비교

SOC 2 vs PCI DSS: 고객 신뢰 확보 vs 카드 브랜드 컴플라이언스

SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · 데이터 2026-10-27

SOC 2와 PCI DSS는 흔히 같은 기업에 동시에 요구되며, 일반적으로 기업 고객에게 판매하면서 카드 결제도 처리하는 SaaS 또는 핀테크 사업자가 해당합니다. SOC 2는 광범위한 신뢰 서비스 기준(Trust Services Criteria)에 대한 독립적 검증(attestation)입니다. PCI DSS v4.0.1은 카드 소유자 데이터 환경(CDE)으로 범위가 한정된, 처방적(prescriptive)이고 계약상 구속력이 있는 표준입니다.

보안 기본 요소는 상당 부분 겹칩니다. 접근 관리, 로깅 및 모니터링, 변경 관리, 취약점 관리, 침해사고 대응, 공급업체 관리가 그렇습니다. SOC 2를 위해 구축한 통제는 대체로 PCI의 취지를 충족하지만, 문언 그대로 충족하지는 않는 경우도 있습니다.

SOC 2에서 PCI DSS로 넘어갈 때 추가로 필요한 작업은 PCI의 구체성에서 비롯됩니다. 카드 소유자 데이터 환경(CDE) 주변의 네트워크 보안 통제를 명확히 정의해야 하고, PAN의 저장 및 표시 규칙, 암호화 키 관리, CDE 접근 전반에 대한 MFA, 스캔 및 테스트 주기, 결제 페이지의 스크립트 무결성 관리가 필요합니다. SOC 2는 구현 메커니즘을 규정하지 않기 때문에, 많은 PCI 요구사항은 매핑이 아니라 느슨하게 관련됨으로 분류됩니다.

PCI DSS에서 SOC 2로 넘어갈 때는 대부분의 보안 기준이 이미 충족됩니다. 격차는 SOC 2의 선택 범주인 처리 무결성(Processing Integrity)과 개인정보 보호(Privacy)에서 발생하며, 이는 해당 범주를 포함하는 경우에 한합니다. 이 비교에서 SOC 2 측 내용은 ControlMapping의 편집 콘텐츠 매핑이며, 공개된 기계 판독 가능 SOC 2 대응표가 존재하지 않기 때문입니다.

핵심 요점

PCI 준수 결제 제공업체를 이용하고 카드 데이터를 자사 시스템 밖에 두면, PCI는 프로그램이 아니라 짧은 설문지 수준의 작업으로 줄어들 수 있습니다.
요구사항이 허용하는 범위에서는 SOC 2 증적을 PCI에도 재사용하되, PCI의 주기와 기술적 세부사항은 별도로 확인하십시오.
SOC 2 보고서에는 PCI 관련 통제를 기술할 수 있지만, PCI 준수 보고서(Report on Compliance) 또는 SAQ를 대체하지는 못합니다.

이 비교 결과 다운로드(CSV) 갭 분석에서 열기 →

SOC 2 보유 → PCI DSS 필요

요구사항 260건

매핑 75건 · · 매핑 없음 113건 갭 뷰에서 열기 →

PCI DSS v4.0.1 요구사항 260개 중 75개는 SOC 2의 항목에 매핑되고, 72개는 느슨하게만 관련되며, 113개는 보유 데이터에 매핑이 없습니다.

신규 작업이 필요할 가능성: SOC 2에 매핑되지 않은 PCI DSS 요구사항 (113)

