Сравнение
SOC 2 и HIPAA: отчёт о сертификации против юридического обязательства
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · данные на 2026-10-27
Компании в сфере медицинских технологий часто нуждаются в обоих: HIPAA, поскольку они обрабатывают защищённую медицинскую информацию, обычно как деловые партнёры (business associate), а SOC 2, потому что их клиенты хотят получить независимое подтверждение. Это разные инструменты. HIPAA — это закон, который обеспечивает соблюдение Управления по гражданским правам (Office for Civil Rights). SOC 2 — это добровольная аттестация CPA. Некоторые аудиторы выпускают отчёт SOC 2 с добавленными критериями HIPAA.
Технические меры защиты во многом совпадают: контроль доступа, журналирование аудита, целостность, аутентификация, безопасность передачи, планирование действий на случай непредвиденных обстоятельств и осведомлённость в вопросах безопасности присутствуют в обоих стандартах. При переходе от SOC 2 к HIPAA большинство требований Правила безопасности (Security Rule) либо сопоставляются, либо связаны косвенно.
Оставшиеся требования HIPAA носят специфический характер: повторное использование носителей и содержание договоров с деловыми партнёрами.
При переходе от HIPAA к SOC 2 больше требований остаются без соответствия. SOC 2 предполагает формальный критерий управления изменениями, который Правило безопасности прямо не прописывает, а его необязательные категории «Конфиденциальность» и «Целостность обработки» выходят за рамки Правила безопасности. Сторона SOC 2 здесь основана на редакционном сопоставлении ControlMapping.
Основные выводы
- Отчёт SOC 2 не делает вас соответствующими HIPAA, но его меры контроля могут покрывать большую часть ваших мер защиты HIPAA.
- Храните анализ рисков HIPAA и соглашения с деловыми партнёрами как отдельные, явно оформленные артефакты.
- Рассмотрите вариант SOC 2 с критериями HIPAA, если клиенты из сферы здравоохранения продолжают запрашивать оба.
Есть SOC 2 → нужен HIPAA
69 треб. сопоставлено: 36 · · 2 без сопоставления Открыть в представлении разрывов →Из 69 требований HIPAA Security Rule 36 сопоставлены с чем-либо в SOC 2, 31 связаны лишь косвенно, а для 2 в наших данных нет сопоставления.
Охватывает только Правило безопасности HIPAA (не Правило о конфиденциальности и не Правило об уведомлении о нарушениях).
Вероятно, новая работа: требования HIPAA без сопоставления с SOC 2 (2)
| HIPAA | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с SOC 2. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (31)
| HIPAA | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | Совпадает только CSF GV.PO-01, GV.PO-02, GV.OC-03: связь косвенная, это не сопоставление | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | Совпадает только CSF DE.CM-03: связь косвенная, это не сопоставление | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | Совпадает только CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | Совпадает только CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | Совпадает только CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: связь косвенная, это не сопоставление | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | Совпадает только CSF GV.PO-01, GV.PO-02, GV.OC-03: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | Совпадает только CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: связь косвенная, это не сопоставление | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | Совпадает только CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | Совпадает только CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…: связь косвенная, это не сопоставление | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | Совпадает только CSF PR.AT-01, PR.AT-02: связь косвенная, это не сопоставление | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | Совпадает только CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…: связь косвенная, это не сопоставление | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | Совпадает только CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: связь косвенная, это не сопоставление | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | Совпадает только CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…: связь косвенная, это не сопоставление | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | Совпадает только CSF GV.PO-01, GV.PO-02, GV.OC-03: связь косвенная, это не сопоставление | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | Совпадает только CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…: связь косвенная, это не сопоставление | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | Совпадает только CSF PR.DS-02: связь косвенная, это не сопоставление | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | Совпадает только CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | Совпадает только CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: связь косвенная, это не сопоставление | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | Совпадает только CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: связь косвенная, это не сопоставление | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | Совпадает только CSF ID.AM-08, ID.AM-03: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Совпадает только CSF ID.AM-08, ID.AM-03: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | Совпадает только CSF ID.AM-08, ID.AM-03: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | Совпадает только CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…: связь косвенная, это не сопоставление | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | Совпадает только CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…: связь косвенная, это не сопоставление | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | Совпадает только CSF ID.AM-08, ID.AM-03, ID.RA-01: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | Совпадает только CSF ID.AM-07, ID.AM-08: связь косвенная, это не сопоставление | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | Совпадает только CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05: связь косвенная, это не сопоставление | |
