Comparação

ISO 27001 vs PCI DSS: um sistema de gestão vs regras prescritivas para dados de cartão

ISO/IEC 27001:2022 · PCI DSS v4.0.1 · dados de 2026-10-27

Por Paul Gillet · Atualizado em 2026-10-17

O PCI DSS v4.0.1 é um requisito contratual imposto pelas bandeiras de cartões a qualquer organização que armazene, processe ou transmita dados do titular do cartão. Ele é prescritivo: cerca de 250 requisitos definidos, com procedimentos de teste, validados por um Qualified Security Assessor (QSA) ou por um Questionário de Autoavaliação, conforme o seu nível. A ISO/IEC 27001 é baseada em riscos: você escolhe e justifica os controles para um escopo que você define.

Um SGSI conforme a ISO 27001 oferece uma base sólida para o trabalho de PCI. Governança, avaliação de riscos, políticas, controle de acesso, registro de logs e gestão de incidentes são aproveitados, e o processo de riscos da ISO ajuda nas análises de risco direcionadas do PCI DSS v4.0.

Ao passar da ISO para o PCI DSS, espere muitos requisitos sem correspondência e apenas vagamente relacionados. Isso não acontece porque a ISO seja mais fraca, mas porque o PCI especifica exatamente o que fazer e com que frequência: regras de controles de segurança de rede para o ambiente de dados do titular do cartão, proteção dos dados de contas armazenados e dos PANs, requisitos específicos de autenticação e MFA, varreduras trimestrais e testes de penetração anuais, monitoramento de integridade de arquivos e controles de scripts na página de pagamento. Parte disso também é uma limitação de dados: a Correspondência do NIST com o PCI cobre apenas parte do padrão, então alguns requisitos do PCI não têm vínculo publicado com nada.

Na transição do PCI DSS para a ISO, a cobertura do Anexo A é boa, e a lacuna está no sistema de gestão: escopo do SGSI, objetivos, informações documentadas, auditoria interna e análise crítica pela direção.

Em resumo

	ISO 27001	PCI DSS
O que protege	Todas as informações no escopo do SGSI	Dados de contas de pagamento e os sistemas ao seu redor
Grau de prescrição	Baseado em riscos: você escolhe os controles	Prescritivo: requisitos específicos, muitos com frequências definidas
Quem exige	Clientes e licitações	Bandeiras de cartões, por meio de contratos com adquirentes
Avaliação	Organismo de certificação	Relatório de Conformidade (ROC) emitido por QSA, ou Questionário de Autoavaliação
Frequência	Vigilância anual, recertificação a cada três anos	Anual, com varreduras externas trimestrais

Usando a ISO 27001 para o PCI DSS

Um SGSI que inclui o ambiente de dados do titular do cartão em seu escopo cobre grande parte do trabalho de políticas, riscos e governança do PCI DSS, e muitas áreas técnicas se alinham. O trabalho novo costuma ser as configurações e frequências específicas do PCI: varreduras externas trimestrais por um Fornecedor Aprovado de Varredura (ASV), MFA para todos os acessos ao ambiente de dados do titular do cartão, controles de scripts na página de pagamento, cadências de revisão de logs e detalhes de gestão de chaves. A lista “sem mapeamento” abaixo é onde procurar.

Quem precisa de quê

O PCI DSS se aplica a qualquer organização que armazene, processe ou transmita dados de cartões de pagamento, ou que possa afetar sua segurança, pois as bandeiras o exigem por meio de contratos com adquirentes. A forma de validação depende do seu nível: os maiores comerciantes e provedores de serviços precisam de um Relatório de Conformidade anual emitido por um QSA; a maioria dos demais preenche um Questionário de Autoavaliação. A ISO 27001 é voluntária e mais ampla: cobre toda a segurança da informação da organização, não apenas os dados de cartão, e termina em um certificado que os clientes reconhecem.

Reduza o escopo do PCI antes de criar controles

O requisito do PCI DSS mais barato é aquele que não se aplica a você. Antes de mapear controles da ISO para o PCI, reduza o ambiente de dados do titular do cartão:

Terceirize a página de pagamento. Um site de e-commerce que redireciona para, ou incorpora, a página de um provedor de pagamento em conformidade com o PCI mantém os dados de cartão fora dos seus próprios servidores e pode se qualificar para o questionário mais curto, SAQ A.
Tokenize. Substitua os números de cartão armazenados por tokens do seu provedor de pagamento, para que você nunca mantenha números de conta primários.
Segmente. Isole os sistemas que precisam tocar dados de cartão do restante e teste a segmentação.

Cada sistema retirado do escopo elimina dezenas de requisitos de uma só vez.

Custo e esforço

Para uma organização certificada na ISO, o custo do PCI DSS depende quase totalmente do escopo. Com uma página de pagamento totalmente terceirizada, o trabalho pode resumir-se a um questionário curto e alguns controles. Com dados de cartão nos seus próprios sistemas, espere trabalho substancial nos Requisitos 3 (dados armazenados), 8 (autenticação), 10 (registro de logs) e 11 (testes), além de varreduras externas trimestrais por um Fornecedor Aprovado de Varredura (ASV) e, em níveis mais altos, uma avaliação por QSA. O trabalho de governança é leve, pois o SGSI já cobre a maior parte do Requisito 12.

Cronograma

Planeje primeiro a redução de escopo; ela pode mudar completamente o cronograma. Para um ambiente dentro do escopo, uma organização certificada na ISO normalmente precisa de três a nove meses para fechar as lacunas técnicas específicas do PCI antes da primeira avaliação, e as varreduras trimestrais devem estar em execução antes da data da avaliação. Encaixe as frequências fixas do PCI (varreduras trimestrais, revisões semestrais, testes anuais) no calendário do SGSI, para que a auditoria interna as verifique junto com todo o restante.

Exemplo prático: um varejista online

Um varejista online de porte médio é certificado na ISO 27001 para sua plataforma de e-commerce e processa pagamentos com cartão em seus próprios servidores. Seu adquirente solicita a validação do PCI DSS. A análise de lacunas mostra forte sobreposição em governança, resposta a incidentes e gestão de fornecedores, mas grandes lacunas nos Requisitos 3 (dados de contas armazenados), 6.4 (segurança da página de pagamento) e 11 (varreduras ASV e testes de penetração).

O varejista primeiro reestrutura o checkout para uma página de pagamento incorporada, fornecida pelo seu provedor de pagamento, e tokeniza os cartões armazenados. Seus próprios sistemas deixam de tocar os números de cartão, a maior parte da lacuna desaparece, e ele faz a validação com um questionário de autoavaliação curto. Os controles ISO cobrem o que resta, com as frequências do PCI escritas nos procedimentos existentes.