PCI DSS	요구사항	일치	SOC 2	증거
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.2.5	Allowed services, protocols and ports approved	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.2.6	Security features defined for insecure services	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.2.7	Network security control rules reviewed every six months	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.2.8	Network security control configuration files secured	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.3.2	Outbound traffic from the CDE restricted	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.3.3	Network controls between wireless networks and the CDE	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.4.2	Inbound traffic from untrusted networks restricted	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.4.3	Anti-spoofing measures in place	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.4.4	Stored cardholder data not reachable from untrusted networks	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.4.5	Internal IP addresses and routing not disclosed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
2.2.4	Only necessary services and functions enabled	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
2.2.5	Insecure services justified and secured	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
2.2.6	System security parameters set to prevent misuse	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
2.2.7	Non-console administrative access encrypted	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
2.3.2	Wireless keys changed when key holders leave	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.3.1.2	Card verification code not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.3.1.3	PIN and PIN block not kept after authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.3.2	Sensitive authentication data encrypted before authorisation	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.3.3	Issuer storage of sensitive authentication data limited and protected	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.5.1.2	Disk-level encryption used only where it suffices	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.2	Key management: secure key distribution	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.3	Key management: secure key storage	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.5	Key management: retiring weakened or compromised keys	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.6	Key management: split knowledge and dual control	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.7	Key management: preventing unauthorised key substitution	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.8	Key custodians formally acknowledge their responsibilities	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
3.7.9	Service providers give customers key-handling guidance	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
4.2.2	PAN secured when sent by end-user messaging	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
5.3.3	Removable media scanned or analysed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
5.3.4	Anti-malware audit logs enabled and retained	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
5.3.5	Users cannot disable or alter anti-malware	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
6.5.2	PCI DSS requirements re-confirmed after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
6.5.3	Pre-production environments separated from production	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
6.5.4	Duties separated between production and pre-production	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
6.5.5	Live PANs not used in pre-production	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
6.5.6	Test data and accounts removed before go-live	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
7.2.5	System and application accounts least privilege	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
7.2.6	Access to cardholder data repositories restricted	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
7.3.1	Access control system restricts access by need	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
7.3.2	Access control system enforces assigned permissions	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
7.3.3	Access control system set to deny by default	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 8: Identify users and authenticate access to system components · 10
8.2.3	Service providers use unique credentials per customer	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.2.4	User ID changes authorised and controlled	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.2.5	Access revoked immediately on termination	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.2.7	Third-party remote access accounts enabled only when needed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.3.2	Authentication factors unreadable in transit and storage	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.3.3	Identity verified before changing authentication factors	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.3.4	Account lockout after repeated failed attempts	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.3.5	First-use and reset passwords unique and changed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.3.11	Tokens, smart cards and certificates assigned to individuals	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
8.6.1	Interactive use of system accounts managed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.3.3	Visitor badges returned or deactivated	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.3.4	Visitor log maintained and retained	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.4.1	Media with cardholder data physically secured	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.4.3	Media sent off site tracked and secured	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.4.4	Management approves media moved off site	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.4.5	Inventory logs of electronic media kept	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.4.5.1	Electronic media inventories at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.5.1	Card-reading (POI) devices protected from tampering	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
9.5.1.3	Staff trained to spot POI tampering	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 10: Log and monitor all access to system components and cardholder data · 12
10.2.1.1	Logs capture user access to cardholder data	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.2	Logs capture administrative actions	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.3	Logs capture access to audit logs	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.4	Logs capture invalid access attempts	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.5	Logs capture credential and privilege changes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.6	Logs capture starting, stopping or pausing logging	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.2.1.7	Logs capture system-level object changes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.4.2	Other logs reviewed periodically	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.4.3	Exceptions and anomalies addressed	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.6.2	Time configuration correct and consistent	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.7.1	Service providers detect security control failures	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
10.7.3	Security control failures responded to promptly	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.3.1.2	Internal scans use authenticated scanning	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.3.1.3	Internal scans after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.3.2.1	External scans after significant changes	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.1	Penetration testing methodology defined	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.2	Internal penetration test at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.3	External penetration test at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.5	Segmentation controls tested at least annually	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.6	Service providers test segmentation every six months	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.4.7	Multi-tenant providers support customer penetration tests	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.5.1.1	Service providers detect covert malware communication	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
11.5.2	Change-detection on critical files	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Requirement 12: Support information security with organizational policies and programs · 9
12.2.1	Acceptable use policies for end-user technologies	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.4.2.1	Service providers: quarterly review results documented	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.5.2.1	Service providers confirm scope every six months	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.6.2	Awareness programme reviewed annually	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.6.3.1	Training covers phishing and social engineering	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.6.3.2	Training covers acceptable use of technology	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.7.1	Personnel screened before hire	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
12.10.5	Plan covers alerts from security monitoring	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.1.2	Multi-tenant providers: customers confined to their own environment	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.1.3	Multi-tenant providers: customers reach only their own data	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.1.4	Multi-tenant providers: separation tested every six months	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.2.1	Multi-tenant providers: audit logging for each customer	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.2.2	Multi-tenant providers: support customer forensic investigations	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A2.1.1	POI terminals using SSL or early TLS not exploitable	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A2.1.2	Service providers: migration plan off SSL and early TLS	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.
A2.1.3	Service providers offer a secure connection option	보유 데이터에 매핑 없음	—	보유 데이터에 SOC 2에 대한 매핑이 없습니다.

