cm/controlmapping
中文
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
来源
对比

SOC 2 与 PCI DSS：客户保证与卡品牌合规

SOC 2 (Trust Services Criteria)  ·  PCI DSS v4.0.1  ·  数据截至 2026-10-27

SOC 2 和 PCI DSS 常常同时为同一家企业所需，典型情况是既向企业客户销售、又涉及卡支付的 SaaS 或金融科技企业。SOC 2 是依据广泛的信任服务标准出具的鉴证报告。PCI DSS v4.0.1 则是一项规定性的合同标准，适用范围限于持卡人数据环境。

两者的安全基础有所重叠：访问管理、日志与监控、变更管理、漏洞管理、事件响应以及供应商管理。为 SOC 2 建立的控制通常能满足 PCI 的意图，但未必完全符合其字面要求。

从 SOC 2 过渡到 PCI DSS，额外的工作在于 PCI 的具体性要求：围绕持卡人数据环境定义的网络安全控制、PAN 的存储与显示规则、加密密钥管理、所有 CDE 访问均需多因素认证、扫描与测试频率，以及支付页面的脚本完整性。由于 SOC 2 并不规定具体实现机制，许多 PCI 要求只能算弱相关，而非直接映射。

从 PCI DSS 过渡到 SOC 2，大多数安全标准已被覆盖。差距主要在于 SOC 2 的可选类别：处理完整性与隐私（若纳入范围）。本次对比中 SOC 2 一侧的内容属于 ControlMapping 的编辑说明，因为目前不存在公开的、机器可读的 SOC 2 对照映射。

核心要点

  • 使用符合 PCI 要求的支付服务商，并确保卡数据不进入您的系统，可以让 PCI 合规从一项完整项目变成一份简短问卷。
  • 在要求允许的情况下，可将 SOC 2 证据复用于 PCI，但需核对 PCI 的频率与技术细节要求。
  • 您的 SOC 2 报告可以描述与 PCI 相关的控制，但它无法替代 PCI 的合规报告（Report on Compliance）或 SAQ。

