Руководство по соответствию · Международные стандарты

ISO 27001 и SOC 2:
что доказывает тест и что просит аудитор

Ни один из них не говорит «проводите пентест ежегодно». Но оба требуют показать, что технические меры действительно работают. Что изменилось в издании 2022 года, какие меры касаются тестирования, чем Type 1 отличается от Type 2 и какие доказательства готовить.

Обновлено 7 мин чтения 24 источников
Содержание
  1. ISO 27001 и SOC 2: две разные вещи
  2. ISO/IEC 27001:2022: издание и переход
  3. Меры Приложения A, связанные с тестированием
  4. SOC 2: критерии и два типа отчёта
  5. Цикл сертификации ISO по шагам
  6. Какие технические доказательства готовить
  7. ISO 27001 и SOC 2 с одним тестом
  8. Как мы готовим тест к аудиту
  9. Частые вопросы
  10. Источники

За 30 секунд

  • Действующее издание — ISO/IEC 27001:2022, опубликованное 25 октября 2022 года; сертификаты по изданию 2013 года истекли или отозваны 31 октября 2025 года 13.
  • Приложение A теперь содержит 93 меры в 4 темах (вместо 114 в 14 разделах), из них 11 новых 38.
  • ISO 27001 прямо не требует теста на проникновение; меры выбираются по оценке рисков, но аудит проверяет внедрение и эффективность технологических мер 3.
  • В SOC 2 критерий CC4.1 называет тест на проникновение одной из допустимых форм оценки наряду с сертификацией, например ISO, и внутренним аудитом 17.
  • Отчёт Type 2 охватывает период наблюдения (на практике 3–12 месяцев), поэтому доказательства должны быть за весь период, а не только в конце 2024.
ISO 27001
издание 2022 1
Приложение A
93 меры 3
Цикл ISO
3 года, ежегодный аудит 14
SOC 2 Type 2
период 3–12 месяцев 20

ISO 27001 и SOC 2: две разные вещи

ISO/IEC 27001 — международный стандарт системы менеджмента информационной безопасности (СМИБ). Аккредитованный орган по сертификации проверяет систему и выдаёт сертификат на три года 114. SOC 2 — американский отчёт о подтверждении, который выпускает только аудитор CPA по критериям доверия (Trust Services Criteria) AICPA 1519.

АспектISO/IEC 27001SOC 2
Что вы получаетеПубличный сертификат на 3 года 14Отчёт о подтверждении для клиентов 19
Кто выдаётАккредитованный орган по сертификации 12Аудиторская фирма CPA 19
Что оцениваетсяОбязательные пункты 4–10 и меры Приложения A, выбранные по рискам 2Меры организации относительно критериев TSC 15
Где важноЕвропа, тендеры, цепочки поставокКлиенты и партнёры из США, SaaS

Многие софтверные компании, работающие на обоих рынках, проходят оба. Хорошая новость: одни и те же технические доказательства подходят для обоих.

ISO/IEC 27001:2022: издание и переход

Третье издание стандарта опубликовано 25 октября 2022 года совместным комитетом ISO/IEC JTC 1/SC 27 13. Ни одно требование пунктов 4–10 нельзя исключить, если организация заявляет о соответствии 2. Правила перехода установил IAF (ныне Global Accreditation Cooperation) в документе MD 26:2023 37.

  1. 25.10.2022
    Публикация издания 2022

    Начинается 36-месячный переходный период 3.

  2. фев. 2024
    Изменение по климату

    Amd 1:2024 добавляет в 4.1 вопрос о том, актуально ли изменение климата. IAF и ISO считают это уточнением: без перехода и без переоформления сертификатов 45.

  3. 30.04.2024
    Только издание 2022 для новых сертификаций

    Первичные сертификации и ресертификации проводятся только по изданию 2022 3.

  4. 31.10.2025
    Конец перехода

    Сертификаты по изданию 2013 истекают или отзываются 3.

Приложение A теперь содержит 93 меры в четырёх темах: организационные (37), персонал (8), физические (14) и технологические (34). В издании 2013 года было 114 мер в 14 разделах; из 93 11 новых, 24 объединены и 58 обновлены 38. В Республике Молдова изменение 2024 года принято идентично как SM EN ISO/IEC 27001:2023/A1:2024 6.

Меры Приложения A, связанные с тестированием

Тексты мер защищены авторским правом, поэтому мы описываем их своими словами, по теме. Это меры, для которых технический тест даёт самое прямое доказательство 891011.

