对比
SOC 2 与 HIPAA 对比：鉴证报告与法定义务
SOC 2 (Trust Services Criteria) · HIPAA Security Rule · 数据截至 2026-10-27
医疗健康技术公司往往两者都需要：HIPAA 因为它们处理受保护的健康信息，通常以业务伙伴（business associate）的身份处理；SOC 2 则因为客户希望获得独立鉴证。两者性质不同。HIPAA 是法律，由民权办公室（Office for Civil Rights）执行。SOC 2 是自愿性质的注册会计师鉴证。部分审计机构会在 SOC 2 报告中加入 HIPAA 评估标准。
技术安全保障方面重叠较多：访问控制、审计日志、完整性、身份认证、传输安全、应急规划和安全意识，这些内容在两者中都有体现。从 SOC 2 对照到 HIPAA，安全规则（Security Rule）的大部分要求为已映射或弱相关。
HIPAA 中剩余未覆盖的要求比较具体：介质再利用，以及业务伙伴合同的内容。
从 HIPAA 对照到 SOC 2，未匹配的内容更多。SOC 2 要求设有正式的变更管理标准，而安全规则并未明确规定；其可选的隐私和处理完整性类别也超出了安全规则的范围。此处的 SOC 2 侧映射为 ControlMapping 的编辑说明映射。
核心要点
- SOC 2 报告并不能使你符合 HIPAA，但其控制措施可以覆盖你的大部分 HIPAA 保障措施。
- 请将你的 HIPAA 风险分析和业务伙伴协议作为独立、明确的文件单独保存。
- 如果医疗健康客户持续同时提出两方面的要求，可考虑增加 HIPAA 评估标准的 SOC 2 报告。
在 69 项 HIPAA Security Rule 要求中，36 项可映射到 SOC 2 中的内容，31 项仅弱相关，2 项在本站数据中无映射。
仅涵盖 HIPAA 安全规则（不包括隐私规则或违规通知规则）。
可能需要新增工作：HIPAA 项要求在 SOC 2 中没有对应映射 (2)
| HIPAA | 要求 | 匹配 | SOC 2 | 证据 |
|---|---|---|---|---|
| §164.310 Physical safeguards · 1 | ||||
| §164.310(d)(2)(ii) | Required Media Re-use | 本站数据中无映射 | — | 本站数据中没有映射到 SOC 2 的内容。 |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a)(3)(i) | Required Business Associate Contracts | 本站数据中无映射 | — | 本站数据中没有映射到 SOC 2 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (31)
| HIPAA | 要求 | 匹配 | SOC 2 | 证据 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 13 | ||||
| §164.308(a)(1) | Security Management Process | CC1.1CC5.3CC4.1+2 | 仅共享 CSF GV.PO-01, GV.PO-02, GV.OC-03：属相关关系，并非映射 | |
| §164.308(a)(1)(ii)(C) | Required Sanction Policy | CC7.2 | 仅共享 CSF DE.CM-03：属相关关系，并非映射 | |
| §164.308(a)(3) | Workforce Security | CC6.6CC1.1CC5.3+5 | 仅共享 CSF DE.CM-01, PR.AA-05, PR.IR-01, GV.PO-01…：属相关关系，并非映射 | |
| §164.308(a)(3)(ii)(A) | Addressable Authorization and/or Supervision | CC6.6CC7.2CC9.2+5 | 仅共享 CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…：属相关关系，并非映射 | |
| §164.308(a)(3)(ii)(B) | Addressable Workforce Clearance Procedure | CC1.1CC5.3CC6.1+5 | 仅共享 CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05：属相关关系，并非映射 | |
| §164.308(a)(3)(ii)(C) | Addressable Termination Procedures | CC1.1CC5.3CC4.1+2 | 仅共享 CSF GV.PO-01, GV.PO-02, GV.OC-03：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(A) | Required Isolating Health care Clearinghouse Function | CC6.7C1.2CC6.1+5 | 仅共享 CSF PR.AA-05, PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(B) | Addressable Access Authorization | CC6.6CC7.2CC9.2+5 | 仅共享 CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…：属相关关系，并非映射 | |
| §164.308(a)(4)(ii)(C) | Addressable Access Establishment and Modification | CC1.1CC5.3CC6.1+5 | 仅共享 CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05：属相关关系，并非映射 | |
| §164.308(a)(5)(ii)(C) | Addressable Log-in Monitoring | CC7.2CC1.4CC2.2+1 | 仅共享 CSF DE.AE-02, DE.AE-03, PR.PS-04, PR.AT-01…：属相关关系，并非映射 | |
| §164.308(a)(5)(ii)(D) | Addressable Password Management | CC1.4CC2.2 | 仅共享 CSF PR.AT-01, PR.AT-02：属相关关系，并非映射 | |
| §164.308(a)(7)(ii)(E) | Addressable Applications and Data Criticality Analysis | CC7.5A1.2CC3.2+5 | 仅共享 CSF ID.IM-03, ID.IM-04, RC.CO-04, GV.OC-04…：属相关关系，并非映射 | |
