Comparação

SOC 2 vs HIPAA: relatório de asseguração vs obrigação legal

SOC 2 (Trust Services Criteria) · HIPAA Security Rule · dados de 2026-10-27

Empresas de tecnologia para saúde frequentemente precisam de ambos: HIPAA, porque tratam informações de saúde protegidas, geralmente como associadas comerciais, e SOC 2, porque seus clientes querem asseguração independente. São instrumentos diferentes. A HIPAA é lei, aplicada pelo Office for Civil Rights. O SOC 2 é uma atestação voluntária de CPA. Alguns auditores oferecem um relatório SOC 2 com critérios HIPAA incluídos.

As salvaguardas técnicas se sobrepõem bem: controle de acesso, registro de auditoria, integridade, autenticação, segurança na transmissão, planejamento de contingência e conscientização em segurança aparecem em ambos. Ao ir do SOC 2 para a HIPAA, a maioria dos requisitos da Security Rule está mapeada ou vagamente relacionada.

Os requisitos da HIPAA que sobram são específicos: reutilização de mídia e conteúdo dos contratos com associadas comerciais.

Ao ir da HIPAA para o SOC 2, há mais itens sem correspondência. O SOC 2 exige um critério formal de gestão de mudanças que a Security Rule não detalha, e suas categorias opcionais de Privacidade e Integridade de Processamento vão além da Security Rule. O lado SOC 2 aqui é o mapeamento editorial da ControlMapping.

Principais conclusões

Um relatório SOC 2 não torna você compatível com a HIPAA, mas seus controles podem cobrir a maior parte das suas salvaguardas HIPAA.
Mantenha sua análise de risco HIPAA e seus acordos com associadas comerciais como artefatos separados e explícitos.
Considere um SOC 2 com critérios HIPAA se clientes do setor de saúde continuarem pedindo ambos.

Descarregar esta comparação (CSV) Abrir em análise de lacunas →

Tem SOC 2 → precisa de HIPAA

69 req.

36 mapeados · · 2 sem mapeamento Abrir na visão de lacunas →

Dos 69 requisitos de HIPAA Security Rule, 36 mapeiam para algo em SOC 2, 31 são apenas vagamente relacionados e 2 não têm mapeamento em nossos dados.

Cobre apenas a Regra de Segurança da HIPAA (não as Regras de Privacidade ou de Notificação de Violação).

Provável trabalho novo: requisitos de HIPAA sem mapeamento para SOC 2 (2)

HIPAA	Requisito	Correspondência	SOC 2	Evidências
§164.310 Physical safeguards · 1
§164.310(d)(2)(ii)	Required Media Re-use	Sem mapeamento em nossos dados	—	Sem mapeamento para SOC 2 em nossos dados.
§164.314 Organizational requirements · 1
§164.314(a)(3)(i)	Required Business Associate Contracts	Sem mapeamento em nossos dados	—	Sem mapeamento para SOC 2 em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (31)

