Сравнение

SOC 2 и PCI DSS: доверие клиентов против соответствия требованиям платёжных брендов

SOC 2 (Trust Services Criteria) · PCI DSS v4.0.1 · данные на 2026-10-27

SOC 2 и PCI DSS часто нужны одной и той же компании, обычно SaaS- или финтех-бизнесу, который одновременно продаёт корпоративным клиентам и работает с платёжными картами. SOC 2 — это аттестация на соответствие широким Критериям доверия к услугам. PCI DSS v4.0.1 — предписывающий договорной стандарт, ограниченный средой данных держателей карт.

Базовые меры безопасности пересекаются: управление доступом, журналирование и мониторинг, управление изменениями, управление уязвимостями, реагирование на инциденты и управление поставщиками. Средства контроля, построенные под SOC 2, обычно удовлетворяют замыслу PCI, но не всегда его букве.

При переходе от SOC 2 к PCI DSS дополнительная работа связана с конкретностью PCI: определённые меры сетевой безопасности вокруг среды данных держателей карт, правила хранения и отображения PAN, управление криптографическими ключами, многофакторная аутентификация для всего доступа к CDE, периодичность сканирований и тестов и целостность скриптов на платёжных страницах. Многие требования PCI лишь косвенно связаны, а не сопоставлены напрямую, поскольку SOC 2 не предписывает конкретного механизма.

При переходе от PCI DSS к SOC 2 большинство критериев безопасности уже покрыто. Пробелами остаются необязательные категории SOC 2 — Обработка целостности и Конфиденциальность персональных данных, если вы их включаете. Сторона SOC 2 в этом сравнении — редакционное сопоставление ControlMapping, поскольку публичного машиночитаемого соответствия SOC 2 не существует.

Основные выводы

Использование платёжного провайдера, соответствующего PCI, и хранение данных карт вне ваших систем может превратить PCI из программы в короткую анкету.
Повторно используйте доказательства SOC 2 для PCI там, где это допускает требование, но проверяйте периодичность и технические детали PCI.
Ваш отчёт SOC 2 может описывать меры, относящиеся к PCI, но он не заменяет Отчёт о соответствии PCI (Report on Compliance) или SAQ.

Скачать это сравнение (CSV) Открыть в анализе разрывов →

Есть SOC 2 → нужен PCI DSS

260 треб.

сопоставлено: 75 · · 113 без сопоставления Открыть в представлении разрывов →

Из 260 требований PCI DSS v4.0.1 75 сопоставлены с чем-либо в SOC 2, 72 связаны лишь косвенно, а для 113 в наших данных нет сопоставления.

Вероятно, новая работа: требования PCI DSS без сопоставления с SOC 2 (113)

