Сравнение
ISO 27001 и PCI DSS: система менеджмента против предписывающих правил защиты данных платёжных карт
ISO/IEC 27001:2022 · PCI DSS v4.0.1 · данные на 2026-10-27
По параметру «Paul Gillet» · Обновлено 2026-10-17
PCI DSS v4.0.1 — это договорное требование платёжных брендов для всех, кто хранит, обрабатывает или передаёт данные держателей карт. Стандарт предписывающий: около 250 определённых требований с процедурами тестирования; подтверждение соответствия проводит Qualified Security Assessor или же вы заполняете Self-Assessment Questionnaire — в зависимости от вашего уровня. ISO/IEC 27001 основан на риске: вы сами выбираете и обосновываете меры контроля для определённой вами области применения.
Система менеджмента ИБ по ISO 27001 даёт работе над PCI прочную основу. Управление, оценка рисков, политики, контроль доступа, журналирование и управление инцидентами переносятся напрямую, а процесс управления рисками по ISO помогает с целевыми анализами рисков, которые требует PCI DSS v4.
При переходе от ISO к PCI DSS ожидайте множество требований без соответствия и лишь косвенно связанных. Причина не в слабости ISO, а в том, что PCI точно определяет, что делать и как часто: правила сетевого контроля для среды данных держателей карт, защита хранимых учётных данных и PAN, особые требования к аутентификации и MFA, ежеквартальные сканирования и ежегодные тесты на проникновение, мониторинг целостности файлов и контроль скриптов платёжных страниц. Частично это также ограничение данных: таблица соответствий NIST по PCI охватывает только часть стандарта, поэтому некоторые требования PCI не имеют опубликованной связи ни с чем.
При переходе от PCI DSS к ISO покрытие Приложения A хорошее, а пробел касается системы менеджмента: область действия СМИБ, цели, документированная информация, внутренний аудит и анализ со стороны руководства.
Кратко
| ISO 27001 | PCI DSS | |
|---|---|---|
| Что защищается | Вся информация в области действия СМИБ | Данные платёжных счетов и окружающие их системы |
| Степень предписывающего характера | На основе риска: меры выбираете вы | Предписывающий: конкретные требования, многие с установленной периодичностью |
| Кто требует | Заказчики и тендеры | Платёжные бренды через договоры с эквайерами |
| Оценка | Орган по сертификации | Отчёт о соответствии QSA или Self-Assessment Questionnaire |
| Периодичность | Ежегодный инспекционный контроль, ресертификация раз в три года | Ежегодно, с ежеквартальными внешними сканированиями |
Использование ISO 27001 для PCI DSS
СМИБ, которая включает среду данных держателей карт в область действия, покрывает значительную часть работы по политикам, рискам и управлению в PCI DSS, и многие технические области совпадают. Новая работа обычно связана с особыми настройками и периодичностью PCI: ежеквартальные внешние сканирования силами Approved Scanning Vendor, MFA для всего доступа в среду данных держателей карт, контроль скриптов платёжных страниц, периодичность анализа журналов и детали управления ключами. Список «нет сопоставления», приведённый ниже, — это то, где стоит искать.
Кому что нужно
PCI DSS применяется к любой организации, которая хранит, обрабатывает или передаёт данные платёжных карт либо может повлиять на их безопасность, поскольку платёжные бренды требуют его через договоры с эквайерами. Способ подтверждения зависит от вашего уровня: крупнейшим торговцам и поставщикам услуг нужен ежегодный Отчёт о соответствии от Qualified Security Assessor; большинство остальных заполняют Self-Assessment Questionnaire. ISO 27001 добровольный и более широкий: он охватывает всю информационную безопасность организации, а не только данные карт, и завершается сертификатом, который узнают заказчики.
Сократите область PCI до создания мер контроля
Самое дешёвое требование PCI DSS — то, которое к вам не применяется. Прежде чем сопоставлять меры ISO с PCI, сократите среду данных держателей карт:
- Передайте платёжную страницу на аутсорсинг. Интернет-магазин, который перенаправляет на страницу платёжного провайдера, соответствующего PCI, или встраивает её, не хранит данные карт на собственных серверах и может квалифицироваться для самого короткого опросника, SAQ A.
- Токенизируйте. Замените сохранённые номера карт токенами от платёжного провайдера, чтобы никогда не хранить основные номера счетов.
- Сегментируйте. Изолируйте системы, которым необходимо работать с данными карт, от всего остального и проверяйте сегментацию.
Каждая система, исключённая из области действия, сразу снимает десятки требований.
Стоимость и трудозатраты
Для организации с сертификатом ISO стоимость PCI DSS почти полностью определяется областью действия. При полностью переданной на аутсорсинг платёжной странице работа может свестись к короткому опроснику и нескольким мерам контроля. Если данные карт находятся в ваших собственных системах, ожидайте значительного объёма работ по требованиям 3 (хранимые данные), 8 (аутентификация), 10 (журналирование) и 11 (тестирование), а также ежеквартальные внешние сканирования силами Approved Scanning Vendor и, на более высоких уровнях, оценку QSA. Объём работ по управлению невелик, поскольку СМИБ уже покрывает большую часть требования 12.
Сроки
Сначала планируйте сокращение области действия: оно может полностью изменить сроки. Для среды в области действия организации с сертификатом ISO обычно нужно от трёх до девяти месяцев, чтобы закрыть специфичные для PCI технические пробелы до первой оценки, а ежеквартальные сканирования должны работать до даты оценки. Встройте фиксированные периодичности PCI (ежеквартальные сканирования, проверки раз в полгода, ежегодные тесты) в календарь СМИБ, чтобы внутренний аудит проверял их наравне со всем остальным.
Пример: интернет-ритейлер
Средний интернет-ритейлер имеет сертификат ISO 27001 на свою платформу электронной коммерции и обрабатывает платежи картами на собственных серверах. Его эквайер требует подтверждения соответствия PCI DSS. Анализ разрывов показывает значительное совпадение в области управления, реагирования на инциденты и управления поставщиками, но крупные разрывы по требованию 3 (хранимые данные платёжных счетов), 6.4 (безопасность платёжной страницы) и 11 (сканирования ASV и тесты на проникновение).
Ритейлер сначала перестраивает оформление заказа на встроенную платёжную страницу от своего платёжного провайдера и токенизирует сохранённые карты. Его собственные системы больше не работают с номерами карт, большая часть разрывов исчезает, и он подтверждает соответствие через короткий опросник самооценки. Его меры ISO покрывают оставшееся, а периодичность PCI прописывается в существующих процедурах.
Типичные ошибки
- Сопоставление до определения области. Создание мер контроля для среды данных держателей карт, которую можно было бы исключить токенизацией или передачей платёжной страницы на аутсорсинг.
- Использование периодичности ISO. Ежегодный пересмотр доступа соответствует ISO; PCI DSS требует раз в шесть месяцев. Проектируйте по периодичности PCI.