| §164.308(b)(4) | Required Written Contract or Other Arrangement | CC9.2CC6.1C1.2+5 | 仅共享 CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…：属相关关系，并非映射 | |
| §164.310 Physical safeguards · 2 | ||||
| §164.310(a)(2)(i) | Addressable Contingency Operations | A1.2CC6.4CC7.5+4 | 仅共享 CSF GV.OC-04, PR.DS-11, RC.RP-03, DE.CM-02…：属相关关系，并非映射 | |
| §164.310(a)(2)(iv) | Addressable Maintenance Records | CC1.1CC5.3CC4.1+3 | 仅共享 CSF GV.PO-01, GV.PO-02, GV.OC-03：属相关关系，并非映射 | |
| §164.312 Technical safeguards · 5 | ||||
| §164.312(a)(2)(ii) | Required Emergency Access Procedure | CC6.6CC7.5A1.2+5 | 仅共享 CSF DE.CM-01, PR.AA-05, PR.IR-01, ID.IM-03…：属相关关系，并非映射 | |
| §164.312(a)(2)(iii) | Addressable Automatic Logoff | CC6.1CC6.6 | 仅共享 CSF PR.AA-03：属相关关系，并非映射 | |
| §164.312(c)(2) | Addressable Mechanism to Authenticate Electronic Protected Health Information | C1.2CC6.5CC6.7+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| §164.312(e)(1) | Transmission Security | C1.2CC6.1CC6.5+2 | 仅共享 CSF PR.DS-02：属相关关系，并非映射 | |
| §164.312(e)(2)(i) | Addressable Integrity Controls | C1.2CC6.5CC6.7+5 | 仅共享 CSF PR.DS-01, PR.DS-02, PR.DS-10：属相关关系，并非映射 | |
| §164.314 Organizational requirements · 8 | ||||
| §164.314(a)(2)(i) | Required Business Associate Contracts | CC9.2CC7.4CC7.3+4 | 仅共享 CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…：属相关关系，并非映射 | |
| §164.314(a)(2)(ii) | Required Other Arrangements | CC9.2CC6.1C1.2+5 | 仅共享 CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…：属相关关系，并非映射 | |
| §164.314(a)(2)(iii) | Required Business associate contracts with subcontractors | CC9.2CC7.4CC7.3+4 | 仅共享 CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…：属相关关系，并非映射 | |
| §164.314(b) | Requirements for Group Health Plans | CC6.1CC6.6 | 仅共享 CSF ID.AM-08, ID.AM-03：属相关关系，并非映射 | |
| §164.314(b)(2)(i) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | 仅共享 CSF ID.AM-08, ID.AM-03：属相关关系，并非映射 | |
| §164.314(b)(2)(ii) | Required Group Health Plan Implementation Specification | CC6.1CC6.6 | 仅共享 CSF ID.AM-08, ID.AM-03：属相关关系，并非映射 | |
| §164.314(b)(2)(iii) | Required Group Health Plan Implementation Specification | CC9.2CC6.1CC3.1 | 仅共享 CSF DE.CM-06, GV.SC-04, GV.SC-05, GV.SC-06…：属相关关系，并非映射 | |
| §164.314(b)(2)(iv) | Required Group Health Plan Implementation Specification | CC7.4CC7.3CC2.3+1 | 仅共享 CSF RS.AN-06, RS.AN-07, RS.MA-01, RS.MA-02…：属相关关系，并非映射 | |
| §164.316 Policies and documentation · 3 | ||||
| §164.316(b) | Documentation | CC6.1CC6.6CC7.1 | 仅共享 CSF ID.AM-08, ID.AM-03, ID.RA-01：属相关关系，并非映射 | |
| §164.316(b)(2)(i) | Required Time Limit | C1.1CC6.1 | 仅共享 CSF ID.AM-07, ID.AM-08：属相关关系，并非映射 | |
| §164.316(b)(2)(ii) | Required Availability | CC1.1CC5.3CC6.1+5 | 仅共享 CSF GV.PO-01, GV.PO-02, PR.AA-01, PR.AA-05：属相关关系，并非映射 | |
已映射 (36)
| HIPAA | 要求 | 匹配 | SOC 2 | 证据 |
|---|---|---|---|---|
| §164.308 Administrative safeguards · 17 | ||||
| §164.308(a)(1)(ii)(A) | Required Risk Analysis | 编辑说明 | CC3.2CC3.3CC3.4+1 | 相同主题： 风险评估 (编辑推荐) |