PCI DSS	Требование	Совпадение	SOC 2	Доказательства
Requirement 1: Install and maintain network security controls · 12
1.2.2	Network connection changes go through change control	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.2.5	Allowed services, protocols and ports approved	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.2.6	Security features defined for insecure services	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.2.7	Network security control rules reviewed every six months	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.2.8	Network security control configuration files secured	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.3.2	Outbound traffic from the CDE restricted	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.3.3	Network controls between wireless networks and the CDE	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.4.2	Inbound traffic from untrusted networks restricted	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.4.3	Anti-spoofing measures in place	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.4.4	Stored cardholder data not reachable from untrusted networks	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.4.5	Internal IP addresses and routing not disclosed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
1.5.1	Controls on devices connecting to untrusted networks and the CDE	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 2: Apply secure configurations to all system components · 6
2.2.3	Functions with different security levels kept apart	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
2.2.4	Only necessary services and functions enabled	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
2.2.5	Insecure services justified and secured	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
2.2.6	System security parameters set to prevent misuse	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
2.2.7	Non-console administrative access encrypted	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
2.3.2	Wireless keys changed when key holders leave	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 3: Protect stored account data · 14
3.3.1.1	Full track data not kept after authorisation	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.3.1.2	Card verification code not kept after authorisation	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.3.1.3	PIN and PIN block not kept after authorisation	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.3.2	Sensitive authentication data encrypted before authorisation	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.3.3	Issuer storage of sensitive authentication data limited and protected	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.5.1.1	Hashes of PAN are keyed cryptographic hashes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.5.1.2	Disk-level encryption used only where it suffices	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.2	Key management: secure key distribution	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.3	Key management: secure key storage	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.5	Key management: retiring weakened or compromised keys	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.6	Key management: split knowledge and dual control	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.7	Key management: preventing unauthorised key substitution	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.8	Key custodians formally acknowledge their responsibilities	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
3.7.9	Service providers give customers key-handling guidance	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2	Strong cryptography on wireless networks carrying PAN	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
4.2.2	PAN secured when sent by end-user messaging	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1	Anti-malware kept up to date	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
5.3.3	Removable media scanned or analysed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
5.3.4	Anti-malware audit logs enabled and retained	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
5.3.5	Users cannot disable or alter anti-malware	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1	Production changes follow change control procedures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
6.5.2	PCI DSS requirements re-confirmed after significant changes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
6.5.3	Pre-production environments separated from production	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
6.5.4	Duties separated between production and pre-production	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
6.5.5	Live PANs not used in pre-production	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
6.5.6	Test data and accounts removed before go-live	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3	Privileges approved by authorised personnel	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
7.2.5	System and application accounts least privilege	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
7.2.6	Access to cardholder data repositories restricted	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
7.3.1	Access control system restricts access by need	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
7.3.2	Access control system enforces assigned permissions	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
7.3.3	Access control system set to deny by default	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 8: Identify users and authenticate access to system components · 10
8.2.3	Service providers use unique credentials per customer	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.2.4	User ID changes authorised and controlled	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.2.5	Access revoked immediately on termination	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.2.7	Third-party remote access accounts enabled only when needed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.3.2	Authentication factors unreadable in transit and storage	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.3.3	Identity verified before changing authentication factors	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.3.4	Account lockout after repeated failed attempts	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.3.5	First-use and reset passwords unique and changed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.3.11	Tokens, smart cards and certificates assigned to individuals	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
8.6.1	Interactive use of system accounts managed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2	Publicly accessible network jacks restricted	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.3.3	Visitor badges returned or deactivated	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.3.4	Visitor log maintained and retained	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.4.1	Media with cardholder data physically secured	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.4.3	Media sent off site tracked and secured	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.4.4	Management approves media moved off site	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.4.5	Inventory logs of electronic media kept	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.4.5.1	Electronic media inventories at least annually	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.5.1	Card-reading (POI) devices protected from tampering	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
9.5.1.3	Staff trained to spot POI tampering	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 10: Log and monitor all access to system components and cardholder data · 12
10.2.1.1	Logs capture user access to cardholder data	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.2	Logs capture administrative actions	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.3	Logs capture access to audit logs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.4	Logs capture invalid access attempts	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.5	Logs capture credential and privilege changes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.6	Logs capture starting, stopping or pausing logging	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.2.1.7	Logs capture system-level object changes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.4.2	Other logs reviewed periodically	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.4.3	Exceptions and anomalies addressed	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.6.2	Time configuration correct and consistent	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.7.1	Service providers detect security control failures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
10.7.3	Security control failures responded to promptly	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 11: Test security of systems and networks regularly · 12
11.2.2	Inventory of authorised wireless access points	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.3.1.2	Internal scans use authenticated scanning	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.3.1.3	Internal scans after significant changes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.3.2.1	External scans after significant changes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.1	Penetration testing methodology defined	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.2	Internal penetration test at least annually	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.3	External penetration test at least annually	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.5	Segmentation controls tested at least annually	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.6	Service providers test segmentation every six months	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.4.7	Multi-tenant providers support customer penetration tests	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.5.1.1	Service providers detect covert malware communication	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
11.5.2	Change-detection on critical files	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Requirement 12: Support information security with organizational policies and programs · 9
12.2.1	Acceptable use policies for end-user technologies	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.4.1	Service providers: executive responsibility for PCI DSS compliance	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.4.2.1	Service providers: quarterly review results documented	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.5.2.1	Service providers confirm scope every six months	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.6.2	Awareness programme reviewed annually	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.6.3.1	Training covers phishing and social engineering	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.6.3.2	Training covers acceptable use of technology	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.7.1	Personnel screened before hire	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
12.10.5	Plan covers alerts from security monitoring	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
Appendix A: additional requirements · 10
A1.1.1	Multi-tenant providers: separate provider and customer environments	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.1.2	Multi-tenant providers: customers confined to their own environment	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.1.3	Multi-tenant providers: customers reach only their own data	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.1.4	Multi-tenant providers: separation tested every six months	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.2.1	Multi-tenant providers: audit logging for each customer	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.2.2	Multi-tenant providers: support customer forensic investigations	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A1.2.3	Multi-tenant providers: report suspected incidents to customers	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A2.1.1	POI terminals using SSL or early TLS not exploitable	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A2.1.2	Service providers: migration plan off SSL and early TLS	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.
A2.1.3	Service providers offer a secure connection option	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с SOC 2.

Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (72)