- Забытый ASV. Внешние сканирования должны выполняться Approved Scanning Vendor, ежеквартально, с успешными результатами.
- Сертификат ISO как доказательство PCI. Оценщикам нужны специфичные для PCI доказательства по каждому требованию.
- Упущенная платёжная страница. Управление скриптами и обнаружение несанкционированных изменений на платёжных страницах входят в число наиболее часто пропускаемых требований v4.0.1.
Основные выводы
- В PCI всё зависит от области действия: сегментация среды данных держателей карт может существенно сократить объём работ.
- ISO → PCI: явно сопоставьте меры ISO с каждым требованием PCI и будьте готовы добавить частоты и технические детали.
- Требования PCI DSS v4.0, вступление которых в силу было отложено, стали обязательными 31 марта 2025 года; убедитесь, что вы проводите оценку по v4.0.1.
Есть ISO 27001 → нужен PCI DSS
260 треб. сопоставлено: 77 · · 107 без сопоставления Открыть в представлении разрывов →Из 260 требований PCI DSS v4.0.1 77 сопоставлены с чем-либо в ISO 27001, 76 связаны лишь косвенно, а для 107 в наших данных нет сопоставления.
Вероятно, новая работа: требования PCI DSS без сопоставления с ISO 27001 (107)
| PCI DSS | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 12 | ||||
| 1.2.2 | Network connection changes go through change control | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.2.5 | Allowed services, protocols and ports approved | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.2.6 | Security features defined for insecure services | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.2.7 | Network security control rules reviewed every six months | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.2.8 | Network security control configuration files secured | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.3.2 | Outbound traffic from the CDE restricted | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.3.3 | Network controls between wireless networks and the CDE | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.4.2 | Inbound traffic from untrusted networks restricted | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.4.3 | Anti-spoofing measures in place | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.4.4 | Stored cardholder data not reachable from untrusted networks | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.4.5 | Internal IP addresses and routing not disclosed | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 1.5.1 | Controls on devices connecting to untrusted networks and the CDE | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 2: Apply secure configurations to all system components · 6 | ||||
| 2.2.3 | Functions with different security levels kept apart | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 2.2.4 | Only necessary services and functions enabled | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 2.2.5 | Insecure services justified and secured | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 2.2.6 | System security parameters set to prevent misuse | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 2.2.7 | Non-console administrative access encrypted | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 2.3.2 | Wireless keys changed when key holders leave | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 3: Protect stored account data · 14 | ||||
| 3.3.1.1 | Full track data not kept after authorisation | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.3.1.2 | Card verification code not kept after authorisation | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.3.1.3 | PIN and PIN block not kept after authorisation | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.3.2 | Sensitive authentication data encrypted before authorisation | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.3.3 | Issuer storage of sensitive authentication data limited and protected | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.5.1.1 | Hashes of PAN are keyed cryptographic hashes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.5.1.2 | Disk-level encryption used only where it suffices | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.2 | Key management: secure key distribution | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.3 | Key management: secure key storage | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.5 | Key management: retiring weakened or compromised keys | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.6 | Key management: split knowledge and dual control | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.7 | Key management: preventing unauthorised key substitution | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.8 | Key custodians formally acknowledge their responsibilities | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 3.7.9 | Service providers give customers key-handling guidance | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1.2 | Strong cryptography on wireless networks carrying PAN | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 4.2.2 | PAN secured when sent by end-user messaging | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.3.1 | Anti-malware kept up to date | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 5.3.3 | Removable media scanned or analysed | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 5.3.4 | Anti-malware audit logs enabled and retained | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 5.3.5 | Users cannot disable or alter anti-malware | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 6: Develop and maintain secure systems and software · 6 | ||||
| 6.5.1 | Production changes follow change control procedures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 6.5.2 | PCI DSS requirements re-confirmed after significant changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 6.5.3 | Pre-production environments separated from production | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 6.5.4 | Duties separated between production and pre-production | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 6.5.5 | Live PANs not used in pre-production | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 6.5.6 | Test data and accounts removed before go-live | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 6 | ||||
| 7.2.3 | Privileges approved by authorised personnel | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 7.2.5 | System and application accounts least privilege | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 7.2.6 | Access to cardholder data repositories restricted | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 7.3.1 | Access control system restricts access by need | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 7.3.2 | Access control system enforces assigned permissions | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 7.3.3 | Access control system set to deny by default | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 8: Identify users and authenticate access to system components · 8 | ||||
| 8.2.3 | Service providers use unique credentials per customer | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.2.4 | User ID changes authorised and controlled | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.2.7 | Third-party remote access accounts enabled only when needed | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.3.2 | Authentication factors unreadable in transit and storage | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.3.3 | Identity verified before changing authentication factors | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.3.4 | Account lockout after repeated failed attempts | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.3.11 | Tokens, smart cards and certificates assigned to individuals | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 8.6.1 | Interactive use of system accounts managed | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 9: Restrict physical access to cardholder data · 10 | ||||