下载此对比（CSV） 在差距分析中打开 →

已有 SOC 2 → 需要 PCI DSS

260 项要求 75 项已映射 · 72 项松散相关 · 113 项无映射 在差距视图中打开 →

在 260 项 PCI DSS v4.0.1 要求中，75 项可映射到 SOC 2 中的内容，72 项仅弱相关，113 项在本站数据中无映射。

可能需要新增工作：PCI DSS 项要求在 SOC 2 中没有对应映射 (113)
PCI DSS要求匹配SOC 2证据
Requirement 1: Install and maintain network security controls · 12
1.2.2Network connection changes go through change control本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.2.5Allowed services, protocols and ports approved本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.2.6Security features defined for insecure services本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.2.7Network security control rules reviewed every six months本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.2.8Network security control configuration files secured本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.3.2Outbound traffic from the CDE restricted本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.3.3Network controls between wireless networks and the CDE本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.4.2Inbound traffic from untrusted networks restricted本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.4.3Anti-spoofing measures in place本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.4.4Stored cardholder data not reachable from untrusted networks本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.4.5Internal IP addresses and routing not disclosed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
1.5.1Controls on devices connecting to untrusted networks and the CDE本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 2: Apply secure configurations to all system components · 6
2.2.3Functions with different security levels kept apart本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
2.2.4Only necessary services and functions enabled本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
2.2.5Insecure services justified and secured本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
2.2.6System security parameters set to prevent misuse本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
2.2.7Non-console administrative access encrypted本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
2.3.2Wireless keys changed when key holders leave本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 3: Protect stored account data · 14
3.3.1.1Full track data not kept after authorisation本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.3.1.2Card verification code not kept after authorisation本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.3.1.3PIN and PIN block not kept after authorisation本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.3.2Sensitive authentication data encrypted before authorisation本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.3.3Issuer storage of sensitive authentication data limited and protected本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.5.1.1Hashes of PAN are keyed cryptographic hashes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.5.1.2Disk-level encryption used only where it suffices本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.2Key management: secure key distribution本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.3Key management: secure key storage本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.5Key management: retiring weakened or compromised keys本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.6Key management: split knowledge and dual control本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.7Key management: preventing unauthorised key substitution本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.8Key custodians formally acknowledge their responsibilities本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
3.7.9Service providers give customers key-handling guidance本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1.2Strong cryptography on wireless networks carrying PAN本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
4.2.2PAN secured when sent by end-user messaging本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 5: Protect all systems and networks from malicious software · 4
5.3.1Anti-malware kept up to date本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
5.3.3Removable media scanned or analysed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
5.3.4Anti-malware audit logs enabled and retained本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
5.3.5Users cannot disable or alter anti-malware本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 6: Develop and maintain secure systems and software · 6
6.5.1Production changes follow change control procedures本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
6.5.2PCI DSS requirements re-confirmed after significant changes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
6.5.3Pre-production environments separated from production本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
6.5.4Duties separated between production and pre-production本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
6.5.5Live PANs not used in pre-production本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
6.5.6Test data and accounts removed before go-live本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 7: Restrict access to system components and cardholder data by business need to know · 6
7.2.3Privileges approved by authorised personnel本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
7.2.5System and application accounts least privilege本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
7.2.6Access to cardholder data repositories restricted本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
7.3.1Access control system restricts access by need本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
7.3.2Access control system enforces assigned permissions本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