PCI DSS	Требование	Совпадение	SOC 2	Доказательства
Requirement 1: Install and maintain network security controls · 3
1.1.1	Network security policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
1.1.2	Roles for network security controls assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
1.2.4	Accurate account-data flow diagram maintained	Косвенно связано	CC9.2 CC6.6 CC7.2+5	Совпадает только CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…: связь косвенная, это не сопоставление
Requirement 2: Apply secure configurations to all system components · 3
2.1.1	Secure configuration policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
2.1.2	Roles for secure configuration assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
2.3.1	Wireless vendor defaults changed	Косвенно связано	CC6.1 C1.2 CC6.5+3	Совпадает только CSF PR.AA-03, PR.DS-02: связь косвенная, это не сопоставление
Requirement 3: Protect stored account data · 7
3.1.1	Stored account data policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
3.1.2	Roles for protecting stored account data assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
3.5.1.3	Disk encryption access managed separately from OS access	Косвенно связано	CC6.1 C1.2 CC6.5+2	Совпадает только CSF PR.AA-03, PR.DS-01: связь косвенная, это не сопоставление
3.6.1.1	Service providers document their cryptographic architecture	Косвенно связано	CC6.1 C1.2 CC6.2+4	Совпадает только CSF PR.AA-01, PR.DS-01: связь косвенная, это не сопоставление
3.6.1.2	Secret and private keys stored in approved forms	Косвенно связано	CC6.1 C1.2 CC6.2+4	Совпадает только CSF PR.AA-01, PR.DS-01: связь косвенная, это не сопоставление
3.6.1.3	Cleartext key components accessible to fewest custodians	Косвенно связано	CC6.1 C1.2 CC6.2+4	Совпадает только CSF PR.AA-01, PR.DS-01: связь косвенная, это не сопоставление
3.6.1.4	Keys stored in the fewest possible locations	Косвенно связано	CC6.1 C1.2 CC6.2+4	Совпадает только CSF PR.AA-01, PR.DS-01: связь косвенная, это не сопоставление
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1	Data-in-transit policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
4.1.2	Roles for protecting data in transit assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1	Anti-malware policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
5.1.2	Roles for malware protection assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
5.2.3	Systems without anti-malware periodically re-evaluated	Косвенно связано	CC6.6 CC9.2	Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление
5.2.3.1	Re-evaluation frequency set by targeted risk analysis	Косвенно связано	CC3.1 CC5.1 CC9.1+2	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
5.3.2.1	Scan frequency set by targeted risk analysis	Косвенно связано	CC3.1 CC5.1 CC9.1	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
Requirement 6: Develop and maintain secure systems and software · 4
6.1.1	Secure systems and software policies documented	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
6.1.2	Roles for secure systems and software assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
6.2.3.1	Manual code reviews approved by someone else	Косвенно связано	CC6.1	Совпадает только CSF ID.AM-08: связь косвенная, это не сопоставление
6.2.4	Coding techniques prevent common software attacks	Косвенно связано	CC6.6 CC6.1 CC8.1+1	Совпадает только CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08: связь косвенная, это не сопоставление
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1	Access restriction policies documented and kept current	Косвенно связано	CC1.1 CC5.3 CC6.1+4	Совпадает только CSF GV.PO-02, PR.AA-05: связь косвенная, это не сопоставление
7.1.2	Roles for access restriction assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
7.2.5.1	System and application account access periodically reviewed	Косвенно связано	CC3.1 CC5.1 CC9.1+5	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
Requirement 8: Identify users and authenticate access to system components · 13
8.1.1	Identification and authentication policies documented	Косвенно связано	CC1.1 CC5.3 CC6.1+4	Совпадает только CSF GV.PO-02, PR.AA-05: связь косвенная, это не сопоставление
8.1.2	Roles for identification and authentication assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
8.2.2	Shared or generic accounts only by documented exception	Косвенно связано	CC7.2	Совпадает только CSF DE.CM-03: связь косвенная, это не сопоставление
8.2.6	Inactive user accounts disabled within 90 days	Косвенно связано	CC6.1 CC6.2 CC6.3+2	Совпадает только CSF PR.AA-05: связь косвенная, это не сопоставление
8.2.8	Re-authentication after 15 minutes idle	Косвенно связано	C1.2 CC6.1 CC6.5+2	Совпадает только CSF PR.DS-10, PR.AA-03: связь косвенная, это не сопоставление
8.3.6	Minimum password length and complexity	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.3.7	Recent passwords cannot be reused	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.3.8	Authentication guidance communicated to users	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.3.9	Password-only access: change every 90 days or analyse risk	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.3.10	Service providers give customers password guidance	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.3.10.1	Service provider customer passwords: rotation or analysis	Косвенно связано	CC6.1 CC6.6	Совпадает только CSF PR.AA-03: связь косвенная, это не сопоставление
8.6.2	No hard-coded passwords for system accounts	Косвенно связано	CC6.1 CC6.2 CC6.3	Совпадает только CSF PR.AA-01: связь косвенная, это не сопоставление
