Повторное использование доказательств для SOC 2, ISO 27001 и PCI DSS

Организация, которая проходит SOC 2, ISO 27001 и PCI DSS, легко может тратить на ответы на запросы аудиторов по доказательствам больше времени, чем на работу с самими контролями. Каждый аудитор просит «обзор доступа», «результаты сканирования уязвимостей», «тест на инциденты» в слегка разных форматах и за слегка разные периоды. Большая часть этих доказательств одинакова. Секрет в том, чтобы собрать их один раз в виде, который удовлетворяет самому требовательному из трёх.

Почему пересечение велико

Все три стандарта разделяют большую часть тематики безопасности. Например, переход от ISO 27001 к SOC 2:

Из 61 критерии SOC 2 41 (67%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 20 в наших данных нет сопоставления. Открыть отчёт о разрывах →

А от ISO 27001 к PCI DSS пересечение меньше, но в части управления и процессов оно всё ещё существенно:

Из 260 требования PCI DSS 77 (30%) сопоставлены с чем-либо в ISO 27001, 76 связаны лишь косвенно, а для 107 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Там, где требования сопоставляются, доказательства обычно тоже пересекаются.

Доказательства, которые подходят всем трём

Доказательство	SOC 2	ISO 27001	PCI DSS
Обзоры пользовательского доступа (с подписью и внесёнными изменениями)	CC6.2, CC6.3	A.5.18	7.2.4 (каждые шесть месяцев)
Заявки на приём и увольнение с согласованиями	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
Заявки на изменения с проверкой, тестированием и утверждением	CC8.1	A.8.32	6.5.1, 6.5.2
Результаты сканирования уязвимостей и их устранение	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
Отчёты о тестировании на проникновение и повторные проверки	CC4.1, CC7.1	A.8.8	11.4.1 по 11.4.4
Реестр инцидентов и тест реагирования	CC7.3 по CC7.5	A.5.24 по A.5.27	12.10.1, 12.10.2
Записи об обучении по вопросам осведомлённости в области безопасности	CC1.4, CC2.2	A.6.3	12.6.1 по 12.6.3
Записи проверки благонадёжности поставщиков	CC9.2	A.5.19 по A.5.22	12.8.1 по 12.8.5
Тесты восстановления из резервных копий	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
Оценка рисков и её пересмотр	CC3.1 по CC3.4	6.1.2, 8.2	12.3.1

Собирайте по самому строгому стандарту

• Частота: PCI DSS часто задаёт самый быстрый график (обзоры доступа раз в шесть месяцев, ежеквартальные сканирования). Выполняя контроли с частотой PCI, вы удовлетворяете и остальные стандарты.
• Период: SOC 2 Type II выбирает образцы за весь период наблюдения. Собирайте доказательства непрерывно, а не только перед аудитом.
• Полнота: аудиторы ISO могут спросить, как вы подтверждаете полноту выборки. Храните полный список (все уволенные сотрудники, все изменения), а не только примеры, которые вы сами бы выбрали.
• Происхождение: доказательства, созданные системой (выгрузки, журналы, заявки с временными метками), надёжнее скриншотов экрана, который кто-то специально подготовил.

Простая структура

Одно хранилище доказательств, организованное по контролям, а не по стандартам. В каждой папке контроля хранятся доказательства за каждый период, названные единообразно, с кратким индексом, который указывает, какие требования стандартов они подтверждают. Когда аудитор запрашивает «доказательство 7.2.4», вы ищете контроль, а не стандарт.

Ключевые выводы

• Большая часть доказательств (обзоры доступа, заявки на изменения, сканирования, записи об инцидентах, обучение) одновременно подходит для SOC 2, ISO 27001 и PCI DSS.
• Собирайте по самому строгому стандарту: частоты PCI и непрерывный период SOC 2.
• Организуйте доказательства по контролям, а не по стандартам, с индексом того, что каждый элемент подтверждает.
• Некоторые элементы не переносятся, в частности сканирования ASV и записи системы менеджмента ISO.

Что не переносится

• Сканирования, специфичные для PCI: внешние сканирования должны выполняться Аттестованным поставщиком сканирования (ASV).
• Целевые анализы рисков PCI для требований с гибкой периодичностью.
• Записи системы менеджмента ISO: отчёты внутреннего аудита, протоколы анализа со стороны руководства и журналы корректирующих действий специфичны для ISO (хотя аудиторы SOC 2 их ценят).
• Описание системы SOC 2: ваше собственное описание системы, входящей в область аудита.

Наша статья о едином наборе контролей для SOC 2 и ISO 27001 посвящена проектированию контролей; анализ разрывов содержит сопоставления между любыми двумя стандартами.

Вопросы

Можно ли использовать одни и те же доказательства для SOC 2 и ISO 27001?

Обычно да. Оба стандарта ищут подтверждение того, что контроли работают: заявки, обзоры, результаты сканирования, записи об обучении. SOC 2 Type II требует образцов за весь период наблюдения, поэтому собирайте доказательства непрерывно.

Какие доказательства нужны PCI DSS, но не нужны SOC 2?

Доказательства частот и настроек, специфичных для PCI: ежеквартальные внутренние сканирования и внешние сканирования ASV, обзоры доступа и правил межсетевого экрана раз в шесть месяцев, целевые анализы рисков и конфигурации, специфичные для данных держателей карт.

Как долго хранить аудиторские доказательства?

Как минимум до закрытия следующего аудиторского цикла, а дольше там, где это требует стандарт или закон; например, PCI DSS требует хранить историю аудиторских журналов в течение 12 месяцев.