ISO 27001 Controls Mapping naar SOC 2: Een Praktische Gids

De meeste ISO 27001 Annex A-controls hebben een SOC 2-tegenhanger, en de meeste SOC 2-criteria vallen terug op een Annex A-control. De overlap is het grootst op het gebied van toegangsbeheer, logging, wijzigingsbeheer, leverancierstoezicht en incidentrespons. De twee frameworks kennen echter geen één-op-één-koppeling. ISO 27001 vereist een managementsysteem (Clausules 4 tot en met 10) waarvoor SOC 2 geen directe equivalent heeft. SOC 2 voegt systeemspecifieke criteria en een accountantsverklaring toe die een ISO-certificering niet kan vervangen.

Deze gids laat zien waar de controls overeenkomen, hoe u een mappingmatrix opbouwt, welk bewijsmateriaal u kunt hergebruiken en hoe u de resterende werkzaamheden kunt inschatten. De gids is geschreven voor compliance officers, IT-managers en security leads bij organisaties die al één framework bezitten en het andere nodig hebben.

TL;DR

• Toegangsbeheer, logging en monitoring, wijzigingsbeheer, leveranciersbeheer en incidentrespons sluiten het schoonst aan tussen Annex A en de SOC 2 Common Criteria.
• Het voornaamste hiaat voor een team met een SOC 2-rapport is het ISMS zelf: Clausules 4 tot en met 10, het risicobehandelingsproces en de Verklaring van Toepasselijkheid.
• Technisch bewijsmateriaal zoals logbestanden, configuraties en scanrapporten is vaak herbruikbaar. Governancedocumentatie zoals managementreviews en de VvT wordt afzonderlijk beoordeeld.
• ISO 27001-certificering vervangt een SOC 2-onderzoek niet, en een SOC 2-rapport levert geen ISO-certificering op.
• Bouw één controlinventaris, koppel deze aan beide frameworks en bepaal uitsluitend de omvang van de hiaten.

Inhoudsopgave

• Wat u feitelijk in kaart brengt
• Waar de controls overeenkomen
• Wat niet aansluit
• Hoe u de mappingmatrix opbouwt
• Bewijsmateriaal dat u kunt hergebruiken, en bewijsmateriaal dat u niet kunt hergebruiken
• Vervangt ISO 27001 SOC 2, of omgekeerd?
• De omvang van de werkzaamheden om de hiaten te dichten
• Schat de inspanning in voordat u zich committeert
• Ons perspectief
• FAQ
• Bronnen

Wat u feitelijk in kaart brengt

De twee frameworks zijn anders opgebouwd, en dat heeft gevolgen voor elke mappingbeslissing.

ISO 27001 certificeert een Information Security Management System. Het vereist naleving van Clausules 4 tot en met 10, inclusief interne audits en managementreview. Annex A fungeert als een referentieset van controls: ISO 27001:2022 bevat 93 Annex A-controlaanbevelingen, en u bepaalt via risicobehandeling welke van toepassing zijn. Het resultaat is een certificaat dat drie jaar geldig is, met tussentijdse surveillanceaudits.

SOC 2 is een AICPA-attestation. Een accountantskantoor evalueert een gedefinieerd systeem aan de hand van de Trust Services Criteria. De AICPA omschrijft de criteria als resultaatgericht: ze toetsen of een systeem en de bijbehorende controls redelijke zekerheid bieden dat aan de doelstellingen van het management wordt voldaan. Beveiliging (de Common Criteria) is verplicht. Beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy zijn optionele categorieën die u toevoegt op basis van klantverwachtingen. Type 1 toetst het ontwerp op één moment. Type 2 toetst de werking, doorgaans over een periode van drie tot twaalf maanden. Het resultaat is een rapport, geen certificaat.

Kort gezegd vraagt ISO of u informatiebeveiliging beheert als een gestructureerd, risicogestuurd systeem. SOC 2 vraagt of een specifieke dienst controls heeft die daadwerkelijk hebben gewerkt. Omdat de vraagstelling verschilt, kan dezelfde control aan beide voldoen, terwijl de bijbehorende documentatie dat niet doet.

Waar de controls overeenkomen

De onderstaande tabel toont typische verbanden tussen de SOC 2 Common Criteria en ISO 27001:2022. Het is een oriëntatiehulpmiddel, samengesteld op basis van de gangbare manier waarop de twee structuren naast elkaar worden gelezen — geen officieel overzicht. Uw eigen mapping is afhankelijk van uw toepassingsgebied, uw risicoanalyse en de controls die u daadwerkelijk uitvoert.