8.6.3	System account passwords protected and changed	Косвенно связано	CC3.1 CC5.1 CC9.1+3	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1	Physical security policies documented and kept current	Косвенно связано	CC1.1 CC5.3 CC6.4	Совпадает только CSF GV.PO-02, PR.IR-02: связь косвенная, это не сопоставление
9.1.2	Roles for physical security assigned	Косвенно связано	CC1.2 CC1.3 CC1.5+1	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
9.2.4	Consoles in sensitive areas locked when unattended	Косвенно связано	CC6.1 CC6.4 CC6.6	Совпадает только CSF PR.AA-03, PR.AA-06: связь косвенная, это не сопоставление
9.4.1.2	Security of offline backup location reviewed annually	Косвенно связано	A1.2 CC6.4	Совпадает только CSF PR.DS-11, RC.RP-03, DE.CM-02: связь косвенная, это не сопоставление
9.4.6	Hard-copy media destroyed when no longer needed	Косвенно связано	C1.2 CC4.1 CC4.2+3	Совпадает только CSF PR.DS-01, GV.OC-03: связь косвенная, это не сопоставление
9.4.7	Electronic media destroyed or made unrecoverable	Косвенно связано	A1.2 C1.2 CC4.1+4	Совпадает только CSF PR.DS-11, PR.DS-01, GV.OC-03: связь косвенная, это не сопоставление
9.5.1.1	Inventory of POI devices kept	Косвенно связано	CC6.1 CC9.2 CC6.2+1	Совпадает только CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09: связь косвенная, это не сопоставление
9.5.1.2	POI devices inspected for tampering	Косвенно связано	CC6.4 CC6.1 CC9.2	Совпадает только CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09: связь косвенная, это не сопоставление
9.5.1.2.1	Inspection frequency set by targeted risk analysis	Косвенно связано	CC3.1 CC5.1 CC9.1+2	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
Requirement 10: Log and monitor all access to system components and cardholder data · 9
10.1.1	Logging and monitoring policies documented	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
10.1.2	Roles for logging and monitoring assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
10.2.2	Log entries record who, what, when, where and outcome	Косвенно связано	CC7.4	Совпадает только CSF RS.AN-03, RS.AN-07: связь косвенная, это не сопоставление
10.3.1	Read access to logs limited to need	Косвенно связано	CC7.2 CC7.3 CC7.4	Совпадает только CSF PR.PS-04, DE.AE-06, RS.AN-06: связь косвенная, это не сопоставление
10.3.3	Logs promptly backed up to a central server	Косвенно связано	CC7.2 CC7.3 CC7.4	Совпадает только CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…: связь косвенная, это не сопоставление
10.3.4	File-integrity monitoring on logs	Косвенно связано	CC7.2 CC6.8 CC7.4	Совпадает только CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06: связь косвенная, это не сопоставление
10.4.2.1	Review frequency set by targeted risk analysis	Косвенно связано	CC3.1 CC5.1 CC7.2+2	Совпадает только CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04: связь косвенная, это не сопоставление
10.6.3	Time settings protected from change	Косвенно связано	CC7.2	Совпадает только CSF PR.PS-04: связь косвенная, это не сопоставление
10.7.2	Critical security control failures detected and reported	Косвенно связано	CC4.1 CC4.2	Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление
Requirement 11: Test security of systems and networks regularly · 6
11.1.1	Security testing policies documented and kept current	Косвенно связано	CC1.1 CC5.3	Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление
11.1.2	Roles for security testing assigned	Косвенно связано	CC1.2 CC1.3 CC1.5	Совпадает только CSF GV.RR-02: связь косвенная, это не сопоставление
11.2.1	Wireless access points detected and unauthorised ones handled	Косвенно связано	CC6.6 CC7.2 CC9.2	Совпадает только CSF DE.CM-01, PR.IR-01: связь косвенная, это не сопоставление
11.3.1.1	Lower-ranked vulnerabilities handled by risk analysis	Косвенно связано	CC3.1 CC5.1 CC9.1+3	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
11.4.4	Penetration test findings corrected and retested	Косвенно связано	A1.2 A1.3 CC2.3+5	Совпадает только CSF RC.RP-05: связь косвенная, это не сопоставление
11.6.1	Payment page changes and tampering detected	Косвенно связано	CC9.2 CC3.1 CC5.1+3	Совпадает только CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…: связь косвенная, это не сопоставление
Requirement 12: Support information security with organizational policies and programs · 8
12.3.2	Targeted risk analysis for customised approach	Косвенно связано	CC3.1 CC5.1 CC9.1	Совпадает только CSF GV.RM-06: связь косвенная, это не сопоставление
12.3.3	Cipher suites and protocols reviewed annually	Косвенно связано	CC3.1 CC5.1 CC9.1+5	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
12.3.4	Hardware and software technologies reviewed annually	Косвенно связано	CC3.1 CC5.1 CC9.1+5	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
12.5.3	Service providers review scope after organisational change	Косвенно связано	CC3.1 CC5.1 CC9.1	Совпадает только CSF GV.RM-03: связь косвенная, это не сопоставление
12.9.1	Service providers acknowledge responsibilities to customers	Косвенно связано	CC9.2 CC3.1 CC4.1+1	Совпадает только CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: связь косвенная, это не сопоставление
12.9.2	Service providers support customer compliance requests	Косвенно связано	CC9.2 CC3.1 CC4.1+1	Совпадает только CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…: связь косвенная, это не сопоставление
12.10.4.1	Training frequency set by targeted risk analysis	Косвенно связано	CC3.1 CC5.1 CC9.1+2	Совпадает только CSF GV.RM-03, GV.RM-06: связь косвенная, это не сопоставление
12.10.7	Procedures for PAN found where it shouldn't be	Косвенно связано	C1.1	Совпадает только CSF ID.AM-07: связь косвенная, это не сопоставление

