호 (편집부 추천) |
| §164.310(d)(2)(iii) | Addressable Accountability | 편집 콘텐츠 | CC6.1 | 같은 주제: 자산 관리 (편집부 추천) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 편집 콘텐츠 | A1.2 | 같은 주제: 백업 및 복구 (편집부 추천) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 편집 콘텐츠 | CC6.1CC6.2CC6.3 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.312(a)(2)(i) | Required Unique User Identification | 편집 콘텐츠 | CC6.1CC6.2CC6.3 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 편집 콘텐츠 | CC6.1CC6.7 | 같은 주제: 암호화 (편집부 추천) |
| §164.312(b) | Audit Controls | 편집 콘텐츠 | CC7.2 | 같은 주제: 로깅 및 감사 (편집부 추천) |
| §164.312(c) | Integrity | 편집 콘텐츠 | C1.2CC6.5 | 같은 주제: 데이터 보호 (편집부 추천) |
| §164.312(d) | Person or Entity Authentication | 편집 콘텐츠 | CC6.1CC6.2CC6.3 | 같은 주제: 접근 통제 (편집부 추천) |
| §164.312(e)(2)(ii) | Addressable Encryption | 편집 콘텐츠 | CC6.1CC6.7 | 같은 주제: 암호화 (편집부 추천) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 편집 콘텐츠 | CC9.2 | 같은 주제: 벤더 리스크 관리 (편집부 추천) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 편집 콘텐츠 | CC1.1CC5.3 | 같은 주제: 거버넌스 정책 (편집부 추천) |
| §164.316(b)(2)(iii) | Required Updates | 편집 콘텐츠 | CC1.1CC5.3 | 같은 주제: 거버넌스 정책 (편집부 추천) |
SOC 2 (Trust Services Criteria) 요구사항 61개 중 33개는 HIPAA의 항목에 매핑되고, 3개는 느슨하게만 관련되며, 25개는 보유 데이터에 매핑이 없습니다.
AICPA의 SOC 2 매핑은 공개 라이선스가 적용되지 않으므로, 이 사이트의 모든 SOC 2 링크는 ControlMapping 편집부의 판단입니다. 아직 매핑하지 않은 기준은 일치 여부를 확인할 수 없습니다. 처리 무결성(PI) 기준 및 대부분의 개인정보 보호(P) 기준은 보안 프레임워크에 대응하는 항목이 없습니다.
신규 작업이 필요할 가능성: HIPAA에 매핑되지 않은 SOC 2 요구사항 (25)
| SOC 2 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P2.1 | Choice and consent | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P3.1 | Collection limited to privacy objectives | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P3.2 | Explicit consent where required | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P4.1 | Use limited to privacy objectives | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P4.2 | Retention of personal information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P4.3 | Disposal of personal information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P5.1 | Data subject access | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P5.2 | Correction of personal information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.1 | Disclosure to third parties with consent | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.2 | Record of authorized disclosures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.3 | Record of unauthorized disclosures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.4 | Privacy commitments from third parties | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.5 | Notification by third parties of unauthorized disclosures | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.6 | Breach notification to affected individuals | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P6.7 | Accounting of disclosures to data subjects | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P7.1 | Quality of personal information | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| P8.1 | Handling privacy inquiries, complaints and disputes | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PI1.2 | Controls over system inputs | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PI1.3 | Controls over system processing | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PI1.4 | Controls over system outputs | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
| PI1.5 | Storing inputs, items in processing and outputs | 보유 데이터에 매핑 없음 | — | 보유 데이터에 HIPAA에 대한 매핑이 없습니다. |
확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (3)
| SOC 2 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | CSF ID.AM-05만 공유: 관련은 있으나 매핑은 아님 | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | CSF PR.PS-01만 공유: 관련은 있으나 매핑은 아님 | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…만 공유: 관련은 있으나 매핑은 아님 | |
매핑됨 (33)
| SOC 2 | 요구사항 | 일치 | HIPAA | 증거 |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | 편집 콘텐츠 | §164.308(a)(7)(ii)(C) | 같은 주제: 비즈니스 연속성 (편집부 추천) |
| A1.2 | Environmental protections, backups and recovery infrastructure | 편집 콘텐츠 | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | 같은 주제: 백업 및 복구, 재해 복구, 비즈니스 연속성 (편집부 추천) |