Erros comuns

Mapear antes de definir o escopo. Criar controles para um ambiente de dados do titular do cartão que a tokenização ou uma página de pagamento terceirizada poderiam ter eliminado.
Usar frequências da ISO. Uma revisão anual de acessos atende à ISO; o PCI DSS exige a cada seis meses. Projete conforme a cadência do PCI.
Esquecer o ASV. As varreduras externas devem ser feitas por um Fornecedor Aprovado de Varredura, trimestralmente, com resultados aprovados.
Tratar o certificado ISO como evidência do PCI. Os avaliadores precisam de evidências específicas do PCI para cada requisito.
Negligenciar a página de pagamento. O gerenciamento de scripts e a detecção de adulteração nas páginas de pagamento estão entre os requisitos da v4.0.1 mais frequentemente esquecidos.

Principais conclusões

No PCI, o escopo é tudo: segmentar o ambiente de dados do titular do cartão pode reduzir o trabalho drasticamente.
ISO → PCI: mapeie explicitamente os controles da ISO para cada requisito do PCI e espere acrescentar detalhes de frequência e técnicos.
Os requisitos com data futura do PCI DSS v4.0 tornaram-se obrigatórios em 31 de março de 2025; verifique se você está avaliando com base na v4.0.1.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →

Tem ISO 27001 → precisa de PCI DSS

260 req.

77 mapeados · · 107 sem mapeamento Abrir na visão de lacunas →

Dos 260 requisitos de PCI DSS v4.0.1, 77 mapeiam para algo em ISO 27001, 76 são apenas vagamente relacionados e 107 não têm mapeamento em nossos dados.

Provável trabalho novo: requisitos de PCI DSS sem mapeamento para ISO 27001 (107)

PCI DSS	Requisito	Correspondência	ISO 27001	Evidências
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.2.5	Allowed services, protocols and ports approved	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.2.6	Security features defined for insecure services	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.2.7	Network security control rules reviewed every six months	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.2.8	Network security control configuration files secured	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.3.2	Outbound traffic from the CDE restricted	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.3.3	Network controls between wireless networks and the CDE	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.4.2	Inbound traffic from untrusted networks restricted	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.4.3	Anti-spoofing measures in place	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.4.4	Stored cardholder data not reachable from untrusted networks	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.4.5	Internal IP addresses and routing not disclosed	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
2.2.4	Only necessary services and functions enabled	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
2.2.5	Insecure services justified and secured	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
2.2.6	System security parameters set to prevent misuse	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
2.2.7	Non-console administrative access encrypted	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
2.3.2	Wireless keys changed when key holders leave	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.3.1.2	Card verification code not kept after authorisation	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.3.1.3	PIN and PIN block not kept after authorisation	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.3.2	Sensitive authentication data encrypted before authorisation	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.5.1.2	Disk-level encryption used only where it suffices	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.2	Key management: secure key distribution	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.3	Key management: secure key storage	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.5	Key management: retiring weakened or compromised keys	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.6	Key management: split knowledge and dual control	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.7	Key management: preventing unauthorised key substitution	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.8	Key custodians formally acknowledge their responsibilities	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
3.7.9	Service providers give customers key-handling guidance	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
4.2.2	PAN secured when sent by end-user messaging	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
5.3.3	Removable media scanned or analysed	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
5.3.4	Anti-malware audit logs enabled and retained	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
5.3.5	Users cannot disable or alter anti-malware	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
6.5.3	Pre-production environments separated from production	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
6.5.4	Duties separated between production and pre-production	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
6.5.5	Live PANs not used in pre-production	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
6.5.6	Test data and accounts removed before go-live	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
7.2.5	System and application accounts least privilege	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
7.2.6	Access to cardholder data repositories restricted	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
7.3.1	Access control system restricts access by need	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
7.3.2	Access control system enforces assigned permissions	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
7.3.3	Access control system set to deny by default	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 8: Identify users and authenticate access to system components · 8
8.2.3	Service providers use unique credentials per customer	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.2.4	User ID changes authorised and controlled	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.2.7	Third-party remote access accounts enabled only when needed	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.3.2	Authentication factors unreadable in transit and storage	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.3.3	Identity verified before changing authentication factors	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.3.4	Account lockout after repeated failed attempts	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
8.6.1	Interactive use of system accounts managed	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.3.3	Visitor badges returned or deactivated	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.3.4	Visitor log maintained and retained	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.4.1	Media with cardholder data physically secured	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.4.3	Media sent off site tracked and secured	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.4.4	Management approves media moved off site	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.4.5	Inventory logs of electronic media kept	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.4.5.1	Electronic media inventories at least annually	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.5.1	Card-reading (POI) devices protected from tampering	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
9.5.1.3	Staff trained to spot POI tampering	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 10: Log and monitor all access to system components and cardholder data · 11
10.2.1.1	Logs capture user access to cardholder data	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.2	Logs capture administrative actions	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.3	Logs capture access to audit logs	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.4	Logs capture invalid access attempts	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.5	Logs capture credential and privilege changes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.6	Logs capture starting, stopping or pausing logging	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.2.1.7	Logs capture system-level object changes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.4.2	Other logs reviewed periodically	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.4.3	Exceptions and anomalies addressed	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.6.2	Time configuration correct and consistent	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
10.7.3	Security control failures responded to promptly	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.3.1.2	Internal scans use authenticated scanning	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.3.1.3	Internal scans after significant changes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.3.2.1	External scans after significant changes	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.1	Penetration testing methodology defined	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.2	Internal penetration test at least annually	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.3	External penetration test at least annually	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.5	Segmentation controls tested at least annually	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.6	Service providers test segmentation every six months	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.4.7	Multi-tenant providers support customer penetration tests	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.5.1.1	Service providers detect covert malware communication	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
11.5.2	Change-detection on critical files	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Requirement 12: Support information security with organizational policies and programs · 6
12.2.1	Acceptable use policies for end-user technologies	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
12.5.2.1	Service providers confirm scope every six months	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
12.6.2	Awareness programme reviewed annually	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
12.6.3.1	Training covers phishing and social engineering	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
12.6.3.2	Training covers acceptable use of technology	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.1.3	Multi-tenant providers: customers reach only their own data	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.1.4	Multi-tenant providers: separation tested every six months	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.2.1	Multi-tenant providers: audit logging for each customer	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A2.1.2	Service providers: migration plan off SSL and early TLS	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.
A2.1.3	Service providers offer a secure connection option	Sem mapeamento em nossos dados	—	Sem mapeamento para ISO 27001 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (76)