| §164.308(a)(1)(ii)(B) | Required Risk Management | 编辑说明 | CC3.1CC5.1CC7.1+1 | 相同主题： 风险管理, 漏洞管理 (编辑推荐) |
| §164.308(a)(1)(ii)(D) | Required Information System Activity Review | 编辑说明 | CC7.2CC7.3 | 相同主题： 持续监控, SIEM / SOC (编辑推荐) |
| §164.308(a)(2) | Assigned Security Responsibility | 编辑说明 | CC1.2CC1.3CC1.5 | 相同主题： 角色与职责 (编辑推荐) |
| §164.308(a)(4) | Information Access Management | 编辑说明 | CC6.1CC6.2CC6.3 | 相同主题： 访问控制 (编辑推荐) |
| §164.308(a)(5) | Security Awareness and Training | 编辑说明 | CC1.4CC2.2 | 相同主题： 意识与培训 (编辑推荐) |
| §164.308(a)(5)(ii)(A) | Addressable Security Reminders | 编辑说明 | CC1.4CC2.2 | 相同主题： 意识与培训 (编辑推荐) |
| §164.308(a)(5)(ii)(B) | Addressable Protection from Malicious Software | 编辑说明 | CC6.8 | 相同主题： 终端防护 (编辑推荐) |
| §164.308(a)(6) | Security Incident Procedures | 编辑说明 | CC7.3CC7.4 | 相同主题： 事件响应 (编辑推荐) |
| §164.308(a)(6)(ii) | Required Response and Reporting | 编辑说明 | CC2.3CC7.3CC7.4 | 相同主题： 报告, 事件响应, 缓解 (编辑推荐) |
| §164.308(a)(7) | Contingency Plan | 编辑说明 | A1.3CC7.5 | 相同主题： 恢复规划 (编辑推荐) |
| §164.308(a)(7)(ii)(A) | Required Data Backup Plan | 编辑说明 | A1.2 | 相同主题： 备份与恢复 (编辑推荐) |
| §164.308(a)(7)(ii)(B) | Required Disaster Recovery Plan | 编辑说明 | A1.2A1.3CC7.5 | 相同主题： 灾难恢复, 恢复规划 (编辑推荐) |
| §164.308(a)(7)(ii)(C) | Required Emergency Mode Operation Plan | 编辑说明 | A1.1A1.2CC9.1 | 相同主题： 业务连续性 (编辑推荐) |
| §164.308(a)(7)(ii)(D) | Addressable Testing and Revision Procedure | 编辑说明 | A1.2A1.3 | 相同主题： 灾难恢复 (编辑推荐) |
| §164.308(a)(8) | Evaluation | 编辑说明 | CC4.1CC4.2CC7.1 | 相同主题： 合规, 漏洞管理 (编辑推荐) |
| §164.308(b)(1) | Business Associate Contracts and Other Arrangements | 编辑说明 | CC9.2 | 相同主题： 云安全, 供应商风险管理 (编辑推荐) |
| §164.310 Physical safeguards · 9 | ||||
| §164.310(a) | Facility Access Controls | 编辑说明 | CC6.4 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(a)(2)(ii) | Addressable Facility Security Plan | 编辑说明 | CC6.4 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(a)(2)(iii) | Addressable Access Control and Validation Procedures | 编辑说明 | CC6.4 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(b) | Workstation Use | 编辑说明 | CC6.4 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(c) | Workstation Security | 编辑说明 | CC6.4 | 相同主题： 物理安全 (编辑推荐) |
| §164.310(d) | Device and Media Controls | 编辑说明 | CC6.1CC6.7 | 相同主题： 资产管理, 移动安全 (编辑推荐) |
| §164.310(d)(2)(i) | Required Disposal | 编辑说明 | C1.2CC6.5 | 相同主题： 数据保护 (编辑推荐) |
| §164.310(d)(2)(iii) | Addressable Accountability | 编辑说明 | CC6.1 | 相同主题： 资产管理 (编辑推荐) |
| §164.310(d)(2)(iv) | Addressable Data Backup and Storage | 编辑说明 | A1.2 | 相同主题： 备份与恢复 (编辑推荐) |
| §164.312 Technical safeguards · 7 | ||||
| §164.312(a) | Access Control | 编辑说明 | CC6.1CC6.2CC6.3 | 相同主题： 访问控制 (编辑推荐) |
| §164.312(a)(2)(i) | Required Unique User Identification | 编辑说明 | CC6.1CC6.2CC6.3 | 相同主题： 访问控制 (编辑推荐) |
| §164.312(a)(2)(iv) | Addressable Encryption and Decryption | 编辑说明 | CC6.1CC6.7 | 相同主题： 加密 (编辑推荐) |
| §164.312(b) | Audit Controls | 编辑说明 | CC7.2 | 相同主题： 日志与审计 (编辑推荐) |