Сопоставлено (36)
| HIPAA | Требование | Совпадение | SOC 2 | Доказательства |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | Редакционные материалы | CC3.2CC3.3CC3.4+1 | Та же тема: Оценка рисков (выбор редакции) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | Редакционные материалы | CC3.1CC5.1CC7.1+1 | Та же тема: Управление рисками, Управление уязвимостями (выбор редакции) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | Редакционные материалы | CC7.2CC7.3 | Та же тема: Непрерывный мониторинг, SIEM / SOC (выбор редакции) |
| §164.308(a)(2) | Assigned Security Responsibility | Редакционные материалы | CC1.2CC1.3CC1.5 | Та же тема: Роли и обязанности (выбор редакции) |
| §164.308(a)(4) | Information Access Management | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| §164.308(a)(5) | Security Awareness and Training | Редакционные материалы | CC1.4CC2.2 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | Редакционные материалы | CC1.4CC2.2 | Та же тема: Осведомлённость и обучение (выбор редакции) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | Редакционные материалы | CC6.8 | Та же тема: Защита конечных точек (выбор редакции) |
| §164.308(a)(6) | Security Incident Procedures | Редакционные материалы | CC7.3CC7.4 | Та же тема: Реагирование на инциденты (выбор редакции) |
| §164.308(a)(6)(ii) | Required Response and Reporting | Редакционные материалы | CC2.3CC7.3CC7.4 | Та же тема: Отчётность, Реагирование на инциденты, Митигация (выбор редакции) |
| §164.308(a)(7) | Contingency Plan | Редакционные материалы | A1.3CC7.5 | Та же тема: Планирование восстановления (выбор редакции) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | Редакционные материалы | A1.2 | Та же тема: Резервное копирование и восстановление (выбор редакции) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | Редакционные материалы | A1.2A1.3CC7.5 | Та же тема: Аварийное восстановление, Планирование восстановления (выбор редакции) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | Редакционные материалы | A1.1A1.2CC9.1 | Та же тема: Непрерывность бизнеса (выбор редакции) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | Редакционные материалы | A1.2A1.3 | Та же тема: Аварийное восстановление (выбор редакции) |
| §164.308(a)(8) | Evaluation | Редакционные материалы | CC4.1CC4.2CC7.1 | Та же тема: Соответствие требованиям, Управление уязвимостями (выбор редакции) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | Редакционные материалы | CC9.2 | Та же тема: Безопасность облачных сред, Управление рисками поставщиков (выбор редакции) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(b) | Workstation Use | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(c) | Workstation Security | Редакционные материалы | CC6.4 | Та же тема: Физическая безопасность (выбор редакции) |
| §164.310(d) | Device and Media Controls | Редакционные материалы | CC6.1CC6.7 | Та же тема: Управление активами, Безопасность мобильных устройств (выбор редакции) |
| §164.310(d)(2)(i) | Required Disposal | Редакционные материалы | C1.2CC6.5 | Та же тема: Защита данных (выбор редакции) |
| §164.310(d)(2)(iii) | Addressable Accountability | Редакционные материалы | CC6.1 | Та же тема: Управление активами (выбор редакции) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | Редакционные материалы | A1.2 | Та же тема: Резервное копирование и восстановление (выбор редакции) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| §164.312(a)(2)(i) | Required Unique User Identification | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | Редакционные материалы | CC6.1CC6.7 | Та же тема: Шифрование (выбор редакции) |
| §164.312(b) | Audit Controls | Редакционные материалы | CC7.2 | Та же тема: Логирование и аудит (выбор редакции) |
| §164.312(c) | Integrity | Редакционные материалы | C1.2CC6.5 | Та же тема: Защита данных (выбор редакции) |
| §164.312(d) | Person or Entity Authentication | Редакционные материалы | CC6.1CC6.2CC6.3 | Та же тема: Контроль доступа (выбор редакции) |
| §164.312(e)(2)(ii) | Addressable Encryption | Редакционные материалы | CC6.1CC6.7 | Та же тема: Шифрование (выбор редакции) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | Редакционные материалы | CC9.2 | Та же тема: Управление рисками поставщиков (выбор редакции) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | Редакционные материалы | CC1.1CC5.3 | Та же тема: Политика управления (выбор редакции) |
| §164.316(b)(2)(iii) | Required Updates | Редакционные материалы | CC1.1CC5.3 | Та же тема: Политика управления (выбор редакции) |
Есть HIPAA → нужен SOC 2
61 треб. сопоставлено: 33 · · 25 без сопоставления Открыть в представлении разрывов →Из 61 требований SOC 2 (Trust Services Criteria) 33 сопоставлены с чем-либо в HIPAA, 3 связаны лишь косвенно, а для 25 в наших данных нет сопоставления.