7.3.3Access control system set to deny by default本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 8: Identify users and authenticate access to system components · 10
8.2.3Service providers use unique credentials per customer本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.2.4User ID changes authorised and controlled本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.2.5Access revoked immediately on termination本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.2.7Third-party remote access accounts enabled only when needed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.3.2Authentication factors unreadable in transit and storage本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.3.3Identity verified before changing authentication factors本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.3.4Account lockout after repeated failed attempts本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.3.5First-use and reset passwords unique and changed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.3.11Tokens, smart cards and certificates assigned to individuals本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
8.6.1Interactive use of system accounts managed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 9: Restrict physical access to cardholder data · 10
9.2.2Publicly accessible network jacks restricted本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.3.3Visitor badges returned or deactivated本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.3.4Visitor log maintained and retained本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.4.1Media with cardholder data physically secured本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.4.3Media sent off site tracked and secured本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.4.4Management approves media moved off site本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.4.5Inventory logs of electronic media kept本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.4.5.1Electronic media inventories at least annually本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.5.1Card-reading (POI) devices protected from tampering本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
9.5.1.3Staff trained to spot POI tampering本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 10: Log and monitor all access to system components and cardholder data · 12
10.2.1.1Logs capture user access to cardholder data本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.2Logs capture administrative actions本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.3Logs capture access to audit logs本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.4Logs capture invalid access attempts本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.5Logs capture credential and privilege changes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.6Logs capture starting, stopping or pausing logging本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.2.1.7Logs capture system-level object changes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.4.2Other logs reviewed periodically本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.4.3Exceptions and anomalies addressed本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.6.2Time configuration correct and consistent本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.7.1Service providers detect security control failures本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
10.7.3Security control failures responded to promptly本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 11: Test security of systems and networks regularly · 12
11.2.2Inventory of authorised wireless access points本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.3.1.2Internal scans use authenticated scanning本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.3.1.3Internal scans after significant changes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.3.2.1External scans after significant changes本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.1Penetration testing methodology defined本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.2Internal penetration test at least annually本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.3External penetration test at least annually本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.5Segmentation controls tested at least annually本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.6Service providers test segmentation every six months本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.4.7Multi-tenant providers support customer penetration tests本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.5.1.1Service providers detect covert malware communication本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
11.5.2Change-detection on critical files本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Requirement 12: Support information security with organizational policies and programs · 9
12.2.1Acceptable use policies for end-user technologies本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.4.1Service providers: executive responsibility for PCI DSS compliance本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.4.2.1Service providers: quarterly review results documented本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.5.2.1Service providers confirm scope every six months本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.6.2Awareness programme reviewed annually本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.6.3.1Training covers phishing and social engineering本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.6.3.2Training covers acceptable use of technology本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.7.1Personnel screened before hire本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