| §164.312(c) | Integrity | 编辑说明 | C1.2CC6.5 | 相同主题： 数据保护 (编辑推荐) |
| §164.312(d) | Person or Entity Authentication | 编辑说明 | CC6.1CC6.2CC6.3 | 相同主题： 访问控制 (编辑推荐) |
| §164.312(e)(2)(ii) | Addressable Encryption | 编辑说明 | CC6.1CC6.7 | 相同主题： 加密 (编辑推荐) |
| §164.314 Organizational requirements · 1 | ||||
| §164.314(a) | Business Associate Contracts or Other Arrangements | 编辑说明 | CC9.2 | 相同主题： 供应商风险管理 (编辑推荐) |
| §164.316 Policies and documentation · 2 | ||||
| §164.316(a) | Policies and Procedures | 编辑说明 | CC1.1CC5.3 | 相同主题： 治理政策 (编辑推荐) |
| §164.316(b)(2)(iii) | Required Updates | 编辑说明 | CC1.1CC5.3 | 相同主题： 治理政策 (编辑推荐) |
在 61 项 SOC 2 (Trust Services Criteria) 要求中，33 项可映射到 HIPAA 中的内容，3 项仅弱相关，25 项在本站数据中无映射。
AICPA 的 SOC 2 映射未采用开放许可，因此此处所有 SOC 2 链接均为 ControlMapping 编辑判断：我们未映射的标准条款无法匹配。处理完整性（PI）标准条款以及大多数隐私（P）标准条款在安全框架中没有对应内容。
可能需要新增工作：SOC 2 项要求在 HIPAA 中没有对应映射 (25)
| SOC 2 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| CC2 Communication and information · 1 | ||||
| CC2.1 | Quality information to support internal control | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| CC8 Change management · 1 | ||||
| CC8.1 | Change management for infrastructure, data and software | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P Privacy · 18 | ||||
| P1.1 | Privacy notice | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P2.1 | Choice and consent | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P3.1 | Collection limited to privacy objectives | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P3.2 | Explicit consent where required | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P4.1 | Use limited to privacy objectives | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P4.2 | Retention of personal information | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P4.3 | Disposal of personal information | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P5.1 | Data subject access | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P5.2 | Correction of personal information | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.1 | Disclosure to third parties with consent | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.2 | Record of authorized disclosures | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.3 | Record of unauthorized disclosures | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.4 | Privacy commitments from third parties | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.5 | Notification by third parties of unauthorized disclosures | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.6 | Breach notification to affected individuals | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P6.7 | Accounting of disclosures to data subjects | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P7.1 | Quality of personal information | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| P8.1 | Handling privacy inquiries, complaints and disputes | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| PI1 Processing integrity · 5 | ||||