| 9.2.2 | Publicly accessible network jacks restricted | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.3.3 | Visitor badges returned or deactivated | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.3.4 | Visitor log maintained and retained | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.4.1 | Media with cardholder data physically secured | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.4.3 | Media sent off site tracked and secured | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.4.4 | Management approves media moved off site | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.4.5 | Inventory logs of electronic media kept | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.4.5.1 | Electronic media inventories at least annually | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.5.1 | Card-reading (POI) devices protected from tampering | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 9.5.1.3 | Staff trained to spot POI tampering | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 10: Log and monitor all access to system components and cardholder data · 11 | ||||
| 10.2.1.1 | Logs capture user access to cardholder data | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.2 | Logs capture administrative actions | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.3 | Logs capture access to audit logs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.4 | Logs capture invalid access attempts | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.5 | Logs capture credential and privilege changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.6 | Logs capture starting, stopping or pausing logging | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.2.1.7 | Logs capture system-level object changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.4.2 | Other logs reviewed periodically | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.4.3 | Exceptions and anomalies addressed | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.6.2 | Time configuration correct and consistent | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 10.7.3 | Security control failures responded to promptly | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 11: Test security of systems and networks regularly · 12 | ||||
| 11.2.2 | Inventory of authorised wireless access points | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.3.1.2 | Internal scans use authenticated scanning | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.3.1.3 | Internal scans after significant changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.3.2.1 | External scans after significant changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.1 | Penetration testing methodology defined | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.2 | Internal penetration test at least annually | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.3 | External penetration test at least annually | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.5 | Segmentation controls tested at least annually | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.6 | Service providers test segmentation every six months | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.4.7 | Multi-tenant providers support customer penetration tests | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.5.1.1 | Service providers detect covert malware communication | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 11.5.2 | Change-detection on critical files | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Requirement 12: Support information security with organizational policies and programs · 6 | ||||
| 12.2.1 | Acceptable use policies for end-user technologies | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 12.4.1 | Service providers: executive responsibility for PCI DSS compliance | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 12.5.2.1 | Service providers confirm scope every six months | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 12.6.2 | Awareness programme reviewed annually | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 12.6.3.1 | Training covers phishing and social engineering | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| 12.6.3.2 | Training covers acceptable use of technology | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| Appendix A: additional requirements · 10 | ||||
| A1.1.1 | Multi-tenant providers: separate provider and customer environments | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.1.2 | Multi-tenant providers: customers confined to their own environment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.1.3 | Multi-tenant providers: customers reach only their own data | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.1.4 | Multi-tenant providers: separation tested every six months | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.2.1 | Multi-tenant providers: audit logging for each customer | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.2.2 | Multi-tenant providers: support customer forensic investigations | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A1.2.3 | Multi-tenant providers: report suspected incidents to customers | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A2.1.1 | POI terminals using SSL or early TLS not exploitable | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A2.1.2 | Service providers: migration plan off SSL and early TLS | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| A2.1.3 | Service providers offer a secure connection option | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (76)
| PCI DSS | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 3 | ||||
| 1.1.1 | Network security policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 1.1.2 | Roles for network security controls assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 1.2.4 | Accurate account-data flow diagram maintained | A.5.19A.5.20A.5.22+5 | Совпадает только CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление | |
| Requirement 2: Apply secure configurations to all system components · 3 | ||||
| 2.1.1 | Secure configuration policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 2.1.2 | Roles for secure configuration assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 2.3.1 | Wireless vendor defaults changed | A.5.15A.5.3A.5.10+5 | Совпадает только CSF PR.AA-03, PR.DS-02: связь косвенная, это не сопоставление | |
| Requirement 3: Protect stored account data · 7 | ||||
| 3.1.1 | Stored account data policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 3.1.2 | Roles for protecting stored account data assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 3.5.1.3 | Disk encryption access managed separately from OS access | A.5.15A.5.1A.5.3+5 | Совпадает только CSF PR.AA-03, PR.DS-01: связь косвенная, это не сопоставление | |
| 3.6.1.1 | Service providers document their cryptographic architecture | A.5.15A.5.16A.8.2+5 | Совпадает только CSF PR.AA-01, PR.DS-01, PR.AA-04: связь косвенная, это не сопоставление | |
| 3.6.1.2 | Secret and private keys stored in approved forms | A.5.15A.5.16A.8.2+5 | Совпадает только CSF PR.AA-01, PR.DS-01, PR.AA-04: связь косвенная, это не сопоставление | |
| 3.6.1.3 | Cleartext key components accessible to fewest custodians | A.5.15A.5.16A.8.2+5 | Совпадает только CSF PR.AA-01, PR.DS-01, PR.AA-04: связь косвенная, это не сопоставление | |