Сопоставления AICPA для SOC 2 не распространяются под открытой лицензией, поэтому все ссылки SOC 2 здесь являются редакторскими решениями ControlMapping: критерии, которые мы не сопоставили, не могут совпадать. Критерии целостности обработки (PI) и большинство критериев конфиденциальности (P) не имеют аналогов в фреймворках по информационной безопасности.
Вероятно, новая работа: требования SOC 2 без сопоставления с HIPAA (25)
| SOC 2 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P2.1 | Choice and consent | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P3.1 | Collection limited to privacy objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P3.2 | Explicit consent where required | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P4.1 | Use limited to privacy objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P4.2 | Retention of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P4.3 | Disposal of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P5.1 | Data subject access | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P5.2 | Correction of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.1 | Disclosure to third parties with consent | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.2 | Record of authorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.3 | Record of unauthorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.4 | Privacy commitments from third parties | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.5 | Notification by third parties of unauthorized disclosures | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.6 | Breach notification to affected individuals | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P6.7 | Accounting of disclosures to data subjects | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P7.1 | Quality of personal information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| P8.1 | Handling privacy inquiries, complaints and disputes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PI1.2 | Controls over system inputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PI1.3 | Controls over system processing | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PI1.4 | Controls over system outputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
| PI1.5 | Storing inputs, items in processing and outputs | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с HIPAA. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (3)
| SOC 2 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | Совпадает только CSF ID.AM-05: связь косвенная, это не сопоставление | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | Совпадает только CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…: связь косвенная, это не сопоставление | |
Сопоставлено (33)
| SOC 2 | Требование | Совпадение | HIPAA | Доказательства |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | Редакционные материалы | §164.308(a)(7)(ii)(C) | Та же тема: Непрерывность бизнеса (выбор редакции) |
| A1.2 | Environmental protections, backups and recovery infrastructure | Редакционные материалы | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | Та же тема: Резервное копирование и восстановление, Аварийное восстановление, Непрерывность бизнеса (выбор редакции) |
| A1.3 | Testing recovery plan procedures | Редакционные материалы | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | Редакционные материалы | §164.310(d)(2)(i)§164.312(c) | Та же тема: Защита данных (выбор редакции) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | Редакционные материалы | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления (выбор редакции) |
| CC1.2 | Board independence and oversight of internal control | Редакционные материалы | §164.308(a)(2) | Та же тема: Роли и обязанности (выбор редакции) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | Редакционные материалы | §164.308(a)(2) | Та же тема: Роли и обязанности (выбор редакции) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | Редакционные материалы | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CC1.5 | Accountability for internal control responsibilities | Редакционные материалы | §164.308(a)(2) | Та же тема: Роли и обязанности (выбор редакции) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | Редакционные материалы | §164.308(a)(5)§164.308(a)(5)(ii)(A) | Та же тема: Осведомлённость и обучение (выбор редакции) |
| CC2.3 | Communication with external parties | Редакционные материалы | §164.308(a)(6)(ii) | Та же тема: Отчётность (выбор редакции) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| CC3.2 | Risk identification and analysis | Редакционные материалы | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков (выбор редакции) |
