Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
ASR-02 · Garantia e Evidências
As populações estão completas
Quando um controle é testado por amostragem, a população é definida e sua completude pode ser demonstrada.
1frameworks o tratam integralmente
2parcialmente
5o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2ParcialCC4.1 A avaliação é exigida; a completude da população é uma expectativa de auditoria, e não um critério.
- ISO 27001Parcial9.2 Requisitos do programa de auditoria.
- NIST CSFAusente O framework descreve resultados, não o método de teste.
- PCI DSSCompletoProcedimentos de teste
- HIPAAAusente Não define metodologia de teste.
- GDPRAusente Não define metodologia de teste.
- Lei de IA da UEAusente Não abordado.
- NIST AI RMFAusente Não abordado.
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Definições de população, método de extração, argumentação de completude.
?Por que existe
Uma amostra de uma população incompleta não prova nada.
Para uma organização menorPopulações pequenas testadas por inteiro.