| 3.6.1.4 | Keys stored in the fewest possible locations | A.5.15A.5.16A.8.2+5 | Совпадает только CSF PR.AA-01, PR.DS-01, PR.AA-04: связь косвенная, это не сопоставление | |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.1.1 | Data-in-transit policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 4.1.2 | Roles for protecting data in transit assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| Requirement 5: Protect all systems and networks from malicious software · 5 | ||||
| 5.1.1 | Anti-malware policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 5.1.2 | Roles for malware protection assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 5.2.3 | Systems without anti-malware periodically re-evaluated | A.8.20A.8.21A.8.22+1 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| 5.2.3.1 | Re-evaluation frequency set by targeted risk analysis | A.5.1A.8.20A.8.21+4 | Совпадает только CSF GV.RM-03, GV.RM-06, PR.IR-01: связь косвенная, это не сопоставление | |
| 5.3.2.1 | Scan frequency set by targeted risk analysis | A.5.1Clause 6.1.2Clause 6.1.3 | Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление | |
| Requirement 6: Develop and maintain secure systems and software · 3 | ||||
| 6.1.1 | Secure systems and software policies documented | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 6.1.2 | Roles for secure systems and software assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 6.2.3.1 | Manual code reviews approved by someone else | A.5.8A.5.9A.5.11+5 | Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление | |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.1.1 | Access restriction policies documented and kept current | A.5.1A.5.3A.5.14+5 | Совпадает только CSF GV.PO-02, PR.AA-05: связь косвенная, это не сопоставление | |
| 7.1.2 | Roles for access restriction assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 7.2.5.1 | System and application account access periodically reviewed | A.5.1A.5.3A.5.14+5 | Совпадает только CSF GV.OV-03, GV.RM-03, GV.RM-06, PR.AA-05: связь косвенная, это не сопоставление | |
| Requirement 8: Identify users and authenticate access to system components · 15 | ||||
| 8.1.1 | Identification and authentication policies documented | A.5.1A.5.3A.5.14+5 | Совпадает только CSF GV.PO-02, PR.AA-05: связь косвенная, это не сопоставление | |
| 8.1.2 | Roles for identification and authentication assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 8.2.2 | Shared or generic accounts only by documented exception | A.7.4A.8.2A.8.3+3 | Совпадает только CSF DE.CM-03, PR.AA-02: связь косвенная, это не сопоставление | |
| 8.2.5 | Access revoked immediately on termination | A.5.19A.5.20A.5.21+5 | Совпадает только CSF GV.SC-10: связь косвенная, это не сопоставление | |
| 8.2.6 | Inactive user accounts disabled within 90 days | A.5.1A.5.3A.5.14+5 | Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление | |
| 8.2.8 | Re-authentication after 15 minutes idle | A.5.15A.5.3A.5.10+5 | Совпадает только CSF PR.AA-03, PR.DS-10: связь косвенная, это не сопоставление | |
| 8.3.5 | First-use and reset passwords unique and changed | A.8.2A.8.3A.8.5 | Совпадает только CSF PR.AA-02: связь косвенная, это не сопоставление | |
| 8.3.6 | Minimum password length and complexity | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.3.7 | Recent passwords cannot be reused | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.3.8 | Authentication guidance communicated to users | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.3.9 | Password-only access: change every 90 days or analyse risk | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.3.10 | Service providers give customers password guidance | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.3.10.1 | Service provider customer passwords: rotation or analysis | A.5.15A.5.16A.5.17+2 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 8.6.2 | No hard-coded passwords for system accounts | A.5.15A.5.16A.5.18+2 | Совпадает только CSF PR.AA-01: связь косвенная, это не сопоставление | |
| 8.6.3 | System account passwords protected and changed | A.5.1Clause 6.1.3A.5.15+5 | Совпадает только CSF GV.RM-03, GV.RM-06, ID.RA-07, PR.AA-01: связь косвенная, это не сопоставление | |
| Requirement 9: Restrict physical access to cardholder data · 9 | ||||
| 9.1.1 | Physical security policies documented and kept current | A.5.1A.5.31A.5.32+5 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 9.1.2 | Roles for physical security assigned | A.5.2A.5.3A.7.5+5 | Совпадает только CSF GV.RR-02, PR.IR-02: связь косвенная, это не сопоставление | |
| 9.2.4 | Consoles in sensitive areas locked when unattended | A.5.15A.5.16A.5.17+5 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| 9.4.1.2 | Security of offline backup location reviewed annually | A.8.13A.7.4 | Совпадает только CSF PR.DS-11, RC.RP-03, DE.CM-02: связь косвенная, это не сопоставление | |
| 9.4.6 | Hard-copy media destroyed when no longer needed | A.5.20Clause 4.2A.5.1+5 | Совпадает только CSF GV.OC-03, GV.SC-10, PR.DS-01: связь косвенная, это не сопоставление | |
| 9.4.7 | Electronic media destroyed or made unrecoverable | A.5.20A.8.13Clause 4.2+5 | Совпадает только CSF GV.OC-03, GV.SC-10, PR.DS-01, PR.DS-11: связь косвенная, это не сопоставление | |
| 9.5.1.1 | Inventory of POI devices kept | A.5.9A.5.19A.5.20+5 | Совпадает только CSF ID.AM-01, PR.PS-03, GV.SC-09, ID.RA-09: связь косвенная, это не сопоставление | |
| 9.5.1.2 | POI devices inspected for tampering | A.7.4A.5.9A.5.19+5 | Совпадает только CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: связь косвенная, это не сопоставление | |
| 9.5.1.2.1 | Inspection frequency set by targeted risk analysis | A.5.1Clause 6.1.2Clause 6.1.3+5 | Совпадает только CSF GV.RM-03, GV.RM-06, GV.SC-09, ID.RA-07: связь косвенная, это не сопоставление | |
| Requirement 10: Log and monitor all access to system components and cardholder data · 10 | ||||
| 10.1.1 | Logging and monitoring policies documented | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 10.1.2 | Roles for logging and monitoring assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 10.2.2 | Log entries record who, what, when, where and outcome | A.5.25A.5.27A.5.28 | Совпадает только CSF RS.AN-03, RS.AN-07: связь косвенная, это не сопоставление | |
| 10.3.1 | Read access to logs limited to need | A.5.26A.5.28A.8.15+1 | Совпадает только CSF DE.AE-06, RS.AN-06, PR.PS-04: связь косвенная, это не сопоставление | |
| 10.3.3 | Logs promptly backed up to a central server | A.5.28A.8.15A.5.24+4 | Совпадает только CSF RS.AN-06, RS.AN-07, DE.AE-03, PR.PS-04…: связь косвенная, это не сопоставление | |
| 10.3.4 | File-integrity monitoring on logs | A.5.24A.5.25A.5.28+5 | Совпадает только CSF DE.AE-02, RS.AN-06: связь косвенная, это не сопоставление | |
| 10.4.2.1 | Review frequency set by targeted risk analysis | A.5.1Clause 6.1.3A.5.9+5 | Совпадает только CSF GV.RM-03, GV.RM-06, ID.RA-07, ID.AM-05: связь косвенная, это не сопоставление | |
| 10.6.3 | Time settings protected from change | A.8.15A.8.17 | Совпадает только CSF PR.PS-04: связь косвенная, это не сопоставление | |
| 10.7.1 | Service providers detect security control failures | A.5.1A.5.19Clause 9.1+5 | Совпадает только CSF GV.OV-01, GV.OV-02, GV.RM-05, ID.IM-03: связь косвенная, это не сопоставление | |
| 10.7.2 | Critical security control failures detected and reported | A.5.1A.5.19Clause 9.1+5 | Совпадает только CSF GV.OV-01, GV.OV-02, GV.OV-03, GV.RM-05…: связь косвенная, это не сопоставление | |
| Requirement 11: Test security of systems and networks regularly · 6 | ||||