МераТемаКакое доказательство даёт тест
5.7 (новая)Информация об угрозахСценарии теста исходят из реальных угроз отрасли
5.35Независимая проверка безопасностиВнешний тестировщик по определению — независимая проверка 10
8.8Технические уязвимостиСканирование и тесты на проникновение с отслеживаемым устранением 9
8.16 (новая)Мониторинг активностиКакие действия тестировщика были замечены, а какие нет
8.25–8.28Безопасная разработка, архитектура, безопасное кодирование (8.28 новая)Находки в приложении показывают, где правила не применяются
8.29Тестирование безопасности при разработке и приёмкеТест до выпуска с повторной проверкой после устранения
8.34Защита систем во время аудиторских проверокТесты на продуктиве планируются и согласуются письменно 11

SOC 2: критерии и два типа отчёта

SOC 2 строится на Trust Services Criteria 2017 с пунктами внимания, пересмотренными в 2022 году. Сами критерии тогда не изменились — только пункты внимания, в том числе выявление угроз и уязвимостей при оценке рисков и тестирование патчей; пункты внимания не обязательно выполнять все 1516.

КритерийЧто требует, краткоГде нужен тест
CC3.2 / CC3.4Выявление рисков и значимых измененийНаходки входят в оценку рисков
CC4.1Постоянные и/или отдельные оценки мерПентест — одна из названных форм наряду с сертификацией ISO и внутренним аудитом 17
CC7.1Выявление изменений конфигурации, вносящих уязвимости, и новых уязвимостейПериодические сканирования и после значимых изменений, со своевременным устранением 18

Отчёт Type 1 оценивает дизайн мер на определённую дату. Отчёт Type 2 оценивает дизайн и фактическую работу за период, на практике от 3 до 12 месяцев, чаще всего 6–12; AICPA минимума не устанавливает 2024. Некоторые аудиторы принимают сертификат ISO вместо пентеста для CC4.1 — это мнение практиков, а не правило 21.

Цикл сертификации ISO по шагам

  1. Этап 1

    Аудитор проверяет документацию и готовность к основному аудиту 14.

  2. Этап 2

    Проверяются внедрение и эффективность системы. Здесь запрашивают технические доказательства 14.

  3. Надзор

    Не реже раза в календарный год; первый — не позднее 12 месяцев после решения о сертификации 14.

  4. Ресертификация

    До истечения трёх лет, по всей системе 14.

Органы по сертификации теперь работают по ISO/IEC 27006-1:2024, опубликованному 1 марта 2024 года взамен ISO/IEC 27006:2015 12. UKAS, например, потребовал перехода до 31 июля 2025 года 13.

Какие технические доказательства готовить

Какие технические доказательства попросит аудитор?

Практика аудиторов, а не текст стандарта: ни ISO 27001, ни SOC 2 не дают фиксированного списка. Здесь то, что обычно готовят организации, проходящие аудит без несоответствий.

1. К какому аудиту вы готовитесь?
2. На каком вы этапе?
3. Что входит в охват аудита?

ISO 27001 и SOC 2 с одним тестом

Один хорошо задокументированный тест может обслужить оба аудита, если охват включает системы обоих, а отчёт содержит охват, дату, методику, находки и повторную проверку. AICPA опубликовал соответствие между TSC и ISO 27001 в 2018 году 22 — оно предшествует изданию 2022 года и использует старую нумерацию Приложения A.

  • Единый охват, описанный один раз, с системами обоих аудитов.
  • Тест запланирован внутри периода наблюдения SOC 2 Type 2.
  • Находки связаны с мерами ISO (8.8, 8.29) и критериями SOC 2 (CC4.1, CC7.1).
  • Повторная проверка с датой — до аудита.

В Республике Молдова действующий сертификат ISO/IEC 27001 освобождает от приложения к Постановлению 562/2025 по закону о кибербезопасности, но Агентство всё равно может провести оценку 23. Подробнее — в руководстве по закону 48/2023.

Как мы готовим тест к аудиту

  1. Охват из SoA или описания системы

    Начинаем с того, что вы заявили аудитору, чтобы тест покрыл именно проверяемые системы.

  2. Письменное согласование для продуктива

    Окна, контакты и ограничения согласуются заранее, в духе меры 8.34.

  3. Ручное тестирование

    Приложения, API, облако или сеть — по охвату; сканирование лишь отправная точка.

  4. Отчёт для аудитора

    Охват, дата, методика, находки с критичностью и устранением, а также ссылки на соответствующие меры и критерии.

  5. Повторная проверка

    После устранения повторная проверка закрывает находки с датированным доказательством — то, что ищет аудитор.