HIPAA	Requisito	Correspondência	SOC 2	Evidências
§164.308 Administrative safeguards · 13
§164.308(a)(1)	Security Management Process	Vagamente relacionado	CC1.1 CC5.3 CC4.1+2	Compartilha apenas CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, não um mapeamento
§164.308(a)(1)(ii)(C)	Required Sanction Policy	Vagamente relacionado	CC7.2	Compartilha apenas CSF DE.CM-03: relacionado, não um mapeamento
§164.308(a)(3)	Workforce Security	Vagamente relacionado	CC6.6 CC1.1 CC5.3+5	Compartilha apenas CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: relacionado, não um mapeamento
§164.308(a)(3)(ii)(A)	Addressable Authorization and/or Supervision	Vagamente relacionado	CC6.6 CC7.2 CC9.2+5	Compartilha apenas CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, não um mapeamento
§164.308(a)(3)(ii)(B)	Addressable Workforce Clearance Procedure	Vagamente relacionado	CC1.1 CC5.3 CC6.1+5	Compartilha apenas CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, não um mapeamento
§164.308(a)(3)(ii)(C)	Addressable Termination Procedures	Vagamente relacionado	CC1.1 CC5.3 CC4.1+2	Compartilha apenas CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, não um mapeamento
§164.308(a)(4)(ii)(A)	Required Isolating Health care Clearinghouse Function	Vagamente relacionado	CC6.7 C1.2 CC6.1+5	Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento
§164.308(a)(4)(ii)(B)	Addressable Access Authorization	Vagamente relacionado	CC6.6 CC7.2 CC9.2+5	Compartilha apenas CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, não um mapeamento
§164.308(a)(4)(ii)(C)	Addressable Access Establishment and Modification	Vagamente relacionado	CC1.1 CC5.3 CC6.1+5	Compartilha apenas CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, não um mapeamento
§164.308(a)(5)(ii)(C)	Addressable Log-in Monitoring	Vagamente relacionado	CC7.2 CC1.4 CC2.2+1	Compartilha apenas CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: relacionado, não um mapeamento
§164.308(a)(5)(ii)(D)	Addressable Password Management	Vagamente relacionado	CC1.4 CC2.2	Compartilha apenas CSF PR.AT-01, PR.AT-02: relacionado, não um mapeamento
§164.308(a)(7)(ii)(E)	Addressable Applications and Data Criticality Analysis	Vagamente relacionado	CC7.5 A1.2 CC3.2+5	Compartilha apenas CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: relacionado, não um mapeamento
§164.308(b)(4)	Required Written Contract or Other Arrangement	Vagamente relacionado	CC9.2 CC6.1 C1.2+5	Compartilha apenas CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, não um mapeamento
§164.310 Physical safeguards · 2
§164.310(a)(2)(i)	Addressable Contingency Operations	Vagamente relacionado	A1.2 CC6.4 CC7.5+4	Compartilha apenas CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: relacionado, não um mapeamento
§164.310(a)(2)(iv)	Addressable Maintenance Records	Vagamente relacionado	CC1.1 CC5.3 CC4.1+3	Compartilha apenas CSF GV.PO-01, GV.PO-02, GV.OC-03: relacionado, não um mapeamento
§164.312 Technical safeguards · 5
§164.312(a)(2)(ii)	Required Emergency Access Procedure	Vagamente relacionado	CC6.6 CC7.5 A1.2+5	Compartilha apenas CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: relacionado, não um mapeamento
§164.312(a)(2)(iii)	Addressable Automatic Logoff	Vagamente relacionado	CC6.1 CC6.6	Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento
§164.312(c)(2)	Addressable Mechanism to Authenticate Electronic Protected Health Information	Vagamente relacionado	C1.2 CC6.5 CC6.7+5	Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento
§164.312(e)(1)	Transmission Security	Vagamente relacionado	C1.2 CC6.1 CC6.5+2	Compartilha apenas CSF PR.DS-02: relacionado, não um mapeamento
§164.312(e)(2)(i)	Addressable Integrity Controls	Vagamente relacionado	C1.2 CC6.5 CC6.7+5	Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento
§164.314 Organizational requirements · 8
§164.314(a)(2)(i)	Required Business Associate Contracts	Vagamente relacionado	CC9.2 CC7.4 CC7.3+4	Compartilha apenas CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, não um mapeamento
§164.314(a)(2)(ii)	Required Other Arrangements	Vagamente relacionado	CC9.2 CC6.1 C1.2+5	Compartilha apenas CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, não um mapeamento
§164.314(a)(2)(iii)	Required Business associate contracts with subcontractors	Vagamente relacionado	CC9.2 CC7.4 CC7.3+4	Compartilha apenas CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, não um mapeamento
§164.314(b)	Requirements for Group Health Plans	Vagamente relacionado	CC6.1 CC6.6	Compartilha apenas CSF ID.AM-08, ID.AM-03: relacionado, não um mapeamento
§164.314(b)(2)(i)	Required Group Health Plan Implementation Specification	Vagamente relacionado	CC6.1 CC6.6	Compartilha apenas CSF ID.AM-08, ID.AM-03: relacionado, não um mapeamento
§164.314(b)(2)(ii)	Required Group Health Plan Implementation Specification	Vagamente relacionado	CC6.1 CC6.6	Compartilha apenas CSF ID.AM-08, ID.AM-03: relacionado, não um mapeamento
§164.314(b)(2)(iii)	Required Group Health Plan Implementation Specification	Vagamente relacionado	CC9.2 CC6.1 CC3.1	Compartilha apenas CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: relacionado, não um mapeamento
§164.314(b)(2)(iv)	Required Group Health Plan Implementation Specification	Vagamente relacionado	CC7.4 CC7.3 CC2.3+1	Compartilha apenas CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: relacionado, não um mapeamento
§164.316 Policies and documentation · 3
§164.316(b)	Documentation	Vagamente relacionado	CC6.1 CC6.6 CC7.1	Compartilha apenas CSF ID.AM-08, ID.AM-03, ID.RA-01: relacionado, não um mapeamento
§164.316(b)(2)(i)	Required Time Limit	Vagamente relacionado	C1.1 CC6.1	Compartilha apenas CSF ID.AM-07, ID.AM-08: relacionado, não um mapeamento
§164.316(b)(2)(ii)	Required Availability	Vagamente relacionado	CC1.1 CC5.3 CC6.1+5	Compartilha apenas CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: relacionado, não um mapeamento

