Comparação
SOC 2 vs. PCI DSS: garantia ao cliente vs. conformidade com as bandeiras de cartão
SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · dados de 2026-10-27
SOC 2 e PCI DSS costumam ser exigidos da mesma empresa, normalmente um negócio SaaS ou fintech que vende para grandes empresas e também lida com pagamentos por cartão. O SOC 2 é uma atestação baseada nos Trust Services Criteria, de escopo amplo. O PCI DSS v4.0.1 é um padrão prescritivo e contratual, limitado ao ambiente de dados do titular do cartão.
Os fundamentos de segurança se sobrepõem: gestão de acessos, registro e monitoramento de logs, gestão de mudanças, gestão de vulnerabilidades, resposta a incidentes e gestão de fornecedores. Controles desenvolvidos para o SOC 2 geralmente atendem à intenção do PCI, mas nem sempre à sua letra.
Ao passar do SOC 2 para o PCI DSS, o trabalho adicional decorre da especificidade do PCI: controles de segurança de rede definidos em torno do ambiente de dados do titular do cartão, regras para armazenamento e exibição de PANs, gestão de chaves criptográficas, MFA para todo acesso ao CDE, frequências de varredura e testes, e integridade de scripts nas páginas de pagamento. Muitos requisitos do PCI estão apenas vagamente relacionados, e não mapeados, porque o SOC 2 não prescreve o mecanismo.
Ao passar do PCI DSS para o SOC 2, a maioria dos critérios de segurança já está coberta. As lacunas são as categorias opcionais de Integridade do Processamento e Privacidade do SOC 2, caso você as inclua. O lado SOC 2 desta comparação é o mapeamento editorial da ControlMapping, já que não existe uma correspondência SOC 2 pública e legível por máquina.
Principais conclusões
- Usar um provedor de pagamentos em conformidade com o PCI e manter os dados de cartão fora dos seus sistemas pode transformar o PCI em um questionário curto, em vez de um programa.
- Reutilize as evidências do SOC 2 para o PCI quando o requisito permitir, mas verifique as frequências e especificidades técnicas do PCI.
- Seu relatório SOC 2 pode descrever controles relevantes para o PCI, mas não substitui um Relatório de Conformidade (ROC) do PCI nem um SAQ.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem SOC 2 → precisa de PCI DSS
260 req. 75 mapeados · · 113 sem mapeamento Abrir na visão de lacunas →Dos 260 requisitos de PCI DSS v4.0.1, 75 mapeiam para algo em SOC 2, 72 são apenas vagamente relacionados e 113 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de PCI DSS sem mapeamento para SOC 2 (113)
| PCI DSS | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.2.5 | Allowed services, protocols and ports approved | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.2.6 | Security features defined for insecure services | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.2.7 | Network security control rules reviewed every six months | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.2.8 | Network security control configuration files secured | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.3.2 | Outbound traffic from the CDE restricted | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.3.3 | Network controls between wireless networks and the CDE | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.4.3 | Anti-spoofing measures in place | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 2.2.4 | Only necessary services and functions enabled | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 2.2.5 | Insecure services justified and secured | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 2.2.6 | System security parameters set to prevent misuse | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 2.2.7 | Non-console administrative access encrypted | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 2.3.2 | Wireless keys changed when key holders leave | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.3.1.2 | Card verification code not kept after authorisation | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.2 | Key management: secure key distribution | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.3 | Key management: secure key storage | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.6 | Key management: split knowledge and dual control | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 3.7.9 | Service providers give customers key-handling guidance | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 4.2.2 | PAN secured when sent by end-user messaging | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 5.3.3 | Removable media scanned or analysed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 5.3.5 | Users cannot disable or alter anti-malware | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 6.5.3 | Pre-production environments separated from production | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 6.5.4 | Duties separated between production and pre-production | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 6.5.5 | Live PANs not used in pre-production | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 6.5.6 | Test data and accounts removed before go-live | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 7.2.5 | System and application accounts least privilege | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 7.2.6 | Access to cardholder data repositories restricted | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 7.3.1 | Access control system restricts access by need | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 7.3.2 | Access control system enforces assigned permissions | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 7.3.3 | Access control system set to deny by default | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 8: Identify users and authenticate access to system components · 10 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.2.4 | User ID changes authorised and controlled | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.2.5 | Access revoked immediately on termination | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.3.3 | Identity verified before changing authentication factors | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.3.4 | Account lockout after repeated failed attempts | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.3.5 | First-use and reset passwords unique and changed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 8.6.1 | Interactive use of system accounts managed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.3.3 | Visitor badges returned or deactivated | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.3.4 | Visitor log maintained and retained | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.4.1 | Media with cardholder data physically secured | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.4.3 | Media sent off site tracked and secured | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.4.4 | Management approves media moved off site | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.4.5 | Inventory logs of electronic media kept | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.4.5.1 | Electronic media inventories at least annually | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 9.5.1.3 | Staff trained to spot POI tampering | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 12 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.2 | Logs capture administrative actions | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.3 | Logs capture access to audit logs | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.4 | Logs capture invalid access attempts | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.5 | Logs capture credential and privilege changes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.2.1.7 | Logs capture system-level object changes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.4.2 | Other logs reviewed periodically | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.4.3 | Exceptions and anomalies addressed | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.6.2 | Time configuration correct and consistent | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.7.1 | Service providers detect security control failures | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 10.7.3 | Security control failures responded to promptly | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.3.1.2 | Internal scans use authenticated scanning | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.3.1.3 | Internal scans after significant changes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.3.2.1 | External scans after significant changes | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.1 | Penetration testing methodology defined | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.2 | Internal penetration test at least annually | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.3 | External penetration test at least annually | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.5 | Segmentation controls tested at least annually | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.6 | Service providers test segmentation every six months | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.5.1.1 | Service providers detect covert malware communication | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 11.5.2 | Change-detection on critical files | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Requirement 12: Support information security with organizational policies and programs · 9 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.4.2.1 | Service providers: quarterly review results documented | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.5.2.1 | Service providers confirm scope every six months | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.6.2 | Awareness programme reviewed annually | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.6.3.1 | Training covers phishing and social engineering | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.6.3.2 | Training covers acceptable use of technology | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.7.1 | Personnel screened before hire | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| 12.10.5 | Plan covers alerts from security monitoring | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
| A2.1.3 | Service providers offer a secure connection option | Sem mapeamento em nossos dados | — | Sem mapeamento para SOC 2 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (72)
