Сравнение
ISO 27001 и SOC 2: что переносится, а что нет
ISO/IEC 27001:2022 · SOC 2 (Trust Services Criteria) · данные на 2026-10-27
По параметру «Paul Gillet» · Обновлено 2026-10-17
ISO/IEC 27001 и SOC 2 отвечают на один и тот же вопрос клиента («можно ли доверить вам наши данные?»), но разными способами. ISO 27001 сертифицирует систему менеджмента: аккредитованный орган по сертификации подтверждает, что вы ведёте систему менеджмента информационной безопасности (СМИБ), которая соответствует пунктам 4–10, и что вы в Заявлении о применимости определили, какие из 93 мер приложения A применяются. SOC 2 — это аттестация: фирма CPA формирует отчёт о том, соответствуют ли ваши меры Критериям доверия к сервисным организациям (Trust Services Criteria) AICPA. Отчёт Type II охватывает то, как меры работали в течение периода, обычно от 3 до 12 месяцев.
Техническое пересечение велико. Управление доступом, журналирование и мониторинг, управление изменениями, управление уязвимостями, реагирование на инциденты, управление поставщиками и резервное копирование присутствуют в обоих стандартах, и большая часть работы по безопасности, выполненной для одного, засчитывается для другого. Различия касаются структуры и акцентов, а не самих мер.
При переходе от SOC 2 к ISO 27001 основной дополнительный объём работы связан с системой менеджмента. ISO требует определённой области действия СМИБ, целей информационной безопасности, документированной информации под контролем, процесса оценки и обработки рисков с Заявлением о применимости, внутренних аудитов и анализа со стороны руководства. Это те пункты ISO, которые ниже отмечены как не сопоставленные, а также некоторые меры приложения A (прежде всего физическая безопасность), которые аудиторы SOC 2 для компаний, работающих только в облаке, часто рассматривают поверхностно.
При переходе от ISO 27001 к SOC 2 почти каждый критерий безопасности, включая критерии контрольной среды (надзор совета директоров, честность и этические ценности, подотчётность), имеет аналог в ISO. Новая работа связана с необязательными категориями, которые вы включаете в объём. Критерии обработки (Processing Integrity) и большинство критериев конфиденциальности персональных данных (Privacy) не имеют эквивалента в СМИБ и здесь показаны как без сопоставления; исключение составляют хранение, уничтожение и уведомление об инцидентах, которые частично закрываются мерами ISO по записям, удалению и инцидентам. Доступность (Availability) и конфиденциальность (Confidentiality) обычно близки к тому, что уже требует ISO.
Кратко
| ISO 27001 | SOC 2 | |
|---|---|---|
| Что вы получаете | Сертификат на вашу СМИБ, действителен три года | Отчёт: мнение фирмы CPA о ваших мерах |
| Кто выдаёт | Аккредитованный орган по сертификации | Лицензированная фирма CPA |
| Что проверяется | Система менеджмента (пункты 4–10) и меры приложения A, которые вы выбрали в Заявлении о применимости | Меры по Критериям доверия к сервисным организациям: безопасность, а также любые из категорий доступности, конфиденциальности, обработки, конфиденциальности персональных данных |
| Охватываемый период | Аудиты на определённую дату: этапы 1 и 2, затем ежегодный надзорный аудит | Type I: одна дата. Type II: обычно 3–12 месяцев работы |
| Кто запрашивает | Клиенты по всему миру, особенно в Европе, Азии и государственном секторе | В основном группы управления рисками поставщиков крупных клиентов из США |
| Публикуется ли открыто? | Сертификат — да; отчёт об аудите — нет | Нет: передаётся по соглашению о неразглашении (NDA) |
| Типичные трудозатраты при первом получении | Шесть–двенадцать месяцев, в основном на построение СМИБ | Три–девять месяцев до первого отчёта Type II, в основном на сбор доказательств |
Какой из них нужен вам?
Начните с того, кто спрашивает. Если крупные клиенты из США присылают опросники по безопасности с требованием «ваш SOC 2», отчёт SOC 2 Type II — то, что закрывает сделку; сертификат ISO часто принимают, но не всегда. Если клиенты находятся в Европе, Азии или государственном секторе либо в тендерах указан ISO/IEC 27001, ожидаемым ответом будет сертификат. Многие разработчики ПО, продающие на международных рынках, в итоге получают оба.
Если пока никто не спрашивает, ISO 27001 формирует более устойчивую программу, поскольку система менеджмента требует оценки рисков, целей, внутреннего аудита и анализа руководством. SOC 2 быстрее даёт первый результат, если конкретная сделка зависит от него.
Как пройти оба без двойной работы
- Постройте один набор мер. Сопоставьте каждую меру с её мерой приложения A и критерием Критериев доверия; сравнение ниже показывает, где они совпадают.
