SOC 2 中没有 ISO 27001 对应项的标准条款及其存在原因

如果贵组织已持有 ISO 27001 认证，而客户要求提供 SOC 2 报告，那么大部分工作已经完成。两者的安全控制高度重叠，ISMS 也能为 SOC 2 审计师提供他们所需的治理证据。但仍有一组 SOC 2 条款在 ISO 27001 中完全没有对应项，在与审计师商定审计范围之前，值得先了解这些条款。

核心数字

在 SOC 2 的 61 个标准中，41（67%）可映射到 ISO 27001 中的内容，0 个仅弱相关，20 个在本站数据中无映射。 打开差距报告 →

SOC 2 的条款中没有任何一条只是与 ISO “弱相关”：每一条要么有映射，要么没有。这种清晰的二分情况本身就说明了问题所在。

无 ISO 映射的条款

SOC 2	要求	匹配	ISO 27001
P1.1	Privacy notice	本站数据中无映射	—
P2.1	Choice and consent	本站数据中无映射	—
P3.1	Collection limited to privacy objectives	本站数据中无映射	—
P3.2	Explicit consent where required	本站数据中无映射	—
P4.1	Use limited to privacy objectives	本站数据中无映射	—
P5.1	Data subject access	本站数据中无映射	—
P5.2	Correction of personal information	本站数据中无映射	—
P6.1	Disclosure to third parties with consent	本站数据中无映射	—
P6.2	Record of authorized disclosures	本站数据中无映射	—
P6.3	Record of unauthorized disclosures	本站数据中无映射	—
P6.4	Privacy commitments from third parties	本站数据中无映射	—
P6.5	Notification by third parties of unauthorized disclosures	本站数据中无映射	—
P6.7	Accounting of disclosures to data subjects	本站数据中无映射	—
P7.1	Quality of personal information	本站数据中无映射	—
P8.1	Handling privacy inquiries, complaints and disputes	本站数据中无映射	—
PI1.1	Information about processing objectives	本站数据中无映射	—
PI1.2	Controls over system inputs	本站数据中无映射	—
PI1.3	Controls over system processing	本站数据中无映射	—
PI1.4	Controls over system outputs	本站数据中无映射	—
PI1.5	Storing inputs, items in processing and outputs	本站数据中无映射	—

列表中的每一条都来自 SOC 2 五个类别中的两个：处理完整性（PI1）和隐私（P1 至 P8）。两者均为可选类别。安全类别，即每份 SOC 2 报告都必须包含的通用标准 CC1 至 CC9，可完全映射，可用性和保密性同样如此。

为何处理完整性在 ISO 中没有对应项

处理完整性关注的是系统是否完整、准确、及时并按授权处理数据：输入是否经过核对，处理错误是否被发现，输出是否送达正确位置，存储的数据是否保持一致。它关注的是服务本身的正确性，而非围绕服务的安全防护。

ISO 27001 是一项信息安全标准。它保护信息的保密性、完整性和可用性，但其中的“完整性”指防止未经授权的更改，而不是判断一次薪资发放是否正确计算了每位员工的工资。附录 A 中没有任何控制措施要求您验证业务处理过程。因此，如果客户依赖您的系统确保数字正确（如支付、计费、薪资、理赔、数据管道），即使 ISMS 已经成熟，处理完整性仍是新增工作：包括输入验证、对账、错误处理和输出控制，并需留存相应证据。

为何大部分隐私条款在 ISO 中没有对应项

SOC 2 的隐私条款遵循个人信息的生命周期：告知（P1）、选择与同意（P2）、收集（P3）、使用、保留与处置（P4）、访问与更正（P5）、披露（P6）、质量（P7）以及监控与投诉（P8）。它们属于隐私计划的要求，与其说偏向安全，不如说更接近 GDPR。

ISO 27001 仅涉及其中少数几项。A.5.34 要求您识别并履行保护个人数据的义务，A.5.33 涵盖记录的保护，A.8.10 则涉及信息删除。这就是为什么保留（P4.2）、处置（P4.3）和违规通知（P6.6）在本站数据中确实有映射，这些是附带理由说明的编辑性关联。其余条款，如隐私声明、同意、数据主体访问请求和披露记录，在附录 A 中没有对应控制措施。

如果您需要这些内容，ISO/IEC 27701 可将 ISMS 扩展为隐私信息管理体系，是自然的配套标准。关于 GDPR 方面，请参阅 ISO 27001 与 GDPR 的安全条款 的对比。

应对建议

1. 先商定审计范围。 仅当客户确实需要时才纳入处理完整性或隐私。许多 SOC 2 报告只涵盖安全，或涵盖安全加可用性和保密性。
2. 若纳入这些类别，请将其视为新增控制措施，而非 ISO 映射工作：编写、执行，并在整个观察期内保留证据。
3. 其余部分复用 ISMS。 ISO 27001 → SOC 2 差距报告 列出了每条条款及其 ISO 匹配项，我们关于 同时运行一套控制措施 的文章则介绍了具体操作方法。

反方向则是另一回事：从 SOC 2 转向 ISO 27001 时，新增的工作主要是管理体系本身。ISO 27001 与 SOC 2 对比 涵盖了两个方向。

关于数据的说明

目前不存在公开授权的 SOC 2 对照映射，因此本站所有 SOC 2 链接均为 ControlMapping 的编辑判断，每个要求页面均显示其理由。上述数量由当前数据实时计算得出。

常见问题

ISO 27001 是否涵盖 SOC 2 的隐私条款？

基本不涵盖。ISO 27001 将个人数据作为信息加以保护（A.5.34），但不要求隐私声明、同意、数据主体访问或披露记录。ISO/IEC 27701 将 ISMS 扩展至隐私管理，是更接近的对应标准。

我是否必须在 SOC 2 报告中纳入处理完整性？

不必。只有安全类别（通用标准）是必需的。当客户依赖您的系统完整、准确地处理其数据时（例如支付或薪资发放），才需要加入处理完整性。