PCI DSS	Requisito	Correspondência	ISO 27001	Evidências
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
1.1.2	Roles for network security controls assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
1.2.4	Accurate account-data flow diagram maintained	Vagamente relacionado	A.5.19 A.5.20 A.5.22+5	Compartilha apenas CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
2.1.2	Roles for secure configuration assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
2.3.1	Wireless vendor defaults changed	Vagamente relacionado	A.5.15 A.5.3 A.5.10+5	Compartilha apenas CSF PR.AA-03, PR.DS-02: relacionado, não um mapeamento
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
3.1.2	Roles for protecting stored account data assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
3.5.1.3	Disk encryption access managed separately from OS access	Vagamente relacionado	A.5.15 A.5.1 A.5.3+5	Compartilha apenas CSF PR.AA-03, PR.DS-01: relacionado, não um mapeamento
3.6.1.1	Service providers document their cryptographic architecture	Vagamente relacionado	A.5.15 A.5.16 A.8.2+5	Compartilha apenas CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, não um mapeamento
3.6.1.2	Secret and private keys stored in approved forms	Vagamente relacionado	A.5.15 A.5.16 A.8.2+5	Compartilha apenas CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, não um mapeamento
3.6.1.3	Cleartext key components accessible to fewest custodians	Vagamente relacionado	A.5.15 A.5.16 A.8.2+5	Compartilha apenas CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, não um mapeamento
3.6.1.4	Keys stored in the fewest possible locations	Vagamente relacionado	A.5.15 A.5.16 A.8.2+5	Compartilha apenas CSF PR.AA-01, PR.DS-01, PR.AA-04: relacionado, não um mapeamento
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
4.1.2	Roles for protecting data in transit assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
5.1.2	Roles for malware protection assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
5.2.3	Systems without anti-malware periodically re-evaluated	Vagamente relacionado	A.8.20 A.8.21 A.8.22+1	Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Vagamente relacionado	A.5.1 A.8.20 A.8.21+4	Compartilha apenas CSF GV.RM-03, GV.RM-06, PR.IR-01: relacionado, não um mapeamento
5.3.2.1	Scan frequency set by targeted risk analysis	Vagamente relacionado	A.5.1 Clause 6.1.2 Clause 6.1.3	Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento
Requirement 6: Develop and maintain secure systems and software · 3
6.1.1	Secure systems and software policies documented	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
6.1.2	Roles for secure systems and software assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
6.2.3.1	Manual code reviews approved by someone else	Vagamente relacionado	A.5.8 A.5.9 A.5.11+5	Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Vagamente relacionado	A.5.1 A.5.3 A.5.14+5	Compartilha apenas CSF GV.PO-02, PR.AA-05: relacionado, não um mapeamento
7.1.2	Roles for access restriction assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
7.2.5.1	System and application account access periodically reviewed	Vagamente relacionado	A.5.1 A.5.3 A.5.14+5	Compartilha apenas CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: relacionado, não um mapeamento
Requirement 8: Identify users and authenticate access to system components · 15
8.1.1	Identification and authentication policies documented	Vagamente relacionado	A.5.1 A.5.3 A.5.14+5	Compartilha apenas CSF GV.PO-02, PR.AA-05: relacionado, não um mapeamento
8.1.2	Roles for identification and authentication assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
8.2.2	Shared or generic accounts only by documented exception	Vagamente relacionado	A.7.4 A.8.2 A.8.3+3	Compartilha apenas CSF DE.CM-03, PR.AA-02: relacionado, não um mapeamento
8.2.5	Access revoked immediately on termination	Vagamente relacionado	A.5.19 A.5.20 A.5.21+5	Compartilha apenas CSF GV.SC-10: relacionado, não um mapeamento
8.2.6	Inactive user accounts disabled within 90 days	Vagamente relacionado	A.5.1 A.5.3 A.5.14+5	Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento
8.2.8	Re-authentication after 15 minutes idle	Vagamente relacionado	A.5.15 A.5.3 A.5.10+5	Compartilha apenas CSF PR.AA-03, PR.DS-10: relacionado, não um mapeamento
8.3.5	First-use and reset passwords unique and changed	Vagamente relacionado	A.8.2 A.8.3 A.8.5	Compartilha apenas CSF PR.AA-02: relacionado, não um mapeamento
8.3.6	Minimum password length and complexity	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.3.7	Recent passwords cannot be reused	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.3.8	Authentication guidance communicated to users	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.3.9	Password-only access: change every 90 days or analyse risk	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.3.10	Service providers give customers password guidance	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.3.10.1	Service provider customer passwords: rotation or analysis	Vagamente relacionado	A.5.15 A.5.16 A.5.17+2	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
8.6.2	No hard-coded passwords for system accounts	Vagamente relacionado	A.5.15 A.5.16 A.5.18+2	Compartilha apenas CSF PR.AA-01: relacionado, não um mapeamento
8.6.3	System account passwords protected and changed	Vagamente relacionado	A.5.1 Clause 6.1.3 A.5.15+5	Compartilha apenas CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: relacionado, não um mapeamento
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+5	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
9.1.2	Roles for physical security assigned	Vagamente relacionado	A.5.2 A.5.3 A.7.5+5	Compartilha apenas CSF GV.RR-02, PR.IR-02: relacionado, não um mapeamento
9.2.4	Consoles in sensitive areas locked when unattended	Vagamente relacionado	A.5.15 A.5.16 A.5.17+5	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