12.10.5Plan covers alerts from security monitoring本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
Appendix A: additional requirements · 10
A1.1.1Multi-tenant providers: separate provider and customer environments本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.1.2Multi-tenant providers: customers confined to their own environment本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.1.3Multi-tenant providers: customers reach only their own data本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.1.4Multi-tenant providers: separation tested every six months本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.2.1Multi-tenant providers: audit logging for each customer本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.2.2Multi-tenant providers: support customer forensic investigations本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A1.2.3Multi-tenant providers: report suspected incidents to customers本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A2.1.1POI terminals using SSL or early TLS not exploitable本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A2.1.2Service providers: migration plan off SSL and early TLS本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
A2.1.3Service providers offer a secure connection option本站数据中无映射—本站数据中没有映射到 SOC 2 的内容。
请核查：仅属松散相关（共享同一 CSF 结果，并非映射） (72)
PCI DSS要求匹配SOC 2证据
Requirement 1: Install and maintain network security controls · 3
1.1.1Network security policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
1.1.2Roles for network security controls assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
1.2.4Accurate account-data flow diagram maintained弱相关CC9.2CC6.6CC7.2+5仅共享 CSF GV.SC-01, GV.SC-04, GV.SC-06, GV.SC-07…：属相关关系，并非映射
Requirement 2: Apply secure configurations to all system components · 3
2.1.1Secure configuration policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
2.1.2Roles for secure configuration assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
2.3.1Wireless vendor defaults changed弱相关CC6.1C1.2CC6.5+3仅共享 CSF PR.AA-03, PR.DS-02：属相关关系，并非映射
Requirement 3: Protect stored account data · 7
3.1.1Stored account data policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
3.1.2Roles for protecting stored account data assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
3.5.1.3Disk encryption access managed separately from OS access弱相关CC6.1C1.2CC6.5+2仅共享 CSF PR.AA-03, PR.DS-01：属相关关系，并非映射
3.6.1.1Service providers document their cryptographic architecture弱相关CC6.1C1.2CC6.2+4仅共享 CSF PR.AA-01, PR.DS-01：属相关关系，并非映射
3.6.1.2Secret and private keys stored in approved forms弱相关CC6.1C1.2CC6.2+4仅共享 CSF PR.AA-01, PR.DS-01：属相关关系，并非映射
3.6.1.3Cleartext key components accessible to fewest custodians弱相关CC6.1C1.2CC6.2+4仅共享 CSF PR.AA-01, PR.DS-01：属相关关系，并非映射
3.6.1.4Keys stored in the fewest possible locations弱相关CC6.1C1.2CC6.2+4仅共享 CSF PR.AA-01, PR.DS-01：属相关关系，并非映射
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.1.1Data-in-transit policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
4.1.2Roles for protecting data in transit assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
Requirement 5: Protect all systems and networks from malicious software · 5
5.1.1Anti-malware policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
5.1.2Roles for malware protection assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
5.2.3Systems without anti-malware periodically re-evaluated弱相关CC6.6CC9.2仅共享 CSF PR.IR-01：属相关关系，并非映射
5.2.3.1Re-evaluation frequency set by targeted risk analysis弱相关CC3.1CC5.1CC9.1+2仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
5.3.2.1Scan frequency set by targeted risk analysis弱相关CC3.1CC5.1CC9.1仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
Requirement 6: Develop and maintain secure systems and software · 4
6.1.1Secure systems and software policies documented弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
6.1.2Roles for secure systems and software assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
6.2.3.1Manual code reviews approved by someone else弱相关CC6.1仅共享 CSF ID.AM-08：属相关关系，并非映射
6.2.4Coding techniques prevent common software attacks弱相关CC6.6CC6.1CC8.1+1仅共享 CSF PR.AA-03, PR.IR-01, PR.PS-06, ID.AM-08：属相关关系，并非映射
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.1.1Access restriction policies documented and kept current弱相关CC1.1CC5.3CC6.1+4仅共享 CSF GV.PO-02, PR.AA-05：属相关关系，并非映射
7.1.2Roles for access restriction assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
7.2.5.1System and application account access periodically reviewed弱相关CC3.1CC5.1CC9.1+5仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
Requirement 8: Identify users and authenticate access to system components · 13
8.1.1Identification and authentication policies documented弱相关CC1.1CC5.3CC6.1+4仅共享 CSF GV.PO-02, PR.AA-05：属相关关系，并非映射
8.1.2Roles for identification and authentication assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
8.2.2Shared or generic accounts only by documented exception弱相关CC7.2仅共享 CSF DE.CM-03：属相关关系，并非映射
8.2.6Inactive user accounts disabled within 90 days弱相关CC6.1CC6.2CC6.3+2仅共享 CSF PR.AA-05：属相关关系，并非映射
8.2.8Re-authentication after 15 minutes idle弱相关C1.2CC6.1CC6.5+2仅共享 CSF PR.DS-10, PR.AA-03：属相关关系，并非映射
8.3.6Minimum password length and complexity弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.7Recent passwords cannot be reused弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.8Authentication guidance communicated to users弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.9Password-only access: change every 90 days or analyse risk弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.10Service providers give customers password guidance弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.3.10.1Service provider customer passwords: rotation or analysis弱相关CC6.1CC6.6仅共享 CSF PR.AA-03：属相关关系，并非映射