확인 필요: 느슨하게만 관련됨(공통 CSF 결과에 따른 것이며 매핑은 아님) (72)

PCI DSS	요구사항	일치	SOC 2	증거
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
1.1.2	Roles for network security controls assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
1.2.4	Accurate account-data flow diagram maintained	느슨하게 관련됨	CC9.2 CC6.6 CC7.2+5	CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…만 공유: 관련은 있으나 매핑은 아님
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
2.1.2	Roles for secure configuration assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
2.3.1	Wireless vendor defaults changed	느슨하게 관련됨	CC6.1 C1.2 CC6.5+3	CSF PR.AA-03, PR.DS-02만 공유: 관련은 있으나 매핑은 아님
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
3.1.2	Roles for protecting stored account data assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
3.5.1.3	Disk encryption access managed separately from OS access	느슨하게 관련됨	CC6.1 C1.2 CC6.5+2	CSF PR.AA-03, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
3.6.1.1	Service providers document their cryptographic architecture	느슨하게 관련됨	CC6.1 C1.2 CC6.2+4	CSF PR.AA-01, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
3.6.1.2	Secret and private keys stored in approved forms	느슨하게 관련됨	CC6.1 C1.2 CC6.2+4	CSF PR.AA-01, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
3.6.1.3	Cleartext key components accessible to fewest custodians	느슨하게 관련됨	CC6.1 C1.2 CC6.2+4	CSF PR.AA-01, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
3.6.1.4	Keys stored in the fewest possible locations	느슨하게 관련됨	CC6.1 C1.2 CC6.2+4	CSF PR.AA-01, PR.DS-01만 공유: 관련은 있으나 매핑은 아님
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
4.1.2	Roles for protecting data in transit assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
5.1.2	Roles for malware protection assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
5.2.3	Systems without anti-malware periodically re-evaluated	느슨하게 관련됨	CC6.6 CC9.2	CSF PR.IR-01만 공유: 관련은 있으나 매핑은 아님
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+2	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
5.3.2.1	Scan frequency set by targeted risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC9.1	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
Requirement 6: Develop and maintain secure systems and software · 4
6.1.1	Secure systems and software policies documented	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
6.1.2	Roles for secure systems and software assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
6.2.3.1	Manual code reviews approved by someone else	느슨하게 관련됨	CC6.1	CSF ID.AM-08만 공유: 관련은 있으나 매핑은 아님
6.2.4	Coding techniques prevent common software attacks	느슨하게 관련됨	CC6.6 CC6.1 CC8.1+1	CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08만 공유: 관련은 있으나 매핑은 아님
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3 CC6.1+4	CSF GV.PO-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
7.1.2	Roles for access restriction assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
7.2.5.1	System and application account access periodically reviewed	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+5	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
Requirement 8: Identify users and authenticate access to system components · 13
8.1.1	Identification and authentication policies documented	느슨하게 관련됨	CC1.1 CC5.3 CC6.1+4	CSF GV.PO-02, PR.AA-05만 공유: 관련은 있으나 매핑은 아님
8.1.2	Roles for identification and authentication assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
8.2.2	Shared or generic accounts only by documented exception	느슨하게 관련됨	CC7.2	CSF DE.CM-03만 공유: 관련은 있으나 매핑은 아님
8.2.6	Inactive user accounts disabled within 90 days	느슨하게 관련됨	CC6.1 CC6.2 CC6.3+2	CSF PR.AA-05만 공유: 관련은 있으나 매핑은 아님
8.2.8	Re-authentication after 15 minutes idle	느슨하게 관련됨	C1.2 CC6.1 CC6.5+2	CSF PR.DS-10, PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.6	Minimum password length and complexity	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.7	Recent passwords cannot be reused	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.8	Authentication guidance communicated to users	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.9	Password-only access: change every 90 days or analyse risk	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.10	Service providers give customers password guidance	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.3.10.1	Service provider customer passwords: rotation or analysis	느슨하게 관련됨	CC6.1 CC6.6	CSF PR.AA-03만 공유: 관련은 있으나 매핑은 아님
8.6.2	No hard-coded passwords for system accounts	느슨하게 관련됨	CC6.1 CC6.2 CC6.3	CSF PR.AA-01만 공유: 관련은 있으나 매핑은 아님