9.4.1.2	Security of offline backup location reviewed annually	Vagamente relacionado	A.8.13 A.7.4	Compartilha apenas CSF PR.DS-11, RC.RP-03, DE.CM-02: relacionado, não um mapeamento
9.4.6	Hard-copy media destroyed when no longer needed	Vagamente relacionado	A.5.20 Clause 4.2 A.5.1+5	Compartilha apenas CSF GV.OC-03, GV.SC-10, PR.DS-01: relacionado, não um mapeamento
9.4.7	Electronic media destroyed or made unrecoverable	Vagamente relacionado	A.5.20 A.8.13 Clause 4.2+5	Compartilha apenas CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: relacionado, não um mapeamento
9.5.1.1	Inventory of POI devices kept	Vagamente relacionado	A.5.9 A.5.19 A.5.20+5	Compartilha apenas CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: relacionado, não um mapeamento
9.5.1.2	POI devices inspected for tampering	Vagamente relacionado	A.7.4 A.5.9 A.5.19+5	Compartilha apenas CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: relacionado, não um mapeamento
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Vagamente relacionado	A.5.1 Clause 6.1.2 Clause 6.1.3+5	Compartilha apenas CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: relacionado, não um mapeamento
Requirement 10: Log and monitor all access to system components and cardholder data · 10
10.1.1	Logging and monitoring policies documented	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
10.1.2	Roles for logging and monitoring assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
10.2.2	Log entries record who, what, when, where and outcome	Vagamente relacionado	A.5.25 A.5.27 A.5.28	Compartilha apenas CSF RS.AN-03, RS.AN-07: relacionado, não um mapeamento
10.3.1	Read access to logs limited to need	Vagamente relacionado	A.5.26 A.5.28 A.8.15+1	Compartilha apenas CSF DE.AE-06, RS.AN-06, PR.PS-04: relacionado, não um mapeamento
10.3.3	Logs promptly backed up to a central server	Vagamente relacionado	A.5.28 A.8.15 A.5.24+4	Compartilha apenas CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: relacionado, não um mapeamento
10.3.4	File-integrity monitoring on logs	Vagamente relacionado	A.5.24 A.5.25 A.5.28+5	Compartilha apenas CSF DE.AE-02, RS.AN-06: relacionado, não um mapeamento
10.4.2.1	Review frequency set by targeted risk analysis	Vagamente relacionado	A.5.1 Clause 6.1.3 A.5.9+5	Compartilha apenas CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: relacionado, não um mapeamento
10.6.3	Time settings protected from change	Vagamente relacionado	A.8.15 A.8.17	Compartilha apenas CSF PR.PS-04: relacionado, não um mapeamento
10.7.1	Service providers detect security control failures	Vagamente relacionado	A.5.1 A.5.19 Clause 9.1+5	Compartilha apenas CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: relacionado, não um mapeamento
10.7.2	Critical security control failures detected and reported	Vagamente relacionado	A.5.1 A.5.19 Clause 9.1+5	Compartilha apenas CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: relacionado, não um mapeamento
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Vagamente relacionado	A.5.1 A.5.31 A.5.32+2	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
11.1.2	Roles for security testing assigned	Vagamente relacionado	A.5.2 A.5.3 Clause 7.2	Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento
11.2.1	Wireless access points detected and unauthorised ones handled	Vagamente relacionado	A.8.15 A.8.16 A.8.20+3	Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Vagamente relacionado	A.5.1 Clause 6.1.2 Clause 6.1.3+2	Compartilha apenas CSF GV.RM-03, GV.RM-06, ID.RA-05: relacionado, não um mapeamento
11.4.4	Penetration test findings corrected and retested	Vagamente relacionado	A.5.19 A.5.1 A.5.35+5	Compartilha apenas CSF GV.OV-02, GV.OV-03, ID.IM-02: relacionado, não um mapeamento
11.6.1	Payment page changes and tampering detected	Vagamente relacionado	A.5.19 A.5.1 A.5.20+5	Compartilha apenas CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: relacionado, não um mapeamento
Requirement 12: Support information security with organizational policies and programs · 10
12.3.2	Targeted risk analysis for customised approach	Vagamente relacionado	A.5.1 A.8.32 Clause 6.1.2+1	Compartilha apenas CSF GV.RM-06, ID.RA-07: relacionado, não um mapeamento
12.3.3	Cipher suites and protocols reviewed annually	Vagamente relacionado	A.5.1 A.5.3 A.5.10+5	Compartilha apenas CSF GV.RM-03, GV.RM-06, PR.DS-02: relacionado, não um mapeamento
12.3.4	Hardware and software technologies reviewed annually	Vagamente relacionado	A.5.19 A.5.1 A.5.20+5	Compartilha apenas CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: relacionado, não um mapeamento
12.4.2.1	Service providers: quarterly review results documented	Vagamente relacionado	A.5.1 A.5.19 A.5.35+5	Compartilha apenas CSF GV.OV-01, GV.OV-02, ID.IM-01: relacionado, não um mapeamento
12.5.3	Service providers review scope after organisational change	Vagamente relacionado	A.5.1 A.5.19 Clause 6.1.3+5	Compartilha apenas CSF GV.OV-02, GV.RM-03, GV.RM-05: relacionado, não um mapeamento
12.9.1	Service providers acknowledge responsibilities to customers	Vagamente relacionado	A.5.19 A.5.20 A.5.31+5	Compartilha apenas CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: relacionado, não um mapeamento
12.9.2	Service providers support customer compliance requests	Vagamente relacionado	A.5.19 A.5.20 A.5.31+5	Compartilha apenas CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: relacionado, não um mapeamento
12.10.4.1	Training frequency set by targeted risk analysis	Vagamente relacionado	A.5.1 A.5.2 A.6.3+3	Compartilha apenas CSF GV.RM-03, GV.RM-06, PR.AT-02: relacionado, não um mapeamento
12.10.5	Plan covers alerts from security monitoring	Vagamente relacionado	A.5.26	Compartilha apenas CSF GV.SC-08: relacionado, não um mapeamento
12.10.7	Procedures for PAN found where it shouldn't be	Vagamente relacionado	A.5.9	Compartilha apenas CSF ID.AM-07: relacionado, não um mapeamento

