一套控制集满足 SOC 2 和 ISO 27001：一次运行，无需重复劳动

许多向海外销售软件的公司最终会同时需要两者：面向美国客户的 SOC 2 报告，以及面向其他市场客户的 ISO 27001 证书。如果把它们当作两个项目来做，你就要编写两套政策、重复收集同样的证据，并经历内容重叠的两次审计。如果从同一套控制集出发，第二个框架的成本只是第一个的一小部分。

以下说明如何进行这样的设置。

重叠程度有多大

方向	已映射	弱相关	无映射
已有 ISO 27001 → 需要 SOC 2	41 / 61 (67%)	0	20	报告 →
已有 SOC 2 → 需要 ISO 27001	98 / 123 (80%)	21	4	报告 →

从 SOC 2 转向 ISO 27001 时，几乎每一项附录 A 控制措施和 ISMS 条款都能映射到某个 SOC 2 准则。没有映射的少数条目是 ISO 管理体系的运行机制，即定义 ISMS 本身以及控制文件化信息。反过来看，没有 ISO 对应项的 SOC 2 准则是可选的隐私和处理完整性类别；安全准则全部可以映射。

因此，重叠主要在安全控制措施上。差异在于结构：ISO 要求在控制措施之外建立管理体系，而 SOC 2 要求证明这些控制措施在一个期间内持续有效运行。

第 1 步：选定主干

共用控制集需要一个主要结构，所有内容都映射到它上面。如果你已有或计划获取证书，就以 ISO 27001 的附录 A 作为主干，因为适用性声明已经列出每项控制措施及其理由。如果报告是你的主要交付物，则以 SOC 2 准则为主干。两种方式都可行；关键在于每项控制措施都有唯一的归属位置。

第 2 步：每项控制措施只编写一次

对每项控制措施，保留一份记录，包含：

• 清晰的描述，说明你实际做什么（「生产环境访问须经系统负责人批准的工单授予，并每季度复核」）。
• 负责人和频率。
• 它所满足的框架引用，例如 ISO A.5.15 和 A.5.18，SOC 2 CC6.1–CC6.3。
• 它产生的证据，以及证据存放的位置。

这些引用来自类似本站的对照映射。以访问控制为例，大致如下：

框架	访问控制	链接
NIST CSF 2.0	PR.AA-01PR.AA-05	主题定义
ISO 27001	A.5.15A.5.16A.5.18A.8.3	对照映射
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	对照映射
SOC 2	CC6.1CC6.2CC6.3	编辑说明
PCI DSS	7.2.17.2.27.2.48.2.1	对照映射
CMMC	AC.L2-3.1.1AC.L2-3.1.2	对照映射
800-53	AC-2AC-3	对照映射
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	对照映射
GDPR	Art.25(2)Art.32(1)(b)	编辑说明
NIS2	11.111.211.5	对照映射
Essential Eight	—	本站数据中无映射

完整详情及每条关联的依据： 访问控制 跨框架对照 →

第 3 步：一次收集证据，两次打标签

SOC 2 Type II 审计师会在观察期内抽取证据样本：工单、复核记录、扫描结果、培训记录。ISO 监督审核员也会索取同类记录。每份证据只收集一次、存放在一个地方，并为其所属控制措施对应的每个框架引用加上标签。

第 4 步：协调时间安排

• 等控制措施运行几周后再开始 SOC 2 观察期，而不是在控制措施上线当天开始。
• 安排 ISO 内部审核和管理评审，使其产生的记录落在 SOC 2 观察期内：它们同样是 SOC 2 通用标准的良好治理证据。
• 询问审计师能否协调现场工作。即便不能，把两次审计安排得相近，也意味着只需一轮证据请求。

第 5 步：填补各自留下的缺口

运行 SOC 2 → ISO 27001 差距报告以及反向报告。预计会有两类新增工作：

• 对 ISO 而言：管理体系。范围、目标、风险评估与处置、适用性声明、内部审核、管理评审和纠正措施。
• 对 SOC 2 而言：你纳入的任何可选类别，以及在完整周期内持续留存证据的习惯。

我们的ISO 27001 与 SOC 2 对比列出了两个方向的每项要求，SOC 2和 ISO 27001指南则涵盖审计本身。

关于映射的说明

目前没有公开授权的 SOC 2 对照映射，因此本站每个 SOC 2 链接都是 ControlMapping 的编辑判断，并附有理由说明。请用该映射来设计控制集，然后在依赖它之前与审计师确认细节。

常见问题

同一位审计师能否同时完成 SOC 2 和 ISO 27001？

一些事务所既有注册会计师（CPA）业务，又有认可的认证机构，并可协调审计，但它们仍是两项独立的业务，交付两份成果：一份 SOC 2 报告和一份 ISO 27001 证书。

应该先做 SOC 2 还是 ISO 27001？

先做客户首先提出要求的那一个。如果你建立了这里所述的通用控制集，第二个标准主要只需增加管理体系条款（针对 ISO），或增加证据周期和可选准则（针对 SOC 2）。