8.6.2No hard-coded passwords for system accounts弱相关CC6.1CC6.2CC6.3仅共享 CSF PR.AA-01：属相关关系，并非映射
8.6.3System account passwords protected and changed弱相关CC3.1CC5.1CC9.1+3仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
Requirement 9: Restrict physical access to cardholder data · 9
9.1.1Physical security policies documented and kept current弱相关CC1.1CC5.3CC6.4仅共享 CSF GV.PO-02, PR.IR-02：属相关关系，并非映射
9.1.2Roles for physical security assigned弱相关CC1.2CC1.3CC1.5+1仅共享 CSF GV.RR-02：属相关关系，并非映射
9.2.4Consoles in sensitive areas locked when unattended弱相关CC6.1CC6.4CC6.6仅共享 CSF PR.AA-03, PR.AA-06：属相关关系，并非映射
9.4.1.2Security of offline backup location reviewed annually弱相关A1.2CC6.4仅共享 CSF PR.DS-11, RC.RP-03, DE.CM-02：属相关关系，并非映射
9.4.6Hard-copy media destroyed when no longer needed弱相关C1.2CC4.1CC4.2+3仅共享 CSF PR.DS-01, GV.OC-03：属相关关系，并非映射
9.4.7Electronic media destroyed or made unrecoverable弱相关A1.2C1.2CC4.1+4仅共享 CSF PR.DS-11, PR.DS-01, GV.OC-03：属相关关系，并非映射
9.5.1.1Inventory of POI devices kept弱相关CC6.1CC9.2CC6.2+1仅共享 CSF ID.AM-01, PR.AA-01, GV.SC-09, ID.RA-09：属相关关系，并非映射
9.5.1.2POI devices inspected for tampering弱相关CC6.4CC6.1CC9.2仅共享 CSF DE.CM-02, PR.AA-06, ID.AM-01, GV.SC-09：属相关关系，并非映射
9.5.1.2.1Inspection frequency set by targeted risk analysis弱相关CC3.1CC5.1CC9.1+2仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
Requirement 10: Log and monitor all access to system components and cardholder data · 9
10.1.1Logging and monitoring policies documented弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
10.1.2Roles for logging and monitoring assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
10.2.2Log entries record who, what, when, where and outcome弱相关CC7.4仅共享 CSF RS.AN-03, RS.AN-07：属相关关系，并非映射
10.3.1Read access to logs limited to need弱相关CC7.2CC7.3CC7.4仅共享 CSF PR.PS-04, DE.AE-06, RS.AN-06：属相关关系，并非映射
10.3.3Logs promptly backed up to a central server弱相关CC7.2CC7.3CC7.4仅共享 CSF DE.AE-02, DE.AE-03, PR.PS-04, DE.AE-06…：属相关关系，并非映射
10.3.4File-integrity monitoring on logs弱相关CC7.2CC6.8CC7.4仅共享 CSF DE.AE-02, DE.CM-09, PR.PS-04, RS.AN-06：属相关关系，并非映射
10.4.2.1Review frequency set by targeted risk analysis弱相关CC3.1CC5.1CC7.2+2仅共享 CSF GV.RM-03, GV.RM-06, DE.AE-02, PR.PS-04：属相关关系，并非映射
10.6.3Time settings protected from change弱相关CC7.2仅共享 CSF PR.PS-04：属相关关系，并非映射
10.7.2Critical security control failures detected and reported弱相关CC4.1CC4.2仅共享 CSF GV.OV-03：属相关关系，并非映射
Requirement 11: Test security of systems and networks regularly · 6
11.1.1Security testing policies documented and kept current弱相关CC1.1CC5.3仅共享 CSF GV.PO-02：属相关关系，并非映射
11.1.2Roles for security testing assigned弱相关CC1.2CC1.3CC1.5仅共享 CSF GV.RR-02：属相关关系，并非映射
11.2.1Wireless access points detected and unauthorised ones handled弱相关CC6.6CC7.2CC9.2仅共享 CSF DE.CM-01, PR.IR-01：属相关关系，并非映射
11.3.1.1Lower-ranked vulnerabilities handled by risk analysis弱相关CC3.1CC5.1CC9.1+3仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
11.4.4Penetration test findings corrected and retested弱相关A1.2A1.3CC2.3+5仅共享 CSF RC.RP-05：属相关关系，并非映射
11.6.1Payment page changes and tampering detected弱相关CC9.2CC3.1CC5.1+3仅共享 CSF GV.SC-01, GV.SC-03, GV.SC-07, GV.SC-09…：属相关关系，并非映射
Requirement 12: Support information security with organizational policies and programs · 8
12.3.2Targeted risk analysis for customised approach弱相关CC3.1CC5.1CC9.1仅共享 CSF GV.RM-06：属相关关系，并非映射
12.3.3Cipher suites and protocols reviewed annually弱相关CC3.1CC5.1CC9.1+5仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
12.3.4Hardware and software technologies reviewed annually弱相关CC3.1CC5.1CC9.1+5仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
12.5.3Service providers review scope after organisational change弱相关CC3.1CC5.1CC9.1仅共享 CSF GV.RM-03：属相关关系，并非映射
12.9.1Service providers acknowledge responsibilities to customers弱相关CC9.2CC3.1CC4.1+1仅共享 CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…：属相关关系，并非映射
12.9.2Service providers support customer compliance requests弱相关CC9.2CC3.1CC4.1+1仅共享 CSF GV.SC-01, GV.SC-05, GV.SC-07, GV.OC-05…：属相关关系，并非映射
12.10.4.1Training frequency set by targeted risk analysis弱相关CC3.1CC5.1CC9.1+2仅共享 CSF GV.RM-03, GV.RM-06：属相关关系，并非映射
12.10.7Procedures for PAN found where it shouldn't be弱相关C1.1仅共享 CSF ID.AM-07：属相关关系，并非映射
已映射 (75)
PCI DSS要求匹配SOC 2证据
Requirement 1: Install and maintain network security controls · 4
1.2.1Configuration standards for network security controls编辑说明CC6.6相同主题： 防火墙 / 网络分段 (编辑推荐)
1.2.3Accurate network diagram maintained编辑说明CC6.6相同主题： 防火墙 / 网络分段 (编辑推荐)
1.3.1Inbound traffic to the CDE restricted编辑说明CC6.6相同主题： 防火墙 / 网络分段 (编辑推荐)
1.4.1Network controls between trusted and untrusted networks编辑说明CC6.6相同主题： 防火墙 / 网络分段 (编辑推荐)
Requirement 2: Apply secure configurations to all system components · 2
2.2.1System configuration standards developed and maintained编辑说明CC5.2CC7.1相同主题： 安全配置 (编辑推荐)
2.2.2Vendor default accounts managed or removed编辑说明CC5.2CC7.1相同主题： 安全配置 (编辑推荐)
Requirement 3: Protect stored account data · 8
3.2.1Account data storage minimised, with retention and disposal编辑说明C1.2CC6.5相同主题： 数据保护 (编辑推荐)
3.3.1Sensitive authentication data not kept after authorisation编辑说明C1.2CC6.5相同主题： 数据保护 (编辑推荐)
3.4.1PAN masked when displayed编辑说明C1.2CC6.5相同主题： 数据保护 (编辑推荐)
3.4.2PAN copying prevented over remote-access technologies编辑说明CC6.7相同主题： DLP (编辑推荐)
3.5.1PAN rendered unreadable wherever stored编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
3.6.1Procedures protect keys that secure stored account data编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
3.7.1Key management: strong key generation编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
3.7.4Key management: key changes at end of cryptoperiod编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
Requirement 4: Protect cardholder data with strong cryptography during transmission · 2