Mapeado (77)

PCI DSS	Requisito	Correspondência	ISO 27001	Evidências
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Editorial	A.8.20 A.8.21 A.8.22	Mesmo tópico: Firewall / Segmentação de rede (escolha do editor)
1.2.3	Accurate network diagram maintained	Correspondência	A.8.20 A.8.21 A.8.22	Mesmo tópico: Firewall / Segmentação de rede
1.3.1	Inbound traffic to the CDE restricted	Editorial	A.8.20 A.8.21 A.8.22	Mesmo tópico: Firewall / Segmentação de rede (escolha do editor)
1.4.1	Network controls between trusted and untrusted networks	Editorial	A.8.20 A.8.21 A.8.22	Mesmo tópico: Firewall / Segmentação de rede (escolha do editor)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Correspondência	A.8.9	Mesmo tópico: Configuração Segura
2.2.2	Vendor default accounts managed or removed	Correspondência	A.8.9	Mesmo tópico: Configuração Segura
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Correspondência	A.5.14 A.8.10 A.8.11	Mesmo tópico: Proteção de Dados
3.3.1	Sensitive authentication data not kept after authorisation	Correspondência	A.5.14 A.8.10 A.8.11	Mesmo tópico: Proteção de Dados
3.4.1	PAN masked when displayed	Correspondência	A.5.14 A.8.10 A.8.11	Mesmo tópico: Proteção de Dados
3.4.2	PAN copying prevented over remote-access technologies	Editorial	A.8.12	Mesmo tópico: DLP (escolha do editor)
3.5.1	PAN rendered unreadable wherever stored	Correspondência	A.8.24	Mesmo tópico: Criptografia
3.6.1	Procedures protect keys that secure stored account data	Correspondência	A.8.24	Mesmo tópico: Criptografia
3.7.1	Key management: strong key generation	Editorial	A.8.24	Mesmo tópico: Criptografia (escolha do editor)
3.7.4	Key management: key changes at end of cryptoperiod	Editorial	A.8.24	Mesmo tópico: Criptografia (escolha do editor)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Correspondência	A.8.24	Mesmo tópico: Criptografia
4.2.1.1	Inventory of trusted keys and certificates kept	Editorial	A.8.24	Mesmo tópico: Criptografia (escolha do editor)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Correspondência	A.8.19 A.8.1 A.8.7	Mesmo tópico: Proteção de endpoints
5.2.2	Anti-malware detects, removes or contains known malware	Correspondência	A.8.19 A.8.1 A.8.7	Mesmo tópico: Proteção de endpoints
5.3.2	Periodic scans or continuous behavioural analysis	Correspondência	A.8.19 A.8.1 A.8.7	Mesmo tópico: Proteção de endpoints
5.4.1	Mechanisms to detect and protect against phishing	Editorial	A.5.14	Mesmo tópico: Segurança de e-mail (escolha do editor)
Requirement 6: Develop and maintain secure systems and software · 10
6.2.1	Bespoke and custom software developed securely	Editorial	A.8.25 A.8.26 A.8.28+1	Mesmo tópico: Desenvolvimento Seguro (escolha do editor)
6.2.2	Developers trained in secure software development	Correspondência	A.8.25 A.8.26 A.8.28+1	Mesmo tópico: Desenvolvimento Seguro
6.2.3	Custom code reviewed before release	Correspondência	A.8.5 A.8.25 A.8.26+2	Mesmo tópico: Segurança de APIs, Desenvolvimento Seguro
6.2.4	Coding techniques prevent common software attacks	Editorial	A.8.5 A.8.26	Mesmo tópico: Segurança de APIs (escolha do editor)
6.3.1	Vulnerabilities identified and risk-ranked	Correspondência	A.5.7 A.8.8	Mesmo tópico: Inteligência de Ameaças, Gestão de Vulnerabilidades, Gestão de Patches
6.3.2	Inventory of custom software and its components	Correspondência	A.5.9 A.5.11 A.5.19+2	Mesmo tópico: Gestão de Ativos, Risco na cadeia de suprimentos
6.3.3	Security patches installed promptly	Correspondência	A.8.8	Mesmo tópico: Gestão de Patches
6.4.1	Public web applications protected against attacks	Editorial	A.8.26	Mesmo tópico: Segurança Web (escolha do editor)
6.4.2	Automated solution blocks attacks on public web apps	Editorial	A.8.20	Mesmo tópico: WAF (escolha do editor)
6.4.3	Payment page scripts authorised and integrity-checked	Editorial	A.8.26	Mesmo tópico: Segurança Web (escolha do editor)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Correspondência	A.5.15 A.5.16 A.5.18+3	Mesmo tópico: Controle de acesso, Confiança Zero
7.2.2	Access assigned by job function and least privilege	Correspondência	A.5.15 A.5.16 A.5.18+3	Mesmo tópico: Controle de acesso
7.2.4	User accounts and privileges reviewed every six months	Correspondência	A.5.15 A.5.16 A.5.18+1	Mesmo tópico: Controle de acesso
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Correspondência	A.5.15 A.5.16 A.5.18+1	Mesmo tópico: Controle de acesso
8.3.1	User and admin access requires an authentication factor	Correspondência	A.5.15 A.8.5 A.8.22	Mesmo tópico: Confiança Zero
8.4.1	MFA for non-console administrative access to the CDE	Editorial	A.8.5	Mesmo tópico: Autenticação multifator (escolha do editor)
8.4.2	MFA for all access into the CDE	Editorial	A.8.5	Mesmo tópico: Autenticação multifator (escolha do editor)
8.4.3	MFA for remote network access	Editorial	A.8.5	Mesmo tópico: Autenticação multifator (escolha do editor)
8.5.1	MFA systems configured to resist misuse	Editorial	A.8.5	Mesmo tópico: Autenticação multifator (escolha do editor)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Editorial	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física (escolha do editor)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Editorial	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física (escolha do editor)
9.2.3	Physical access to network hardware restricted	Correspondência	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física
9.3.1	Personnel physical access authorised and managed	Editorial	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física (escolha do editor)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Correspondência	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física
9.3.2	Visitor access authorised, escorted and identifiable	Editorial	A.7.1 A.7.2 A.7.3+6	Mesmo tópico: Segurança Física (escolha do editor)
9.4.1.1	Offline backup media stored securely	Correspondência	A.8.13	Mesmo tópico: Backup e recuperação
9.4.2	Media classified by data sensitivity	Editorial	A.5.12 A.5.13	Mesmo tópico: Classificação de Dados (escolha do editor)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Correspondência	A.6.1 A.6.4 A.8.15+2	Mesmo tópico: Ameaça interna, Registro e Auditoria
10.3.2	Logs protected from modification	Correspondência	A.5.28 A.8.15 A.8.17	Mesmo tópico: Perícia forense, Registro e Auditoria
10.4.1	Security event and critical logs reviewed daily	Correspondência	A.5.25 A.8.16	Mesmo tópico: SIEM / SOC, Monit. contínuo
10.4.1.1	Automated mechanisms for log review	Editorial	A.8.16	Mesmo tópico: Detecção de Anomalias (escolha do editor)
10.5.1	Audit logs retained 12 months, three immediately available	Editorial	A.8.15 A.8.17	Mesmo tópico: Registro e Auditoria (escolha do editor)
10.6.1	System clocks synchronised	Correspondência	A.8.15 A.8.17	Mesmo tópico: Registro e Auditoria
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Correspondência	A.8.8	Mesmo tópico: Gestão de Vulnerabilidades
11.3.2	External ASV scans every three months	Correspondência	A.8.8	Mesmo tópico: Gestão de Vulnerabilidades
11.5.1	Intrusion detection or prevention on network traffic	Editorial	A.8.16	Mesmo tópico: Detecção de intrusão (escolha do editor)
Requirement 12: Support information security with organizational policies and programs · 21
12.1.1	Information security policy established and published	Correspondência	A.5.1 A.5.37 Clause 5.2	Mesmo tópico: Política de governança
12.1.2	Security policy reviewed at least annually	Correspondência	A.5.1 A.5.37 Clause 5.2	Mesmo tópico: Política de governança
12.1.3	Security roles and responsibilities defined	Correspondência	A.5.2 A.5.4	Mesmo tópico: Funções e responsabilidades
12.1.4	Executive responsibility for information security assigned	Correspondência	A.5.2 A.5.4	Mesmo tópico: Funções e responsabilidades
12.3.1	Targeted risk analysis for flexible-frequency requirements	Correspondência	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3	Mesmo tópico: Gestão de Riscos, Avaliação de riscos
12.4.2	Service providers: quarterly reviews of operational tasks	Correspondência	A.5.31 Clause 9.1 A.5.36	Mesmo tópico: Conformidade
12.5.1	Inventory of in-scope system components	Correspondência	A.5.9 A.5.11 A.7.14	Mesmo tópico: Gestão de Ativos
12.5.2	PCI DSS scope confirmed annually and on change	Correspondência	Clause 4.1 Clause 4.2	Mesmo tópico: Ambiente de Negócios
12.6.1	Formal security awareness programme	Correspondência	A.6.3 Clause 7.3	Mesmo tópico: Conscientização e treinamento
12.6.3	Awareness training on hire and at least annually	Correspondência	A.6.3 Clause 7.3	Mesmo tópico: Conscientização e treinamento
12.7.1	Personnel screened before hire	Correspondência	A.6.1 A.6.4 A.8.16	Mesmo tópico: Ameaça interna
12.8.1	List of third-party service providers kept	Correspondência	A.5.19 A.5.20 A.5.21+2	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores
12.8.2	Written agreements with service providers	Correspondência	A.5.19 A.5.20 A.5.22	Mesmo tópico: Gestão de Risco de Fornecedores
12.8.3	Due diligence before engaging service providers	Correspondência	A.5.19 A.5.20 A.5.22	Mesmo tópico: Gestão de Risco de Fornecedores
12.8.4	Service provider compliance monitored annually	Correspondência	A.5.19 A.5.20 A.5.22	Mesmo tópico: Gestão de Risco de Fornecedores
12.8.5	Responsibilities split with each provider documented	Correspondência	A.5.19 A.5.20 A.5.22+1	Mesmo tópico: Gestão de Risco de Fornecedores
12.10.1	Incident response plan ready to activate	Correspondência	A.5.5 A.5.24 A.5.25+5	Mesmo tópico: Notificação, Resposta a Incidentes
12.10.2	Incident response plan reviewed and tested annually	Correspondência	A.5.24 A.5.25 A.5.26	Mesmo tópico: Resposta a Incidentes
12.10.3	Incident response staff available around the clock	Correspondência	A.5.24 A.5.25 A.5.26	Mesmo tópico: Resposta a Incidentes
12.10.4	Incident response staff trained	Correspondência	A.5.24 A.5.25 A.5.26	Mesmo tópico: Resposta a Incidentes
12.10.6	Plan updated from lessons learned and industry changes	Correspondência	A.5.27 Clause 10.1	Mesmo tópico: Lições Aprendidas

Tem PCI DSS → precisa de ISO 27001

123 req.