| 11.1.1 | Security testing policies documented and kept current | A.5.1A.5.31A.5.32+2 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| 11.1.2 | Roles for security testing assigned | A.5.2A.5.3Clause 7.2 | Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление | |
| 11.2.1 | Wireless access points detected and unauthorised ones handled | A.8.15A.8.16A.8.20+3 | Совпадает только CSF DE.CM-01, PR.IR-01: связь косвенная, это не сопоставление | |
| 11.3.1.1 | Lower-ranked vulnerabilities handled by risk analysis | A.5.1Clause 6.1.2Clause 6.1.3+2 | Совпадает только CSF GV.RM-03, GV.RM-06, ID.RA-05: связь косвенная, это не сопоставление | |
| 11.4.4 | Penetration test findings corrected and retested | A.5.19A.5.1A.5.35+5 | Совпадает только CSF GV.OV-02, GV.OV-03, ID.IM-02: связь косвенная, это не сопоставление | |
| 11.6.1 | Payment page changes and tampering detected | A.5.19A.5.1A.5.20+5 | Совпадает только CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: связь косвенная, это не сопоставление | |
| Requirement 12: Support information security with organizational policies and programs · 10 | ||||
| 12.3.2 | Targeted risk analysis for customised approach | A.5.1A.8.32Clause 6.1.2+1 | Совпадает только CSF GV.RM-06, ID.RA-07: связь косвенная, это не сопоставление | |
| 12.3.3 | Cipher suites and protocols reviewed annually | A.5.1A.5.3A.5.10+5 | Совпадает только CSF GV.RM-03, GV.RM-06, PR.DS-02: связь косвенная, это не сопоставление | |
| 12.3.4 | Hardware and software technologies reviewed annually | A.5.19A.5.1A.5.20+5 | Совпадает только CSF GV.OV-02, GV.OV-03, GV.SC-03, GV.SC-09…: связь косвенная, это не сопоставление | |
| 12.4.2.1 | Service providers: quarterly review results documented | A.5.1A.5.19A.5.35+5 | Совпадает только CSF GV.OV-01, GV.OV-02, ID.IM-01: связь косвенная, это не сопоставление | |
| 12.5.3 | Service providers review scope after organisational change | A.5.1A.5.19Clause 6.1.3+5 | Совпадает только CSF GV.OV-02, GV.RM-03, GV.RM-05: связь косвенная, это не сопоставление | |
| 12.9.1 | Service providers acknowledge responsibilities to customers | A.5.19A.5.20A.5.31+5 | Совпадает только CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: связь косвенная, это не сопоставление | |
| 12.9.2 | Service providers support customer compliance requests | A.5.19A.5.20A.5.31+5 | Совпадает только CSF GV.RM-05, GV.SC-01, GV.SC-05, GV.SC-07…: связь косвенная, это не сопоставление | |
| 12.10.4.1 | Training frequency set by targeted risk analysis | A.5.1A.5.2A.6.3+3 | Совпадает только CSF GV.RM-03, GV.RM-06, PR.AT-02: связь косвенная, это не сопоставление | |
| 12.10.5 | Plan covers alerts from security monitoring | A.5.26 | Совпадает только CSF GV.SC-08: связь косвенная, это не сопоставление | |
| 12.10.7 | Procedures for PAN found where it shouldn't be | A.5.9 | Совпадает только CSF ID.AM-07: связь косвенная, это не сопоставление | |
Сопоставлено (77)
| PCI DSS | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Requirement 1: Install and maintain network security controls · 4 | ||||
| 1.2.1 | Configuration standards for network security controls | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| 1.2.3 | Accurate network diagram maintained | Соответствия | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети |
| 1.3.1 | Inbound traffic to the CDE restricted | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| 1.4.1 | Network controls between trusted and untrusted networks | Редакционные материалы | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| Requirement 2: Apply secure configurations to all system components · 2 | ||||
| 2.2.1 | System configuration standards developed and maintained | Соответствия | A.8.9 | Та же тема: Безопасная конфигурация |
| 2.2.2 | Vendor default accounts managed or removed | Соответствия | A.8.9 | Та же тема: Безопасная конфигурация |
| Requirement 3: Protect stored account data · 8 | ||||
| 3.2.1 | Account data storage minimised, with retention and disposal | Соответствия | A.5.14A.8.10A.8.11 | Та же тема: Защита данных |
| 3.3.1 | Sensitive authentication data not kept after authorisation | Соответствия | A.5.14A.8.10A.8.11 | Та же тема: Защита данных |
| 3.4.1 | PAN masked when displayed | Соответствия | A.5.14A.8.10A.8.11 | Та же тема: Защита данных |
| 3.4.2 | PAN copying prevented over remote-access technologies | Редакционные материалы | A.8.12 | Та же тема: DLP (выбор редакции) |
| 3.5.1 | PAN rendered unreadable wherever stored | Соответствия | A.8.24 | Та же тема: Шифрование |
| 3.6.1 | Procedures protect keys that secure stored account data | Соответствия | A.8.24 | Та же тема: Шифрование |
| 3.7.1 | Key management: strong key generation | Редакционные материалы | A.8.24 | Та же тема: Шифрование (выбор редакции) |
| 3.7.4 | Key management: key changes at end of cryptoperiod | Редакционные материалы | A.8.24 | Та же тема: Шифрование (выбор редакции) |
| Requirement 4: Protect cardholder data with strong cryptography during transmission · 2 | ||||
| 4.2.1 | Strong cryptography for PAN over open, public networks | Соответствия | A.8.24 | Та же тема: Шифрование |
| 4.2.1.1 | Inventory of trusted keys and certificates kept | Редакционные материалы | A.8.24 | Та же тема: Шифрование (выбор редакции) |
| Requirement 5: Protect all systems and networks from malicious software · 4 | ||||
| 5.2.1 | Anti-malware deployed on system components | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| 5.2.2 | Anti-malware detects, removes or contains known malware | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| 5.3.2 | Periodic scans or continuous behavioural analysis | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| 5.4.1 | Mechanisms to detect and protect against phishing | Редакционные материалы | A.5.14 | Та же тема: Безопасность электронной почты (выбор редакции) |
| Requirement 6: Develop and maintain secure systems and software · 10 | ||||
| 6.2.1 | Bespoke and custom software developed securely | Редакционные материалы | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка (выбор редакции) |
| 6.2.2 | Developers trained in secure software development | Соответствия | A.8.25A.8.26A.8.28+1 | Та же тема: Безопасная разработка |
| 6.2.3 | Custom code reviewed before release | Соответствия | A.8.5A.8.25A.8.26+2 | Та же тема: Безопасность API, Безопасная разработка |
| 6.2.4 | Coding techniques prevent common software attacks | Редакционные материалы | A.8.5A.8.26 | Та же тема: Безопасность API (выбор редакции) |
| 6.3.1 | Vulnerabilities identified and risk-ranked | Соответствия | A.5.7A.8.8 | Та же тема: Разведка угроз, Управление уязвимостями, Управление исправлениями |
| 6.3.2 | Inventory of custom software and its components | Соответствия | A.5.9A.5.11A.5.19+2 | Та же тема: Управление активами, Управление рисками цепочки поставок |
| 6.3.3 | Security patches installed promptly | Соответствия | A.8.8 | Та же тема: Управление исправлениями |
| 6.4.1 | Public web applications protected against attacks | Редакционные материалы | A.8.26 | Та же тема: Безопасность веб-приложений (выбор редакции) |
| 6.4.2 | Automated solution blocks attacks on public web apps | Редакционные материалы | A.8.20 | Та же тема: WAF (выбор редакции) |
| 6.4.3 | Payment page scripts authorised and integrity-checked | Редакционные материалы | A.8.26 | Та же тема: Безопасность веб-приложений (выбор редакции) |
| Requirement 7: Restrict access to system components and cardholder data by business need to know · 3 | ||||
| 7.2.1 | Access control model defined | Соответствия | A.5.15A.5.16A.5.18+3 | Та же тема: Контроль доступа, Нулевое доверие |
| 7.2.2 | Access assigned by job function and least privilege | Соответствия | A.5.15A.5.16A.5.18+3 | Та же тема: Контроль доступа |