- Опишите СМИБ один раз. Область действия, оценка рисков, Заявление о применимости, внутренний аудит и анализ со стороны руководства являются требованиями ISO, но они также дают аудиторам SOC 2 доказательства управления, которых ждут CC1–CC5.
- Собирайте доказательства непрерывно. SOC 2 Type II выбирает доказательства за весь период, поэтому доказательства, собранные для него, также служат для ежегодных надзорных аудитов ISO.
- Согласуйте график аудитов. Некоторые фирмы предлагают совмещённые или последовательные аудиты; согласование периода SOC 2 с циклом надзора ISO снижает нагрузку на команду.
- Следите за разрывами в обе стороны. SOC 2 добавляет конфиденциальность персональных данных и обработку, если они входят в объём; ISO добавляет пункты о системе менеджмента и физическую безопасность, которые объёмы SOC 2 для облачных компаний рассматривают поверхностно.
Стоимость и трудозатраты
Фиксированной цены нет ни у одного из вариантов. Внешний гонорар (орган по сертификации или фирма CPA) зависит от объёма, численности персонала и местонахождения и обычно меньше внутренних трудозатрат и расходов на инструменты. Для первого раза в небольшой компании закладывайте месяцы работы на неполную ставку от человека, отвечающего за программу, плюс плату за аудит. Выполнение обоих стоит дешевле, чем двукратная стоимость любого из них, поскольку большая часть мер и доказательств общая.
Реалистичный график для прохождения обоих
Типичный путь для разработчика ПО, который начинает с SOC 2:
- Месяцы 1–3: подготовка. Определите объём системы, напишите политики, закройте разрывы, выявленные в анализе разрывов, выберите фирму CPA.
- Месяц 3: Type I (по желанию), как только меры спроектированы и внедрены.
- Месяцы 3–9: первый период наблюдения Type II, обычно три–шесть месяцев, с отчётом через несколько недель после его окончания.
- Месяцы 6–12: добавьте СМИБ. Определите область действия ISO, проведите оценку рисков, напишите Заявление о применимости и проведите внутренний аудит и анализ со стороны руководства. Большинство мер приложения A уже работают для SOC 2.
- Месяцы 10–14: аудиты ISO этап 1 и этап 2.
Если начать с ISO 27001, порядок меняется: шесть–двенадцать месяцев до сертификации, затем проверка готовности к SOC 2 и период наблюдения три–шесть месяцев. В любом случае второй стандарт требует лишь малой части времени первого.
Разбор на примере: SaaS-компания из 50 человек
Рассмотрим B2B-компанию-разработчика ПО из 50 человек, у которой есть отчёт SOC 2 Type II, охватывающий безопасность, доступность и конфиденциальность. Крупный европейский клиент теперь требует сертификат ISO 27001.
Что переносится: управление доступом, управление изменениями, журналирование и мониторинг, управление уязвимостями, реагирование на инциденты, управление поставщиками, резервное копирование и непрерывность деятельности. Компания уже применяет эти меры и собирает для них доказательства, поэтому они переходят в Заявление о применимости в основном в прежнем виде.
Что нового: сама СМИБ. Компании нужна задокументированная область действия (вероятно, продукт, его инфраструктура и команды, которые её обслуживают), цели информационной безопасности с показателями, формальный метод оценки рисков и реестр рисков, Заявление о применимости с обоснованными исключениями, внутренний аудит, который проводит сотрудник, независимый от проверяемой работы, и анализ со стороны руководства с протоколами. Некоторым мерам приложения A также нужно уделить внимание, обычно физической безопасности офиса и разведке угроз.
Что это стоит: в основном время того, кто отвечает за СМИБ, плюс сборы органа по сертификации и внешнего внутреннего аудитора, если никто из штата не независим. Поскольку меры и доказательства уже существуют, второй стандарт обходится значительно дешевле первого.
Основные выводы
- Ведите один набор мер и подтверждайте его доказательствами дважды. Сопоставьте каждую меру и с мерой приложения A, и с критерием Критериев доверия.
- SOC 2 → ISO: закладывайте бюджет на саму СМИБ (область действия, цели, обработка рисков, Заявление о применимости, внутренний аудит, анализ руководством), а не на новые технические меры.
- ISO → SOC 2: заранее решите, в какие необязательные категории входит ваш объём. Конфиденциальность персональных данных и обработка — это места, где появляется новая работа.
Есть ISO 27001 → нужен SOC 2
61 треб. сопоставлено: 41 · · 20 без сопоставления Открыть в представлении разрывов →Из 61 требований SOC 2 (Trust Services Criteria) 41 сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 20 в наших данных нет сопоставления.