| PCI DSS | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 1.1.2 | Roles for network security controls assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 1.2.4 | Accurate account-data flow diagram maintained | CC9.2CC6.6CC7.2+5 | Compartilha apenas CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: relacionado, não um mapeamento | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 2.1.2 | Roles for secure configuration assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 2.3.1 | Wireless vendor defaults changed | CC6.1C1.2CC6.5+3 | Compartilha apenas CSF PR.AA-03, PR.DS-02: relacionado, não um mapeamento | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 3.1.2 | Roles for protecting stored account data assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | CC6.1C1.2CC6.5+2 | Compartilha apenas CSF PR.AA-03, PR.DS-01: relacionado, não um mapeamento | |
| 3.6.1.1 | Service providers document their cryptographic architecture | CC6.1C1.2CC6.2+4 | Compartilha apenas CSF PR.AA-01, PR.DS-01: relacionado, não um mapeamento | |
| 3.6.1.2 | Secret and private keys stored in approved forms | CC6.1C1.2CC6.2+4 | Compartilha apenas CSF PR.AA-01, PR.DS-01: relacionado, não um mapeamento | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | CC6.1C1.2CC6.2+4 | Compartilha apenas CSF PR.AA-01, PR.DS-01: relacionado, não um mapeamento | |
| 3.6.1.4 | Keys stored in the fewest possible locations | CC6.1C1.2CC6.2+4 | Compartilha apenas CSF PR.AA-01, PR.DS-01: relacionado, não um mapeamento | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 4.1.2 | Roles for protecting data in transit assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 5.1.2 | Roles for malware protection assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | CC6.6CC9.2 | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | CC3.1CC5.1CC9.1 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| Requirement 6: Develop and maintain secure systems and software · 4 | ||||
| 6.1.1 | Secure systems and software policies documented | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 6.1.2 | Roles for secure systems and software assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 6.2.3.1 | Manual code reviews approved by someone else | CC6.1 | Compartilha apenas CSF ID.AM-08: relacionado, não um mapeamento | |
| 6.2.4 | Coding techniques prevent common software attacks | CC6.6CC6.1CC8.1+1 | Compartilha apenas CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: relacionado, não um mapeamento | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | CC1.1CC5.3CC6.1+4 | Compartilha apenas CSF GV.PO-02, PR.AA-05: relacionado, não um mapeamento | |
| 7.1.2 | Roles for access restriction assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 7.2.5.1 | System and application account access periodically reviewed | CC3.1CC5.1CC9.1+5 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| Requirement 8: Identify users and authenticate access to system components · 13 | ||||
| 8.1.1 | Identification and authentication policies documented | CC1.1CC5.3CC6.1+4 | Compartilha apenas CSF GV.PO-02, PR.AA-05: relacionado, não um mapeamento | |
| 8.1.2 | Roles for identification and authentication assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 8.2.2 | Shared or generic accounts only by documented exception | CC7.2 | Compartilha apenas CSF DE.CM-03: relacionado, não um mapeamento | |
| 8.2.6 | Inactive user accounts disabled within 90 days | CC6.1CC6.2CC6.3+2 | Compartilha apenas CSF PR.AA-05: relacionado, não um mapeamento | |
| 8.2.8 | Re-authentication after 15 minutes idle | C1.2CC6.1CC6.5+2 | Compartilha apenas CSF PR.DS-10, PR.AA-03: relacionado, não um mapeamento | |
| 8.3.6 | Minimum password length and complexity | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.3.7 | Recent passwords cannot be reused | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.3.8 | Authentication guidance communicated to users | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.3.10 | Service providers give customers password guidance | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | CC6.1CC6.6 | Compartilha apenas CSF PR.AA-03: relacionado, não um mapeamento | |
| 8.6.2 | No hard-coded passwords for system accounts | CC6.1CC6.2CC6.3 | Compartilha apenas CSF PR.AA-01: relacionado, não um mapeamento | |
| 8.6.3 | System account passwords protected and changed | CC3.1CC5.1CC9.1+3 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | CC1.1CC5.3CC6.4 | Compartilha apenas CSF GV.PO-02, PR.IR-02: relacionado, não um mapeamento | |
| 9.1.2 | Roles for physical security assigned | CC1.2CC1.3CC1.5+1 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | CC6.1CC6.4CC6.6 | Compartilha apenas CSF PR.AA-03, PR.AA-06: relacionado, não um mapeamento | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A1.2CC6.4 | Compartilha apenas CSF PR.DS-11, RC.RP-03, DE.CM-02: relacionado, não um mapeamento | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | C1.2CC4.1CC4.2+3 | Compartilha apenas CSF PR.DS-01, GV.OC-03: relacionado, não um mapeamento | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A1.2C1.2CC4.1+4 | Compartilha apenas CSF PR.DS-11, PR.DS-01, GV.OC-03: relacionado, não um mapeamento | |