8.6.3	System account passwords protected and changed	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+3	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3 CC6.4	CSF GV.PO-02, PR.IR-02만 공유: 관련은 있으나 매핑은 아님
9.1.2	Roles for physical security assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5+1	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
9.2.4	Consoles in sensitive areas locked when unattended	느슨하게 관련됨	CC6.1 CC6.4 CC6.6	CSF PR.AA-03, PR.AA-06만 공유: 관련은 있으나 매핑은 아님
9.4.1.2	Security of offline backup location reviewed annually	느슨하게 관련됨	A1.2 CC6.4	CSF PR.DS-11, RC.RP-03, DE.CM-02만 공유: 관련은 있으나 매핑은 아님
9.4.6	Hard-copy media destroyed when no longer needed	느슨하게 관련됨	C1.2 CC4.1 CC4.2+3	CSF PR.DS-01, GV.OC-03만 공유: 관련은 있으나 매핑은 아님
9.4.7	Electronic media destroyed or made unrecoverable	느슨하게 관련됨	A1.2 C1.2 CC4.1+4	CSF PR.DS-11, PR.DS-01, GV.OC-03만 공유: 관련은 있으나 매핑은 아님
9.5.1.1	Inventory of POI devices kept	느슨하게 관련됨	CC6.1 CC9.2 CC6.2+1	CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09만 공유: 관련은 있으나 매핑은 아님
9.5.1.2	POI devices inspected for tampering	느슨하게 관련됨	CC6.4 CC6.1 CC9.2	CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09만 공유: 관련은 있으나 매핑은 아님
9.5.1.2.1	Inspection frequency set by targeted risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+2	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
Requirement 10: Log and monitor all access to system components and cardholder data · 9
10.1.1	Logging and monitoring policies documented	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
10.1.2	Roles for logging and monitoring assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
10.2.2	Log entries record who, what, when, where and outcome	느슨하게 관련됨	CC7.4	CSF RS.AN-03, RS.AN-07만 공유: 관련은 있으나 매핑은 아님
10.3.1	Read access to logs limited to need	느슨하게 관련됨	CC7.2 CC7.3 CC7.4	CSF PR.PS-04, DE.AE-06, RS.AN-06만 공유: 관련은 있으나 매핑은 아님
10.3.3	Logs promptly backed up to a central server	느슨하게 관련됨	CC7.2 CC7.3 CC7.4	CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…만 공유: 관련은 있으나 매핑은 아님
10.3.4	File-integrity monitoring on logs	느슨하게 관련됨	CC7.2 CC6.8 CC7.4	CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06만 공유: 관련은 있으나 매핑은 아님
10.4.2.1	Review frequency set by targeted risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC7.2+2	CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04만 공유: 관련은 있으나 매핑은 아님
10.6.3	Time settings protected from change	느슨하게 관련됨	CC7.2	CSF PR.PS-04만 공유: 관련은 있으나 매핑은 아님
10.7.2	Critical security control failures detected and reported	느슨하게 관련됨	CC4.1 CC4.2	CSF GV.OV-03만 공유: 관련은 있으나 매핑은 아님
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	느슨하게 관련됨	CC1.1 CC5.3	CSF GV.PO-02만 공유: 관련은 있으나 매핑은 아님
11.1.2	Roles for security testing assigned	느슨하게 관련됨	CC1.2 CC1.3 CC1.5	CSF GV.RR-02만 공유: 관련은 있으나 매핑은 아님
11.2.1	Wireless access points detected and unauthorised ones handled	느슨하게 관련됨	CC6.6 CC7.2 CC9.2	CSF DE.CM-01, PR.IR-01만 공유: 관련은 있으나 매핑은 아님
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+3	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
11.4.4	Penetration test findings corrected and retested	느슨하게 관련됨	A1.2 A1.3 CC2.3+5	CSF RC.RP-05만 공유: 관련은 있으나 매핑은 아님
11.6.1	Payment page changes and tampering detected	느슨하게 관련됨	CC9.2 CC3.1 CC5.1+3	CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…만 공유: 관련은 있으나 매핑은 아님
Requirement 12: Support information security with organizational policies and programs · 8
12.3.2	Targeted risk analysis for customised approach	느슨하게 관련됨	CC3.1 CC5.1 CC9.1	CSF GV.RM-06만 공유: 관련은 있으나 매핑은 아님
12.3.3	Cipher suites and protocols reviewed annually	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+5	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
12.3.4	Hardware and software technologies reviewed annually	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+5	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
12.5.3	Service providers review scope after organisational change	느슨하게 관련됨	CC3.1 CC5.1 CC9.1	CSF GV.RM-03만 공유: 관련은 있으나 매핑은 아님
12.9.1	Service providers acknowledge responsibilities to customers	느슨하게 관련됨	CC9.2 CC3.1 CC4.1+1	CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…만 공유: 관련은 있으나 매핑은 아님
12.9.2	Service providers support customer compliance requests	느슨하게 관련됨	CC9.2 CC3.1 CC4.1+1	CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…만 공유: 관련은 있으나 매핑은 아님
12.10.4.1	Training frequency set by targeted risk analysis	느슨하게 관련됨	CC3.1 CC5.1 CC9.1+2	CSF GV.RM-03, GV.RM-06만 공유: 관련은 있으나 매핑은 아님
12.10.7	Procedures for PAN found where it shouldn't be	느슨하게 관련됨	C1.1	CSF ID.AM-07만 공유: 관련은 있으나 매핑은 아님

