NIST CSF 2.0 и SOC 2: стандарт, который вы внедряете, и отчёт, по которому вас аудируют

По параметру «Paul Gillet» · Обновлено 2026-10-17

NIST CSF 2.0 — добровольный стандарт, ориентированный на результаты: вы сами определяете целевой профиль и измеряете себя по нему. SOC 2 — независимое заключение CPA по Trust Services Criteria AICPA, и именно его многие североамериканские клиенты запрашивают у SaaS-поставщика в ходе закупок.

Большинство требований SOC 2 по безопасности (Common Criteria) имеют аналоги в CSF: логический доступ, мониторинг, реагирование на инциденты, управление изменениями, оценка рисков и управление поставщиками. Программа, выстроенная по CSF, даёт большинство мер контроля, которые проверит аудитор.

При переходе от CSF к SOC 2 почти у каждого критерия Common Criteria есть аналог в CSF, включая критерии контрольной среды (этика, надзор со стороны совета директоров, подотчётность), которые CSF охватывает через функцию «Управлять». Несопоставленные пункты — это необязательные категории SOC 2 «Целостность обработки» и «Конфиденциальность»: в стандартах по безопасности им почти нет аналогов. Открытого машиночитаемого соответствия SOC 2 не существует, поэтому сторона SOC 2 в этом сравнении — редакционное сопоставление ControlMapping.

При переходе от SOC 2 к CSF пробелы в основном связаны с более широкими результатами CSF в области управления и устойчивости: стратегия рисков, жизненный цикл управления риском цепочки поставок, разведка угроз и процессы совершенствования, которые SOC 2 явно не требует.

Кратко

Как они соотносятся

CSF описывает, чего должна достигать хорошая программа; SOC 2 доказывает клиентам, что конкретные меры контроля работают. Многие компании используют CSF для структурирования программы и отчётности перед советом директоров, а SOC 2 — чтобы предоставить клиентам доказательства. Поскольку у SOC 2 нет открыто лицензированного соответствия, каждая связь SOC 2 здесь — редакционное суждение ControlMapping с обоснованием.

Кто что запрашивает

• SOC 2 запрашивают клиенты, в основном крупные американские компании, оценивающие поставщиков ПО и услуг. Он отвечает на вопрос «можно ли нам доверить вам наши данные?» мнением независимого аудитора.
• NIST CSF 2.0 запрашивают советы директоров, регуляторы, страховщики и партнёры, которые хотят понять, как организация управляет киберрисками в целом. «Сертификата CSF» не существует; вместо него вы демонстрируете свои профили и подтверждающие их доказательства.
• Всё больше компаний используют CSF внутри организации и готовят отчёт SOC 2 для клиентов. Эти два подхода дополняют друг друга, а не конкурируют.

Использование CSF для подготовки к SOC 2

Если у вас уже работает программа на основе CSF, большинство того, что проверяют критерии безопасности SOC 2, у вас уже есть. Сопоставьте результаты CSF с Trust Services Criteria, а затем проверьте три вещи, которые CSF не требует явно: что каждая мера контроля постоянно производит доказательства (SOC 2 Type II выбирает образцы за несколько месяцев), что критерии контрольной среды охвачены (надзор совета директоров, честность и этические ценности, компетентность, подотчётность) и что описание системы соответствует границам, важным для клиентов. Отчёт о разрывах CSF → SOC 2 содержит каждый критерий с соответствием в CSF и обоснование каждой связи.

Затраты и усилия

Сам CSF бесплатен; усилия уходят на оценку и совершенствование профиля. SOC 2 добавляет оплату работы аудиторской фирмы CPA и, для Type II, дисциплину сбора доказательств за весь период наблюдения. Для компании со зрелой программой CSF дополнительные усилия по SOC 2 сводятся в основном к сбору доказательств, описанию системы и любым необязательным категориям, которые вы включаете. Для компании, начинающей с нуля, построение по CSF в первую очередь даёт более широкую основу; построение по SOC 2 в первую очередь быстрее даёт результат для клиентов.

Сроки

От работающей программы CSF до первого отчёта SOC 2 Type II обычно уходит от шести до девяти месяцев: от одного до трёх месяцев на сопоставление мер контроля, закрытие разрывов и привлечение аудитора, затем трёх–шести месяцев периода наблюдения и несколько недель на подготовку отчёта. В обратном направлении компания с отчётом SOC 2 может подготовить текущий профиль CSF за несколько недель, поскольку большинство результатов «Защищать», «Обнаруживать» и «Реагировать» уже подтверждены доказательствами; функция «Управлять», как правило, требует больше всего работы.

Пример: финтех-стартап

Финтех из 30 человек имеет отчёт SOC 2 Type II по своему платёжному API. Теперь его совет директоров и киберстраховщик спрашивают, как компания управляет киберрисками в более широком смысле. Компания строит текущий профиль CSF 2.0 на основе своих мер контроля SOC 2 и обнаруживает хорошее покрытие функций «Защищать», «Обнаруживать» и «Реагировать», но пробелы в «Управлять»: нет официального заявления о риск-аппетите, нет программы управления рисками цепочки поставок помимо опросников поставщиков и нет регулярной отчётности для надзора. Компания задаёт целевой профиль, добавляет ежеквартальный отчёт для совета директоров в терминах CSF и сохраняет прежний цикл аудита SOC 2. Один набор мер контроля теперь отвечает на запросы обеих аудиторий.

Типичные ошибки

• Считать, что соответствие CSF означает готовность к SOC 2. CSF не требует непрерывных доказательств за период, которые проверяет отчёт Type II.
• Игнорировать контрольную среду. Критерии CC1–CC5 SOC 2 (надзор совета директоров, честность, компетентность, подотчётность) требуют доказательств, которых технически ориентированным программам CSF часто не хватает.
• Чрезмерно расширять область отчёта SOC 2, чтобы охватить всю программу CSF, вместо системы, на которую полагаются клиенты.
• Вести две программы. Один набор мер контроля, сопоставленный в обе стороны, исключает дублирование доказательств.
• Откладывать «Управлять» на потом. Результаты «Управлять» в CSF 2.0 часто самая слабая часть программы, построенной сначала по SOC 2, и именно о ней чаще всего спрашивают советы директоров.

Основные выводы

• CSF показывает, каким должно быть хорошее состояние; SOC 2 доказывает клиенту, что вы так и работаете.
• Собирайте доказательства непрерывно: отчёт Type II требует подтверждения за весь аудируемый период.
• Рассматривайте «Целостность обработки» и «Конфиденциальность» как отдельные проекты, если они входят в область применения.

Скачать это сравнение (CSV) Открыть в анализе разрывов →