| 9.5.1.1 | Inventory of POI devices kept | CC6.1CC9.2CC6.2+1 | Compartilha apenas CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: relacionado, não um mapeamento | |
| 9.5.1.2 | POI devices inspected for tampering | CC6.4CC6.1CC9.2 | Compartilha apenas CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: relacionado, não um mapeamento | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 9 | ||||
| 10.1.1 | Logging and monitoring policies documented | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 10.1.2 | Roles for logging and monitoring assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 10.2.2 | Log entries record who, what, when, where and outcome | CC7.4 | Compartilha apenas CSF RS.AN-03, RS.AN-07: relacionado, não um mapeamento | |
| 10.3.1 | Read access to logs limited to need | CC7.2CC7.3CC7.4 | Compartilha apenas CSF PR.PS-04, DE.AE-06, RS.AN-06: relacionado, não um mapeamento | |
| 10.3.3 | Logs promptly backed up to a central server | CC7.2CC7.3CC7.4 | Compartilha apenas CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: relacionado, não um mapeamento | |
| 10.3.4 | File-integrity monitoring on logs | CC7.2CC6.8CC7.4 | Compartilha apenas CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: relacionado, não um mapeamento | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | CC3.1CC5.1CC7.2+2 | Compartilha apenas CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: relacionado, não um mapeamento | |
| 10.6.3 | Time settings protected from change | CC7.2 | Compartilha apenas CSF PR.PS-04: relacionado, não um mapeamento | |
| 10.7.2 | Critical security control failures detected and reported | CC4.1CC4.2 | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | CC1.1CC5.3 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| 11.1.2 | Roles for security testing assigned | CC1.2CC1.3CC1.5 | Compartilha apenas CSF GV.RR-02: relacionado, não um mapeamento | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | CC6.6CC7.2CC9.2 | Compartilha apenas CSF DE.CM-01, PR.IR-01: relacionado, não um mapeamento | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | CC3.1CC5.1CC9.1+3 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| 11.4.4 | Penetration test findings corrected and retested | A1.2A1.3CC2.3+5 | Compartilha apenas CSF RC.RP-05: relacionado, não um mapeamento | |
| 11.6.1 | Payment page changes and tampering detected | CC9.2CC3.1CC5.1+3 | Compartilha apenas CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: relacionado, não um mapeamento | |
| Requirement 12: Support information security with organizational policies and programs · 8 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | CC3.1CC5.1CC9.1 | Compartilha apenas CSF GV.RM-06: relacionado, não um mapeamento | |
| 12.3.3 | Cipher suites and protocols reviewed annually | CC3.1CC5.1CC9.1+5 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| 12.3.4 | Hardware and software technologies reviewed annually | CC3.1CC5.1CC9.1+5 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| 12.5.3 | Service providers review scope after organisational change | CC3.1CC5.1CC9.1 | Compartilha apenas CSF GV.RM-03: relacionado, não um mapeamento | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | CC9.2CC3.1CC4.1+1 | Compartilha apenas CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: relacionado, não um mapeamento | |
| 12.9.2 | Service providers support customer compliance requests | CC9.2CC3.1CC4.1+1 | Compartilha apenas CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: relacionado, não um mapeamento | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | CC3.1CC5.1CC9.1+2 | Compartilha apenas CSF GV.RM-03, GV.RM-06: relacionado, não um mapeamento | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | C1.1 | Compartilha apenas CSF ID.AM-07: relacionado, não um mapeamento | |
Mapeado (75)
| PCI DSS | Requisito | Correspondência | SOC 2 | Evidências |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| 1.2.3 | Accurate network diagram maintained | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| 1.3.1 | Inbound traffic to the CDE restricted | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| 1.4.1 | Network controls between trusted and untrusted networks | Editorial | CC6.6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Editorial | CC5.2CC7.1 | Mesmo tópico: Configuração Segura (escolha do editor) |
| 2.2.2 | Vendor default accounts managed or removed | Editorial | CC5.2CC7.1 | Mesmo tópico: Configuração Segura (escolha do editor) |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Editorial | C1.2CC6.5 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Editorial | C1.2CC6.5 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| 3.4.1 | PAN masked when displayed | Editorial | C1.2CC6.5 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| 3.4.2 | PAN copying prevented over remote-access technologies | Editorial | CC6.7 | Mesmo tópico: DLP (escolha do editor) |