Сопоставлено (75)

PCI DSS	Требование	Совпадение	SOC 2	Доказательства
Requirement 1: Install and maintain network security controls · 4
1.2.1	Configuration standards for network security controls	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
1.2.3	Accurate network diagram maintained	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
1.3.1	Inbound traffic to the CDE restricted	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
1.4.1	Network controls between trusted and untrusted networks	Редакционные материалы	CC6.6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1	System configuration standards developed and maintained	Редакционные материалы	CC5.2 CC7.1	Та же тема: Безопасная конфигурация (выбор редакции)
2.2.2	Vendor default accounts managed or removed	Редакционные материалы	CC5.2 CC7.1	Та же тема: Безопасная конфигурация (выбор редакции)
Requirement 3: Protect stored account data · 8
3.2.1	Account data storage minimised, with retention and disposal	Редакционные материалы	C1.2 CC6.5	Та же тема: Защита данных (выбор редакции)
3.3.1	Sensitive authentication data not kept after authorisation	Редакционные материалы	C1.2 CC6.5	Та же тема: Защита данных (выбор редакции)
3.4.1	PAN masked when displayed	Редакционные материалы	C1.2 CC6.5	Та же тема: Защита данных (выбор редакции)
3.4.2	PAN copying prevented over remote-access technologies	Редакционные материалы	CC6.7	Та же тема: DLP (выбор редакции)
3.5.1	PAN rendered unreadable wherever stored	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
3.6.1	Procedures protect keys that secure stored account data	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
3.7.1	Key management: strong key generation	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
3.7.4	Key management: key changes at end of cryptoperiod	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1	Strong cryptography for PAN over open, public networks	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
4.2.1.1	Inventory of trusted keys and certificates kept	Редакционные материалы	CC6.1 CC6.7	Та же тема: Шифрование (выбор редакции)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1	Anti-malware deployed on system components	Редакционные материалы	CC6.8	Та же тема: Защита конечных точек (выбор редакции)
5.2.2	Anti-malware detects, removes or contains known malware	Редакционные материалы	CC6.8	Та же тема: Защита конечных точек (выбор редакции)
5.3.2	Periodic scans or continuous behavioural analysis	Редакционные материалы	CC6.8	Та же тема: Защита конечных точек (выбор редакции)
5.4.1	Mechanisms to detect and protect against phishing	Редакционные материалы	CC6.8	Та же тема: Безопасность электронной почты (выбор редакции)
Requirement 6: Develop and maintain secure systems and software · 9
6.2.1	Bespoke and custom software developed securely	Редакционные материалы	CC8.1	Та же тема: Безопасная разработка (выбор редакции)
6.2.2	Developers trained in secure software development	Редакционные материалы	CC8.1	Та же тема: Безопасная разработка (выбор редакции)
6.2.3	Custom code reviewed before release	Редакционные материалы	CC8.1	Та же тема: Безопасная разработка (выбор редакции)
6.3.1	Vulnerabilities identified and risk-ranked	Редакционные материалы	CC7.1	Та же тема: Управление уязвимостями, Управление исправлениями (выбор редакции)
6.3.2	Inventory of custom software and its components	Редакционные материалы	CC6.1 CC9.2	Та же тема: Управление активами, Управление рисками цепочки поставок (выбор редакции)
6.3.3	Security patches installed promptly	Редакционные материалы	CC7.1	Та же тема: Управление исправлениями (выбор редакции)
6.4.1	Public web applications protected against attacks	Редакционные материалы	CC6.6	Та же тема: Безопасность веб-приложений (выбор редакции)
6.4.2	Automated solution blocks attacks on public web apps	Редакционные материалы	CC6.6	Та же тема: WAF (выбор редакции)
6.4.3	Payment page scripts authorised and integrity-checked	Редакционные материалы	CC6.6	Та же тема: Безопасность веб-приложений (выбор редакции)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1	Access control model defined	Редакционные материалы	CC6.1 CC6.2 CC6.3+1	Та же тема: Контроль доступа (выбор редакции)
7.2.2	Access assigned by job function and least privilege	Редакционные материалы	CC6.1 CC6.2 CC6.3	Та же тема: Контроль доступа, Привилегированный доступ (выбор редакции)
7.2.4	User accounts and privileges reviewed every six months	Редакционные материалы	CC6.1 CC6.2 CC6.3	Та же тема: Контроль доступа (выбор редакции)
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1	Every user has a unique ID	Редакционные материалы	CC6.1 CC6.2 CC6.3	Та же тема: Контроль доступа (выбор редакции)
8.3.1	User and admin access requires an authentication factor	Редакционные материалы	CC6.6	Та же тема: Нулевое доверие (выбор редакции)
8.4.1	MFA for non-console administrative access to the CDE	Редакционные материалы	CC6.1	Та же тема: Многофакторная аутентификация (выбор редакции)
8.4.2	MFA for all access into the CDE	Редакционные материалы	CC6.1	Та же тема: Многофакторная аутентификация (выбор редакции)
8.4.3	MFA for remote network access	Редакционные материалы	CC6.1	Та же тема: Многофакторная аутентификация (выбор редакции)