매핑됨 (75)

PCI DSS	요구사항	일치	SOC 2	증거
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	편집 콘텐츠	CC6.6	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
1.2.3	Accurate network diagram maintained	편집 콘텐츠	CC6.6	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
1.3.1	Inbound traffic to the CDE restricted	편집 콘텐츠	CC6.6	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
1.4.1	Network controls between trusted and untrusted networks	편집 콘텐츠	CC6.6	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	편집 콘텐츠	CC5.2 CC7.1	같은 주제: 보안 구성 (편집부 추천)
2.2.2	Vendor default accounts managed or removed	편집 콘텐츠	CC5.2 CC7.1	같은 주제: 보안 구성 (편집부 추천)
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	편집 콘텐츠	C1.2 CC6.5	같은 주제: 데이터 보호 (편집부 추천)
3.3.1	Sensitive authentication data not kept after authorisation	편집 콘텐츠	C1.2 CC6.5	같은 주제: 데이터 보호 (편집부 추천)
3.4.1	PAN masked when displayed	편집 콘텐츠	C1.2 CC6.5	같은 주제: 데이터 보호 (편집부 추천)
3.4.2	PAN copying prevented over remote-access technologies	편집 콘텐츠	CC6.7	같은 주제: DLP (편집부 추천)
3.5.1	PAN rendered unreadable wherever stored	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
3.6.1	Procedures protect keys that secure stored account data	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
3.7.1	Key management: strong key generation	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
3.7.4	Key management: key changes at end of cryptoperiod	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
4.2.1.1	Inventory of trusted keys and certificates kept	편집 콘텐츠	CC6.1 CC6.7	같은 주제: 암호화 (편집부 추천)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	편집 콘텐츠	CC6.8	같은 주제: 엔드포인트 보호 (편집부 추천)
5.2.2	Anti-malware detects, removes or contains known malware	편집 콘텐츠	CC6.8	같은 주제: 엔드포인트 보호 (편집부 추천)
5.3.2	Periodic scans or continuous behavioural analysis	편집 콘텐츠	CC6.8	같은 주제: 엔드포인트 보호 (편집부 추천)
5.4.1	Mechanisms to detect and protect against phishing	편집 콘텐츠	CC6.8	같은 주제: 이메일 보안 (편집부 추천)
Requirement 6: Develop and maintain secure systems and software · 9
6.2.1	Bespoke and custom software developed securely	편집 콘텐츠	CC8.1	같은 주제: 보안 개발 (편집부 추천)
6.2.2	Developers trained in secure software development	편집 콘텐츠	CC8.1	같은 주제: 보안 개발 (편집부 추천)
6.2.3	Custom code reviewed before release	편집 콘텐츠	CC8.1	같은 주제: 보안 개발 (편집부 추천)
6.3.1	Vulnerabilities identified and risk-ranked	편집 콘텐츠	CC7.1	같은 주제: 취약점 관리, 패치 관리 (편집부 추천)
6.3.2	Inventory of custom software and its components	편집 콘텐츠	CC6.1 CC9.2	같은 주제: 자산 관리, 공급망 위험 (편집부 추천)
6.3.3	Security patches installed promptly	편집 콘텐츠	CC7.1	같은 주제: 패치 관리 (편집부 추천)
6.4.1	Public web applications protected against attacks	편집 콘텐츠	CC6.6	같은 주제: 웹 보안 (편집부 추천)
6.4.2	Automated solution blocks attacks on public web apps	편집 콘텐츠	CC6.6	같은 주제: WAF (편집부 추천)
6.4.3	Payment page scripts authorised and integrity-checked	편집 콘텐츠	CC6.6	같은 주제: 웹 보안 (편집부 추천)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	편집 콘텐츠	CC6.1 CC6.2 CC6.3+1	같은 주제: 접근 통제 (편집부 추천)
7.2.2	Access assigned by job function and least privilege	편집 콘텐츠	CC6.1 CC6.2 CC6.3	같은 주제: 접근 통제, 특권 접근 (편집부 추천)
7.2.4	User accounts and privileges reviewed every six months	편집 콘텐츠	CC6.1 CC6.2 CC6.3	같은 주제: 접근 통제 (편집부 추천)
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	편집 콘텐츠	CC6.1 CC6.2 CC6.3	같은 주제: 접근 통제 (편집부 추천)
8.3.1	User and admin access requires an authentication factor	편집 콘텐츠	CC6.6	같은 주제: 제로 트러스트 (편집부 추천)
8.4.1	MFA for non-console administrative access to the CDE	편집 콘텐츠	CC6.1	같은 주제: 다단계 인증 (편집부 추천)
8.4.2	MFA for all access into the CDE	편집 콘텐츠	CC6.1	같은 주제: 다단계 인증 (편집부 추천)
8.4.3	MFA for remote network access	편집 콘텐츠	CC6.1	같은 주제: 다단계 인증 (편집부 추천)