| PI1.1 | Information about processing objectives | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| PI1.2 | Controls over system inputs | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| PI1.3 | Controls over system processing | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| PI1.4 | Controls over system outputs | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
| PI1.5 | Storing inputs, items in processing and outputs | 本站数据中无映射 | — | 本站数据中没有映射到 HIPAA 的内容。 |
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (3)
| SOC 2 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| C1 Confidentiality · 1 | ||||
| C1.1 | Identifying and protecting confidential information | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)+2 | 仅共享 CSF ID.AM-05：属相关关系，并非映射 | |
| CC5 Control activities · 1 | ||||
| CC5.2 | General controls over technology | §164.310(d)§164.310(d)(2)(iii)§164.316(b)(2)(ii)+1 | 仅共享 CSF PR.PS-01：属相关关系，并非映射 | |
| CC6 Logical and physical access · 1 | ||||
| CC6.6 | Protection against threats from outside system boundaries | §164.308(a)(3)(ii)(A)§164.308(a)(4)(ii)(B)§164.310(b)+5 | 仅共享 CSF DE.CM-01, ID.AM-03, PR.AA-05, PR.IR-01…：属相关关系，并非映射 | |
已映射 (33)
| SOC 2 | 要求 | 匹配 | HIPAA | 证据 |
|---|---|---|---|---|
| A1 Availability · 3 | ||||
| A1.1 | Capacity management to meet availability commitments | 编辑说明 | §164.308(a)(7)(ii)(C) | 相同主题： 业务连续性 (编辑推荐) |
| A1.2 | Environmental protections, backups and recovery infrastructure | 编辑说明 | §164.308(a)(7)(ii)(A)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(C)+2 | 相同主题： 备份与恢复, 灾难恢复, 业务连续性 (编辑推荐) |
| A1.3 | Testing recovery plan procedures | 编辑说明 | §164.308(a)(7)§164.308(a)(7)(ii)(B)§164.308(a)(7)(ii)(D) | 相同主题： 恢复规划, 灾难恢复 (编辑推荐) |
| C1 Confidentiality · 1 | ||||
| C1.2 | Disposing of confidential information | 编辑说明 | §164.310(d)(2)(i)§164.312(c) | 相同主题： 数据保护 (编辑推荐) |
| CC1 Control environment · 5 | ||||
| CC1.1 | Commitment to integrity and ethical values | 编辑说明 | §164.316(a)§164.316(b)(2)(iii) | 相同主题： 治理政策 (编辑推荐) |
| CC1.2 | Board independence and oversight of internal control | 编辑说明 | §164.308(a)(2) | 相同主题： 角色与职责 (编辑推荐) |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 编辑说明 | §164.308(a)(2) | 相同主题： 角色与职责 (编辑推荐) |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 编辑说明 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 相同主题： 意识与培训 (编辑推荐) |
| CC1.5 | Accountability for internal control responsibilities | 编辑说明 | §164.308(a)(2) | 相同主题： 角色与职责 (编辑推荐) |
| CC2 Communication and information · 2 | ||||
| CC2.2 | Internal communication of objectives and responsibilities | 编辑说明 | §164.308(a)(5)§164.308(a)(5)(ii)(A) | 相同主题： 意识与培训 (编辑推荐) |
| CC2.3 | Communication with external parties | 编辑说明 | §164.308(a)(6)(ii) | 相同主题： 报告 (编辑推荐) |
| CC3 Risk assessment · 4 | ||||
| CC3.1 | Objectives specified clearly enough to identify risks | 编辑说明 | §164.308(a)(1)(ii)(B) | 相同主题： 风险管理 (编辑推荐) |
| CC3.2 | Risk identification and analysis | 编辑说明 | §164.308(a)(1)(ii)(A) | 相同主题： 风险评估 (编辑推荐) |