8.5.1	MFA systems configured to resist misuse	Редакционные материалы	CC6.1	Та же тема: Многофакторная аутентификация (выбор редакции)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1	Facility entry controls restrict CDE access	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.2.1.1	Access to sensitive areas monitored by camera or access control	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.2.3	Physical access to network hardware restricted	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.3.1	Personnel physical access authorised and managed	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.3.1.1	Sensitive-area access authorised and revoked promptly	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.3.2	Visitor access authorised, escorted and identifiable	Редакционные материалы	CC6.4	Та же тема: Физическая безопасность (выбор редакции)
9.4.1.1	Offline backup media stored securely	Редакционные материалы	A1.2	Та же тема: Резервное копирование и восстановление (выбор редакции)
9.4.2	Media classified by data sensitivity	Редакционные материалы	C1.1	Та же тема: Классификация данных (выбор редакции)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1	Audit logs enabled and active	Редакционные материалы	CC7.2	Та же тема: Логирование и аудит (выбор редакции)
10.3.2	Logs protected from modification	Редакционные материалы	CC7.2 CC7.4	Та же тема: Логирование и аудит, Криминалистический анализ (выбор редакции)
10.4.1	Security event and critical logs reviewed daily	Редакционные материалы	CC7.2 CC7.3	Та же тема: Непрерывный мониторинг, SIEM / SOC (выбор редакции)
10.4.1.1	Automated mechanisms for log review	Редакционные материалы	CC7.2	Та же тема: Обнаружение аномалий (выбор редакции)
10.5.1	Audit logs retained 12 months, three immediately available	Редакционные материалы	CC7.2	Та же тема: Логирование и аудит (выбор редакции)
10.6.1	System clocks synchronised	Редакционные материалы	CC7.2	Та же тема: Логирование и аудит (выбор редакции)
Requirement 11: Test security of systems and networks regularly · 3
11.3.1	Internal vulnerability scans every three months	Редакционные материалы	CC7.1	Та же тема: Управление уязвимостями (выбор редакции)
11.3.2	External ASV scans every three months	Редакционные материалы	CC7.1	Та же тема: Управление уязвимостями (выбор редакции)
11.5.1	Intrusion detection or prevention on network traffic	Редакционные материалы	CC7.2	Та же тема: Обнаружение вторжений (выбор редакции)
Requirement 12: Support information security with organizational policies and programs · 20
12.1.1	Information security policy established and published	Редакционные материалы	CC1.1 CC5.3	Та же тема: Политика управления (выбор редакции)
12.1.2	Security policy reviewed at least annually	Редакционные материалы	CC1.1 CC5.3	Та же тема: Политика управления (выбор редакции)
12.1.3	Security roles and responsibilities defined	Редакционные материалы	CC1.2 CC1.3 CC1.5	Та же тема: Роли и обязанности (выбор редакции)
12.1.4	Executive responsibility for information security assigned	Редакционные материалы	CC1.2 CC1.3 CC1.5	Та же тема: Роли и обязанности (выбор редакции)
12.3.1	Targeted risk analysis for flexible-frequency requirements	Редакционные материалы	CC3.1 CC3.2 CC3.3+3	Та же тема: Управление рисками, Оценка рисков (выбор редакции)
12.4.2	Service providers: quarterly reviews of operational tasks	Редакционные материалы	CC4.1 CC4.2	Та же тема: Соответствие требованиям (выбор редакции)
12.5.1	Inventory of in-scope system components	Редакционные материалы	CC6.1	Та же тема: Управление активами (выбор редакции)
12.5.2	PCI DSS scope confirmed annually and on change	Редакционные материалы	CC3.1	Та же тема: Бизнес-среда (выбор редакции)
12.6.1	Formal security awareness programme	Редакционные материалы	CC1.4 CC2.2	Та же тема: Осведомлённость и обучение (выбор редакции)
12.6.3	Awareness training on hire and at least annually	Редакционные материалы	CC1.4 CC2.2	Та же тема: Осведомлённость и обучение (выбор редакции)
12.8.1	List of third-party service providers kept	Редакционные материалы	CC9.2	Та же тема: Управление рисками цепочки поставок, Безопасность облачных сред, Управление рисками поставщиков (выбор редакции)
12.8.2	Written agreements with service providers	Редакционные материалы	CC9.2	Та же тема: Управление рисками поставщиков (выбор редакции)
12.8.3	Due diligence before engaging service providers	Редакционные материалы	CC9.2	Та же тема: Управление рисками поставщиков (выбор редакции)
12.8.4	Service provider compliance monitored annually	Редакционные материалы	CC9.2	Та же тема: Управление рисками поставщиков (выбор редакции)
12.8.5	Responsibilities split with each provider documented	Редакционные материалы	CC9.2	Та же тема: Безопасность облачных сред, Управление рисками поставщиков (выбор редакции)
12.10.1	Incident response plan ready to activate	Редакционные материалы	A1.1 A1.2 A1.3+5	Та же тема: Непрерывность бизнеса, Аварийное восстановление, Планирование восстановления (выбор редакции)
12.10.2	Incident response plan reviewed and tested annually	Редакционные материалы	CC7.3 CC7.4	Та же тема: Реагирование на инциденты (выбор редакции)
12.10.3	Incident response staff available around the clock	Редакционные материалы	CC7.3 CC7.4	Та же тема: Реагирование на инциденты (выбор редакции)
12.10.4	Incident response staff trained	Редакционные материалы	CC7.3 CC7.4	Та же тема: Реагирование на инциденты (выбор редакции)
12.10.6	Plan updated from lessons learned and industry changes	Редакционные материалы	CC7.5	Та же тема: Извлечённые уроки (выбор редакции)

