Один набор контролей для SOC 2 и ISO 27001 без двойной работы

Компании, которые продают ПО на международном рынке, часто получают оба: отчёт SOC 2 для клиентов в США и сертификат ISO 27001 для всех остальных. Если вести их как два отдельных проекта, придётся написать два комплекта политик, дважды собрать одни и те же доказательства и пройти пересекающиеся аудиты. Если же вести оба от одного набора контролей, второй стандарт обойдётся лишь небольшой долей стоимости первого.

Вот как это настроить.

Насколько велико пересечение

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть ISO 27001 → нужен SOC 2	41 из 61 (67%)	0	20	отчёт →
Есть SOC 2 → нужен ISO 27001	98 из 123 (80%)	21	4	отчёт →

При переходе от SOC 2 к ISO 27001 почти каждый контроль Приложения A и пункт СУИБ сопоставляется с критерием SOC 2. Немногие без соответствия относятся к механике системы управления как таковой: определение самой СУИБ и управление документированной информацией. В обратном направлении критерии SOC 2, которым нет аналога в ISO, — это необязательные категории «Приватность» и «Целостность обработки»; все критерии безопасности имеют соответствие.

Таким образом, пересечение лежит в области контролей безопасности. Различия в структуре: ISO требует системы управления вокруг контролей, а SOC 2 требует доказательств того, что они работали в течение периода наблюдения.

Шаг 1: выберите основу

Для общего набора контролей нужна одна основная структура, к которой сопоставляется всё остальное. Используйте Приложение A ISO 27001 как основу, если сертификат есть или планируется, поскольку Декларация о применимости уже перечисляет каждый контроль с обоснованием. Используйте критерии SOC 2, если отчёт — ваш главный результат. Подойдёт любой вариант; важно, чтобы у каждого контроля было одно место.

Шаг 2: описывайте каждый контроль один раз

Для каждого контроля ведите одну запись со следующим:

• Простое описание того, что вы делаете («Доступ к продуктивной среде предоставляется по заявке, одобренной владельцем системы, и проверяется ежеквартально»).
• Владелец и периодичность.
• Ссылки на стандарты, которым он соответствует, например ISO A.5.15 и A.5.18, SOC 2 CC6.1–CC6.3.
• Доказательства, которые он формирует, и место их хранения.

Ссылки берутся из сопоставления, подобного нашему. Для управления доступом это выглядит так:

Стандарт	Контроль доступа	Связь
NIST CSF 2.0	PR.AA-01PR.AA-05	Определение темы
ISO 27001	A.5.15A.5.16A.5.18A.8.3	Соответствия
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	Соответствия
SOC 2	CC6.1CC6.2CC6.3	Редакционные материалы
PCI DSS	7.2.17.2.27.2.48.2.1	Соответствия
CMMC	AC.L2-3.1.1AC.L2-3.1.2	Соответствия
800-53	AC-2AC-3	Соответствия
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	Соответствия
GDPR	Art.25(2)Art.32(1)(b)	Редакционные материалы
NIS2	11.111.211.5	Соответствия
Essential Eight	—	Нет сопоставления в наших данных

Полные подробности и обоснование каждой связи: Контроль доступа по фреймворкам →

Шаг 3: собирайте доказательства один раз, маркируйте дважды

Аудиторы SOC 2 Type II выбирают доказательства из всего периода наблюдения: заявки, проверки, сканирования, записи об обучении. Инспекторы ISO при надзорных проверках запрашивают записи тех же видов. Собирайте каждый документ один раз, в одном месте, и помечайте его всеми ссылками на стандарты, которые относятся к его контролю.

Шаг 4: согласуйте графики

• Начинайте период наблюдения SOC 2, когда контроли проработали несколько недель, а не в день их запуска.
• Планируйте внутренние аудиты ISO и анализ со стороны руководства так, чтобы они формировали записи внутри периода SOC 2: это хорошие доказательства управления и для общих критериев SOC 2.
• Уточните, могут ли ваши аудиторы координировать полевые работы. Даже если не могут, сближение двух аудитов означает один раунд запросов доказательств.

Шаг 5: закройте разрывы, которые оставляет каждая сторона

Проведите отчёт об анализе разрывов SOC 2 → ISO 27001 и обратный. Ожидайте два вида новой работы:

• Для ISO: система управления. Область действия, цели, оценка и обработка рисков, Декларация о применимости, внутренний аудит, анализ со стороны руководства и корректирующие действия.
• Для SOC 2: любые необязательные категории, которые вы включаете, и привычка непрерывно вести доказательства в течение всего периода.

Наше сравнение ISO 27001 и SOC 2 перечисляет каждое требование в обоих направлениях, а руководства SOC 2 и ISO 27001 описывают сами аудиты.

Примечание о сопоставлениях

Открыто лицензированных соответствий SOC 2 не существует, поэтому каждая ссылка SOC 2 на этом сайте — редакционная оценка ControlMapping с указанием обоснования. Используйте сопоставление для проектирования набора контролей, а затем уточните детали с аудиторами, прежде чем на него полагаться.

Вопросы

Может ли один аудитор проводить SOC 2 и ISO 27001 вместе?

Некоторые фирмы имеют и практику CPA, и аккредитованный орган по сертификации и координируют аудиты, однако это по-прежнему два отдельных договора с двумя результатами: отчётом SOC 2 и сертификатом ISO 27001.

Что должно идти первым: SOC 2 или ISO 27001?

То, что первым запрашивают ваши клиенты. Если вы построите общий набор контролей, описанный здесь, второй стандарт в основном добавит пункты системы управления (для ISO) или период сбора доказательств и необязательные критерии (для SOC 2).