4.2.1Strong cryptography for PAN over open, public networks编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
4.2.1.1Inventory of trusted keys and certificates kept编辑说明CC6.1CC6.7相同主题： 加密 (编辑推荐)
Requirement 5: Protect all systems and networks from malicious software · 4
5.2.1Anti-malware deployed on system components编辑说明CC6.8相同主题： 终端防护 (编辑推荐)
5.2.2Anti-malware detects, removes or contains known malware编辑说明CC6.8相同主题： 终端防护 (编辑推荐)
5.3.2Periodic scans or continuous behavioural analysis编辑说明CC6.8相同主题： 终端防护 (编辑推荐)
5.4.1Mechanisms to detect and protect against phishing编辑说明CC6.8相同主题： 邮件安全 (编辑推荐)
Requirement 6: Develop and maintain secure systems and software · 9
6.2.1Bespoke and custom software developed securely编辑说明CC8.1相同主题： 安全开发 (编辑推荐)
6.2.2Developers trained in secure software development编辑说明CC8.1相同主题： 安全开发 (编辑推荐)
6.2.3Custom code reviewed before release编辑说明CC8.1相同主题： 安全开发 (编辑推荐)
6.3.1Vulnerabilities identified and risk-ranked编辑说明CC7.1相同主题： 漏洞管理, 补丁管理 (编辑推荐)
6.3.2Inventory of custom software and its components编辑说明CC6.1CC9.2相同主题： 资产管理, 供应链风险 (编辑推荐)
6.3.3Security patches installed promptly编辑说明CC7.1相同主题： 补丁管理 (编辑推荐)
6.4.1Public web applications protected against attacks编辑说明CC6.6相同主题： Web 安全 (编辑推荐)
6.4.2Automated solution blocks attacks on public web apps编辑说明CC6.6相同主题： WAF (编辑推荐)
6.4.3Payment page scripts authorised and integrity-checked编辑说明CC6.6相同主题： Web 安全 (编辑推荐)
Requirement 7: Restrict access to system components and cardholder data by business need to know · 3
7.2.1Access control model defined编辑说明CC6.1CC6.2CC6.3+1相同主题： 访问控制 (编辑推荐)
7.2.2Access assigned by job function and least privilege编辑说明CC6.1CC6.2CC6.3相同主题： 访问控制, 特权访问 (编辑推荐)
7.2.4User accounts and privileges reviewed every six months编辑说明CC6.1CC6.2CC6.3相同主题： 访问控制 (编辑推荐)
Requirement 8: Identify users and authenticate access to system components · 6
8.2.1Every user has a unique ID编辑说明CC6.1CC6.2CC6.3相同主题： 访问控制 (编辑推荐)
8.3.1User and admin access requires an authentication factor编辑说明CC6.6相同主题： 零信任 (编辑推荐)
8.4.1MFA for non-console administrative access to the CDE编辑说明CC6.1相同主题： 多因素认证 (编辑推荐)
8.4.2MFA for all access into the CDE编辑说明CC6.1相同主题： 多因素认证 (编辑推荐)
8.4.3MFA for remote network access编辑说明CC6.1相同主题： 多因素认证 (编辑推荐)
8.5.1MFA systems configured to resist misuse编辑说明CC6.1相同主题： 多因素认证 (编辑推荐)
Requirement 9: Restrict physical access to cardholder data · 8
9.2.1Facility entry controls restrict CDE access编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.2.1.1Access to sensitive areas monitored by camera or access control编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.2.3Physical access to network hardware restricted编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.3.1Personnel physical access authorised and managed编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.3.1.1Sensitive-area access authorised and revoked promptly编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.3.2Visitor access authorised, escorted and identifiable编辑说明CC6.4相同主题： 物理安全 (编辑推荐)
9.4.1.1Offline backup media stored securely编辑说明A1.2相同主题： 备份与恢复 (编辑推荐)
9.4.2Media classified by data sensitivity编辑说明C1.1相同主题： 数据分类 (编辑推荐)
Requirement 10: Log and monitor all access to system components and cardholder data · 6
10.2.1Audit logs enabled and active编辑说明CC7.2相同主题： 日志与审计 (编辑推荐)
10.3.2Logs protected from modification编辑说明CC7.2CC7.4相同主题： 日志与审计, 取证分析 (编辑推荐)
10.4.1Security event and critical logs reviewed daily编辑说明CC7.2CC7.3相同主题： 持续监控, SIEM / SOC (编辑推荐)
10.4.1.1Automated mechanisms for log review编辑说明CC7.2相同主题： 异常检测 (编辑推荐)
10.5.1Audit logs retained 12 months, three immediately available编辑说明CC7.2相同主题： 日志与审计 (编辑推荐)
10.6.1System clocks synchronised编辑说明CC7.2相同主题： 日志与审计 (编辑推荐)
Requirement 11: Test security of systems and networks regularly · 3
11.3.1Internal vulnerability scans every three months编辑说明CC7.1相同主题： 漏洞管理 (编辑推荐)
11.3.2External ASV scans every three months编辑说明CC7.1相同主题： 漏洞管理 (编辑推荐)
11.5.1Intrusion detection or prevention on network traffic编辑说明CC7.2相同主题： 入侵检测 (编辑推荐)
Requirement 12: Support information security with organizational policies and programs · 20
12.1.1Information security policy established and published编辑说明CC1.1CC5.3相同主题： 治理政策 (编辑推荐)
12.1.2Security policy reviewed at least annually编辑说明CC1.1CC5.3相同主题： 治理政策 (编辑推荐)
12.1.3Security roles and responsibilities defined编辑说明CC1.2CC1.3CC1.5相同主题： 角色与职责 (编辑推荐)
12.1.4Executive responsibility for information security assigned编辑说明CC1.2CC1.3CC1.5相同主题： 角色与职责 (编辑推荐)
12.3.1Targeted risk analysis for flexible-frequency requirements编辑说明CC3.1CC3.2CC3.3+3相同主题： 风险管理, 风险评估 (编辑推荐)
12.4.2Service providers: quarterly reviews of operational tasks编辑说明CC4.1CC4.2相同主题： 合规 (编辑推荐)
12.5.1Inventory of in-scope system components编辑说明CC6.1相同主题： 资产管理 (编辑推荐)
12.5.2PCI DSS scope confirmed annually and on change编辑说明CC3.1相同主题： 业务环境 (编辑推荐)
12.6.1Formal security awareness programme编辑说明CC1.4CC2.2相同主题： 意识与培训 (编辑推荐)
12.6.3Awareness training on hire and at least annually编辑说明CC1.4CC2.2相同主题： 意识与培训 (编辑推荐)
12.8.1List of third-party service providers kept编辑说明CC9.2相同主题： 供应链风险, 云安全, 供应商风险管理 (编辑推荐)
12.8.2Written agreements with service providers编辑说明CC9.2相同主题： 供应商风险管理 (编辑推荐)
12.8.3Due diligence before engaging service providers编辑说明CC9.2相同主题： 供应商风险管理 (编辑推荐)
12.8.4Service provider compliance monitored annually编辑说明CC9.2相同主题： 供应商风险管理 (编辑推荐)
12.8.5Responsibilities split with each provider documented编辑说明CC9.2相同主题： 云安全, 供应商风险管理 (编辑推荐)
12.10.1Incident response plan ready to activate编辑说明A1.1A1.2A1.3+5相同主题： 业务连续性, 灾难恢复, 恢复规划 (编辑推荐)
12.10.2Incident response plan reviewed and tested annually编辑说明CC7.3CC7.4相同主题： 事件响应 (编辑推荐)
12.10.3Incident response staff available around the clock编辑说明CC7.3CC7.4相同主题： 事件响应 (编辑推荐)
12.10.4Incident response staff trained编辑说明CC7.3CC7.4相同主题： 事件响应 (编辑推荐)
12.10.6Plan updated from lessons learned and industry changes编辑说明CC7.5相同主题： 经验教训 (编辑推荐)