| CC3.3 | Considering the potential for fraud | Редакционные материалы | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков (выбор редакции) |
| CC3.4 | Identifying and assessing significant changes | Редакционные материалы | §164.308(a)(1)(ii)(A) | Та же тема: Оценка рисков (выбор редакции) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| CC4.2 | Communicating and remediating control deficiencies | Редакционные материалы | §164.308(a)(8) | Та же тема: Соответствие требованиям (выбор редакции) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | Редакционные материалы | §164.308(a)(1)(ii)(B) | Та же тема: Управление рисками (выбор редакции) |
| CC5.3 | Control activities deployed through policies and procedures | Редакционные материалы | §164.316(a)§164.316(b)(2)(iii) | Та же тема: Политика управления (выбор редакции) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | Редакционные материалы | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | Та же тема: Контроль доступа, Управление активами (выбор редакции) |
| CC6.2 | User registration, authorization and removal | Редакционные материалы | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа (выбор редакции) |
| CC6.3 | Role-based access, least privilege and segregation of duties | Редакционные материалы | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | Та же тема: Контроль доступа (выбор редакции) |
| CC6.4 | Physical access restrictions | Редакционные материалы | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | Та же тема: Физическая безопасность (выбор редакции) |
| CC6.5 | Protection of data when assets are disposed of | Редакционные материалы | §164.310(d)(2)(i)§164.312(c) | Та же тема: Защита данных (выбор редакции) |
| CC6.7 | Restricting transmission, movement and removal of information | Редакционные материалы | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | Та же тема: Безопасность мобильных устройств, Шифрование (выбор редакции) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | Редакционные материалы | §164.308(a)(5)(ii)(B) | Та же тема: Защита конечных точек (выбор редакции) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | Редакционные материалы | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | Та же тема: Управление уязвимостями (выбор редакции) |
| CC7.2 | Monitoring system components for anomalies | Редакционные материалы | §164.308(a)(1)(ii)(D)§164.312(b) | Та же тема: Непрерывный мониторинг, Логирование и аудит (выбор редакции) |
| CC7.3 | Evaluating security events to determine if they are incidents | Редакционные материалы | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: SIEM / SOC, Реагирование на инциденты (выбор редакции) |
| CC7.4 | Responding to identified security incidents | Редакционные материалы | §164.308(a)(6)§164.308(a)(6)(ii) | Та же тема: Реагирование на инциденты, Митигация (выбор редакции) |
| CC7.5 | Recovering from identified security incidents | Редакционные материалы | §164.308(a)(7)§164.308(a)(7)(ii)(B) | Та же тема: Планирование восстановления (выбор редакции) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | Редакционные материалы | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | Та же тема: Управление рисками, Непрерывность бизнеса (выбор редакции) |
| CC9.2 | Managing vendor and business partner risk | Редакционные материалы | §164.308(b)(1)§164.314(a) | Та же тема: Безопасность облачных сред, Управление рисками поставщиков (выбор редакции) |
По темам
Охватывают оба (26):
Политика управленияОсведомлённость и обучениеУправление рискамиРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковУправление уязвимостямиКонтроль доступаШифрованиеЗащита данныхРезервное копирование и восстановлениеЗащита конечных точекБезопасность мобильных устройствБезопасность облачных средНепрерывный мониторингЛогирование и аудитSIEM / SOCРеагирование на инцидентыМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаАварийное восстановлениеУправление рисками поставщиковФизическая безопасность
Только SOC 2 (20):
Управление рисками цепочки поставокБизнес-средаКлассификация данныхМногофакторная аутентификацияПривилегированный доступМежсетевой экран / сегментация сетиУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеWAFDLPОбнаружение вторженийОбнаружение аномалийКриминалистический анализКоммуникацияИзвлечённые урокиКоммуникации и восстановление
Только HIPAA (1):
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.