| 7.2.4 | User accounts and privileges reviewed every six months | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| Requirement 8: Identify users and authenticate access to system components · 6 | ||||
| 8.2.1 | Every user has a unique ID | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| 8.3.1 | User and admin access requires an authentication factor | Соответствия | A.5.15A.8.5A.8.22 | Та же тема: Нулевое доверие |
| 8.4.1 | MFA for non-console administrative access to the CDE | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| 8.4.2 | MFA for all access into the CDE | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| 8.4.3 | MFA for remote network access | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| 8.5.1 | MFA systems configured to resist misuse | Редакционные материалы | A.8.5 | Та же тема: Многофакторная аутентификация (выбор редакции) |
| Requirement 9: Restrict physical access to cardholder data · 8 | ||||
| 9.2.1 | Facility entry controls restrict CDE access | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| 9.2.1.1 | Access to sensitive areas monitored by camera or access control | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| 9.2.3 | Physical access to network hardware restricted | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| 9.3.1 | Personnel physical access authorised and managed | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| 9.3.1.1 | Sensitive-area access authorised and revoked promptly | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| 9.3.2 | Visitor access authorised, escorted and identifiable | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| 9.4.1.1 | Offline backup media stored securely | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| 9.4.2 | Media classified by data sensitivity | Редакционные материалы | A.5.12A.5.13 | Та же тема: Классификация данных (выбор редакции) |
| Requirement 10: Log and monitor all access to system components and cardholder data · 6 | ||||
| 10.2.1 | Audit logs enabled and active | Соответствия | A.6.1A.6.4A.8.15+2 | Та же тема: Внутренние угрозы, Логирование и аудит |
| 10.3.2 | Logs protected from modification | Соответствия | A.5.28A.8.15A.8.17 | Та же тема: Криминалистический анализ, Логирование и аудит |
| 10.4.1 | Security event and critical logs reviewed daily | Соответствия | A.5.25A.8.16 | Та же тема: SIEM / SOC, Непрерывный мониторинг |
| 10.4.1.1 | Automated mechanisms for log review | Редакционные материалы | A.8.16 | Та же тема: Обнаружение аномалий (выбор редакции) |
| 10.5.1 | Audit logs retained 12 months, three immediately available | Редакционные материалы | A.8.15A.8.17 | Та же тема: Логирование и аудит (выбор редакции) |
| 10.6.1 | System clocks synchronised | Соответствия | A.8.15A.8.17 | Та же тема: Логирование и аудит |
| Requirement 11: Test security of systems and networks regularly · 3 | ||||
| 11.3.1 | Internal vulnerability scans every three months | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| 11.3.2 | External ASV scans every three months | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| 11.5.1 | Intrusion detection or prevention on network traffic | Редакционные материалы | A.8.16 | Та же тема: Обнаружение вторжений (выбор редакции) |
| Requirement 12: Support information security with organizational policies and programs · 21 | ||||
| 12.1.1 | Information security policy established and published | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
| 12.1.2 | Security policy reviewed at least annually | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
| 12.1.3 | Security roles and responsibilities defined | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| 12.1.4 | Executive responsibility for information security assigned | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Соответствия | Clause 6.1.1Clause 6.1.2Clause 6.1.3 | Та же тема: Управление рисками, Оценка рисков |
| 12.4.2 | Service providers: quarterly reviews of operational tasks | Соответствия | A.5.31Clause 9.1A.5.36 | Та же тема: Соответствие требованиям |
| 12.5.1 | Inventory of in-scope system components | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| 12.5.2 | PCI DSS scope confirmed annually and on change | Соответствия | Clause 4.1Clause 4.2 | Та же тема: Бизнес-среда |
| 12.6.1 | Formal security awareness programme | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| 12.6.3 | Awareness training on hire and at least annually | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| 12.7.1 | Personnel screened before hire | Соответствия | A.6.1A.6.4A.8.16 | Та же тема: Внутренние угрозы |
| 12.8.1 | List of third-party service providers kept | Соответствия | A.5.19A.5.20A.5.21+2 | Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков |
| 12.8.2 | Written agreements with service providers | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| 12.8.3 | Due diligence before engaging service providers | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| 12.8.4 | Service provider compliance monitored annually | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| 12.8.5 | Responsibilities split with each provider documented | Соответствия | A.5.19A.5.20A.5.22+1 | Та же тема: Управление рисками поставщиков |
| 12.10.1 | Incident response plan ready to activate | Соответствия | A.5.5A.5.24A.5.25+5 | Та же тема: Отчётность, Реагирование на инциденты |
| 12.10.2 | Incident response plan reviewed and tested annually | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| 12.10.3 | Incident response staff available around the clock | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| 12.10.4 | Incident response staff trained | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| 12.10.6 | Plan updated from lessons learned and industry changes | Соответствия | A.5.27Clause 10.1 | Та же тема: Извлечённые уроки |
Есть PCI DSS → нужен ISO 27001
123 треб. сопоставлено: 76 · · 10 без сопоставления Открыть в представлении разрывов →Из 123 требований ISO/IEC 27001:2022 76 сопоставлены с чем-либо в PCI DSS, 37 связаны лишь косвенно, а для 10 в наших данных нет сопоставления.
Вероятно, новая работа: требования ISO 27001 без сопоставления с PCI DSS (10)
| ISO 27001 | Требование | Совпадение | PCI DSS | Доказательства |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 5.1 | Leadership and commitment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 6.2 | Information security objectives and planning to achieve them | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 6.3 | Planning of changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 7.5.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 7.5.2 | Creating and updating | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 7.5.3 | Control of documented information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 9.2.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 9.2.2 | Internal audit programme | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
| Clause 10.2 | Nonconformity and corrective action | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с PCI DSS. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (37)
| ISO 27001 | Требование | Совпадение | PCI DSS | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 9 | ||||
| A.5.3 | Segregation of duties | 7.2.212.1.31.1.2+5 | Совпадает только CSF PR.AA-05, PR.DS-10, GV.RR-02: связь косвенная, это не сопоставление | |
| A.5.6 | Contact with special interest groups | 12.10.610.7.110.7.2+5 | Совпадает только CSF GV.OV-01, RS.CO-03: связь косвенная, это не сопоставление | |
| A.5.8 | Information security in project management | 1.2.31.2.46.2.1+5 | Совпадает только CSF GV.OC-05, ID.AM-08: связь косвенная, это не сопоставление | |