| 3.5.1 | PAN rendered unreadable wherever stored | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| 3.6.1 | Procedures protect keys that secure stored account data | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| 3.7.1 | Key management: strong key generation | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Editorial | CC6.1CC6.7 | Mesmo tópico: Criptografia (escolha do editor) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Editorial | CC6.8 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Editorial | CC6.8 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Editorial | CC6.8 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| 5.4.1 | Mechanisms to detect and protect against phishing | Editorial | CC6.8 | Mesmo tópico: Segurança de e-mail (escolha do editor) |
| Requirement 6: Develop and maintain secure systems and software · 9 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| 6.2.2 | Developers trained in secure software development | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| 6.2.3 | Custom code reviewed before release | Editorial | CC8.1 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Editorial | CC7.1 | Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches (escolha do editor) |
| 6.3.2 | Inventory of custom software and its components | Editorial | CC6.1CC9.2 | Mesmo tópico: Gestão de Ativos, Risco na cadeia de suprimentos (escolha do editor) |
| 6.3.3 | Security patches installed promptly | Editorial | CC7.1 | Mesmo tópico: Gestão de Patches (escolha do editor) |
| 6.4.1 | Public web applications protected against attacks | Editorial | CC6.6 | Mesmo tópico: Segurança Web (escolha do editor) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Editorial | CC6.6 | Mesmo tópico: WAF (escolha do editor) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Editorial | CC6.6 | Mesmo tópico: Segurança Web (escolha do editor) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Editorial | CC6.1CC6.2CC6.3+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| 7.2.2 | Access assigned by job function and least privilege | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso, Acesso privilegiado (escolha do editor) |
| 7.2.4 | User accounts and privileges reviewed every six months | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso (escolha do editor) |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Editorial | CC6.1CC6.2CC6.3 | Mesmo tópico: Controle de acesso (escolha do editor) |
| 8.3.1 | User and admin access requires an authentication factor | Editorial | CC6.6 | Mesmo tópico: Confiança Zero (escolha do editor) |
| 8.4.1 | MFA for non-console administrative access to the CDE | Editorial | CC6.1 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| 8.4.2 | MFA for all access into the CDE | Editorial | CC6.1 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| 8.4.3 | MFA for remote network access | Editorial | CC6.1 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| 8.5.1 | MFA systems configured to resist misuse | Editorial | CC6.1 | Mesmo tópico: Autenticação multifator (escolha do editor) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.2.3 | Physical access to network hardware restricted | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.3.1 | Personnel physical access authorised and managed | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Editorial | CC6.4 | Mesmo tópico: Segurança Física (escolha do editor) |
| 9.4.1.1 | Offline backup media stored securely | Editorial | A1.2 | Mesmo tópico: Backup e recuperação (escolha do editor) |
| 9.4.2 | Media classified by data sensitivity | Editorial | C1.1 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Editorial | CC7.2 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| 10.3.2 | Logs protected from modification | Editorial | CC7.2CC7.4 | Mesmo tópico: Registro e Auditoria, Perícia forense (escolha do editor) |
| 10.4.1 | Security event and critical logs reviewed daily | Editorial | CC7.2CC7.3 | Mesmo tópico: Monit. contínuo, SIEM / SOC (escolha do editor) |
| 10.4.1.1 | Automated mechanisms for log review | Editorial | CC7.2 | Mesmo tópico: Detecção de Anomalias (escolha do editor) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Editorial | CC7.2 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| 10.6.1 | System clocks synchronised | Editorial | CC7.2 | Mesmo tópico: Registro e Auditoria (escolha do editor) |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Editorial | CC7.1 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| 11.3.2 | External ASV scans every three months | Editorial | CC7.1 | Mesmo tópico: Gestão de Vulnerabilidades (escolha do editor) |
| 11.5.1 | Intrusion detection or prevention on network traffic | Editorial | CC7.2 | Mesmo tópico: Detecção de intrusão (escolha do editor) |
| Requirement 12: Support information security with organizational policies and programs · 20 | ||||
| 12.1.1 | Information security policy established and published | Editorial | CC1.1CC5.3 | Mesmo tópico: Política de governança (escolha do editor) |
| 12.1.2 | Security policy reviewed at least annually | Editorial | CC1.1CC5.3 | Mesmo tópico: Política de governança (escolha do editor) |
| 12.1.3 | Security roles and responsibilities defined | Editorial | CC1.2CC1.3CC1.5 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| 12.1.4 | Executive responsibility for information security assigned | Editorial | CC1.2CC1.3CC1.5 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Editorial | CC3.1CC3.2CC3.3+3 | Mesmo tópico: Gestão de Riscos, Avaliação de riscos (escolha do editor) |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Editorial | CC4.1CC4.2 | Mesmo tópico: Conformidade (escolha do editor) |