Gebruik voor de gezaghebbende cel-voor-cel-versie de gepubliceerde mapping van de AICPA van de 2017 Trust Services Criteria naar ISO 27001. Het is een spreadsheet, zodat u kunt filteren op uw eigen inventaris. Houd er rekening mee dat deze is opgesteld op basis van de eerdere ISO 27001-controlnummering, zodat u de verwijzingen naar de Annex A-indeling van 2022 zult moeten vertalen. Onze gids Annex A-controls toegelicht legt uit hoe de controls van 2022 zijn gegroepeerd.

Waarom claims van '80% overlap' zorgvuldigheid vereisen

U zult cijfers zien zoals 80% of zelfs 100% van de SOC 2-controls die aansluiten op Annex A. Beschouw deze als richtinggevend. De overlap hangt af van drie factoren:

1. Welke SOC 2-categorieën binnen scope vallen. Een rapport dat uitsluitend Beveiliging omvat, kent een andere overlap dan een rapport dat ook Privacy en Verwerkingsintegriteit omvat.
2. Uw Verklaring van Toepasselijkheid. Annex A is een ondersteunend hulpmiddel, geen verplichte lijst. Welke controls u moet implementeren, volgt uit uw eigen risicoanalyse, zodat twee organisaties bij hetzelfde SOC 2-rapport een verschillende overlap kunnen hebben.
3. Systeemscope versus organisatiescope. SOC 2 beslaat een gedefinieerd systeem. ISO certificeert de scope die u voor het ISMS heeft vastgesteld. Controls kunnen slechts eenmalig worden getest voor beide frameworks wanneer de scopes overlappen.

Een control die op papier aansluit, moet nog steeds werken over de gehele ISO-scope. Als uw SOC 2 één productieplatform omvat en uw ISMS-scope de gehele organisatie, dekt het SOC 2-bewijsmateriaal slechts een deel van wat een ISO-auditor zal bemonsteren.

Wat niet aansluit

De niet-gekoppelde onderdelen zijn waar de inspanning zit, dus breng ze vroeg in kaart.

Aan de ISO-zijde, zonder directe SOC 2-tegenhanger

• Clausules 4 tot en met 10. Context van de organisatie, belanghebbenden, ISMS-scope, beleid, doelstellingen, competentie, gedocumenteerde informatie, interne audit, managementreview en voortdurende verbetering. Dit is het voornaamste hiaat voor een SOC 2-organisatie die ISO 27001 nastreeft.
• De Verklaring van Toepasselijkheid. ISO vereist dat u de noodzakelijke controls documenteert, deze onderbouwt en uitsluitingen van Annex A motiveert. Zie onze gids over de Verklaring van Toepasselijkheid voor het opstellen van een document dat een auditor accepteert.
• Een formeel risicobehandelingsplan waarbij risico-eigenaren het resterende risico goedkeuren.
• Notulen van de managementreview op grond van Clausule 9.3, en een gedocumenteerd intern auditprogramma.

Aan de SOC 2-zijde, zonder directe ISO-tegenhanger

• Systeembeschrijving en serviceverplichtingen. SOC 2 vereist een beschrijving van het systeem, de grenzen ervan en de verplichtingen aan klanten.
• Aanvullende controls bij gebruikersorganisaties en uitsluitingen van deelserviceproviders. Deze beschrijven wat uw klanten en leveranciers moeten doen opdat uw controls werken.
• Werking over een periode. Een Type 2-rapport bemonstert bewijsmateriaal over meerdere maanden. De surveillanceaudits van ISO bemonsteren ook, maar op een ander ritme.
• De accountantsverklaring zelf. SOC 2 resulteert in een attestation report van een accountantskantoor, geen certificaat.

Hoe u de mappingmatrix opbouwt

Een matrix die bruikbaar blijft, is eenvoudig. Hieronder vindt u de aanpak die werkt.

1. Bouw één controlinventaris. Zet elke control op die u daadwerkelijk uitvoert: MFA-afdwinging, kwartaalmatige toegangsreviews, back-upherstel, leveranciersreviews enzovoort. Wijs voor elke control een eigenaar aan.
2. Koppel elke control aan beide frameworks. Gebruik het AICPA-werkboek als startpunt, zoals de GRACE-crosswalk-aanpak doet. Voeg kolommen toe voor de Annex A-verwijzing en het SOC 2-criterium.
3. Voeg de bron van het bewijsmateriaal toe. Benoem het systeem waaruit het bewijs afkomstig is: de export uit de identity provider, het ticketsysteem, de cloud-configuratiescan.
4. Markeer de hiaten. Markeer elke ISO-vereiste zonder SOC 2-tegenhanger, en elke Annex A-control in uw VvT waaraan niets in uw inventaris voldoet.
5. Leg de status vast. Gebruik eenvoudige statussen: in werking, ontworpen maar niet aangetoond, ontbrekend.
6. Voer een gerichte hiaatanalyse uit op uitsluitend de hiaten. Onze ISO 27001-hiaatanalysegids beschrijft de methode stap voor stap.

