Критерии SOC 2 без аналога в ISO 27001: почему они существуют
Сертификат ISO 27001 позволяет пройти большую часть пути к отчёту SOC 2, но не весь. Критерии, которые не переносятся, относятся к двум необязательным категориям.
Если ваша организация уже имеет ISO 27001 и клиент запрашивает отчёт SOC 2, основная работа уже сделана. Меры безопасности во многом совпадают, а СУИБ даёт аудиторам SOC 2 доказательства управления, которых они ожидают. Однако у группы критериев SOC 2 нет никакого соответствия в ISO 27001, и о них стоит знать до того, как вы согласуете область проверки с аудитором.
Главная цифра
Из 61 критерии SOC 2 41 (67%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 20 в наших данных нет сопоставления. Открыть отчёт о разрывах →
Ни один критерий SOC 2 не является лишь «Косвенно связано» с ISO: каждый либо сопоставляется, либо нет. Такое чёткое разделение подсказывает, что происходит.
Критерии без сопоставления с ISO
| SOC 2 | Требование | Совпадение | ISO 27001 |
|---|---|---|---|
| P1.1 | Privacy notice | Нет сопоставления в наших данных | — |
| P2.1 | Choice and consent | Нет сопоставления в наших данных | — |
| P3.1 | Collection limited to privacy objectives | Нет сопоставления в наших данных | — |
| P3.2 | Explicit consent where required | Нет сопоставления в наших данных | — |
| P4.1 | Use limited to privacy objectives | Нет сопоставления в наших данных | — |
| P5.1 | Data subject access | Нет сопоставления в наших данных | — |
| P5.2 | Correction of personal information | Нет сопоставления в наших данных | — |
| P6.1 | Disclosure to third parties with consent | Нет сопоставления в наших данных | — |
| P6.2 | Record of authorized disclosures | Нет сопоставления в наших данных | — |
| P6.3 | Record of unauthorized disclosures | Нет сопоставления в наших данных | — |
| P6.4 | Privacy commitments from third parties | Нет сопоставления в наших данных | — |
| P6.5 | Notification by third parties of unauthorized disclosures | Нет сопоставления в наших данных | — |
| P6.7 | Accounting of disclosures to data subjects | Нет сопоставления в наших данных | — |
| P7.1 | Quality of personal information | Нет сопоставления в наших данных | — |
| P8.1 | Handling privacy inquiries, complaints and disputes | Нет сопоставления в наших данных | — |
| PI1.1 | Information about processing objectives | Нет сопоставления в наших данных | — |
| PI1.2 | Controls over system inputs | Нет сопоставления в наших данных | — |
| PI1.3 | Controls over system processing | Нет сопоставления в наших данных | — |
| PI1.4 | Controls over system outputs | Нет сопоставления в наших данных | — |
| PI1.5 | Storing inputs, items in processing and outputs | Нет сопоставления в наших данных | — |
Каждый критерий в списке относится к двум из пяти категорий SOC 2: Целостность обработки (PI1) и Privacy (от P1 до P8). Обе категории необязательны. Категория Security, общие критерии CC1–CC9, которые входят в каждый отчёт SOC 2, сопоставляется полностью, как и Availability и Confidentiality.
Почему у целостности обработки нет эквивалента в ISO
Целостность обработки проверяет, обрабатывает ли система данные полно, точно, своевременно и в соответствии с полномочиями: проверяются ли входные данные, выявляются ли ошибки обработки, попадают ли выходные данные по назначению и остаются ли хранимые данные согласованными. Речь идёт о корректности самой услуги, а не о защите вокруг неё.
ISO 27001 — стандарт информационной безопасности. Он защищает конфиденциальность, целостность и доступность информации, но «целостность» здесь означает защиту от несанкционированных изменений, а не то, правильно ли расчётный цикл рассчитал каждую зарплату. Ни одно управление из приложения A не требует проверки бизнес-обработки. Поэтому, если клиент полагается на вашу систему для получения верных цифр (платежи, биллинг, расчёт зарплаты, страховые выплаты, конвейеры данных), Целостность обработки — новая работа даже при зрелой СУИБ: валидация входных данных, сверка, обработка ошибок и контроль выходных данных, с подтверждающими свидетельствами.
Почему у большинства критериев Privacy нет эквивалента в ISO
Критерии Privacy SOC 2 следуют жизненному циклу персональных данных: уведомление (P1), выбор и согласие (P2), сбор (P3), использование, хранение и уничтожение (P4), доступ и исправление (P5), раскрытие (P6), качество (P7) и мониторинг и жалобы (P8). Это требования программы конфиденциальности, и по духу они ближе к GDPR, чем к безопасности.
ISO 27001 затрагивает некоторые из них. A.5.34 требует выявлять и выполнять обязательства по защите персональных данных, A.5.33 относится к защите записей, а A.8.10 — к удалению информации. Поэтому хранение (P4.2), уничтожение (P4.3) и уведомление о нарушении (P6.6) в наших данных сопоставляются, со ссылками редакционного характера и указанием причин. Остальные, например уведомления о конфиденциальности, согласие, запросы субъектов данных на доступ и журналы раскрытия, не имеют управления в приложении A.
Если они нужны, ISO/IEC 27701 расширяет СУИБ до системы управления информацией о конфиденциальности и является естественным стандартом-партнёром. Что касается GDPR, см., как ISO 27001 соотносится с статьями GDPR о безопасности.
Что делать
- Сначала согласуйте область. Включайте Целостность обработки или Privacy только при необходимости для клиентов. Многие отчёты SOC 2 охватывают только Security или Security вместе с Availability и Confidentiality.
- Если вы их включаете, рассматривайте их как новые меры, а не как упражнение по сопоставлению с ISO: разработайте, внедрите и храните свидетельства за весь период наблюдения.
- Используйте СУИБ повторно для всего остального. Отчёт о разрывах ISO 27001 → SOC 2 перечисляет каждый критерий с соответствием ISO, а наша статья о едином наборе мер для обоих стандартов описывает механику.
Обратное направление — другая история: при переходе от SOC 2 к ISO 27001 новая работа — сама система управления. В сравнении ISO 27001 и SOC 2 рассмотрены оба направления.
Примечание о данных
Открыто лицензированного соответствия SOC 2 не существует, поэтому каждая ссылка SOC 2 здесь — редакционное суждение ControlMapping, причина которого показана на странице каждого требования. Приведённые выше цифры вычисляются в реальном времени по текущим данным.
Вопросы
Покрывает ли ISO 27001 критерии Privacy SOC 2?
В основном нет. ISO 27001 защищает персональные данные как информацию (A.5.34), но не требует уведомлений о конфиденциальности, согласия, доступа субъектов данных или журналов раскрытия. ISO/IEC 27701 расширяет СУИБ на управление конфиденциальностью и ближе по сути.
Нужно ли включать Целостность обработки в отчёт SOC 2?
Нет. Обязательна только категория Security (общие критерии). Добавляйте Целостность обработки, когда клиенты полагаются на то, что ваша система полностью и точно обрабатывает их данные, например платежи или расчёт зарплаты.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.