| 12.5.1 | Inventory of in-scope system components | Editorial | CC6.1 | Mesmo tópico: Gestão de Ativos (escolha do editor) |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Editorial | CC3.1 | Mesmo tópico: Ambiente de Negócios (escolha do editor) |
| 12.6.1 | Formal security awareness programme | Editorial | CC1.4CC2.2 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| 12.6.3 | Awareness training on hire and at least annually | Editorial | CC1.4CC2.2 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| 12.8.1 | List of third-party service providers kept | Editorial | CC9.2 | Mesmo tópico: Risco na cadeia de suprimentos, Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor) |
| 12.8.2 | Written agreements with service providers | Editorial | CC9.2 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| 12.8.3 | Due diligence before engaging service providers | Editorial | CC9.2 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| 12.8.4 | Service provider compliance monitored annually | Editorial | CC9.2 | Mesmo tópico: Gestão de Risco de Fornecedores (escolha do editor) |
| 12.8.5 | Responsibilities split with each provider documented | Editorial | CC9.2 | Mesmo tópico: Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor) |
| 12.10.1 | Incident response plan ready to activate | Editorial | A1.1A1.2A1.3+5 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres, Planejamento de Recuperação (escolha do editor) |
| 12.10.2 | Incident response plan reviewed and tested annually | Editorial | CC7.3CC7.4 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| 12.10.3 | Incident response staff available around the clock | Editorial | CC7.3CC7.4 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| 12.10.4 | Incident response staff trained | Editorial | CC7.3CC7.4 | Mesmo tópico: Resposta a Incidentes (escolha do editor) |
| 12.10.6 | Plan updated from lessons learned and industry changes | Editorial | CC7.5 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
Tem PCI DSS → precisa de SOC 2
61 req. 37 mapeados · · 24 sem mapeamento Abrir na visão de lacunas →Dos 61 requisitos de SOC 2 (Trust Services Criteria), 37 mapeiam para algo em PCI DSS, 0 são apenas vagamente relacionados e 24 não têm mapeamento em nossos dados.
Os mapeamentos da AICPA para o SOC 2 não têm licença aberta, por isso todo link SOC 2 aqui é uma análise editorial da ControlMapping: critérios que ainda não mapeámos não podem ser correspondidos. Os critérios de integridade de processamento (PI) e a maioria dos critérios de privacidade (P) não têm equivalente em frameworks de segurança.
Provável trabalho novo: requisitos de SOC 2 sem mapeamento para PCI DSS (24)
| SOC 2 | Requisito | Correspondência | PCI DSS | Evidências |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P2.1 | Choice and consent | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P3.1 | Collection limited to privacy objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P3.2 | Explicit consent where required | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P4.1 | Use limited to privacy objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P4.2 | Retention of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P4.3 | Disposal of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P5.1 | Data subject access | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P5.2 | Correction of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.1 | Disclosure to third parties with consent | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.2 | Record of authorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.3 | Record of unauthorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.4 | Privacy commitments from third parties | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.5 | Notification by third parties of unauthorized disclosures | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.6 | Breach notification to affected individuals | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P6.7 | Accounting of disclosures to data subjects | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P7.1 | Quality of personal information | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| PI1.2 | Controls over system inputs | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| PI1.3 | Controls over system processing | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| PI1.4 | Controls over system outputs | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
| PI1.5 | Storing inputs, items in processing and outputs | Sem mapeamento em nossos dados | — | Sem mapeamento para PCI DSS em nossos dados. |
Mapeado (37)
| SOC 2 | Requisito | Correspondência | PCI DSS | Evidências |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Editorial | 12.10.1 | Mesmo tópico: Continuidade de Negócios (escolha do editor) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Editorial | 9.4.1.112.10.1 | Mesmo tópico: Backup e recuperação, Continuidade de Negócios, Recuperação de desastres (escolha do editor) |
| A1.3 | Testing recovery plan procedures | Editorial | 12.10.1 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres (escolha do editor) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Editorial | 9.4.2 | Mesmo tópico: Classificação de Dados (escolha do editor) |