Houd de matrix als een levend document bij. Het moet worden aangepast wanneer uw scope, tooling of VvT verandert.

Een beknopt uitgewerkt voorbeeld

Neem toegangsreviews. U voert elk kwartaal een review uit van de productietoegang in uw identity provider, waarna een reviewer akkoord geeft via een ticket.

• SOC 2: ondersteunt CC6.1 tot CC6.3 (verlening, wijziging en intrekking van toegang).
• ISO 27001:2022: ondersteunt 5.18 (toegangsrechten) en 5.15 (toegangsbeveiliging).
• Bewijsmateriaal: de kwartaalexport en het goedgekeurde ticket dienen beide auditors.
• Extra voor ISO: de review moet herleidbaar zijn naar een risico in uw risicoregister en een regel in uw VvT.

Één control, één bewijsdossier, twee sets verwijzingen. Herhaal dit voor elke rij en u heeft de matrix.

Bewijsmateriaal dat u kunt hergebruiken, en bewijsmateriaal dat u niet kunt hergebruiken

Technisch bewijsmateriaal is goed overdraagbaar. Logbestanden, configuratiebaselines, kwetsbaarheidscanrapporten, back-uphersteltests, toegangsreview-exports en wijzigingstickets kunnen doorgaans voor beide audits worden gebruikt. Dit is het idee achter het 'eenmalig testen, meervoudig voldoen'-model: gedeelde controls kunnen voor beide trajecten worden geaudit, mits u de twee van tevoren op elkaar afstemt.

Governance-bewijsmateriaal is niet overdraagbaar. De VvT, de ISMS-scopeverklaring, het risicobehandelingsplan, de managementreview op grond van Clausule 9.3 en de interne-auditrapporten zijn specifiek voor ISO 27001 en worden afzonderlijk beoordeeld. Op dezelfde manier zijn de SOC 2-systeembeschrijving en de managementverklaring onderdeel van het SOC 2-traject.

Twee praktische waarschuwingen:

• Datums en perioden verschillen. Een Type 2-venster kan in juni eindigen, terwijl uw ISO-surveillanceaudit in november valt. Bewijsmateriaal moet actueel zijn voor de eigen periode van elke audit.
• Steekproeven verschillen. Auditors van elk regime kiezen hun eigen steekproeven. Geconsolideerde bewijsverzameling helpt, maar auditritmes en rapportstructuren blijven van elkaar onderscheiden.

Vervangt ISO 27001 SOC 2, of omgekeerd?

Nee, in beide richtingen. ISO 27001-certificering voldoet niet automatisch aan SOC 2, omdat de auditdoelstellingen en -criteria verschillen en SOC 2 een onderzoek door een accountantskantoor vereist. Omgekeerd certificeert een SOC 2-rapport uw ISMS niet.

Practitioners omschrijven de twee doorgaans als aanvullend in plaats van uitwisselbaar: SOC 2 biedt gedetailleerde, klantgerichte zekerheid over een dienstverleningssysteem, terwijl ISO 27001 een bredere risicobeheersingscapaciteit en managementsysteemvolwassenheid aantoont.

De praktische vraag is wat uw klanten vragen. Grote Amerikaanse ondernemingen vragen doorgaans om SOC 2. Internationale en gereguleerde afnemers vragen vaak om ISO 27001. Startups die aan Noord-Amerikaanse klanten verkopen, starten mogelijk met SOC 2, terwijl internationale of gereguleerde financiële dienstverleners de voorkeur geven aan ISO 27001 of beide. Lees voor een volledig beslissingskader ISO 27001 versus SOC 2: welk framework heeft u nodig.

De omvang van de werkzaamheden om de hiaten te dichten

De meeste teams die al een SOC 2-rapport bezitten, hebben een groot deel van wat ISO 27001 vereist al gebouwd. De resterende werkzaamheden vallen in voorspelbare categorieën:

Beschouw de ISMS-clausules als nieuw werk, ook wanneer uw technische infrastructuur al volwassen is. Een geïntegreerde hiaatbeoordeling kan een gezamenlijk stappenplan opleveren, en een gereedheidscheck vóór de formele audit is de moeite waard.

Bij SaaS-bedrijven ziet het beeld er doorgaans hetzelfde uit: sterke technische controls, zwakke governance. Onze gids ISO 27001 voor SaaS en techbedrijven beschrijft hoe dat er in de praktijk uitziet, en het artikel over de implementatietijdlijn laat zien hoe lang elke fase doorgaans duurt.