| A.5.10 | Acceptable use of information and other associated assets | 2.3.13.2.13.3.1+5 | Совпадает только CSF PR.DS-02, PR.DS-10, PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.17 | Authentication information | 2.2.22.3.13.5.1.3+5 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| A.5.32 | Intellectual property rights | 1.1.12.1.13.1.1+5 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.5.33 | Protection of records | 3.3.13.5.13.5.1.3+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.34 | Privacy and protection of PII | 1.1.12.1.13.1.1+5 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.5.35 | Independent review of information security | 11.4.412.3.412.4.2+5 | Совпадает только CSF GV.OV-02, ID.IM-02, ID.IM-01: связь косвенная, это не сопоставление | |
| A.6 People controls · 4 | ||||
| A.6.2 | Terms and conditions of employment | 7.2.22.3.13.2.1+5 | Совпадает только CSF GV.RR-04, PR.DS-10, PR.DS-02: связь косвенная, это не сопоставление | |
| A.6.5 | Responsibilities after termination or change of employment | 7.2.22.3.13.2.1+5 | Совпадает только CSF GV.RR-04, PR.DS-10, PR.DS-02: связь косвенная, это не сопоставление | |
| A.6.6 | Confidentiality or non-disclosure agreements | 7.2.28.2.59.3.1.1+4 | Совпадает только CSF GV.RR-04: связь косвенная, это не сопоставление | |
| A.6.7 | Remote working | 7.2.212.1.38.2.5+5 | Совпадает только CSF GV.RR-04, PR.AA-05, GV.PO-01: связь косвенная, это не сопоставление | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | 3.3.13.5.13.5.1.3+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.9 | Security of assets off-premises | 3.3.13.5.13.5.1.3+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.10 | Storage media | 3.3.13.5.13.5.1.3+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.13 | Equipment maintenance | 6.2.16.2.26.2.3+5 | Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | 7.2.22.3.13.2.1+5 | Совпадает только CSF PR.AA-05, PR.DS-10, PR.DS-02: связь косвенная, это не сопоставление | |
| A.8.6 | Capacity management | 5.2.15.2.25.3.2+5 | Совпадает только CSF DE.CM-09: связь косвенная, это не сопоставление | |
| A.8.23 | Web filtering | 1.2.31.2.45.2.1+5 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.27 | Secure system architecture and engineering principles | 12.10.112.10.212.10.6 | Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление | |
| A.8.30 | Outsourced development | 7.2.5.110.7.211.3.1+5 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| A.8.31 | Separation of development, test and production environments | 6.2.26.2.36.3.2+5 | Совпадает только CSF PR.PS-06: связь косвенная, это не сопоставление | |
| A.8.32 | Change management | 12.3.17.2.5.18.6.3+5 | Совпадает только CSF GV.OV-03, ID.RA-07: связь косвенная, это не сопоставление | |
| A.8.33 | Test information | 3.3.13.5.13.5.1.3+5 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.34 | Protection of information systems during audit testing | 7.2.5.110.7.211.3.1+5 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| ISMS clauses 4–10 · 11 | ||||
| Clause 4.4 | Information security management system | 12.1.412.8.112.8.5+2 | Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | 12.1.412.8.312.8.4+1 | Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление | |
| Clause 7.1 | Resources | 12.1.412.10.3 | Совпадает только CSF GV.RR-03: связь косвенная, это не сопоставление | |
| Clause 7.2 | Competence | 12.1.312.1.41.1.2+5 | Совпадает только CSF GV.RR-01, GV.RR-02, GV.RR-03: связь косвенная, это не сопоставление | |
| Clause 7.4 | Communication | 12.10.112.8.212.10.3+3 | Совпадает только CSF RC.CO-03, RC.CO-04, RS.CO-02, RS.CO-03: связь косвенная, это не сопоставление | |
| Clause 8.1 | Operational planning and control | 1.2.31.2.46.3.1+5 | Совпадает только CSF GV.SC-01, RC.RP-04, GV.SC-03: связь косвенная, это не сопоставление | |
| Clause 8.2 | Information security risk assessment | 12.1.112.1.412.8.1+3 | Совпадает только CSF GV.OC-01, GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 8.3 | Information security risk treatment | 12.1.112.1.412.8.1+3 | Совпадает только CSF GV.OC-01, GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 9.3.1 | General | 2.2.12.2.2 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.2 | Management review inputs | 2.2.12.2.2 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.3 | Management review results | 2.2.12.2.2 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
Сопоставлено (76)
| ISO 27001 | Требование | Совпадение | PCI DSS | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 28 | ||||
| A.5.1 | Policies for information security | Соответствия | 12.1.112.1.2 | Та же тема: Политика управления |
| A.5.2 | Information security roles and responsibilities | Соответствия | 12.1.312.1.4 | Та же тема: Роли и обязанности |
| A.5.4 | Management responsibilities | Соответствия | 12.1.312.1.4 | Та же тема: Роли и обязанности |
| A.5.5 | Contact with authorities | Соответствия | 12.10.1 | Та же тема: Отчётность |
| A.5.7 | Threat intelligence | Соответствия | 6.3.1 | Та же тема: Разведка угроз |
| A.5.9 | Inventory of information and other associated assets | Соответствия | 6.3.212.5.1 | Та же тема: Управление активами |
| A.5.11 | Return of assets | Соответствия | 6.3.212.5.1 | Та же тема: Управление активами |
| A.5.12 | Classification of information | Редакционные материалы | 9.4.2 | Та же тема: Классификация данных (выбор редакции) |
| A.5.13 | Labelling of information | Редакционные материалы | 9.4.2 | Та же тема: Классификация данных (выбор редакции) |
| A.5.14 | Information transfer | Соответствия | 3.2.13.3.13.4.1+1 | Та же тема: Защита данных |
| A.5.15 | Access control | Соответствия | 7.2.17.2.27.2.4+2 | Та же тема: Контроль доступа, Нулевое доверие |
| A.5.16 | Identity management | Соответствия | 7.2.17.2.27.2.4+1 | Та же тема: Контроль доступа |
| A.5.18 | Access rights | Соответствия | 7.2.17.2.27.2.4+1 | Та же тема: Контроль доступа |
| A.5.19 | Information security in supplier relationships | Соответствия | 6.3.212.8.112.8.2+3 | Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков |
| A.5.20 | Addressing information security within supplier agreements | Соответствия | 12.8.112.8.212.8.3+2 | Та же тема: Управление рисками поставщиков |
| A.5.21 | Managing information security in the ICT supply chain | Соответствия | 6.3.212.8.1 | Та же тема: Управление рисками цепочки поставок |
| A.5.22 | Monitoring, review and change management of supplier services | Соответствия | 12.8.112.8.212.8.3+2 | Та же тема: Управление рисками поставщиков |
| A.5.23 | Information security for use of cloud services | Соответствия | 12.8.112.8.5 | Та же тема: Безопасность облачных сред |
| A.5.24 | Information security incident management planning and preparation | Соответствия | 12.10.112.10.212.10.3+1 | Та же тема: Реагирование на инциденты |
| A.5.25 | Assessment and decision on information security events | Соответствия | 10.4.112.10.112.10.2+2 | Та же тема: SIEM / SOC, Реагирование на инциденты |
| A.5.26 | Response to information security incidents | Соответствия | 12.10.112.10.212.10.3+1 | Та же тема: Реагирование на инциденты, Митигация |
| A.5.27 | Learning from information security incidents | Соответствия | 12.10.6 | Та же тема: Извлечённые уроки |
| A.5.28 | Collection of evidence | Соответствия | 10.3.2 | Та же тема: Криминалистический анализ |
| A.5.29 | Information security during disruption | Соответствия | 12.10.1 | Та же тема: Планирование восстановления, Непрерывность бизнеса |
| A.5.30 | ICT readiness for business continuity | Соответствия | 12.10.1 | Та же тема: Планирование восстановления, Непрерывность бизнеса, Аварийное восстановление |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Соответствия | 12.4.2 | Та же тема: Соответствие требованиям |