| A1.3 | Testing recovery plan procedures | 편집 콘텐츠 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | 같은 주제: 복구 계획 수립, 재해 복구 (편집부 추천) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | 편집 콘텐츠 | §164.310(d)(2)(i)§164.312(c) | 같은 주제: 데이터 보호 (편집부 추천) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | 편집 콘텐츠 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 (편집부 추천) |
| CC1.2 | Board independence and oversight of internal control | 편집 콘텐츠 | §164.308(a)(2) | 같은 주제: 역할 및 책임 (편집부 추천) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 편집 콘텐츠 | §164.308(a)(2) | 같은 주제: 역할 및 책임 (편집부 추천) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 편집 콘텐츠 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 (편집부 추천) |
| CC1.5 | Accountability for internal control responsibilities | 편집 콘텐츠 | §164.308(a)(2) | 같은 주제: 역할 및 책임 (편집부 추천) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | 편집 콘텐츠 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 같은 주제: 인식 제고 및 교육 (편집부 추천) |
| CC2.3 | Communication with external parties | 편집 콘텐츠 | §164.308(a)(6)(ii) | 같은 주제: 보고 (편집부 추천) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| CC3.2 | Risk identification and analysis | 편집 콘텐츠 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 (편집부 추천) |
| CC3.3 | Considering the potential for fraud | 편집 콘텐츠 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 (편집부 추천) |
| CC3.4 | Identifying and assessing significant changes | 편집 콘텐츠 | §164.308(a)(1)(ii)(A) | 같은 주제: 위험 평가 (편집부 추천) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| CC4.2 | Communicating and remediating control deficiencies | 편집 콘텐츠 | §164.308(a)(8) | 같은 주제: 컴플라이언스 (편집부 추천) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | 편집 콘텐츠 | §164.308(a)(1)(ii)(B) | 같은 주제: 위험 관리 (편집부 추천) |
| CC5.3 | Control activities deployed through policies and procedures | 편집 콘텐츠 | §164.316(a)§164.316(b)(2)(iii) | 같은 주제: 거버넌스 정책 (편집부 추천) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | 편집 콘텐츠 | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | 같은 주제: 접근 통제, 자산 관리 (편집부 추천) |
| CC6.2 | User registration, authorization and removal | 편집 콘텐츠 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 (편집부 추천) |
| CC6.3 | Role-based access, least privilege and segregation of duties | 편집 콘텐츠 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 같은 주제: 접근 통제 (편집부 추천) |
| CC6.4 | Physical access restrictions | 편집 콘텐츠 | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | 같은 주제: 물리적 보안 (편집부 추천) |
| CC6.5 | Protection of data when assets are disposed of | 편집 콘텐츠 | §164.310(d)(2)(i)§164.312(c) | 같은 주제: 데이터 보호 (편집부 추천) |
| CC6.7 | Restricting transmission, movement and removal of information | 편집 콘텐츠 | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | 같은 주제: 모바일 보안, 암호화 (편집부 추천) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | 편집 콘텐츠 | §164.308(a)(5)(ii)(B) | 같은 주제: 엔드포인트 보호 (편집부 추천) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 편집 콘텐츠 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | 같은 주제: 취약점 관리 (편집부 추천) |
| CC7.2 | Monitoring system components for anomalies | 편집 콘텐츠 | §164.308(a)(1)(ii)(D)§164.312(b) | 같은 주제: 지속적 모니터링, 로깅 및 감사 (편집부 추천) |
| CC7.3 | Evaluating security events to determine if they are incidents | 편집 콘텐츠 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: SIEM / SOC, 사고 대응 (편집부 추천) |
| CC7.4 | Responding to identified security incidents | 편집 콘텐츠 | §164.308(a)(6)§164.308(a)(6)(ii) | 같은 주제: 사고 대응, 완화 (편집부 추천) |
| CC7.5 | Recovering from identified security incidents | 편집 콘텐츠 | §164.308(a)(7)§164.308(a)(7)(ii)(B) | 같은 주제: 복구 계획 수립 (편집부 추천) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | 편집 콘텐츠 | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | 같은 주제: 위험 관리, 비즈니스 연속성 (편집부 추천) |
| CC9.2 | Managing vendor and business partner risk | 편집 콘텐츠 | §164.308(b)(1)§164.314(a) | 같은 주제: 클라우드 보안, 벤더 리스크 관리 (편집부 추천) |
주제별
양쪽 모두 포함 (26):
거버넌스 정책인식 제고 및 교육위험 관리역할 및 책임컴플라이언스자산 관리위험 평가취약점 관리접근 통제암호화데이터 보호백업 및 복구엔드포인트 보호모바일 보안클라우드 보안지속적 모니터링로깅 및 감사SIEM / SOC사고 대응완화보고복구 계획 수립비즈니스 연속성재해 복구벤더 리스크 관리물리적 보안
SOC 2만 해당 (20):
공급망 위험사업 환경데이터 분류다단계 인증특권 접근방화벽 / 네트워크 분리패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트WAFDLP침입 탐지이상 징후 탐지포렌식커뮤니케이션교훈 도출커뮤니케이션 및 복구
HIPAA만 해당 (1):
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.