Есть PCI DSS → нужен SOC 2

61 треб.

сопоставлено: 37 · · 24 без сопоставления Открыть в представлении разрывов →

Из 61 требований SOC 2 (Trust Services Criteria) 37 сопоставлены с чем-либо в PCI DSS, 0 связаны лишь косвенно, а для 24 в наших данных нет сопоставления.

Сопоставления AICPA для SOC 2 не распространяются под открытой лицензией, поэтому все ссылки SOC 2 здесь являются редакторскими решениями ControlMapping: критерии, которые мы не сопоставили, не могут совпадать. Критерии целостности обработки (PI) и большинство критериев конфиденциальности (P) не имеют аналогов в фреймворках по информационной безопасности.

Вероятно, новая работа: требования SOC 2 без сопоставления с PCI DSS (24)

SOC 2	Требование	Совпадение	PCI DSS	Доказательства
CC2 Communication and information · 1
CC2.1	Quality information to support internal control	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P Privacy · 18
P1.1	Privacy notice	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P2.1	Choice and consent	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P3.1	Collection limited to privacy objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P3.2	Explicit consent where required	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P4.1	Use limited to privacy objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P4.2	Retention of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P4.3	Disposal of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P5.1	Data subject access	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P5.2	Correction of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.1	Disclosure to third parties with consent	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.2	Record of authorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.3	Record of unauthorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.4	Privacy commitments from third parties	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.5	Notification by third parties of unauthorized disclosures	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.6	Breach notification to affected individuals	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P6.7	Accounting of disclosures to data subjects	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P7.1	Quality of personal information	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
P8.1	Handling privacy inquiries, complaints and disputes	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
PI1 Processing integrity · 5
PI1.1	Information about processing objectives	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
PI1.2	Controls over system inputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
PI1.3	Controls over system processing	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
PI1.4	Controls over system outputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.
PI1.5	Storing inputs, items in processing and outputs	Нет сопоставления в наших данных	—	В наших данных нет сопоставления с PCI DSS.

Сопоставлено (37)

