프레임워크
SOC 2 (Trust Services Criteria)
개요
서비스 조직의 통제를 신뢰 서비스 기준(Trust Services Criteria)에 따라 보고하기 위한 AICPA의 프레임워크입니다. 보안은 항상 포함되며, 가용성, 기밀성, 처리 무결성, 개인정보보호는 선택적으로 포함할 수 있습니다.
필요한 대상
고객이 데이터를 맡기기 전에 확신을 얻고자 하는 서비스 조직, 특히 소프트웨어 및 클라우드 기업이 대상입니다. 법적 요구사항이라기보다는 주로 미국 고객으로부터 나오는 시장의 기대 사항입니다.
평가 방식
면허를 보유한 CPA 법인이 통제를 검토하고 보고서를 발행합니다. Type I은 특정 시점의 설계를 다루고, Type II는 보통 3개월에서 12개월에 걸친 기간 동안의 운영 효과성을 다룹니다. 별도의 인증서는 발급되지 않습니다. 자세한 내용은 SOC 2 보고서 취득 방법을 참고하십시오.
61
기준
41
다른 프레임워크에 매핑됨
92%
다루는 주제 (46/50)
AICPA의 SOC 2 매핑은 공개 라이선스가 적용되지 않으므로, 이 사이트의 모든 SOC 2 링크는 ControlMapping 편집부의 판단입니다. 아직 매핑하지 않은 기준은 일치 여부를 확인할 수 없습니다. 처리 무결성(PI) 기준 및 대부분의 개인정보 보호(P) 기준은 보안 프레임워크에 대응하는 항목이 없습니다.
비교 자료
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | 비즈니스 연속성 | 8 / 13 |
| A1.2 | Environmental protections, backups and recovery infrastructure | 백업 및 복구, 비즈니스 연속성, 재해 복구 | 11 / 13 |
| A1.3 | Testing recovery plan procedures | 복구 계획 수립, 재해 복구 | 10 / 13 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | 데이터 분류 | 9 / 13 |
| C1.2 | Disposing of confidential information | 데이터 보호 | 11 / 13 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | 거버넌스 정책 | 9 / 13 |
| CC1.2 | Board independence and oversight of internal control | 역할 및 책임 | 9 / 13 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 역할 및 책임 | 9 / 13 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 인식 제고 및 교육 | 10 / 13 |
| CC1.5 | Accountability for internal control responsibilities | 역할 및 책임 | 9 / 13 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 1 / 13 |
| CC2.2 | Internal communication of objectives and responsibilities | 인식 제고 및 교육 | 10 / 13 |
| CC2.3 | Communication with external parties | 커뮤니케이션, 보고, 커뮤니케이션 및 복구 | 12 / 13 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | 위험 관리, 사업 환경 | 10 / 13 |
| CC3.2 | Risk identification and analysis | 위험 평가 | 10 / 13 |
| CC3.3 | Considering the potential for fraud | 위험 평가 | 10 / 13 |
| CC3.4 | Identifying and assessing significant changes | 위험 평가 | 10 / 13 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | 컴플라이언스 | 10 / 13 |
| CC4.2 | Communicating and remediating control deficiencies | 컴플라이언스 | 10 / 13 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | 위험 관리 | 10 / 13 |
| CC5.2 | General controls over technology | 보안 구성 | 9 / 13 |
| CC5.3 | Control activities deployed through policies and procedures | 거버넌스 정책 | 9 / 13 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | 자산 관리, 접근 통제, 다단계 인증, 암호화 | 13 / 13 |
| CC6.2 | User registration, authorization and removal | 접근 통제 | 11 / 13 |
| CC6.3 | Role-based access, least privilege and segregation of duties | 접근 통제, 특권 접근 | 12 / 13 |
| CC6.4 | Physical access restrictions | 물리적 보안 | 8 / 13 |
| CC6.5 | Protection of data when assets are disposed of | 데이터 보호 | 11 / 13 |
| CC6.6 | Protection against threats from outside system boundaries | 방화벽 / 네트워크 분리, 웹 보안, 제로 트러스트, WAF | 9 / 13 |
| CC6.7 | Restricting transmission, movement and removal of information | 암호화, 모바일 보안, DLP | 11 / 13 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | 엔드포인트 보호, 이메일 보안 | 10 / 13 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 취약점 관리, 패치 관리, 보안 구성 | 13 / 13 |
| CC7.2 | Monitoring system components for anomalies | 지속적 모니터링, 로깅 및 감사, 침입 탐지, 이상 징후 탐지 | 11 / 13 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, 사고 대응 | 12 / 13 |
| CC7.4 | Responding to identified security incidents | 사고 대응, 포렌식, 완화 | 12 / 13 |
| CC7.5 | Recovering from identified security incidents | 복구 계획 수립, 교훈 도출, 커뮤니케이션 및 복구 | 11 / 13 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | 보안 개발 | 8 / 13 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | 위험 관리, 비즈니스 연속성 | 10 / 13 |
| CC9.2 | Managing vendor and business partner risk | 공급망 위험, 클라우드 보안, 벤더 리스크 관리 | 12 / 13 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | 없음 |
| P2.1 | Choice and consent | — | 없음 |
| P3.1 | Collection limited to privacy objectives | — | 없음 |
| P3.2 | Explicit consent where required | — | 없음 |
| P4.1 | Use limited to privacy objectives | — | 없음 |
| P4.2 | Retention of personal information | — | 1 / 13 |
| P4.3 | Disposal of personal information | — | 1 / 13 |
| P5.1 | Data subject access | — | 없음 |
| P5.2 | Correction of personal information | — | 없음 |
| P6.1 | Disclosure to third parties with consent | — | 없음 |
| P6.2 | Record of authorized disclosures | — | 없음 |
| P6.3 | Record of unauthorized disclosures | — | 없음 |
| P6.4 | Privacy commitments from third parties | — | 없음 |
| P6.5 | Notification by third parties of unauthorized disclosures | — | 없음 |
| P6.6 | Breach notification to affected individuals | — | 1 / 13 |
| P6.7 | Accounting of disclosures to data subjects | — | 없음 |
| P7.1 | Quality of personal information | — | 없음 |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | 없음 |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | 없음 |
| PI1.2 | Controls over system inputs | — | 없음 |
| PI1.3 | Controls over system processing | — | 없음 |
| PI1.4 | Controls over system outputs | — | 없음 |
| PI1.5 | Storing inputs, items in processing and outputs | — | 없음 |
주제 커버리지
SOC 2 요구사항과 매핑된 주제 (46개):
거버넌스 정책인식 제고 및 교육위험 관리공급망 위험역할 및 책임컴플라이언스자산 관리위험 평가사업 환경데이터 분류취약점 관리접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안WAFDLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응포렌식커뮤니케이션완화보고복구 계획 수립비즈니스 연속성교훈 도출커뮤니케이션 및 복구재해 복구벤더 리스크 관리물리적 보안
보유 데이터에 매핑 없음 SOC 2 요구사항 없음 (4):