Mapeado (36)

HIPAA	Requisito	Correspondência	SOC 2	Evidências
§164.308 Administrative safeguards · 17
§164.308(a)(1)(ii)(A)	Required Risk Analysis	Editorial	CC3.2 CC3.3 CC3.4+1	Mesmo tópico: Avaliação de riscos (escolha do editor)
§164.308(a)(1)(ii)(B)	Required Risk Management	Editorial	CC3.1 CC5.1 CC7.1+1	Mesmo tópico: Gestão de Riscos, Gestão de Vulnerabilidades (escolha do editor)
§164.308(a)(1)(ii)(D)	Required Information System Activity Review	Editorial	CC7.2 CC7.3	Mesmo tópico: Monit. contínuo, SIEM / SOC (escolha do editor)
§164.308(a)(2)	Assigned Security Responsibility	Editorial	CC1.2 CC1.3 CC1.5	Mesmo tópico: Funções e responsabilidades (escolha do editor)
§164.308(a)(4)	Information Access Management	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
§164.308(a)(5)	Security Awareness and Training	Editorial	CC1.4 CC2.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
§164.308(a)(5)(ii)(A)	Addressable Security Reminders	Editorial	CC1.4 CC2.2	Mesmo tópico: Conscientização e treinamento (escolha do editor)
§164.308(a)(5)(ii)(B)	Addressable Protection from Malicious Software	Editorial	CC6.8	Mesmo tópico: Proteção de endpoints (escolha do editor)
§164.308(a)(6)	Security Incident Procedures	Editorial	CC7.3 CC7.4	Mesmo tópico: Resposta a Incidentes (escolha do editor)
§164.308(a)(6)(ii)	Required Response and Reporting	Editorial	CC2.3 CC7.3 CC7.4	Mesmo tópico: Notificação, Resposta a Incidentes, Mitigação (escolha do editor)
§164.308(a)(7)	Contingency Plan	Editorial	A1.3 CC7.5	Mesmo tópico: Planejamento de Recuperação (escolha do editor)
§164.308(a)(7)(ii)(A)	Required Data Backup Plan	Editorial	A1.2	Mesmo tópico: Backup e recuperação (escolha do editor)
§164.308(a)(7)(ii)(B)	Required Disaster Recovery Plan	Editorial	A1.2 A1.3 CC7.5	Mesmo tópico: Recuperação de desastres, Planejamento de Recuperação (escolha do editor)
§164.308(a)(7)(ii)(C)	Required Emergency Mode Operation Plan	Editorial	A1.1 A1.2 CC9.1	Mesmo tópico: Continuidade de Negócios (escolha do editor)
§164.308(a)(7)(ii)(D)	Addressable Testing and Revision Procedure	Editorial	A1.2 A1.3	Mesmo tópico: Recuperação de desastres (escolha do editor)
§164.308(a)(8)	Evaluation	Editorial	CC4.1 CC4.2 CC7.1	Mesmo tópico: Conformidade, Gestão de Vulnerabilidades (escolha do editor)
§164.308(b)(1)	Business Associate Contracts and Other Arrangements	Editorial	CC9.2	Mesmo tópico: Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor)
§164.310 Physical safeguards · 9
§164.310(a)	Facility Access Controls	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
§164.310(a)(2)(ii)	Addressable Facility Security Plan	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
§164.310(a)(2)(iii)	Addressable Access Control and Validation Procedures	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
§164.310(b)	Workstation Use	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
§164.310(c)	Workstation Security	Editorial	CC6.4	Mesmo tópico: Segurança Física (escolha do editor)
§164.310(d)	Device and Media Controls	Editorial	CC6.1 CC6.7	Mesmo tópico: Gestão de Ativos, Segurança Móvel (escolha do editor)
§164.310(d)(2)(i)	Required Disposal	Editorial	C1.2 CC6.5	Mesmo tópico: Proteção de Dados (escolha do editor)
§164.310(d)(2)(iii)	Addressable Accountability	Editorial	CC6.1	Mesmo tópico: Gestão de Ativos (escolha do editor)
§164.310(d)(2)(iv)	Addressable Data Backup and Storage	Editorial	A1.2	Mesmo tópico: Backup e recuperação (escolha do editor)
§164.312 Technical safeguards · 7
§164.312(a)	Access Control	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
§164.312(a)(2)(i)	Required Unique User Identification	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
§164.312(a)(2)(iv)	Addressable Encryption and Decryption	Editorial	CC6.1 CC6.7	Mesmo tópico: Criptografia (escolha do editor)
§164.312(b)	Audit Controls	Editorial	CC7.2	Mesmo tópico: Registro e Auditoria (escolha do editor)
§164.312(c)	Integrity	Editorial	C1.2 CC6.5	Mesmo tópico: Proteção de Dados (escolha do editor)
§164.312(d)	Person or Entity Authentication	Editorial	CC6.1 CC6.2 CC6.3	Mesmo tópico: Controle de acesso (escolha do editor)
§164.312(e)(2)(ii)	Addressable Encryption	Editorial	CC6.1 CC6.7	Mesmo tópico: Criptografia (escolha do editor)
§164.314 Organizational requirements · 1
§164.314(a)	Business Associate Contracts or Other Arrangements	Editorial	CC9.2	Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor)
§164.316 Policies and documentation · 2
§164.316(a)	Policies and Procedures	Editorial	CC1.1 CC5.3	Mesmo tópico: Política de governança (escolha do editor)
§164.316(b)(2)(iii)	Required Updates	Editorial	CC1.1 CC5.3	Mesmo tópico: Política de governança (escolha do editor)