8.5.1	MFA systems configured to resist misuse	편집 콘텐츠	CC6.1	같은 주제: 다단계 인증 (편집부 추천)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.2.1.1	Access to sensitive areas monitored by camera or access control	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.2.3	Physical access to network hardware restricted	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.3.1	Personnel physical access authorised and managed	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.3.1.1	Sensitive-area access authorised and revoked promptly	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.3.2	Visitor access authorised, escorted and identifiable	편집 콘텐츠	CC6.4	같은 주제: 물리적 보안 (편집부 추천)
9.4.1.1	Offline backup media stored securely	편집 콘텐츠	A1.2	같은 주제: 백업 및 복구 (편집부 추천)
9.4.2	Media classified by data sensitivity	편집 콘텐츠	C1.1	같은 주제: 데이터 분류 (편집부 추천)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	편집 콘텐츠	CC7.2	같은 주제: 로깅 및 감사 (편집부 추천)
10.3.2	Logs protected from modification	편집 콘텐츠	CC7.2 CC7.4	같은 주제: 로깅 및 감사, 포렌식 (편집부 추천)
10.4.1	Security event and critical logs reviewed daily	편집 콘텐츠	CC7.2 CC7.3	같은 주제: 지속적 모니터링, SIEM / SOC (편집부 추천)
10.4.1.1	Automated mechanisms for log review	편집 콘텐츠	CC7.2	같은 주제: 이상 징후 탐지 (편집부 추천)
10.5.1	Audit logs retained 12 months, three immediately available	편집 콘텐츠	CC7.2	같은 주제: 로깅 및 감사 (편집부 추천)
10.6.1	System clocks synchronised	편집 콘텐츠	CC7.2	같은 주제: 로깅 및 감사 (편집부 추천)
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	편집 콘텐츠	CC7.1	같은 주제: 취약점 관리 (편집부 추천)
11.3.2	External ASV scans every three months	편집 콘텐츠	CC7.1	같은 주제: 취약점 관리 (편집부 추천)
11.5.1	Intrusion detection or prevention on network traffic	편집 콘텐츠	CC7.2	같은 주제: 침입 탐지 (편집부 추천)
Requirement 12: Support information security with organizational policies and programs · 20
12.1.1	Information security policy established and published	편집 콘텐츠	CC1.1 CC5.3	같은 주제: 거버넌스 정책 (편집부 추천)
12.1.2	Security policy reviewed at least annually	편집 콘텐츠	CC1.1 CC5.3	같은 주제: 거버넌스 정책 (편집부 추천)
12.1.3	Security roles and responsibilities defined	편집 콘텐츠	CC1.2 CC1.3 CC1.5	같은 주제: 역할 및 책임 (편집부 추천)
12.1.4	Executive responsibility for information security assigned	편집 콘텐츠	CC1.2 CC1.3 CC1.5	같은 주제: 역할 및 책임 (편집부 추천)
12.3.1	Targeted risk analysis for flexible-frequency requirements	편집 콘텐츠	CC3.1 CC3.2 CC3.3+3	같은 주제: 위험 관리, 위험 평가 (편집부 추천)
12.4.2	Service providers: quarterly reviews of operational tasks	편집 콘텐츠	CC4.1 CC4.2	같은 주제: 컴플라이언스 (편집부 추천)
12.5.1	Inventory of in-scope system components	편집 콘텐츠	CC6.1	같은 주제: 자산 관리 (편집부 추천)
12.5.2	PCI DSS scope confirmed annually and on change	편집 콘텐츠	CC3.1	같은 주제: 사업 환경 (편집부 추천)
12.6.1	Formal security awareness programme	편집 콘텐츠	CC1.4 CC2.2	같은 주제: 인식 제고 및 교육 (편집부 추천)
12.6.3	Awareness training on hire and at least annually	편집 콘텐츠	CC1.4 CC2.2	같은 주제: 인식 제고 및 교육 (편집부 추천)
12.8.1	List of third-party service providers kept	편집 콘텐츠	CC9.2	같은 주제: 공급망 위험, 클라우드 보안, 벤더 리스크 관리 (편집부 추천)
12.8.2	Written agreements with service providers	편집 콘텐츠	CC9.2	같은 주제: 벤더 리스크 관리 (편집부 추천)
12.8.3	Due diligence before engaging service providers	편집 콘텐츠	CC9.2	같은 주제: 벤더 리스크 관리 (편집부 추천)
12.8.4	Service provider compliance monitored annually	편집 콘텐츠	CC9.2	같은 주제: 벤더 리스크 관리 (편집부 추천)
12.8.5	Responsibilities split with each provider documented	편집 콘텐츠	CC9.2	같은 주제: 클라우드 보안, 벤더 리스크 관리 (편집부 추천)
12.10.1	Incident response plan ready to activate	편집 콘텐츠	A1.1 A1.2 A1.3+5	같은 주제: 비즈니스 연속성, 재해 복구, 복구 계획 수립 (편집부 추천)
12.10.2	Incident response plan reviewed and tested annually	편집 콘텐츠	CC7.3 CC7.4	같은 주제: 사고 대응 (편집부 추천)
12.10.3	Incident response staff available around the clock	편집 콘텐츠	CC7.3 CC7.4	같은 주제: 사고 대응 (편집부 추천)
12.10.4	Incident response staff trained	편집 콘텐츠	CC7.3 CC7.4	같은 주제: 사고 대응 (편집부 추천)
12.10.6	Plan updated from lessons learned and industry changes	편집 콘텐츠	CC7.5	같은 주제: 교훈 도출 (편집부 추천)

