可在 SOC 2、ISO 27001 和 PCI DSS 之间复用的证据

一个机构同时持有 SOC 2、ISO 27001 和 PCI DSS 认证时，回应证据请求所花的时间很容易超过实际运行控制措施的时间。每位审计方都会要求提供“访问评审”“漏洞扫描”“事件测试”，只是格式和时间范围略有不同。其中大部分证据是相同的。关键在于只收集一次，并采用能满足三者中要求最严格者的形式。

为什么重叠如此之多

这三个框架的安全内容大部分相同。以从 ISO 27001 对应到 SOC 2 为例：

在 SOC 2 的 61 个标准中，41（67%）可映射到 ISO 27001 中的内容，0 个仅弱相关，20 个在本站数据中无映射。 打开差距报告 →

而从 ISO 27001 对应到 PCI DSS，重叠较少，但在治理和流程方面仍然相当可观：

在 PCI DSS 的 260 个要求中，77（30%）可映射到 ISO 27001 中的内容，76 个仅弱相关，107 个在本站数据中无映射。 打开差距报告 →

凡是存在对应要求之处，证据通常也会重叠。

可同时服务三项审计的证据

证据	SOC 2	ISO 27001	PCI DSS
用户访问评审（含签字确认及所作变更）	CC6.2, CC6.3	A.5.18	7.2.4（每六个月）
带审批记录的入职和离职工单	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
含评审、测试和审批的变更工单	CC8.1	A.8.32	6.5.1, 6.5.2
漏洞扫描结果及整改记录	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
渗透测试报告及复测	CC4.1, CC7.1	A.8.8	11.4.1 至 11.4.4
事件登记册及响应演练	CC7.3 至 CC7.5	A.5.24 至 A.5.27	12.10.1, 12.10.2
安全意识培训记录	CC1.4, CC2.2	A.6.3	12.6.1 至 12.6.3
供应商尽职调查记录	CC9.2	A.5.19 至 A.5.22	12.8.1 至 12.8.5
备份恢复测试	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
风险评估及其复核	CC3.1 至 CC3.4	6.1.2, 8.2	12.3.1

按最严格的标准收集

• 频率：PCI DSS 通常规定最快的周期（每六个月一次的访问评审、每季度一次的扫描）。按 PCI 的频率运行控制措施，其他框架的要求也随之满足。
• 期间：SOC 2 Type II 会抽取整个观察期内的样本。应持续保存证据，而不是只在审计前临时准备。
• 完整性：ISO 审计员可能会问你如何证明总体是完整的。应保留完整清单（所有离职人员、所有变更），而不仅是你自己挑选的示例。
• 来源可靠性：系统生成的证据（导出文件、日志、带时间戳的工单）优于人为安排下拍摄的屏幕截图。

简单的结构

建立一个证据库，按控制措施而非框架组织。每个控制措施文件夹保存各期间的证据，命名保持一致，并附一份简短索引，说明每项证据满足哪些框架要求。当审计员要求“7.2.4 的证据”时，你应查找对应的控制措施，而不是框架。

关键要点

• 大多数证据（访问评审、变更工单、扫描、事件记录、培训）可同时服务 SOC 2、ISO 27001 和 PCI DSS。
• 按最严格的标准收集：采用 PCI 的频率和 SOC 2 的持续期间。
• 按控制措施而非框架组织证据，并附上每项证据所满足内容的索引。
• 少数项目无法通用，尤其是 ASV 扫描和 ISO 管理体系记录。

无法通用的内容

• PCI 专用扫描：外部扫描必须由经认可的扫描服务商（ASV）执行。
• 适用于灵活频率要求的 PCI 针对性风险分析。
• ISO 管理体系记录：内部审核报告、管理评审会议纪要及纠正措施日志属于 ISO 专用（不过 SOC 2 审计员也很看重这些内容）。
• SOC 2 系统描述：你对审计范围内系统的自述文件。

我们关于SOC 2 与 ISO 27001 统一控制集的文章介绍了控制措施的设计；差距分析列出了任意两个框架之间的映射关系。

常见问题

同一份证据能否同时用于 SOC 2 和 ISO 27001？

通常可以。两者都要求证明控制措施有效运行：工单、评审记录、扫描结果、培训记录。SOC 2 Type II 需要覆盖整个观察期的样本，因此应持续收集。

PCI DSS 需要哪些 SOC 2 不要求的证据？

PCI 特定频率和配置的证据：每季度一次的内部扫描及 ASV 外部扫描、每六个月一次的访问及防火墙规则审查、针对性风险分析，以及与持卡人数据相关的专项配置。

审计证据应保存多久？

至少保存到下一个审计周期结束；若某框架或法律有更长的要求，则以其规定为准。例如，PCI DSS 要求保留 12 个月的审计日志历史。