ISO 27001 与 PCI DSS 差距分析：差距、证据与整改

PCI DSS 差距分析覆盖什么

该分析将持卡人数据范围、数据流、访问、配置和现有证据与适用要求进行对照，也会把 ISO 27001 或 PCI DSS 控制与日志、流程、备份、供应商及实际可用证据联系起来。

审查要点

• 范围、关键资产、敏感数据流、持卡人数据或保密数据。
• 安全策略、治理、职责、风险管理和文件证据。
• MFA、分段、加固、漏洞、备份、日志和监控等技术控制。
• 访问、特权账号、供应商、变更、事件与定期评审。
• 要求、实际做法、现有证据和整改措施之间的差距。

交付成果

• ISO 27001 或 PCI DSS 差距矩阵：已有证据、缺失证据与优先级。
• 供 IT、CISO、DPO、管理层或审计人员理解的技术与文件整改计划。
• 快速改进、剩余风险和需要管理层决策的事项。
• 用于审计、客户请求、内部评审或认证路径的准备材料。