PCI DSS 보유 → SOC 2 필요

요구사항 61건

매핑 37건 · · 매핑 없음 24건 갭 뷰에서 열기 →

SOC 2 (Trust Services Criteria) 요구사항 61개 중 37개는 PCI DSS의 항목에 매핑되고, 0개는 느슨하게만 관련되며, 24개는 보유 데이터에 매핑이 없습니다.

AICPA의 SOC 2 매핑은 공개 라이선스가 적용되지 않으므로, 이 사이트의 모든 SOC 2 링크는 ControlMapping 편집부의 판단입니다. 아직 매핑하지 않은 기준은 일치 여부를 확인할 수 없습니다. 처리 무결성(PI) 기준 및 대부분의 개인정보 보호(P) 기준은 보안 프레임워크에 대응하는 항목이 없습니다.

신규 작업이 필요할 가능성: PCI DSS에 매핑되지 않은 SOC 2 요구사항 (24)

SOC 2	요구사항	일치	PCI DSS	증거
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P Privacy · 18
P1.1	Privacy notice	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P2.1	Choice and consent	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P3.1	Collection limited to privacy objectives	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P3.2	Explicit consent where required	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P4.1	Use limited to privacy objectives	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P4.2	Retention of personal information	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P4.3	Disposal of personal information	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P5.1	Data subject access	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P5.2	Correction of personal information	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.1	Disclosure to third parties with consent	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.2	Record of authorized disclosures	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.3	Record of unauthorized disclosures	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.4	Privacy commitments from third parties	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.5	Notification by third parties of unauthorized disclosures	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.6	Breach notification to affected individuals	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P6.7	Accounting of disclosures to data subjects	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P7.1	Quality of personal information	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
P8.1	Handling privacy inquiries, complaints and disputes	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
PI1.2	Controls over system inputs	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
PI1.3	Controls over system processing	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
PI1.4	Controls over system outputs	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.
PI1.5	Storing inputs, items in processing and outputs	보유 데이터에 매핑 없음	—	보유 데이터에 PCI DSS에 대한 매핑이 없습니다.

매핑됨 (37)