Financiële instellingen en startups

Financiële instellingen worden vaak tegelijkertijd geconfronteerd met due diligence van klanten, toezichthouders en internationale tegenpartijen. Dat pleit voor het bezitten van beide frameworks, waarbij de ISO-scope wordt afgebakend rondom de relevante bedrijfsonderdelen. Zie onze auditvoorbereidingsgids voor financiële instellingen.

Startups kunnen het beste beginnen met het framework dat de volgende grote klant vereist, en controls zo ontwerpen dat het tweede framework een uitbreiding is en geen herstart. Bouw de controlinventaris vanaf dag één op, en de mappingmatrix kost later vrijwel niets.

Schat de inspanning in voordat u zich committeert

Zodra u weet welke hiaten er bestaan, is de vraag hoeveel kosten en tijd ermee gemoeid zijn. Onze ISO 27001-kostencalculator geeft een realtime schatting op basis van bedrijfsomvang, sector en beveiligingsvolwassenheid, met aanpasbare aannames en zonder verplichte registratie voor de eerste berekening. Als u eerst wilt weten waar u staat, doe dan de gratis 2-minuten check, of voer de uitgebreidere gereedheidsanalyse uit, die de volwassenheid beoordeelt over de vier Annex A-controlthema's. U kunt schattingen opslaan en vergelijken, bijvoorbeeld één voor uitsluitend ISO en één voor een gecombineerd SOC 2- en ISO-programma. De methodologiepagina legt uit hoe de cijfers zijn opgebouwd.

Ons perspectief

We zien steeds dezelfde fout: teams behandelen mapping als een spreadsheet-oefening en ontdekken vervolgens dat de spreadsheet uitsluitend technische controls omvatte. De mapping is de makkelijke 20 procent van het werk. Het moeilijkere deel is accepteren dat het ISMS een managementsysteem is, met eigenaren, reviews en dossiers, en dat geen enkele crosswalk die voor u genereert.

Ons advies is vroeg te mappen, want dat verkleint het beangstigende deel van het project tot een afgebakende lijst. Schat die lijst vervolgens eerlijk in, met aannames die u kunt aanpassen en ter discussie stellen. Een getal dat u niet kunt traceren, is een getal dat u niet kunt verdedigen tegenover uw CFO of uw auditor. Dat is waarom we de calculator hebben gebouwd rondom versioned, transparante aannames en waarom we aanraden scenario's te vergelijken voordat u budget vastlegt.

— Martin

FAQ

Kan ik één set controls gebruiken voor zowel ISO 27001 als SOC 2?

Ja, in de meeste gevallen. Bouw één inventaris van de controls die u uitvoert en koppel elke control aan de bijbehorende Annex A-control en het SOC 2-criterium. U heeft nog steeds afzonderlijke governancedocumentatie nodig voor ISO en een afzonderlijke systeembeschrijving voor SOC 2.

Is de mapping van ISO 27001 naar SOC 2 officieel?

De AICPA publiceert een mapping van de 2017 Trust Services Criteria naar ISO 27001 als downloadbare spreadsheet. Gebruik deze als startpunt en pas deze aan uw scope en aan de controlnummering van 2022 aan. Uw auditors bepalen in hoeverre zij op uw eigen mapping zullen steunen.

Als ik een SOC 2-rapport heb, hoeveel extra werk is ISO 27001 dan?

De technische controls zijn grotendeels aanwezig, dus het nieuwe werk betreft het ISMS: Clausules 4 tot en met 10, de Verklaring van Toepasselijkheid, het risicobehandelingsplan, een interne audit en een managementreview. Annex A-controls buiten de scope van uw SOC 2-systeem kunnen ook aanvullend werk vereisen. Breng die hiaten in kaart via een hiaatanalyse voordat u een datum plant.

Betekent ISO 27001-certificering dat ik SOC 2 kan overslaan?

Nee. SOC 2 is een attestation report dat wordt afgegeven door een accountantskantoor, en klanten die ernaar vragen, verwachten dat rapport. Sommige afnemers accepteren beide, dus controleer wat uw belangrijkste klanten vereisen voordat u een beslissing neemt.

Bronnen

• AICPA: Mapping 2017 Trust Services Criteria to ISO 27001
• ISO/IEC JTC 1/SC 27/WG 1: Auditing practices note on the SoA
• EY: SOC and ISO integrated attestation
• BARR Advisory: ISO 27001 vs SOC 2, how to obtain both
• GRACE crosswalk report, SOC 2 to ISO 27001
• Atlant Security: ISO 27001 vs SOC 2 comparison guide
• Schellman: Your questions about ISO 27001 answered

Aanbevolen

• ISO 27001 versus SOC 2: welk framework heeft u nodig?
• ISO 27001 Annex A-controls toegelicht
• ISO 27001 Verklaring van Toepasselijkheid: Een complete gids
• ISO 27001 Hiaatanalyse: Een stapsgewijze gids