Evidências reutilizáveis entre SOC 2, ISO 27001 e PCI DSS

Uma organização com SOC 2, ISO 27001 e PCI DSS pode facilmente gastar mais tempo respondendo a solicitações de evidências do que executando controles. Cada auditor pede "a revisão de acessos", "as varreduras de vulnerabilidades", "o teste de incidentes", em formatos ligeiramente diferentes e para períodos ligeiramente diferentes. A maior parte dessas evidências é a mesma. O segredo é coletá-las uma única vez, em um formato que atenda ao mais exigente dos três.

Por que a sobreposição é grande

Os três frameworks compartilham a maior parte de seu conteúdo de segurança. Partindo da ISO 27001 para o SOC 2, por exemplo:

Dos 61 critérios de SOC 2, 41 (67%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 20 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Já da ISO 27001 para o PCI DSS, a sobreposição é menor, mas ainda substancial em governança e processos:

Dos 260 requisitos de PCI DSS, 77 (30%) mapeiam para algo em ISO 27001, 76 são apenas vagamente relacionados e 107 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Onde os requisitos têm correspondência, as evidências geralmente também se sobrepõem.

Evidências que atendem às três

Evidência	SOC 2	ISO 27001	PCI DSS
Revisões de acesso de usuários (com aprovação e alterações realizadas)	CC6.2, CC6.3	A.5.18	7.2.4 (a cada seis meses)
Tickets de admissão e desligamento com aprovações	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
Tickets de mudança com revisão, testes e aprovação	CC8.1	A.8.32	6.5.1, 6.5.2
Resultados de varreduras de vulnerabilidades e remediação	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
Relatórios de testes de intrusão e reteste	CC4.1, CC7.1	A.8.8	11.4.1 a 11.4.4
Registro de incidentes e teste de resposta	CC7.3 a CC7.5	A.5.24 a A.5.27	12.10.1, 12.10.2
Registros de treinamento de conscientização em segurança	CC1.4, CC2.2	A.6.3	12.6.1 a 12.6.3
Registros de diligência prévia de fornecedores	CC9.2	A.5.19 a A.5.22	12.8.1 a 12.8.5
Testes de restauração de backup	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
Avaliação de riscos e sua revisão	CC3.1 a CC3.4	6.1.2, 8.2	12.3.1

Coletar segundo o padrão mais rigoroso

• Frequência: o PCI DSS costuma definir a cadência mais curta (revisões de acesso semestrais, varreduras trimestrais). Execute os controles na frequência do PCI e os demais estarão atendidos.
• Período: o SOC 2 Tipo II amostra todo o período de observação. Mantenha as evidências continuamente, e não apenas antes das auditorias.
• Completude: auditores ISO podem perguntar como você sabe que a população está completa. Mantenha a lista completa (todos os desligamentos, todas as mudanças), e não apenas os exemplos que você escolheria.
• Proveniência: evidências geradas pelo sistema (exportações, logs, tickets com carimbo de data/hora) são superiores a capturas de tela de uma tela que alguém organizou.

Uma estrutura simples

Um único repositório de evidências, organizado por controle e não por framework. Cada pasta de controle guarda as evidências de cada período, com nomenclatura consistente, e um índice curto indicando quais requisitos de cada framework ela atende. Quando um auditor pedir "evidência de 7.2.4", você consulta o controle, não o framework.

Principais conclusões

• A maior parte das evidências (revisões de acesso, tickets de mudança, varreduras, registros de incidentes, treinamentos) atende simultaneamente SOC 2, ISO 27001 e PCI DSS.
• Colete segundo o padrão mais rigoroso: as frequências do PCI e o período contínuo do SOC 2.
• Organize as evidências por controle, não por framework, com um índice do que cada item atende.
• Alguns itens não são reaproveitáveis, em especial as varreduras ASV e os registros do sistema de gestão ISO.

O que não é reaproveitável

• Varreduras específicas do PCI: as varreduras externas devem ser realizadas por um Fornecedor Aprovado de Varredura (ASV).
• Análises de risco direcionadas do PCI para requisitos de frequência flexível.
• Registros do sistema de gestão ISO: relatórios de auditoria interna, atas de análise crítica pela direção e registros de ações corretivas são específicos da ISO (embora auditores SOC 2 valorizem esses itens).
• Descrição do sistema SOC 2: sua própria narrativa do sistema no escopo.

Nosso artigo sobre um único conjunto de controles para SOC 2 e ISO 27001 trata do desenho dos controles; a análise de lacunas lista os mapeamentos entre quaisquer dois frameworks.

Perguntas

A mesma evidência pode ser usada para SOC 2 e ISO 27001?

Geralmente, sim. Ambos buscam comprovação de que os controles funcionam: tickets, revisões, resultados de varreduras, registros de treinamento. O SOC 2 Tipo II exige amostras de todo o período de observação, por isso colete continuamente.

Que evidências o PCI DSS exige que o SOC 2 não exige?

Evidências de frequências e configurações específicas do PCI: varreduras internas trimestrais e varreduras externas ASV, revisões semestrais de acessos e de regras de firewall, análises de risco direcionadas e configurações específicas para dados de titulares de cartão.

Por quanto tempo as evidências de auditoria devem ser mantidas?

No mínimo até o encerramento do próximo ciclo de auditoria, e por mais tempo quando um framework ou uma lei exigir; o PCI DSS, por exemplo, exige 12 meses de histórico de logs de auditoria.