SOC 2	요구사항	일치	PCI DSS	증거
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	편집 콘텐츠	12.10.1	같은 주제: 비즈니스 연속성 (편집부 추천)
A1.2	Environmental protections, backups and recovery infrastructure	편집 콘텐츠	9.4.1.1 12.10.1	같은 주제: 백업 및 복구, 비즈니스 연속성, 재해 복구 (편집부 추천)
A1.3	Testing recovery plan procedures	편집 콘텐츠	12.10.1	같은 주제: 복구 계획 수립, 재해 복구 (편집부 추천)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	편집 콘텐츠	9.4.2	같은 주제: 데이터 분류 (편집부 추천)
C1.2	Disposing of confidential information	편집 콘텐츠	3.2.1 3.3.1 3.4.1	같은 주제: 데이터 보호 (편집부 추천)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	편집 콘텐츠	12.1.1 12.1.2	같은 주제: 거버넌스 정책 (편집부 추천)
CC1.2	Board independence and oversight of internal control	편집 콘텐츠	12.1.3 12.1.4	같은 주제: 역할 및 책임 (편집부 추천)
CC1.3	Structures, reporting lines, authorities and responsibilities	편집 콘텐츠	12.1.3 12.1.4	같은 주제: 역할 및 책임 (편집부 추천)
CC1.4	Commitment to attracting, developing and retaining competent people	편집 콘텐츠	12.6.1 12.6.3	같은 주제: 인식 제고 및 교육 (편집부 추천)
CC1.5	Accountability for internal control responsibilities	편집 콘텐츠	12.1.3 12.1.4	같은 주제: 역할 및 책임 (편집부 추천)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	편집 콘텐츠	12.6.1 12.6.3	같은 주제: 인식 제고 및 교육 (편집부 추천)
CC2.3	Communication with external parties	편집 콘텐츠	12.10.1	같은 주제: 보고 (편집부 추천)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	편집 콘텐츠	12.3.1 12.5.2	같은 주제: 위험 관리, 사업 환경 (편집부 추천)
CC3.2	Risk identification and analysis	편집 콘텐츠	12.3.1	같은 주제: 위험 평가 (편집부 추천)
CC3.3	Considering the potential for fraud	편집 콘텐츠	12.3.1	같은 주제: 위험 평가 (편집부 추천)
CC3.4	Identifying and assessing significant changes	편집 콘텐츠	12.3.1	같은 주제: 위험 평가 (편집부 추천)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	편집 콘텐츠	12.4.2	같은 주제: 컴플라이언스 (편집부 추천)
CC4.2	Communicating and remediating control deficiencies	편집 콘텐츠	12.4.2	같은 주제: 컴플라이언스 (편집부 추천)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	편집 콘텐츠	12.3.1	같은 주제: 위험 관리 (편집부 추천)
CC5.2	General controls over technology	편집 콘텐츠	2.2.1 2.2.2	같은 주제: 보안 구성 (편집부 추천)
CC5.3	Control activities deployed through policies and procedures	편집 콘텐츠	12.1.1 12.1.2	같은 주제: 거버넌스 정책 (편집부 추천)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	편집 콘텐츠	3.5.1 3.6.1 3.7.1+13	같은 주제: 암호화 (편집부 추천)
CC6.2	User registration, authorization and removal	편집 콘텐츠	7.2.1 7.2.2 7.2.4+1	같은 주제: 접근 통제 (편집부 추천)
CC6.3	Role-based access, least privilege and segregation of duties	편집 콘텐츠	7.2.1 7.2.2 7.2.4+1	같은 주제: 접근 통제, 특권 접근 (편집부 추천)
CC6.4	Physical access restrictions	편집 콘텐츠	9.2.1 9.2.1.1 9.2.3+3	같은 주제: 물리적 보안 (편집부 추천)
CC6.5	Protection of data when assets are disposed of	편집 콘텐츠	3.2.1 3.3.1 3.4.1	같은 주제: 데이터 보호 (편집부 추천)
CC6.6	Protection against threats from outside system boundaries	편집 콘텐츠	1.2.1 1.2.3 1.3.1+6	같은 주제: 방화벽 / 네트워크 분리 (편집부 추천)
CC6.7	Restricting transmission, movement and removal of information	편집 콘텐츠	3.4.2 3.5.1 3.6.1+4	같은 주제: DLP, 암호화 (편집부 추천)
CC6.8	Preventing or detecting unauthorized or malicious software	편집 콘텐츠	5.2.1 5.2.2 5.3.2+1	같은 주제: 엔드포인트 보호 (편집부 추천)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	편집 콘텐츠	2.2.1 2.2.2 6.3.1+3	같은 주제: 보안 구성, 취약점 관리, 패치 관리 (편집부 추천)
CC7.2	Monitoring system components for anomalies	편집 콘텐츠	10.2.1 10.3.2 10.4.1+4	같은 주제: 로깅 및 감사, 지속적 모니터링 (편집부 추천)
CC7.3	Evaluating security events to determine if they are incidents	편집 콘텐츠	10.4.1 12.10.1 12.10.2+2	같은 주제: SIEM / SOC, 사고 대응 (편집부 추천)
CC7.4	Responding to identified security incidents	편집 콘텐츠	10.3.2 12.10.1 12.10.2+2	같은 주제: 포렌식, 사고 대응, 완화 (편집부 추천)
CC7.5	Recovering from identified security incidents	편집 콘텐츠	12.10.1 12.10.6	같은 주제: 복구 계획 수립, 교훈 도출 (편집부 추천)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	편집 콘텐츠	6.2.1 6.2.2 6.2.3	같은 주제: 보안 개발 (편집부 추천)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	편집 콘텐츠	12.3.1 12.10.1	같은 주제: 위험 관리, 비즈니스 연속성 (편집부 추천)
CC9.2	Managing vendor and business partner risk	편집 콘텐츠	6.3.2 12.8.1 12.8.2+3	같은 주제: 공급망 위험, 클라우드 보안, 벤더 리스크 관리 (편집부 추천)

주제별

양쪽 모두 포함 (43):

SOC 2만 해당 (3):

모바일 보안 커뮤니케이션 커뮤니케이션 및 복구

PCI DSS만 해당 (3):

위협 인텔리전스 API 보안 내부자 위협

요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.

대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · 느슨하게 관련됨 CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 매핑됨 = ControlMapping 주제에 함께 큐레이션되었거나 직접 연결됨. 크로스워크가 준수를 증명하지는 않습니다. 방법론 · 데이터 다운로드 · 오류 신고.