| CC3.3 | Considering the potential for fraud | 编辑说明 | §164.308(a)(1)(ii)(A) | 相同主题： 风险评估 (编辑推荐) |
| CC3.4 | Identifying and assessing significant changes | 编辑说明 | §164.308(a)(1)(ii)(A) | 相同主题： 风险评估 (编辑推荐) |
| CC4 Monitoring activities · 2 | ||||
| CC4.1 | Ongoing and/or separate evaluations of controls | 编辑说明 | §164.308(a)(8) | 相同主题： 合规 (编辑推荐) |
| CC4.2 | Communicating and remediating control deficiencies | 编辑说明 | §164.308(a)(8) | 相同主题： 合规 (编辑推荐) |
| CC5 Control activities · 2 | ||||
| CC5.1 | Control activities that mitigate risks | 编辑说明 | §164.308(a)(1)(ii)(B) | 相同主题： 风险管理 (编辑推荐) |
| CC5.3 | Control activities deployed through policies and procedures | 编辑说明 | §164.316(a)§164.316(b)(2)(iii) | 相同主题： 治理政策 (编辑推荐) |
| CC6 Logical and physical access · 7 | ||||
| CC6.1 | Logical access security over information assets | 编辑说明 | §164.308(a)(4)§164.310(d)§164.310(d)(2)(iii)+5 | 相同主题： 访问控制, 资产管理 (编辑推荐) |
| CC6.2 | User registration, authorization and removal | 编辑说明 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 (编辑推荐) |
| CC6.3 | Role-based access, least privilege and segregation of duties | 编辑说明 | §164.308(a)(4)§164.312(a)§164.312(a)(2)(i)+1 | 相同主题： 访问控制 (编辑推荐) |
| CC6.4 | Physical access restrictions | 编辑说明 | §164.310(a)§164.310(a)(2)(ii)§164.310(a)(2)(iii)+2 | 相同主题： 物理安全 (编辑推荐) |
| CC6.5 | Protection of data when assets are disposed of | 编辑说明 | §164.310(d)(2)(i)§164.312(c) | 相同主题： 数据保护 (编辑推荐) |
| CC6.7 | Restricting transmission, movement and removal of information | 编辑说明 | §164.310(d)§164.312(a)(2)(iv)§164.312(e)(2)(ii) | 相同主题： 移动安全, 加密 (编辑推荐) |
| CC6.8 | Preventing or detecting unauthorized or malicious software | 编辑说明 | §164.308(a)(5)(ii)(B) | 相同主题： 终端防护 (编辑推荐) |
| CC7 System operations · 5 | ||||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 编辑说明 | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(8) | 相同主题： 漏洞管理 (编辑推荐) |
| CC7.2 | Monitoring system components for anomalies | 编辑说明 | §164.308(a)(1)(ii)(D)§164.312(b) | 相同主题： 持续监控, 日志与审计 (编辑推荐) |
| CC7.3 | Evaluating security events to determine if they are incidents | 编辑说明 | §164.308(a)(1)(ii)(D)§164.308(a)(6)§164.308(a)(6)(ii) | 相同主题： SIEM / SOC, 事件响应 (编辑推荐) |
| CC7.4 | Responding to identified security incidents | 编辑说明 | §164.308(a)(6)§164.308(a)(6)(ii) | 相同主题： 事件响应, 缓解 (编辑推荐) |
| CC7.5 | Recovering from identified security incidents | 编辑说明 | §164.308(a)(7)§164.308(a)(7)(ii)(B) | 相同主题： 恢复规划 (编辑推荐) |
| CC9 Risk mitigation · 2 | ||||
| CC9.1 | Mitigating risks from business disruptions | 编辑说明 | §164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(C) | 相同主题： 风险管理, 业务连续性 (编辑推荐) |
| CC9.2 | Managing vendor and business partner risk | 编辑说明 | §164.308(b)(1)§164.314(a) | 相同主题： 云安全, 供应商风险管理 (编辑推荐) |
按主题
两者均涵盖（26）：
治理政策意识与培训风险管理角色与职责合规资产管理风险评估漏洞管理访问控制加密数据保护备份与恢复终端防护移动安全云安全持续监控日志与审计SIEM / SOC事件响应缓解报告恢复规划业务连续性灾难恢复供应商风险管理物理安全
仅 SOC 2（20）：
仅 HIPAA（1）：
要求编号和标题均按各框架官方发布的英文原文显示。
对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。 方法说明 · 下载数据 · 报告错误.