Сопоставления AICPA для SOC 2 не распространяются под открытой лицензией, поэтому все ссылки SOC 2 здесь являются редакторскими решениями ControlMapping: критерии, которые мы не сопоставили, не могут совпадать. Критерии целостности обработки (PI) и большинство критериев конфиденциальности (P) не имеют аналогов в фреймворках по информационной безопасности.
Вероятно, новая работа: требования SOC 2 без сопоставления с ISO 27001 (20)
| SOC 2 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| P Privacy · 15 | ||||
| P1.1 | Privacy notice | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P2.1 | Choice and consent | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P3.1 | Collection limited to privacy objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P3.2 | Explicit consent where required | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P4.1 | Use limited to privacy objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P5.1 | Data subject access | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P5.2 | Correction of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.1 | Disclosure to third parties with consent | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.2 | Record of authorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.3 | Record of unauthorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.4 | Privacy commitments from third parties | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.5 | Notification by third parties of unauthorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P6.7 | Accounting of disclosures to data subjects | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P7.1 | Quality of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| PI1.2 | Controls over system inputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| PI1.3 | Controls over system processing | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| PI1.4 | Controls over system outputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| PI1.5 | Storing inputs, items in processing and outputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
Сопоставлено (41)
| SOC 2 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Редакционные материалы | A.5.29A.5.30A.8.14+1 | Та же тема: Непрерывность бизнеса (выбор редакции) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Редакционные материалы | A.5.29A.5.30A.8.13+2 | Та же тема: Непрерывность бизнеса, Аварийное восстановление, Резервное копирование и восстановление (выбор редакции) |
| A1.3 | Testing recovery plan procedures | Редакционные материалы | A.5.29A.5.30A.8.14 | Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции) |
| C1 Confidentiality · 2 | ||||
| C1.1 | Identifying and protecting confidential information | Редакционные материалы | A.5.12A.5.13 | Та же тема: Классификация данных (выбор редакции) |
| C1.2 | Disposing of confidential information | Редакционные материалы | A.5.14A.8.10A.8.11+1 | Та же тема: Защита данных (выбор редакции) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Редакционные материалы | A.5.1A.5.37Clause 5.2+2 | Та же тема: Политика управления (выбор редакции) |
| CC1.2 | Board independence and oversight of internal control | Редакционные материалы | A.5.2A.5.4Clause 5.1+1 | Та же тема: Роли и обязанности (выбор редакции) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Редакционные материалы | A.5.2A.5.4Clause 5.3 | Та же тема: Роли и обязанности (выбор редакции) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Редакционные материалы | A.6.3Clause 7.3A.6.1+1 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CC1.5 | Accountability for internal control responsibilities | Редакционные материалы | A.5.2A.5.4A.6.4+1 | Та же тема: Роли и обязанности (выбор редакции) |
| CC2 Communication and information · 3 | ||||
| CC2.1 | Quality information to support internal control | Редакционные материалы | Clause 9.1 | Редакторское решение ControlMapping: Information used to run internal control: ISO's monitoring, measurement, analysis and evaluation (9.1). |
| CC2.2 | Internal communication of objectives and responsibilities | Редакционные материалы | A.6.3Clause 7.3A.5.1+1 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CC2.3 | Communication with external parties | Редакционные материалы | A.5.5A.5.6A.5.26+2 | Та же тема: Отчётность, Коммуникация, Коммуникации и восстановление (выбор редакции) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Редакционные материалы | Clause 4.1Clause 4.2Clause 6.1.1+3 | Та же тема: Бизнес-среда, Управление рисками (выбор редакции) |
| CC3.2 | Risk identification and analysis | Редакционные материалы | Clause 6.1.2Clause 6.1.3Clause 8.2 | Та же тема: Оценка рисков (выбор редакции) |