76 mapeados · · 10 sem mapeamento Abrir na visão de lacunas →

Dos 123 requisitos de ISO/IEC 27001:2022, 76 mapeiam para algo em PCI DSS, 37 são apenas vagamente relacionados e 10 não têm mapeamento em nossos dados.

Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para PCI DSS (10)

ISO 27001	Requisito	Correspondência	PCI DSS	Evidências
ISMS clauses 4–10 · 10
Clause 4.3	Determining the scope of the ISMS	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 5.1	Leadership and commitment	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 6.2	Information security objectives and planning to achieve them	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 6.3	Planning of changes	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 7.5.1	General	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 7.5.2	Creating and updating	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 7.5.3	Control of documented information	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 9.2.1	General	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 9.2.2	Internal audit programme	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.
Clause 10.2	Nonconformity and corrective action	Sem mapeamento em nossos dados	—	Sem mapeamento para PCI DSS em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (37)

ISO 27001	Requisito	Correspondência	PCI DSS	Evidências
A.5 Organizational controls · 9
A.5.3	Segregation of duties	Vagamente relacionado	7.2.2 12.1.3 1.1.2+5	Compartilha apenas CSF PR.AA-05, PR.DS-10, GV.RR-02: relacionado, não um mapeamento
A.5.6	Contact with special interest groups	Vagamente relacionado	12.10.6 10.7.1 10.7.2+5	Compartilha apenas CSF GV.OV-01, RS.CO-03: relacionado, não um mapeamento
A.5.8	Information security in project management	Vagamente relacionado	1.2.3 1.2.4 6.2.1+5	Compartilha apenas CSF GV.OC-05, ID.AM-08: relacionado, não um mapeamento
A.5.10	Acceptable use of information and other associated assets	Vagamente relacionado	2.3.1 3.2.1 3.3.1+5	Compartilha apenas CSF PR.DS-02, PR.DS-10, PR.DS-01: relacionado, não um mapeamento
A.5.17	Authentication information	Vagamente relacionado	2.2.2 2.3.1 3.5.1.3+5	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
A.5.32	Intellectual property rights	Vagamente relacionado	1.1.1 2.1.1 3.1.1+5	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
A.5.33	Protection of records	Vagamente relacionado	3.3.1 3.5.1 3.5.1.3+5	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.5.34	Privacy and protection of PII	Vagamente relacionado	1.1.1 2.1.1 3.1.1+5	Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento
A.5.35	Independent review of information security	Vagamente relacionado	11.4.4 12.3.4 12.4.2+5	Compartilha apenas CSF GV.OV-02, ID.IM-02, ID.IM-01: relacionado, não um mapeamento
A.6 People controls · 4
A.6.2	Terms and conditions of employment	Vagamente relacionado	7.2.2 2.3.1 3.2.1+5	Compartilha apenas CSF GV.RR-04, PR.DS-10, PR.DS-02: relacionado, não um mapeamento
A.6.5	Responsibilities after termination or change of employment	Vagamente relacionado	7.2.2 2.3.1 3.2.1+5	Compartilha apenas CSF GV.RR-04, PR.DS-10, PR.DS-02: relacionado, não um mapeamento
A.6.6	Confidentiality or non-disclosure agreements	Vagamente relacionado	7.2.2 8.2.5 9.3.1.1+4	Compartilha apenas CSF GV.RR-04: relacionado, não um mapeamento
A.6.7	Remote working	Vagamente relacionado	7.2.2 12.1.3 8.2.5+5	Compartilha apenas CSF GV.RR-04, PR.AA-05, GV.PO-01: relacionado, não um mapeamento
A.7 Physical controls · 4
A.7.7	Clear desk and clear screen	Vagamente relacionado	3.3.1 3.5.1 3.5.1.3+5	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.7.9	Security of assets off-premises	Vagamente relacionado	3.3.1 3.5.1 3.5.1.3+5	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.7.10	Storage media	Vagamente relacionado	3.3.1 3.5.1 3.5.1.3+5	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.7.13	Equipment maintenance	Vagamente relacionado	6.2.1 6.2.2 6.2.3+5	Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento
A.8 Technological controls · 9
A.8.4	Access to source code	Vagamente relacionado	7.2.2 2.3.1 3.2.1+5	Compartilha apenas CSF PR.AA-05, PR.DS-10, PR.DS-02: relacionado, não um mapeamento
A.8.6	Capacity management	Vagamente relacionado	5.2.1 5.2.2 5.3.2+5	Compartilha apenas CSF DE.CM-09: relacionado, não um mapeamento
A.8.23	Web filtering	Vagamente relacionado	1.2.3 1.2.4 5.2.1+5	Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento
A.8.27	Secure system architecture and engineering principles	Vagamente relacionado	12.10.1 12.10.2 12.10.6	Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento
A.8.30	Outsourced development	Vagamente relacionado	7.2.5.1 10.7.2 11.3.1+5	Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento
A.8.31	Separation of development, test and production environments	Vagamente relacionado	6.2.2 6.2.3 6.3.2+5	Compartilha apenas CSF PR.PS-06: relacionado, não um mapeamento
A.8.32	Change management	Vagamente relacionado	12.3.1 7.2.5.1 8.6.3+5	Compartilha apenas CSF GV.OV-03, ID.RA-07: relacionado, não um mapeamento
A.8.33	Test information	Vagamente relacionado	3.3.1 3.5.1 3.5.1.3+5	Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento
A.8.34	Protection of information systems during audit testing	Vagamente relacionado	7.2.5.1 10.7.2 11.3.1+5	Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento
ISMS clauses 4–10 · 11
Clause 4.4	Information security management system	Vagamente relacionado	12.1.4 12.8.1 12.8.5+2	Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento
Clause 5.3	Organizational roles, responsibilities and authorities	Vagamente relacionado	12.1.4 12.8.3 12.8.4+1	Compartilha apenas CSF GV.SC-02: relacionado, não um mapeamento
Clause 7.1	Resources	Vagamente relacionado	12.1.4 12.10.3	Compartilha apenas CSF GV.RR-03: relacionado, não um mapeamento
Clause 7.2	Competence	Vagamente relacionado	12.1.3 12.1.4 1.1.2+5	Compartilha apenas CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, não um mapeamento
Clause 7.4	Communication	Vagamente relacionado	12.10.1 12.8.2 12.10.3+3	Compartilha apenas CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: relacionado, não um mapeamento
Clause 8.1	Operational planning and control	Vagamente relacionado	1.2.3 1.2.4 6.3.1+5	Compartilha apenas CSF GV.SC-01, RC.RP-04, GV.SC-03: relacionado, não um mapeamento
Clause 8.2	Information security risk assessment	Vagamente relacionado	12.1.1 12.1.4 12.8.1+3	Compartilha apenas CSF GV.OC-01, GV.OC-02: relacionado, não um mapeamento
Clause 8.3	Information security risk treatment	Vagamente relacionado	12.1.1 12.1.4 12.8.1+3	Compartilha apenas CSF GV.OC-01, GV.OC-02: relacionado, não um mapeamento
Clause 9.3.1	General	Vagamente relacionado	2.2.1 2.2.2	Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento
Clause 9.3.2	Management review inputs	Vagamente relacionado	2.2.1 2.2.2	Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento
Clause 9.3.3	Management review results	Vagamente relacionado	2.2.1 2.2.2	Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento

Mapeado (76)

ISO 27001	Requisito	Correspondência	PCI DSS	Evidências
A.5 Organizational controls · 28
A.5.1	Policies for information security	Correspondência	12.1.1 12.1.2	Mesmo tópico: Política de governança
A.5.2	Information security roles and responsibilities	Correspondência	12.1.3 12.1.4	Mesmo tópico: Funções e responsabilidades
A.5.4	Management responsibilities	Correspondência	12.1.3 12.1.4	Mesmo tópico: Funções e responsabilidades
A.5.5	Contact with authorities	Correspondência	12.10.1	Mesmo tópico: Notificação
A.5.7	Threat intelligence	Correspondência	6.3.1	Mesmo tópico: Inteligência de Ameaças
A.5.9	Inventory of information and other associated assets	Correspondência	6.3.2 12.5.1	Mesmo tópico: Gestão de Ativos
A.5.11	Return of assets	Correspondência	6.3.2 12.5.1	Mesmo tópico: Gestão de Ativos
A.5.12	Classification of information	Editorial	9.4.2	Mesmo tópico: Classificação de Dados (escolha do editor)
A.5.13	Labelling of information	Editorial	9.4.2	Mesmo tópico: Classificação de Dados (escolha do editor)
A.5.14	Information transfer	Correspondência	3.2.1 3.3.1 3.4.1+1	Mesmo tópico: Proteção de Dados
A.5.15	Access control	Correspondência	7.2.1 7.2.2 7.2.4+2	Mesmo tópico: Controle de acesso, Confiança Zero
A.5.16	Identity management	Correspondência	7.2.1 7.2.2 7.2.4+1	Mesmo tópico: Controle de acesso
A.5.18	Access rights	Correspondência	7.2.1 7.2.2 7.2.4+1	Mesmo tópico: Controle de acesso
A.5.19	Information security in supplier relationships	Correspondência	6.3.2 12.8.1 12.8.2+3	Mesmo tópico: Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores
A.5.20	Addressing information security within supplier agreements	Correspondência	12.8.1 12.8.2 12.8.3+2	Mesmo tópico: Gestão de Risco de Fornecedores
A.5.21	Managing information security in the ICT supply chain	Correspondência	6.3.2 12.8.1	Mesmo tópico: Risco na cadeia de suprimentos
A.5.22	Monitoring, review and change management of supplier services	Correspondência	12.8.1 12.8.2 12.8.3+2	Mesmo tópico: Gestão de Risco de Fornecedores
A.5.23	Information security for use of cloud services	Correspondência	12.8.1 12.8.5	Mesmo tópico: Segurança em Nuvem
A.5.24	Information security incident management planning and preparation	Correspondência	12.10.1 12.10.2 12.10.3+1	Mesmo tópico: Resposta a Incidentes
A.5.25	Assessment and decision on information security events	Correspondência	10.4.1 12.10.1 12.10.2+2	Mesmo tópico: SIEM / SOC, Resposta a Incidentes
A.5.26	Response to information security incidents	Correspondência	12.10.1 12.10.2 12.10.3+1	Mesmo tópico: Resposta a Incidentes, Mitigação
A.5.27	Learning from information security incidents	Correspondência	12.10.6	Mesmo tópico: Lições Aprendidas
A.5.28	Collection of evidence	Correspondência	10.3.2	Mesmo tópico: Perícia forense
A.5.29	Information security during disruption	Correspondência	12.10.1	Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios
A.5.30	ICT readiness for business continuity	Correspondência	12.10.1	Mesmo tópico: Planejamento de Recuperação, Continuidade de Negócios, Recuperação de desastres
A.5.31	Legal, statutory, regulatory and contractual requirements	Correspondência	12.4.2	Mesmo tópico: Conformidade
A.5.36	Compliance with policies, rules and standards for information security	Editorial	12.4.2	Mesmo tópico: Conformidade (escolha do editor)
A.5.37	Documented operating procedures	Correspondência	12.1.1 12.1.2	Mesmo tópico: Política de governança
A.6 People controls · 4
A.6.1	Screening	Correspondência	10.2.1 12.7.1	Mesmo tópico: Ameaça interna
A.6.3	Information security awareness, education and training	Correspondência	12.6.1 12.6.3	Mesmo tópico: Conscientização e treinamento
A.6.4	Disciplinary process	Correspondência	10.2.1 12.7.1	Mesmo tópico: Ameaça interna
A.6.8	Information security event reporting	Correspondência	12.10.1	Mesmo tópico: Notificação
A.7 Physical controls · 10
A.7.1	Physical security perimeters	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.2	Physical entry	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.3	Securing offices, rooms and facilities	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.4	Physical security monitoring	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.5	Protecting against physical and environmental threats	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.6	Working in secure areas	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.8	Equipment siting and protection	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.11	Supporting utilities	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.12	Cabling security	Correspondência	9.2.3 9.3.1.1 9.2.1+3	Mesmo tópico: Segurança Física
A.7.14	Secure disposal or re-use of equipment	Correspondência	6.3.2 12.5.1	Mesmo tópico: Gestão de Ativos
A.8 Technological controls · 25
A.8.1	User endpoint devices	Editorial	5.2.1 5.2.2 5.3.2	Mesmo tópico: Proteção de endpoints (escolha do editor)
A.8.2	Privileged access rights	Correspondência	7.2.2	Mesmo tópico: Acesso privilegiado
A.8.3	Information access restriction	Correspondência	7.2.1 7.2.2 7.2.4+1	Mesmo tópico: Controle de acesso
A.8.5	Secure authentication	Correspondência	6.2.3 7.2.1 8.3.1+5	Mesmo tópico: Segurança de APIs, Confiança Zero
A.8.7	Protection against malware	Editorial	5.2.1 5.2.2 5.3.2	Mesmo tópico: Proteção de endpoints (escolha do editor)
A.8.8	Management of technical vulnerabilities	Correspondência	6.3.1 6.3.3 11.3.1+1	Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches
A.8.9	Configuration management	Correspondência	2.2.1 2.2.2	Mesmo tópico: Configuração Segura
A.8.10	Information deletion	Correspondência	3.2.1 3.3.1 3.4.1	Mesmo tópico: Proteção de Dados
A.8.11	Data masking	Correspondência	3.2.1 3.3.1 3.4.1	Mesmo tópico: Proteção de Dados
A.8.12	Data leakage prevention	Editorial	3.4.2	Mesmo tópico: DLP (escolha do editor)
A.8.13	Information backup	Correspondência	9.4.1.1	Mesmo tópico: Backup e recuperação
A.8.14	Redundancy of information processing facilities	Correspondência	12.10.1	Mesmo tópico: Continuidade de Negócios, Recuperação de desastres
A.8.15	Logging	Correspondência	10.2.1 10.3.2 10.6.1+1	Mesmo tópico: Registro e Auditoria
A.8.16	Monitoring activities	Correspondência	10.2.1 10.4.1 12.7.1+2	Mesmo tópico: Ameaça interna, Monit. contínuo, SIEM / SOC
A.8.17	Clock synchronization	Correspondência	10.2.1 10.3.2 10.6.1+1	Mesmo tópico: Registro e Auditoria
A.8.18	Use of privileged utility programs	Correspondência	7.2.2	Mesmo tópico: Acesso privilegiado
A.8.19	Installation of software on operational systems	Correspondência	5.2.1 5.2.2 5.3.2	Mesmo tópico: Proteção de endpoints
A.8.20	Networks security	Correspondência	1.2.3 1.2.1 1.3.1+2	Mesmo tópico: Firewall / Segmentação de rede
A.8.21	Security of network services	Correspondência	1.2.3 1.2.1 1.3.1+1	Mesmo tópico: Firewall / Segmentação de rede
A.8.22	Segregation of networks	Correspondência	1.2.3 7.2.1 8.3.1+3	Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero
A.8.24	Use of cryptography	Correspondência	3.5.1 3.6.1 4.2.1+3	Mesmo tópico: Criptografia
A.8.25	Secure development life cycle	Correspondência	6.2.2 6.2.3 6.2.1	Mesmo tópico: Desenvolvimento Seguro
A.8.26	Application security requirements	Correspondência	6.2.2 6.2.3 6.2.1+3	Mesmo tópico: Desenvolvimento Seguro, Segurança de APIs
A.8.28	Secure coding	Correspondência	6.2.2 6.2.3 6.2.1	Mesmo tópico: Desenvolvimento Seguro
A.8.29	Security testing in development and acceptance	Correspondência	6.2.2 6.2.3 6.2.1	Mesmo tópico: Desenvolvimento Seguro
ISMS clauses 4–10 · 9
Clause 4.1	Understanding the organization and its context	Correspondência	12.5.2	Mesmo tópico: Ambiente de Negócios
Clause 4.2	Understanding the needs and expectations of interested parties	Correspondência	12.5.2	Mesmo tópico: Ambiente de Negócios
Clause 5.2	Policy	Correspondência	12.1.1 12.1.2	Mesmo tópico: Política de governança
Clause 6.1.1	General	Correspondência	12.3.1	Mesmo tópico: Gestão de Riscos
Clause 6.1.2	Information security risk assessment	Correspondência	12.3.1	Mesmo tópico: Avaliação de riscos
Clause 6.1.3	Information security risk treatment	Correspondência	12.3.1	Mesmo tópico: Gestão de Riscos, Avaliação de riscos
Clause 7.3	Awareness	Correspondência	12.6.1 12.6.3	Mesmo tópico: Conscientização e treinamento
Clause 9.1	Monitoring, measurement, analysis and evaluation	Correspondência	12.4.2	Mesmo tópico: Conformidade
Clause 10.1	Continual improvement	Editorial	12.10.6	Mesmo tópico: Lições Aprendidas (escolha do editor)