| A.5.36 | Compliance with policies, rules and standards for information security | Редакционные материалы | 12.4.2 | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.37 | Documented operating procedures | Соответствия | 12.1.112.1.2 | Та же тема: Политика управления |
| A.6 People controls · 4 | ||||
| A.6.1 | Screening | Соответствия | 10.2.112.7.1 | Та же тема: Внутренние угрозы |
| A.6.3 | Information security awareness, education and training | Соответствия | 12.6.112.6.3 | Та же тема: Осведомлённость и обучение |
| A.6.4 | Disciplinary process | Соответствия | 10.2.112.7.1 | Та же тема: Внутренние угрозы |
| A.6.8 | Information security event reporting | Соответствия | 12.10.1 | Та же тема: Отчётность |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.2 | Physical entry | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.3 | Securing offices, rooms and facilities | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.4 | Physical security monitoring | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.5 | Protecting against physical and environmental threats | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.6 | Working in secure areas | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.8 | Equipment siting and protection | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.11 | Supporting utilities | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.12 | Cabling security | Соответствия | 9.2.39.3.1.19.2.1+3 | Та же тема: Физическая безопасность |
| A.7.14 | Secure disposal or re-use of equipment | Соответствия | 6.3.212.5.1 | Та же тема: Управление активами |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Редакционные материалы | 5.2.15.2.25.3.2 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.2 | Privileged access rights | Соответствия | 7.2.2 | Та же тема: Привилегированный доступ |
| A.8.3 | Information access restriction | Соответствия | 7.2.17.2.27.2.4+1 | Та же тема: Контроль доступа |
| A.8.5 | Secure authentication | Соответствия | 6.2.37.2.18.3.1+5 | Та же тема: Безопасность API, Нулевое доверие |
| A.8.7 | Protection against malware | Редакционные материалы | 5.2.15.2.25.3.2 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.8 | Management of technical vulnerabilities | Соответствия | 6.3.16.3.311.3.1+1 | Та же тема: Управление уязвимостями, Управление исправлениями |
| A.8.9 | Configuration management | Соответствия | 2.2.12.2.2 | Та же тема: Безопасная конфигурация |
| A.8.10 | Information deletion | Соответствия | 3.2.13.3.13.4.1 | Та же тема: Защита данных |
| A.8.11 | Data masking | Соответствия | 3.2.13.3.13.4.1 | Та же тема: Защита данных |
| A.8.12 | Data leakage prevention | Редакционные материалы | 3.4.2 | Та же тема: DLP (выбор редакции) |
| A.8.13 | Information backup | Соответствия | 9.4.1.1 | Та же тема: Резервное копирование и восстановление |
| A.8.14 | Redundancy of information processing facilities | Соответствия | 12.10.1 | Та же тема: Непрерывность бизнеса, Аварийное восстановление |
| A.8.15 | Logging | Соответствия | 10.2.110.3.210.6.1+1 | Та же тема: Логирование и аудит |
| A.8.16 | Monitoring activities | Соответствия | 10.2.110.4.112.7.1+2 | Та же тема: Внутренние угрозы, Непрерывный мониторинг, SIEM / SOC |
| A.8.17 | Clock synchronization | Соответствия | 10.2.110.3.210.6.1+1 | Та же тема: Логирование и аудит |
| A.8.18 | Use of privileged utility programs | Соответствия | 7.2.2 | Та же тема: Привилегированный доступ |
| A.8.19 | Installation of software on operational systems | Соответствия | 5.2.15.2.25.3.2 | Та же тема: Защита конечных точек |
| A.8.20 | Networks security | Соответствия | 1.2.31.2.11.3.1+2 | Та же тема: Межсетевой экран / сегментация сети |
| A.8.21 | Security of network services | Соответствия | 1.2.31.2.11.3.1+1 | Та же тема: Межсетевой экран / сегментация сети |
| A.8.22 | Segregation of networks | Соответствия | 1.2.37.2.18.3.1+3 | Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие |
| A.8.24 | Use of cryptography | Соответствия | 3.5.13.6.14.2.1+3 | Та же тема: Шифрование |
| A.8.25 | Secure development life cycle | Соответствия | 6.2.26.2.36.2.1 | Та же тема: Безопасная разработка |
| A.8.26 | Application security requirements | Соответствия | 6.2.26.2.36.2.1+3 | Та же тема: Безопасная разработка, Безопасность API |
| A.8.28 | Secure coding | Соответствия | 6.2.26.2.36.2.1 | Та же тема: Безопасная разработка |
| A.8.29 | Security testing in development and acceptance | Соответствия | 6.2.26.2.36.2.1 | Та же тема: Безопасная разработка |
| ISMS clauses 4–10 · 9 | ||||
| Clause 4.1 | Understanding the organization and its context | Соответствия | 12.5.2 | Та же тема: Бизнес-среда |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Соответствия | 12.5.2 | Та же тема: Бизнес-среда |
| Clause 5.2 | Policy | Соответствия | 12.1.112.1.2 | Та же тема: Политика управления |
| Clause 6.1.1 | General | Соответствия | 12.3.1 | Та же тема: Управление рисками |
| Clause 6.1.2 | Information security risk assessment | Соответствия | 12.3.1 | Та же тема: Оценка рисков |
| Clause 6.1.3 | Information security risk treatment | Соответствия | 12.3.1 | Та же тема: Управление рисками, Оценка рисков |
| Clause 7.3 | Awareness | Соответствия | 12.6.112.6.3 | Та же тема: Осведомлённость и обучение |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Соответствия | 12.4.2 | Та же тема: Соответствие требованиям |
| Clause 10.1 | Continual improvement | Редакционные материалы | 12.10.6 | Та же тема: Извлечённые уроки (выбор редакции) |
По темам
Охватывают оба (46):
Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиРазведка угрозКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность облачных средWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиАварийное восстановлениеБезопасность APIВнутренние угрозыУправление рисками поставщиковФизическая безопасность
Только ISO 27001 (4):
Вопросы
Заменяет ли ISO 27001 PCI DSS?
Нет. Платёжные бренды требуют подтверждения соответствия PCI DSS независимо от сертификата ISO. ISO помогает вести программу, от которой зависит соответствие PCI.
PCI DSS — это закон?
Нет. Это стандарт, который применяется через договоры с платёжными брендами и эквайерами. В некоторых юрисдикциях на него ссылаются в законодательстве, но его авторитет основан на соглашениях платёжных систем.
Может ли одна мера контроля удовлетворять одновременно ISO 27001 и PCI DSS?
Часто да, если она реализована с учётом более конкретных требований PCI DSS. ISO 27001 принимает любую хорошо обоснованную реализацию, поэтому проектирование по периодичности и настройкам PCI обычно удовлетворяет оба стандарта.
Что сложнее: ISO 27001 или PCI DSS?
PCI DSS более предписывающий и технический в рамках своей области; ISO 27001 шире и требует системы менеджмента. При небольшой среде данных держателей карт PCI DSS может оказаться легче из двух.
Что такое уровень торговца в PCI DSS?
Платёжные бренды классифицируют торговцев и поставщиков услуг по годовому объёму транзакций. Уровень определяет, как подтверждается соответствие: Отчёт о соответствии QSA — для крупнейших, Self-Assessment Questionnaire — для большинства остальных.
Помогает ли ISO 27001 при оценках PCI DSS?
Да, особенно в части политик, оценки рисков, ролей, управления поставщиками и реагирования на инциденты. Однако он не заменяет специфичных для PCI доказательств.
Требует ли PCI DSS v4.0.1 оценки рисков, как ISO 27001?
Не в том же виде и не для всей организации. PCI DSS v4.0 ввёл целевые анализы рисков для требований, периодичность которых вы можете задавать, и ожидает ежегодного пересмотра криптографии и технологий, но оценка рисков по ISO 27001 шире.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.