| CC3.3 | Considering the potential for fraud | Редакционные материалы | Clause 6.1.2Clause 6.1.3 | Та же тема: Оценка рисков (выбор редакции) |
| CC3.4 | Identifying and assessing significant changes | Редакционные материалы | Clause 6.1.2Clause 6.1.3Clause 6.3+1 | Та же тема: Оценка рисков (выбор редакции) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Редакционные материалы | A.5.31A.5.36Clause 9.1+2 | Та же тема: Соответствие требованиям (выбор редакции) |
| CC4.2 | Communicating and remediating control deficiencies | Редакционные материалы | A.5.31A.5.36Clause 9.1+2 | Та же тема: Соответствие требованиям (выбор редакции) |
| CC5 Control activities · 3 | ||||
| CC5.1 | Control activities that mitigate risks | Редакционные материалы | Clause 6.1.1Clause 6.1.3Clause 8.3 | Та же тема: Управление рисками (выбор редакции) |
| CC5.2 | General controls over technology | Редакционные материалы | A.8.9Clause 6.1.3 | Та же тема: Безопасная конфигурация (выбор редакции) |
| CC5.3 | Control activities deployed through policies and procedures | Редакционные материалы | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления (выбор редакции) |
| CC6 Logical and physical access · 8 | ||||
| CC6.1 | Logical access security over information assets | Редакционные материалы | A.5.9A.5.11A.5.15+6 | Та же тема: Управление активами, Контроль доступа (выбор редакции) |
| CC6.2 | User registration, authorization and removal | Редакционные материалы | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа (выбор редакции) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Редакционные материалы | A.5.15A.5.16A.5.18+4 | Та же тема: Контроль доступа (выбор редакции) |
| CC6.4 | Physical access restrictions | Редакционные материалы | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность (выбор редакции) |
| CC6.5 | Protection of data when assets are disposed of | Редакционные материалы | A.5.14A.8.10A.8.11 | Та же тема: Защита данных (выбор редакции) |
| CC6.6 | Protection against threats from outside system boundaries | Редакционные материалы | A.5.15A.8.5A.8.20+3 | Та же тема: Нулевое доверие, Межсетевой экран / сегментация сети, WAF (выбор редакции) |
| CC6.7 | Restricting transmission, movement and removal of information | Редакционные материалы | A.6.7A.8.1A.8.12+1 | Та же тема: Безопасность мобильных устройств, DLP (выбор редакции) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Редакционные материалы | A.5.14A.8.1A.8.7+1 | Та же тема: Безопасность электронной почты, Защита конечных точек (выбор редакции) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Редакционные материалы | A.8.8A.8.9 | Та же тема: Управление уязвимостями, Управление исправлениями, Безопасная конфигурация (выбор редакции) |
| CC7.2 | Monitoring system components for anomalies | Редакционные материалы | A.8.15A.8.16A.8.17 | Та же тема: Логирование и аудит, Непрерывный мониторинг, Обнаружение вторжений, Обнаружение аномалий (выбор редакции) |
| CC7.3 | Evaluating security events to determine if they are incidents | Редакционные материалы | A.5.24A.5.25A.5.26+1 | Та же тема: Реагирование на инциденты, SIEM / SOC (выбор редакции) |
| CC7.4 | Responding to identified security incidents | Редакционные материалы | A.5.24A.5.25A.5.26+1 | Та же тема: Реагирование на инциденты, Митигация (выбор редакции) |
| CC7.5 | Recovering from identified security incidents | Редакционные материалы | A.5.26A.5.27A.5.29+3 | Та же тема: Коммуникации и восстановление, Извлечённые уроки, Планирование восстановления (выбор редакции) |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Редакционные материалы | A.8.25A.8.26A.8.28+3 | Та же тема: Безопасная разработка (выбор редакции) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Редакционные материалы | A.5.29A.5.30A.8.14+2 | Та же тема: Непрерывность бизнеса (выбор редакции) |
| CC9.2 | Managing vendor and business partner risk | Редакционные материалы | A.5.19A.5.20A.5.21+2 | Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков (выбор редакции) |
| P Privacy · 3 | ||||
| P4.2 | Retention of personal information | Редакционные материалы | A.5.33A.5.34 | Редакторское решение ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| P4.3 | Disposal of personal information | Редакционные материалы | A.5.34A.8.10 | Редакторское решение ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34). |
| P6.6 | Breach notification to affected individuals | Редакционные материалы | A.5.24A.5.26A.5.34 | Редакторское решение ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
Есть SOC 2 → нужен ISO 27001
123 треб. сопоставлено: 98 · · 4 без сопоставления Открыть в представлении разрывов →Из 123 требований ISO/IEC 27001:2022 98 сопоставлены с чем-либо в SOC 2, 21 связаны лишь косвенно, а для 4 в наших данных нет сопоставления.