Por tópico

Ambos cobrem (46):

Política de governança Conscientização e treinamento Gestão de Riscos Risco na cadeia de suprimentos Funções e responsabilidades Conformidade Gestão de Ativos Avaliação de riscos Ambiente de Negócios Classificação de Dados Gestão de Vulnerabilidades Inteligência de Ameaças Controle de acesso Autenticação multifator Criptografia Proteção de Dados Backup e recuperação Acesso privilegiado Firewall / Segmentação de rede Proteção de endpoints Gestão de Patches Configuração Segura Desenvolvimento Seguro Segurança de e-mail Segurança Web Confiança Zero Segurança em Nuvem WAF DLP Monit. contínuo Registro e Auditoria Detecção de intrusão Detecção de Anomalias SIEM / SOC Resposta a Incidentes Perícia forense Mitigação Notificação Planejamento de Recuperação Continuidade de Negócios Lições Aprendidas Recuperação de desastres Segurança de APIs Ameaça interna Gestão de Risco de Fornecedores Segurança Física

Apenas ISO 27001 (4):

Segurança Móvel Segurança de DNS Comunicação Comunicação e restauração

Perguntas

A ISO 27001 substitui o PCI DSS?

Não. As bandeiras de cartões exigem a validação do PCI DSS independentemente da certificação ISO. A ISO ajuda a operar o programa do qual a conformidade com o PCI depende.

O PCI DSS é uma lei?

Não. É um padrão imposto por meio de contratos com bandeiras de cartões e adquirentes. Algumas jurisdições o citam em leis, mas sua autoridade vem dos acordos das redes de pagamento.

Um mesmo controle pode atender à ISO 27001 e ao PCI DSS?

Frequentemente, sim, se implementado conforme os requisitos mais específicos do PCI DSS. A ISO 27001 aceita qualquer implementação bem justificada, então projetar conforme as frequências e configurações do PCI normalmente atende a ambas.

Qual é mais difícil, a ISO 27001 ou o PCI DSS?

O PCI DSS é mais prescritivo e técnico dentro do seu escopo; a ISO 27001 é mais ampla e exige um sistema de gestão. Com um ambiente de dados de titulares de cartão pequeno, o PCI DSS pode ser o mais leve dos dois.

O que é o nível de comerciante no PCI DSS?

As bandeiras classificam comerciantes e provedores de serviços pelo volume anual de transações. O nível determina como a conformidade é validada: um Relatório de Conformidade (ROC) emitido por QSA para os maiores, e um Questionário de Autoavaliação para a maioria dos demais.

A ISO 27001 ajuda nas avaliações do PCI DSS?

Sim, especialmente em políticas, avaliação de riscos, papéis, gestão de fornecedores e resposta a incidentes. Ela não substitui as evidências específicas do PCI.

O PCI DSS v4.0.1 exige uma avaliação de riscos como a ISO 27001?

Não, não na mesma forma e abrangência para toda a organização. O PCI DSS v4.0 introduziu análises de risco direcionadas para requisitos cuja frequência você pode definir, e espera uma revisão anual de criptografia e tecnologias, mas a avaliação de riscos da ISO 27001 é mais ampla.

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.