已有 PCI DSS → 需要 SOC 2

61 项要求 37 项已映射 · 0 项松散相关 · 24 项无映射 在差距视图中打开 →

在 61 项 SOC 2 (Trust Services Criteria) 要求中，37 项可映射到 PCI DSS 中的内容，0 项仅弱相关，24 项在本站数据中无映射。

AICPA 的 SOC 2 映射未采用开放许可，因此此处所有 SOC 2 链接均为 ControlMapping 编辑判断：我们未映射的标准条款无法匹配。处理完整性（PI）标准条款以及大多数隐私（P）标准条款在安全框架中没有对应内容。

可能需要新增工作：SOC 2 项要求在 PCI DSS 中没有对应映射 (24)
SOC 2要求匹配PCI DSS证据
CC2 Communication and information · 1
CC2.1Quality information to support internal control本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P Privacy · 18
P1.1Privacy notice本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P2.1Choice and consent本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P3.1Collection limited to privacy objectives本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P3.2Explicit consent where required本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P4.1Use limited to privacy objectives本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P4.2Retention of personal information本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P4.3Disposal of personal information本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P5.1Data subject access本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P5.2Correction of personal information本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.1Disclosure to third parties with consent本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.2Record of authorized disclosures本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.3Record of unauthorized disclosures本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.4Privacy commitments from third parties本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.5Notification by third parties of unauthorized disclosures本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.6Breach notification to affected individuals本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P6.7Accounting of disclosures to data subjects本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P7.1Quality of personal information本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
P8.1Handling privacy inquiries, complaints and disputes本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
PI1 Processing integrity · 5
PI1.1Information about processing objectives本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
PI1.2Controls over system inputs本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
PI1.3Controls over system processing本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
PI1.4Controls over system outputs本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
PI1.5Storing inputs, items in processing and outputs本站数据中无映射—本站数据中没有映射到 PCI DSS 的内容。
已映射 (37)
SOC 2要求匹配PCI DSS证据
A1 Availability · 3
A1.1Capacity management to meet availability commitments编辑说明12.10.1相同主题： 业务连续性 (编辑推荐)
A1.2Environmental protections, backups and recovery infrastructure编辑说明9.4.1.112.10.1相同主题： 备份与恢复, 业务连续性, 灾难恢复 (编辑推荐)
A1.3Testing recovery plan procedures编辑说明12.10.1相同主题： 恢复规划, 灾难恢复 (编辑推荐)
C1 Confidentiality · 2
C1.1Identifying and protecting confidential information编辑说明9.4.2相同主题： 数据分类 (编辑推荐)
C1.2Disposing of confidential information编辑说明3.2.13.3.13.4.1相同主题： 数据保护 (编辑推荐)
CC1 Control environment · 5
CC1.1Commitment to integrity and ethical values编辑说明12.1.112.1.2相同主题： 治理政策 (编辑推荐)
CC1.2Board independence and oversight of internal control编辑说明12.1.312.1.4相同主题： 角色与职责 (编辑推荐)
CC1.3Structures, reporting lines, authorities and responsibilities编辑说明12.1.312.1.4相同主题： 角色与职责 (编辑推荐)