Вероятно, новая работа: требования ISO 27001 без сопоставления с SOC 2 (4)
| ISO 27001 | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| ISMS clauses 4–10 · 4 | ||||
| Clause 4.4 | Information security management system | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
| Clause 7.5.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
| Clause 7.5.2 | Creating and updating | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
| Clause 7.5.3 | Control of documented information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (21)
| ISO 27001 | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 5 | ||||
| A.5.7 | Threat intelligence | CC3.2CC3.3CC3.4 | Совпадает только CSF ID.RA-03, ID.RA-05, ID.RA-06: связь косвенная, это не сопоставление | |
| A.5.8 | Information security in project management | CC3.1CC6.1 | Совпадает только CSF GV.OC-05, ID.AM-08: связь косвенная, это не сопоставление | |
| A.5.10 | Acceptable use of information and other associated assets | C1.2CC6.5CC6.7+2 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.5.17 | Authentication information | CC6.1CC6.6CC6.2+2 | Совпадает только CSF PR.AA-03, PR.AA-05: связь косвенная, это не сопоставление | |
| A.5.32 | Intellectual property rights | CC1.1CC5.3 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | C1.2CC6.5CC6.7+4 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.6.5 | Responsibilities after termination or change of employment | C1.2CC6.5CC6.7+4 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.6.6 | Confidentiality or non-disclosure agreements | CC1.2CC1.3CC1.5 | Совпадает только CSF GV.RR-03: связь косвенная, это не сопоставление | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | C1.2CC6.1CC6.4+2 | Совпадает только CSF PR.DS-01, PR.IR-02: связь косвенная, это не сопоставление | |
| A.7.9 | Security of assets off-premises | C1.2CC6.1CC6.5+1 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.10 | Storage media | CC6.1C1.2CC6.5+1 | Совпадает только CSF ID.AM-08, PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.13 | Equipment maintenance | CC6.1CC6.4 | Совпадает только CSF ID.AM-08, PR.IR-02: связь косвенная, это не сопоставление | |
| A.8 Technological controls · 7 | ||||
| A.8.4 | Access to source code | CC6.7C1.2CC6.1+5 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.8.23 | Web filtering | CC6.6CC9.2 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.27 | Secure system architecture and engineering principles | A1.1A1.2A1.3+1 | Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление | |
| A.8.30 | Outsourced development | CC4.1CC4.2 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| A.8.31 | Separation of development, test and production environments | CC6.6CC8.1 | Совпадает только CSF PR.PS-06: связь косвенная, это не сопоставление | |
| A.8.33 | Test information | C1.2CC6.1CC6.5+1 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.34 | Protection of information systems during audit testing | CC4.1CC4.2 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| ISMS clauses 4–10 · 2 | ||||
| Clause 7.1 | Resources | CC1.2CC1.3CC1.5 | Совпадает только CSF GV.RR-03: связь косвенная, это не сопоставление | |
| Clause 8.1 | Operational planning and control | CC9.2A1.1A1.2+2 | Совпадает только CSF GV.SC-01, GV.SC-03, RC.RP-04: связь косвенная, это не сопоставление | |
Сопоставлено (98)
| ISO 27001 | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 32 | ||||
| A.5.1 | Policies for information security | Редакционные материалы | CC1.1CC5.3CC2.2 | Та же тема: Политика управления (выбор редакции) |
| A.5.2 | Information security roles and responsibilities | Редакционные материалы | CC1.2CC1.3CC1.5 | Та же тема: Роли и обязанности (выбор редакции) |
| A.5.3 | Segregation of duties | Редакционные материалы | CC6.3 | Редакторское решение ControlMapping: Role-based access with least privilege and segregation of duties: A.5.3, access rights (A.5.18) and privileged access (A.8.2). |
| A.5.4 | Management responsibilities | Редакционные материалы | CC1.2CC1.3CC1.5 | Та же тема: Роли и обязанности (выбор редакции) |
| A.5.5 | Contact with authorities | Редакционные материалы | CC2.3 | Та же тема: Отчётность (выбор редакции) |
| A.5.6 | Contact with special interest groups | Редакционные материалы | CC2.3 | Та же тема: Коммуникация (выбор редакции) |
| A.5.9 | Inventory of information and other associated assets | Редакционные материалы | CC6.1 | Та же тема: Управление активами (выбор редакции) |
| A.5.11 | Return of assets | Редакционные материалы | CC6.1 | Та же тема: Управление активами (выбор редакции) |
| A.5.12 | Classification of information | Редакционные материалы | C1.1 | Та же тема: Классификация данных (выбор редакции) |
| A.5.13 | Labelling of information | Редакционные материалы | C1.1 | Та же тема: Классификация данных (выбор редакции) |
| A.5.14 | Information transfer | Редакционные материалы | C1.2CC6.5CC6.8 | Та же тема: Защита данных, Безопасность электронной почты (выбор редакции) |
| A.5.15 | Access control | Редакционные материалы | CC6.1CC6.2CC6.3+1 | Та же тема: Контроль доступа (выбор редакции) |