SOC 2	Требование	Совпадение	PCI DSS	Доказательства
A1 Availability · 3
A1.1	Capacity management to meet availability commitments	Редакционные материалы	12.10.1	Та же тема: Непрерывность бизнеса (выбор редакции)
A1.2	Environmental protections, backups and recovery infrastructure	Редакционные материалы	9.4.1.1 12.10.1	Та же тема: Резервное копирование и восстановление, Непрерывность бизнеса, Аварийное восстановление (выбор редакции)
A1.3	Testing recovery plan procedures	Редакционные материалы	12.10.1	Та же тема: Планирование восстановления, Аварийное восстановление (выбор редакции)
C1 Confidentiality · 2
C1.1	Identifying and protecting confidential information	Редакционные материалы	9.4.2	Та же тема: Классификация данных (выбор редакции)
C1.2	Disposing of confidential information	Редакционные материалы	3.2.1 3.3.1 3.4.1	Та же тема: Защита данных (выбор редакции)
CC1 Control environment · 5
CC1.1	Commitment to integrity and ethical values	Редакционные материалы	12.1.1 12.1.2	Та же тема: Политика управления (выбор редакции)
CC1.2	Board independence and oversight of internal control	Редакционные материалы	12.1.3 12.1.4	Та же тема: Роли и обязанности (выбор редакции)
CC1.3	Structures, reporting lines, authorities and responsibilities	Редакционные материалы	12.1.3 12.1.4	Та же тема: Роли и обязанности (выбор редакции)
CC1.4	Commitment to attracting, developing and retaining competent people	Редакционные материалы	12.6.1 12.6.3	Та же тема: Осведомлённость и обучение (выбор редакции)
CC1.5	Accountability for internal control responsibilities	Редакционные материалы	12.1.3 12.1.4	Та же тема: Роли и обязанности (выбор редакции)
CC2 Communication and information · 2
CC2.2	Internal communication of objectives and responsibilities	Редакционные материалы	12.6.1 12.6.3	Та же тема: Осведомлённость и обучение (выбор редакции)
CC2.3	Communication with external parties	Редакционные материалы	12.10.1	Та же тема: Отчётность (выбор редакции)
CC3 Risk assessment · 4
CC3.1	Objectives specified clearly enough to identify risks	Редакционные материалы	12.3.1 12.5.2	Та же тема: Управление рисками, Бизнес-среда (выбор редакции)
CC3.2	Risk identification and analysis	Редакционные материалы	12.3.1	Та же тема: Оценка рисков (выбор редакции)
CC3.3	Considering the potential for fraud	Редакционные материалы	12.3.1	Та же тема: Оценка рисков (выбор редакции)
CC3.4	Identifying and assessing significant changes	Редакционные материалы	12.3.1	Та же тема: Оценка рисков (выбор редакции)
CC4 Monitoring activities · 2
CC4.1	Ongoing and/or separate evaluations of controls	Редакционные материалы	12.4.2	Та же тема: Соответствие требованиям (выбор редакции)
CC4.2	Communicating and remediating control deficiencies	Редакционные материалы	12.4.2	Та же тема: Соответствие требованиям (выбор редакции)
CC5 Control activities · 3
CC5.1	Control activities that mitigate risks	Редакционные материалы	12.3.1	Та же тема: Управление рисками (выбор редакции)
CC5.2	General controls over technology	Редакционные материалы	2.2.1 2.2.2	Та же тема: Безопасная конфигурация (выбор редакции)
CC5.3	Control activities deployed through policies and procedures	Редакционные материалы	12.1.1 12.1.2	Та же тема: Политика управления (выбор редакции)
CC6 Logical and physical access · 8
CC6.1	Logical access security over information assets	Редакционные материалы	3.5.1 3.6.1 3.7.1+13	Та же тема: Шифрование (выбор редакции)
CC6.2	User registration, authorization and removal	Редакционные материалы	7.2.1 7.2.2 7.2.4+1	Та же тема: Контроль доступа (выбор редакции)
CC6.3	Role-based access, least privilege and segregation of duties	Редакционные материалы	7.2.1 7.2.2 7.2.4+1	Та же тема: Контроль доступа, Привилегированный доступ (выбор редакции)
CC6.4	Physical access restrictions	Редакционные материалы	9.2.1 9.2.1.1 9.2.3+3	Та же тема: Физическая безопасность (выбор редакции)
CC6.5	Protection of data when assets are disposed of	Редакционные материалы	3.2.1 3.3.1 3.4.1	Та же тема: Защита данных (выбор редакции)
CC6.6	Protection against threats from outside system boundaries	Редакционные материалы	1.2.1 1.2.3 1.3.1+6	Та же тема: Межсетевой экран / сегментация сети (выбор редакции)
CC6.7	Restricting transmission, movement and removal of information	Редакционные материалы	3.4.2 3.5.1 3.6.1+4	Та же тема: DLP, Шифрование (выбор редакции)
CC6.8	Preventing or detecting unauthorized or malicious software	Редакционные материалы	5.2.1 5.2.2 5.3.2+1	Та же тема: Защита конечных точек (выбор редакции)
CC7 System operations · 5
CC7.1	Detecting configuration changes and new vulnerabilities	Редакционные материалы	2.2.1 2.2.2 6.3.1+3	Та же тема: Безопасная конфигурация, Управление уязвимостями, Управление исправлениями (выбор редакции)
CC7.2	Monitoring system components for anomalies	Редакционные материалы	10.2.1 10.3.2 10.4.1+4	Та же тема: Логирование и аудит, Непрерывный мониторинг (выбор редакции)
CC7.3	Evaluating security events to determine if they are incidents	Редакционные материалы	10.4.1 12.10.1 12.10.2+2	Та же тема: SIEM / SOC, Реагирование на инциденты (выбор редакции)
CC7.4	Responding to identified security incidents	Редакционные материалы	10.3.2 12.10.1 12.10.2+2	Та же тема: Криминалистический анализ, Реагирование на инциденты, Митигация (выбор редакции)
CC7.5	Recovering from identified security incidents	Редакционные материалы	12.10.1 12.10.6	Та же тема: Планирование восстановления, Извлечённые уроки (выбор редакции)
CC8 Change management · 1
CC8.1	Change management for infrastructure, data and software	Редакционные материалы	6.2.1 6.2.2 6.2.3	Та же тема: Безопасная разработка (выбор редакции)
CC9 Risk mitigation · 2
CC9.1	Mitigating risks from business disruptions	Редакционные материалы	12.3.1 12.10.1	Та же тема: Управление рисками, Непрерывность бизнеса (выбор редакции)
CC9.2	Managing vendor and business partner risk	Редакционные материалы	6.3.2 12.8.1 12.8.2+3	Та же тема: Управление рисками цепочки поставок, Безопасность облачных сред, Управление рисками поставщиков (выбор редакции)

По темам

Охватывают оба (43):

Политика управления Осведомлённость и обучение Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Бизнес-среда Классификация данных Управление уязвимостями Контроль доступа Многофакторная аутентификация Шифрование Защита данных Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Защита конечных точек Управление исправлениями Безопасная конфигурация Безопасная разработка Безопасность электронной почты Безопасность веб-приложений Нулевое доверие Безопасность облачных сред WAF DLP Непрерывный мониторинг Логирование и аудит Обнаружение вторжений Обнаружение аномалий SIEM / SOC Реагирование на инциденты Криминалистический анализ Митигация Отчётность Планирование восстановления Непрерывность бизнеса Извлечённые уроки Аварийное восстановление Управление рисками поставщиков Физическая безопасность

Только SOC 2 (3):

Безопасность мобильных устройств Коммуникация Коммуникации и восстановление

Только PCI DSS (3):

Разведка угроз Безопасность API Внутренние угрозы

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · Косвенно связано есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.