Tem HIPAA → precisa de SOC 2

61 req.

33 mapeados · · 25 sem mapeamento Abrir na visão de lacunas →

Dos 61 requisitos de SOC 2 (Trust Services Criteria), 33 mapeiam para algo em HIPAA, 3 são apenas vagamente relacionados e 25 não têm mapeamento em nossos dados.

Os mapeamentos da AICPA para o SOC 2 não têm licença aberta, por isso todo link SOC 2 aqui é uma análise editorial da ControlMapping: critérios que ainda não mapeámos não podem ser correspondidos. Os critérios de integridade de processamento (PI) e a maioria dos critérios de privacidade (P) não têm equivalente em frameworks de segurança.

Provável trabalho novo: requisitos de SOC 2 sem mapeamento para HIPAA (25)

SOC 2	Requisito	Correspondência	HIPAA	Evidências
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P Privacy · 18
P1.1	Privacy notice	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P2.1	Choice and consent	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P3.1	Collection limited to privacy objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P3.2	Explicit consent where required	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P4.1	Use limited to privacy objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P4.2	Retention of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P4.3	Disposal of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P5.1	Data subject access	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P5.2	Correction of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.1	Disclosure to third parties with consent	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.2	Record of authorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.3	Record of unauthorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.4	Privacy commitments from third parties	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.5	Notification by third parties of unauthorized disclosures	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.6	Breach notification to affected individuals	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P6.7	Accounting of disclosures to data subjects	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P7.1	Quality of personal information	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
P8.1	Handling privacy inquiries, complaints and disputes	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
PI1.2	Controls over system inputs	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
PI1.3	Controls over system processing	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
PI1.4	Controls over system outputs	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.
PI1.5	Storing inputs, items in processing and outputs	Sem mapeamento em nossos dados	—	Sem mapeamento para HIPAA em nossos dados.

Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (3)

SOC 2	Requisito	Correspondência	HIPAA	Evidências
C1 Confidentiality · 1
C1.1	Identifying and protecting confidential information	Vagamente relacionado	§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2	Compartilha apenas CSF ID.AM-05: relacionado, não um mapeamento
CC5 Control activities · 1
CC5.2	General controls over technology	Vagamente relacionado	§164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1	Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento
CC6 Logical and physical access · 1
CC6.6	Protection against threats from outside system boundaries	Vagamente relacionado	§164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5	Compartilha apenas CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: relacionado, não um mapeamento

Mapeado (33)