| A.5.16 | Identity management | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| A.5.18 | Access rights | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| A.5.19 | Information security in supplier relationships | Редакционные материалы | CC9.2 | Та же тема: Управление рисками цепочки поставок, Управление рисками поставщиков (выбор редакции) |
| A.5.20 | Addressing information security within supplier agreements | Редакционные материалы | CC9.2 | Та же тема: Управление рисками поставщиков (выбор редакции) |
| A.5.21 | Managing information security in the ICT supply chain | Редакционные материалы | CC9.2 | Та же тема: Управление рисками цепочки поставок (выбор редакции) |
| A.5.22 | Monitoring, review and change management of supplier services | Редакционные материалы | CC9.2 | Та же тема: Управление рисками поставщиков (выбор редакции) |
| A.5.23 | Information security for use of cloud services | Редакционные материалы | CC9.2 | Та же тема: Безопасность облачных сред (выбор редакции) |
| A.5.24 | Information security incident management planning and preparation | Редакционные материалы | CC7.3CC7.4P6.6 | Та же тема: Реагирование на инциденты (выбор редакции) |
| A.5.25 | Assessment and decision on information security events | Редакционные материалы | CC7.3CC7.4 | Та же тема: SIEM / SOC, Реагирование на инциденты (выбор редакции) |
| A.5.26 | Response to information security incidents | Редакционные материалы | CC2.3CC7.3CC7.4+2 | Та же тема: Коммуникации и восстановление, Реагирование на инциденты, Митигация (выбор редакции) |
| A.5.27 | Learning from information security incidents | Редакционные материалы | CC7.5 | Та же тема: Извлечённые уроки (выбор редакции) |
| A.5.28 | Collection of evidence | Редакционные материалы | CC7.4 | Та же тема: Криминалистический анализ (выбор редакции) |
| A.5.29 | Information security during disruption | Редакционные материалы | A1.1A1.2A1.3+2 | Та же тема: Непрерывность бизнеса, Планирование восстановления (выбор редакции) |
| A.5.30 | ICT readiness for business continuity | Редакционные материалы | A1.1A1.2A1.3+2 | Та же тема: Непрерывность бизнеса, Аварийное восстановление, Планирование восстановления (выбор редакции) |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Редакционные материалы | CC4.1CC4.2 | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.33 | Protection of records | Редакционные материалы | P4.2 | Редакторское решение ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own. |
| A.5.34 | Privacy and protection of PII | Редакционные материалы | P4.2P4.3P6.6 | Редакторское решение ControlMapping: Retaining personal information only as long as needed: protection of records (A.5.33) and PII protection (A.5.34). ISO 27001 has no retention-schedule requirement of its own.; Редакторское решение ControlMapping: Securely disposing of personal information: information deletion (A.8.10) and PII protection (A.5.34).; Редакторское решение ControlMapping: Breach notification to affected parties and regulators: ISO's incident planning and response (A.5.24, A.5.26) plus legal PII obligations (A.5.34). ISO itself sets no notification deadline. |
| A.5.35 | Independent review of information security | Редакционные материалы | CC4.1 | Редакторское решение ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| A.5.36 | Compliance with policies, rules and standards for information security | Редакционные материалы | CC4.1CC4.2 | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.37 | Documented operating procedures | Редакционные материалы | CC1.1CC5.3 | Та же тема: Политика управления (выбор редакции) |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Редакционные материалы | CC1.4 | Редакторское решение ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| A.6.3 | Information security awareness, education and training | Редакционные материалы | CC1.4CC2.2 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| A.6.4 | Disciplinary process | Редакционные материалы | CC1.1CC1.5 | Редакторское решение ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Редакторское решение ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| A.6.7 | Remote working | Редакционные материалы | CC6.7 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| A.6.8 | Information security event reporting | Редакционные материалы | CC2.3 | Та же тема: Отчётность (выбор редакции) |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.2 | Physical entry | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.3 | Securing offices, rooms and facilities | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.4 | Physical security monitoring | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.5 | Protecting against physical and environmental threats | Редакционные материалы | CC6.4A1.2 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.6 | Working in secure areas | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.8 | Equipment siting and protection | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.11 | Supporting utilities | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.12 | Cabling security | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| A.7.14 | Secure disposal or re-use of equipment | Редакционные материалы | CC6.1C1.2 | Та же тема: Управление активами (выбор редакции) |
| A.8 Technological controls · 27 | ||||
| A.8.1 | User endpoint devices | Редакционные материалы | CC6.7CC6.8 | Та же тема: Безопасность мобильных устройств, Защита конечных точек (выбор редакции) |