Частые вопросы

Обязывает ли ISO 27001 проводить тест на проникновение?
Не напрямую. Меры выбираются по оценке рисков и обосновываются в Положении о применимости, но аудит проверяет внедрение и эффективность технологических мер, а тест на проникновение — самое прямое доказательство для мер вроде 8.8 и 8.29 39.
Действителен ли ещё сертификат ISO 27001:2013?
Нет. Переходный период закончился 31 октября 2025 года, сертификаты по изданию 2013 истекли или отозваны 3.
Требует ли изменение 2024 года по климату ресертификации?
Нет. IAF и ISO считают его уточнением: переходной программы нет, сертификаты не переоформляются. Организация лишь определяет, актуально ли для неё изменение климата 45.
Достаточно ли сканирования уязвимостей для SOC 2?
Сканирование покрывает пункт внимания CC7.1. Для CC4.1 пункт внимания называет формами оценки тест на проникновение, независимую сертификацию и внутренний аудит; что именно принять, решает аудитор 1718.
Какова длительность периода отчёта SOC 2 Type 2?
На практике от 3 до 12 месяцев, чаще всего 6–12. AICPA минимума не устанавливает 2024.
Кто может выпустить отчёт SOC 2?
Только аудитор CPA. Компания по тестированию предоставляет технические доказательства (отчёт о пентесте, повторную проверку), а не сам отчёт SOC 2 19.

Источники

Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.

  1. ISO/IEC 27001:2022 — карточка публикации (издание 3, 25.10.2022)webstore.iec.ch · проверено 22 октября 2026 г.
  2. ISO/IEC 27001:2022 — аннотация стандарта (пункты 4–10)sis.se · проверено 22 октября 2026 г.
  3. IAF MD 26:2023 — требования к переходу на ISO/IEC 27001:2022iaf.nu · проверено 22 октября 2026 г.
  4. ISO/IEC 27001:2022/Amd 1:2024 — изменения, связанные с климатомiso.org · проверено 22 октября 2026 г.
  5. Совместное коммюнике IAF–ISO об изменениях по климату (февраль 2024)iaf.nu · проверено 22 октября 2026 г.
  6. SM EN ISO/IEC 27001:2023/A1:2024 — принятие в Республике Молдоваshop.standard.md · проверено 22 октября 2026 г.
  7. Global Accreditation Cooperation (преемник IAF и ILAC с 2026 года)globalaccreditationcooperationincorporated.org · проверено 22 октября 2026 г.
  8. DQS — что изменилось в ISO 27001:2022 (новые меры)dqsglobal.com · проверено 22 октября 2026 г.
  9. DQS — меры 8.8 и 8.9: технические уязвимости и конфигурацияdqsglobal.com · проверено 22 октября 2026 г.
  10. Advisera — мера 5.35, независимая проверкаadvisera.com · проверено 22 октября 2026 г.
  11. ISMS.online — мера 8.34, защита систем во время аудиторских проверокisms.online · проверено 22 октября 2026 г.
  12. ISO/IEC 27006-1:2024 — требования к органам по сертификацииwebstore.iec.ch · проверено 22 октября 2026 г.
  13. UKAS — переход на ISO/IEC 27006-1:2024ukas.com · проверено 22 октября 2026 г.
  14. Bureau Veritas — технические условия аккредитованной сертификации (ISO/IEC 17021-1)bureauveritas.com · проверено 22 октября 2026 г.
  15. AICPA — 2017 Trust Services Criteria (с пересмотренными пунктами внимания, 2022)aicpa-cima.com · проверено 22 октября 2026 г.
  16. EY — пересмотренные пункты внимания критериев SOC 2 (ноябрь 2022)ey.com · проверено 22 октября 2026 г.
  17. SOC 2 CC4.1 — виды оценок (пункт внимания)cloudaware.com · проверено 22 октября 2026 г.
  18. SOC 2 CC7.1 — сканирование уязвимостей (пункт внимания)cloudaware.com · проверено 22 октября 2026 г.
  19. AICPA — SOC 2: отчёты о подтвержденииaicpa-cima.com · проверено 22 октября 2026 г.
  20. Deloitte — подтверждение через отчёты SOCdeloitte.com · проверено 22 октября 2026 г.
  21. Linford & Co — тестирование на проникновение в SOC 2linfordco.com · проверено 22 октября 2026 г.
  22. AICPA — соответствие критериев TSC 2017 и ISO 27001 (2018)aicpa-cima.com · проверено 22 октября 2026 г.
  23. Постановление Правительства № 562/2025: обязанности по кибербезопасности (Республика Молдова)legis.md · проверено 22 октября 2026 г.
  24. Linford & Co — отчёт SOC 2 Type 2linfordco.com · проверено 22 октября 2026 г.

Об авторах

Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.

Команда Pentest.mdИнженеры по безопасности с сертификатами CEH, CISSP, CISA и CISM

Связанные руководства

Руководство по PCI DSS v4.0.1Руководство по NIS2 и GDPRРуководство по закону 48/2023Руководство по DORA и TLPTПентест или сканирование уязвимостей?Как подготовиться к пентестуВсе руководства →

Впереди аудит ISO 27001 или SOC 2?

Ручное тестирование, отчёт для аудитора и датированная повторная проверка до аудита.

Запросить предложение →Задать вопрос