CC1.4Commitment to attracting, developing and retaining competent people编辑说明12.6.112.6.3相同主题： 意识与培训 (编辑推荐)
CC1.5Accountability for internal control responsibilities编辑说明12.1.312.1.4相同主题： 角色与职责 (编辑推荐)
CC2 Communication and information · 2
CC2.2Internal communication of objectives and responsibilities编辑说明12.6.112.6.3相同主题： 意识与培训 (编辑推荐)
CC2.3Communication with external parties编辑说明12.10.1相同主题： 报告 (编辑推荐)
CC3 Risk assessment · 4
CC3.1Objectives specified clearly enough to identify risks编辑说明12.3.112.5.2相同主题： 风险管理, 业务环境 (编辑推荐)
CC3.2Risk identification and analysis编辑说明12.3.1相同主题： 风险评估 (编辑推荐)
CC3.3Considering the potential for fraud编辑说明12.3.1相同主题： 风险评估 (编辑推荐)
CC3.4Identifying and assessing significant changes编辑说明12.3.1相同主题： 风险评估 (编辑推荐)
CC4 Monitoring activities · 2
CC4.1Ongoing and/or separate evaluations of controls编辑说明12.4.2相同主题： 合规 (编辑推荐)
CC4.2Communicating and remediating control deficiencies编辑说明12.4.2相同主题： 合规 (编辑推荐)
CC5 Control activities · 3
CC5.1Control activities that mitigate risks编辑说明12.3.1相同主题： 风险管理 (编辑推荐)
CC5.2General controls over technology编辑说明2.2.12.2.2相同主题： 安全配置 (编辑推荐)
CC5.3Control activities deployed through policies and procedures编辑说明12.1.112.1.2相同主题： 治理政策 (编辑推荐)
CC6 Logical and physical access · 8
CC6.1Logical access security over information assets编辑说明3.5.13.6.13.7.1+13相同主题： 加密 (编辑推荐)
CC6.2User registration, authorization and removal编辑说明7.2.17.2.27.2.4+1相同主题： 访问控制 (编辑推荐)
CC6.3Role-based access, least privilege and segregation of duties编辑说明7.2.17.2.27.2.4+1相同主题： 访问控制, 特权访问 (编辑推荐)
CC6.4Physical access restrictions编辑说明9.2.19.2.1.19.2.3+3相同主题： 物理安全 (编辑推荐)
CC6.5Protection of data when assets are disposed of编辑说明3.2.13.3.13.4.1相同主题： 数据保护 (编辑推荐)
CC6.6Protection against threats from outside system boundaries编辑说明1.2.11.2.31.3.1+6相同主题： 防火墙 / 网络分段 (编辑推荐)
CC6.7Restricting transmission, movement and removal of information编辑说明3.4.23.5.13.6.1+4相同主题： DLP, 加密 (编辑推荐)
CC6.8Preventing or detecting unauthorized or malicious software编辑说明5.2.15.2.25.3.2+1相同主题： 终端防护 (编辑推荐)
CC7 System operations · 5
CC7.1Detecting configuration changes and new vulnerabilities编辑说明2.2.12.2.26.3.1+3相同主题： 安全配置, 漏洞管理, 补丁管理 (编辑推荐)
CC7.2Monitoring system components for anomalies编辑说明10.2.110.3.210.4.1+4相同主题： 日志与审计, 持续监控 (编辑推荐)
CC7.3Evaluating security events to determine if they are incidents编辑说明10.4.112.10.112.10.2+2相同主题： SIEM / SOC, 事件响应 (编辑推荐)
CC7.4Responding to identified security incidents编辑说明10.3.212.10.112.10.2+2相同主题： 取证分析, 事件响应, 缓解 (编辑推荐)
CC7.5Recovering from identified security incidents编辑说明12.10.112.10.6相同主题： 恢复规划, 经验教训 (编辑推荐)
CC8 Change management · 1
CC8.1Change management for infrastructure, data and software编辑说明6.2.16.2.26.2.3相同主题： 安全开发 (编辑推荐)
CC9 Risk mitigation · 2
CC9.1Mitigating risks from business disruptions编辑说明12.3.112.10.1相同主题： 风险管理, 业务连续性 (编辑推荐)
CC9.2Managing vendor and business partner risk编辑说明6.3.212.8.112.8.2+3相同主题： 供应链风险, 云安全, 供应商风险管理 (编辑推荐)

按主题

两者均涵盖（43）：

治理政策意识与培训风险管理供应链风险角色与职责合规资产管理风险评估业务环境数据分类漏洞管理访问控制多因素认证加密数据保护备份与恢复特权访问防火墙 / 网络分段终端防护补丁管理安全配置安全开发邮件安全Web 安全零信任云安全WAFDLP持续监控日志与审计入侵检测异常检测SIEM / SOC事件响应取证分析缓解报告恢复规划业务连续性经验教训灾难恢复供应商风险管理物理安全

仅 SOC 2（3）：

移动安全沟通沟通与恢复

仅 PCI DSS（3）：

威胁情报API 安全内部威胁

要求编号和标题均按各框架官方发布的英文原文显示。

对照映射 已发布的对照表（NIST、ENISA、CIS、PCI SSC）建立了关联 · 编辑说明 在不存在对照表时的 ControlMapping 判断；会显示理由 · 弱相关 仅与一项 CSF 2.0 成果共享：值得核查，但不构成映射 · 本站数据中无映射 我们的数据中未映射任何内容；通常为新工作，但请查看覆盖范围说明. 已映射 = 在 ControlMapping 同一主题中被共同归类，或直接关联。对照表并不能证明合规。 方法说明 · 下载数据 · 报告错误.