| A.8.2 | Privileged access rights | Редакционные материалы | CC6.3 | Та же тема: Привилегированный доступ (выбор редакции) |
| A.8.3 | Information access restriction | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| A.8.5 | Secure authentication | Редакционные материалы | CC6.1CC6.6 | Та же тема: Многофакторная аутентификация, Нулевое доверие (выбор редакции) |
| A.8.6 | Capacity management | Редакционные материалы | A1.1 | Редакторское решение ControlMapping: Capacity: ISO's capacity management (A.8.6). |
| A.8.7 | Protection against malware | Редакционные материалы | CC6.8 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.8 | Management of technical vulnerabilities | Редакционные материалы | CC7.1 | Та же тема: Управление уязвимостями, Управление исправлениями (выбор редакции) |
| A.8.9 | Configuration management | Редакционные материалы | CC5.2CC7.1CC8.1 | Та же тема: Безопасная конфигурация (выбор редакции) |
| A.8.10 | Information deletion | Редакционные материалы | C1.2CC6.5P4.3 | Та же тема: Защита данных (выбор редакции) |
| A.8.11 | Data masking | Редакционные материалы | C1.2CC6.5 | Та же тема: Защита данных (выбор редакции) |
| A.8.12 | Data leakage prevention | Редакционные материалы | CC6.7 | Та же тема: DLP (выбор редакции) |
| A.8.13 | Information backup | Редакционные материалы | A1.2 | Та же тема: Резервное копирование и восстановление (выбор редакции) |
| A.8.14 | Redundancy of information processing facilities | Редакционные материалы | A1.1A1.2A1.3+1 | Та же тема: Непрерывность бизнеса, Аварийное восстановление (выбор редакции) |
| A.8.15 | Logging | Редакционные материалы | CC7.2 | Та же тема: Логирование и аудит (выбор редакции) |
| A.8.16 | Monitoring activities | Редакционные материалы | CC7.2CC7.3 | Та же тема: Непрерывный мониторинг, Обнаружение вторжений, Обнаружение аномалий, SIEM / SOC (выбор редакции) |
| A.8.17 | Clock synchronization | Редакционные материалы | CC7.2 | Та же тема: Логирование и аудит (выбор редакции) |
| A.8.18 | Use of privileged utility programs | Редакционные материалы | CC6.3 | Та же тема: Привилегированный доступ (выбор редакции) |
| A.8.19 | Installation of software on operational systems | Редакционные материалы | CC6.8 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.20 | Networks security | Редакционные материалы | CC6.6 | Та же тема: Межсетевой экран / сегментация сети, WAF (выбор редакции) |
| A.8.21 | Security of network services | Редакционные материалы | CC6.6 | Та же тема: Межсетевой экран / сегментация сети (выбор редакции) |
| A.8.22 | Segregation of networks | Редакционные материалы | CC6.6 | Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие (выбор редакции) |
| A.8.24 | Use of cryptography | Редакционные материалы | CC6.1CC6.7 | Та же тема: Шифрование (выбор редакции) |
| A.8.25 | Secure development life cycle | Редакционные материалы | CC8.1 | Та же тема: Безопасная разработка (выбор редакции) |
| A.8.26 | Application security requirements | Редакционные материалы | CC6.6CC8.1 | Та же тема: Безопасность веб-приложений, Безопасная разработка (выбор редакции) |
| A.8.28 | Secure coding | Редакционные материалы | CC8.1 | Та же тема: Безопасная разработка (выбор редакции) |
| A.8.29 | Security testing in development and acceptance | Редакционные материалы | CC8.1 | Та же тема: Безопасная разработка (выбор редакции) |
| A.8.32 | Change management | Редакционные материалы | CC8.1 | Редакторское решение ControlMapping: Authorising, testing and approving changes: change management (A.8.32) and configuration management (A.8.9). |
| ISMS clauses 4–10 · 24 | ||||
| Clause 4.1 | Understanding the organization and its context | Редакционные материалы | CC3.1 | Та же тема: Бизнес-среда (выбор редакции) |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Редакционные материалы | CC3.1 | Та же тема: Бизнес-среда (выбор редакции) |
| Clause 4.3 | Determining the scope of the ISMS | Редакционные материалы | CC3.1 | Редакторское решение ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 5.1 | Leadership and commitment | Редакционные материалы | CC1.1CC1.2 | Редакторское решение ControlMapping: Tone at the top: ISO 27001 requires leadership commitment (5.1) and a disciplinary process that enforces policy (A.6.4); SOC 2 frames the same as commitment to integrity and ethical values.; Редакторское решение ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence. |
| Clause 5.2 | Policy | Редакционные материалы | CC1.1CC5.3 | Та же тема: Политика управления (выбор редакции) |
| Clause 5.3 | Organizational roles, responsibilities and authorities | Редакционные материалы | CC1.3CC1.5 | Редакторское решение ControlMapping: Both require defined structures, reporting lines, roles and authorities for security.; Редакторское решение ControlMapping: Holding people accountable for their security responsibilities: assigned responsibilities (5.3) and a disciplinary process (A.6.4). |
| Clause 6.1.1 | General | Редакционные материалы | CC3.1CC5.1CC9.1 | Та же тема: Управление рисками (выбор редакции) |
| Clause 6.1.2 | Information security risk assessment | Редакционные материалы | CC3.2CC3.3CC3.4 | Та же тема: Оценка рисков (выбор редакции) |