SOC 2	Requisito	Correspondência	HIPAA	Evidências
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Editorial	§164.308(a)(7)(ii)(C)	Mesmo tópico: Continuidade de Negócios (escolha do editor)
A1.2	Environmental protections, backups and recovery infrastructure	Editorial	§164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2	Mesmo tópico: Backup e recuperação, Recuperação de desastres, Continuidade de Negócios (escolha do editor)
A1.3	Testing recovery plan procedures	Editorial	§164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D)	Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor)
C1 Confidentiality · 1
C1.2	Disposing of confidential information	Editorial	§164.310(d)(2)(i)§164.312(c)	Mesmo tópico: Proteção de Dados (escolha do editor)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Editorial	§164.316(a)§164.316(b)(2)(iii)	Mesmo tópico: Política de governança (escolha do editor)
CC1.2	Board independence and oversight of internal control	Editorial	§164.308(a)(2)	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC1.3	Structures, reporting lines, authorities and responsibilities	Editorial	§164.308(a)(2)	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC1.4	Commitment to attracting, developing and retaining competent people	Editorial	§164.308(a)(5)§164.308(a)(5)(ii)(A)	Mesmo tópico: Conscientização e treinamento (escolha do editor)
CC1.5	Accountability for internal control responsibilities	Editorial	§164.308(a)(2)	Mesmo tópico: Funções e responsabilidades (escolha do editor)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Editorial	§164.308(a)(5)§164.308(a)(5)(ii)(A)	Mesmo tópico: Conscientização e treinamento (escolha do editor)
CC2.3	Communication with external parties	Editorial	§164.308(a)(6)(ii)	Mesmo tópico: Notificação (escolha do editor)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Editorial	§164.308(a)(1)(ii)(B)	Mesmo tópico: Gestão de Riscos (escolha do editor)
CC3.2	Risk identification and analysis	Editorial	§164.308(a)(1)(ii)(A)	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC3.3	Considering the potential for fraud	Editorial	§164.308(a)(1)(ii)(A)	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC3.4	Identifying and assessing significant changes	Editorial	§164.308(a)(1)(ii)(A)	Mesmo tópico: Avaliação de riscos (escolha do editor)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Editorial	§164.308(a)(8)	Mesmo tópico: Conformidade (escolha do editor)
CC4.2	Communicating and remediating control deficiencies	Editorial	§164.308(a)(8)	Mesmo tópico: Conformidade (escolha do editor)
CC5 Control activities · 2
CC5.1	Control activities that mitigate risks	Editorial	§164.308(a)(1)(ii)(B)	Mesmo tópico: Gestão de Riscos (escolha do editor)
CC5.3	Control activities deployed through policies and procedures	Editorial	§164.316(a)§164.316(b)(2)(iii)	Mesmo tópico: Política de governança (escolha do editor)
CC6 Logical and physical access · 7
CC6.1	Logical access security over information assets	Editorial	§164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5	Mesmo tópico: Controle de acesso, Gestão de Ativos (escolha do editor)
CC6.2	User registration, authorization and removal	Editorial	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1	Mesmo tópico: Controle de acesso (escolha do editor)
CC6.3	Role-based access, least privilege and segregation of duties	Editorial	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1	Mesmo tópico: Controle de acesso (escolha do editor)
CC6.4	Physical access restrictions	Editorial	§164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2	Mesmo tópico: Segurança Física (escolha do editor)
CC6.5	Protection of data when assets are disposed of	Editorial	§164.310(d)(2)(i)§164.312(c)	Mesmo tópico: Proteção de Dados (escolha do editor)
CC6.7	Restricting transmission, movement and removal of information	Editorial	§164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii)	Mesmo tópico: Segurança Móvel, Criptografia (escolha do editor)
CC6.8	Preventing or detecting unauthorized or malicious software	Editorial	§164.308(a)(5)(ii)(B)	Mesmo tópico: Proteção de endpoints (escolha do editor)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Editorial	§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8)	Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor)
CC7.2	Monitoring system components for anomalies	Editorial	§164.308(a)(1)(ii)(D)§164.312(b)	Mesmo tópico: Monit. contínuo, Registro e Auditoria (escolha do editor)
CC7.3	Evaluating security events to determine if they are incidents	Editorial	§164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii)	Mesmo tópico: SIEM / SOC, Resposta a Incidentes (escolha do editor)
CC7.4	Responding to identified security incidents	Editorial	§164.308(a)(6)§164.308(a)(6)(ii)	Mesmo tópico: Resposta a Incidentes, Mitigação (escolha do editor)
CC7.5	Recovering from identified security incidents	Editorial	§164.308(a)(7)§164.308(a)(7)(ii)(B)	Mesmo tópico: Planejamento de Recuperação (escolha do editor)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Editorial	§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C)	Mesmo tópico: Gestão de Riscos, Continuidade de Negócios (escolha do editor)
CC9.2	Managing vendor and business partner risk	Editorial	§164.308(b)(1)§164.314(a)	Mesmo tópico: Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor)

Por tópico

Ambos cobrem (26):

Apenas SOC 2 (20):

Apenas HIPAA (1):

Ameaça interna

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · Vagamente relacionado compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.