| C1.2 | Disposing of confidential information | Editorial | 3.2.13.3.13.4.1 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Editorial | 12.1.112.1.2 | Mesmo tópico: Política de governança (escolha do editor) |
| CC1.2 | Board independence and oversight of internal control | Editorial | 12.1.312.1.4 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Editorial | 12.1.312.1.4 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Editorial | 12.6.112.6.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CC1.5 | Accountability for internal control responsibilities | Editorial | 12.1.312.1.4 | Mesmo tópico: Funções e responsabilidades (escolha do editor) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Editorial | 12.6.112.6.3 | Mesmo tópico: Conscientização e treinamento (escolha do editor) |
| CC2.3 | Communication with external parties | Editorial | 12.10.1 | Mesmo tópico: Notificação (escolha do editor) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Editorial | 12.3.112.5.2 | Mesmo tópico: Gestão de Riscos, Ambiente de Negócios (escolha do editor) |
| CC3.2 | Risk identification and analysis | Editorial | 12.3.1 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC3.3 | Considering the potential for fraud | Editorial | 12.3.1 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC3.4 | Identifying and assessing significant changes | Editorial | 12.3.1 | Mesmo tópico: Avaliação de riscos (escolha do editor) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Editorial | 12.4.2 | Mesmo tópico: Conformidade (escolha do editor) |
| CC4.2 | Communicating and remediating control deficiencies | Editorial | 12.4.2 | Mesmo tópico: Conformidade (escolha do editor) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Editorial | 12.3.1 | Mesmo tópico: Gestão de Riscos (escolha do editor) |
| CC5.2 | General controls over technology | Editorial | 2.2.12.2.2 | Mesmo tópico: Configuração Segura (escolha do editor) |
| CC5.3 | Control activities deployed through policies and procedures | Editorial | 12.1.112.1.2 | Mesmo tópico: Política de governança (escolha do editor) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Editorial | 3.5.13.6.13.7.1+13 | Mesmo tópico: Criptografia (escolha do editor) |
| CC6.2 | User registration, authorization and removal | Editorial | 7.2.17.2.27.2.4+1 | Mesmo tópico: Controle de acesso (escolha do editor) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Editorial | 7.2.17.2.27.2.4+1 | Mesmo tópico: Controle de acesso, Acesso privilegiado (escolha do editor) |
| CC6.4 | Physical access restrictions | Editorial | 9.2.19.2.1.19.2.3+3 | Mesmo tópico: Segurança Física (escolha do editor) |
| CC6.5 | Protection of data when assets are disposed of | Editorial | 3.2.13.3.13.4.1 | Mesmo tópico: Proteção de Dados (escolha do editor) |
| CC6.6 | Protection against threats from outside system boundaries | Editorial | 1.2.11.2.31.3.1+6 | Mesmo tópico: Firewall / Segmentação de rede (escolha do editor) |
| CC6.7 | Restricting transmission, movement and removal of information | Editorial | 3.4.23.5.13.6.1+4 | Mesmo tópico: DLP, Criptografia (escolha do editor) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Editorial | 5.2.15.2.25.3.2+1 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Editorial | 2.2.12.2.26.3.1+3 | Mesmo tópico: Configuração Segura, Gestão de Vulnerabilidades, Gestão de Patches (escolha do editor) |
| CC7.2 | Monitoring system components for anomalies | Editorial | 10.2.110.3.210.4.1+4 | Mesmo tópico: Registro e Auditoria, Monit. contínuo (escolha do editor) |
| CC7.3 | Evaluating security events to determine if they are incidents | Editorial | 10.4.112.10.112.10.2+2 | Mesmo tópico: SIEM / SOC, Resposta a Incidentes (escolha do editor) |
| CC7.4 | Responding to identified security incidents | Editorial | 10.3.212.10.112.10.2+2 | Mesmo tópico: Perícia forense, Resposta a Incidentes, Mitigação (escolha do editor) |
| CC7.5 | Recovering from identified security incidents | Editorial | 12.10.112.10.6 | Mesmo tópico: Planejamento de Recuperação, Lições Aprendidas (escolha do editor) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Editorial | 6.2.16.2.26.2.3 | Mesmo tópico: Desenvolvimento Seguro (escolha do editor) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Editorial | 12.3.112.10.1 | Mesmo tópico: Gestão de Riscos, Continuidade de Negócios (escolha do editor) |
| CC9.2 | Managing vendor and business partner risk | Editorial | 6.3.212.8.112.8.2+3 | Mesmo tópico: Risco na cadeia de suprimentos, Segurança em Nuvem, Gestão de Risco de Fornecedores (escolha do editor) |
Por tópico
Ambos cobrem (43):
Política de governançaConscientização e treinamentoGestão de RiscosRisco na cadeia de suprimentosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosAmbiente de NegóciosClassificação de DadosGestão de VulnerabilidadesControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança em NuvemWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosLições AprendidasRecuperação de desastresGestão de Risco de FornecedoresSegurança Física
Apenas SOC 2 (3):
Apenas PCI DSS (3):
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.