| Clause 6.1.3 | Information security risk treatment | Редакционные материалы | CC3.1CC3.2CC3.3+4 | Та же тема: Управление рисками, Оценка рисков (выбор редакции) |
| Clause 6.2 | Information security objectives and planning to achieve them | Редакционные материалы | CC3.1 | Редакторское решение ControlMapping: Objectives specified clearly enough to identify risk: ISO's security objectives (6.2) within a defined ISMS scope (4.3). |
| Clause 6.3 | Planning of changes | Редакционные материалы | CC3.4 | Редакторское решение ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 7.2 | Competence | Редакционные материалы | CC1.4 | Редакторское решение ControlMapping: Commitment to competence: ISO covers it as competence (7.2), screening (A.6.1) and awareness and training (A.6.3). |
| Clause 7.3 | Awareness | Редакционные материалы | CC1.4CC2.2 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| Clause 7.4 | Communication | Редакционные материалы | CC2.3CC7.5CC2.2 | Та же тема: Коммуникация, Коммуникации и восстановление (выбор редакции) |
| Clause 8.2 | Information security risk assessment | Редакционные материалы | CC3.2CC3.4 | Редакторское решение ControlMapping: Risk identification and analysis: ISO's risk assessment process (6.1.2) and performing it (8.2).; Редакторское решение ControlMapping: Assessing changes that affect internal control: ISO's planning of changes (6.3) and re-assessing risk on significant change (8.2). |
| Clause 8.3 | Information security risk treatment | Редакционные материалы | CC5.1 | Редакторское решение ControlMapping: Selecting control activities that reduce risk: ISO's risk treatment, planned (6.1.3) and carried out (8.3). |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Редакционные материалы | CC4.1CC4.2CC2.1 | Та же тема: Соответствие требованиям (выбор редакции) |
| Clause 9.2.1 | General | Редакционные материалы | CC4.1 | Редакторское решение ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.2.2 | Internal audit programme | Редакционные материалы | CC4.1 | Редакторское решение ControlMapping: Ongoing and separate evaluations: monitoring (9.1), internal audit (9.2), independent review (A.5.35) and compliance checks (A.5.36). |
| Clause 9.3.1 | General | Редакционные материалы | CC1.2CC4.2 | Редакторское решение ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Редакторское решение ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.2 | Management review inputs | Редакционные материалы | CC1.2CC4.2 | Редакторское решение ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Редакторское решение ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 9.3.3 | Management review results | Редакционные материалы | CC1.2CC4.2 | Редакторское решение ControlMapping: Oversight: SOC 2 asks for board-level oversight of internal control; ISO 27001 places it with top management (5.1) and the management review (9.3). ISO does not require board independence.; Редакторское решение ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
| Clause 10.1 | Continual improvement | Редакционные материалы | CC7.5 | Та же тема: Извлечённые уроки (выбор редакции) |
| Clause 10.2 | Nonconformity and corrective action | Редакционные материалы | CC4.2 | Редакторское решение ControlMapping: Communicating and correcting deficiencies: nonconformity and corrective action (10.2), reported through management review (9.3). |
По темам
Охватывают оба (46):
Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеУправление рисками поставщиковФизическая безопасность
Только ISO 27001 (4):
Вопросы
Что лучше: ISO 27001 или SOC 2?
Ни то, ни другое: они отвечают на один вопрос для разных аудиторий. ISO 27001 — это международно признанный сертификат на систему менеджмента; SOC 2 — это аттестационный отчёт по мерам в американском формате. Выбирайте по тому, что запрашивают ваши клиенты.
Покрывает ли сертификат ISO 27001 SOC 2?
Формально нет: отчёту SOC 2 нужна проверка фирмы CPA. Но у большинства критериев безопасности SOC 2 есть аналог в ISO, поэтому компании с сертификатом ISO в основном нужно закрыть необязательные категории и собрать доказательства в формате SOC 2.
Может ли один аудитор провести оба?
У некоторых фирм есть и аккредитованный орган по сертификации, и практика CPA, и они предлагают согласованные аудиты, но это два отдельных задания с отдельными результатами.
Что сложнее получить: SOC 2 или ISO 27001?
Ни один из вариантов не является однозначно более сложным. ISO 27001 требует больше управленческих процессов (системы менеджмента и её документации); SOC 2 Type II требует больше операционных доказательств за непрерывный период. Организациям с зрелыми процессами, но скудной документацией, SOC 2 часто даётся легче; тем, у кого хорошая документация, но неровно собранные доказательства, часто легче ISO.
Какой стандарт лучше признан на международном уровне?
ISO 27001. SOC 2 широко запрашивают клиенты из США и всё чаще понимают за их пределами, но сертификат ISO 27001 — международный стандарт по умолчанию, особенно в Европе, Азии и в тендерах государственного сектора.
Как часто их нужно продлевать?
Сертификат ISO 27001 действует три года, с надзорными аудитами в первый и второй годы. Отчёт SOC 2 охватывает прошедший период, поэтому клиенты ожидают новый отчёт Type II каждый год, желательно без разрыва между периодами.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.