Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
Digital Trust Common Framework · Edição 2026.1
Uma linguagem de controle única para todos os frameworks a que você responde.
SOC 2, ISO 27001, NIST, PCI, HIPAA, GDPR e as regras de IA pedem muitas das mesmas coisas com palavras diferentes. O DTCF escreve cada coisa uma única vez, como um objetivo, e mostra exatamente onde cada framework a exige, onde a exige apenas em parte e onde não diz nada.
Uso gratuito sob CC BY 4.0, com atribuição.
Como ler o DTCF
Um objetivo, 8 respostas.
Todo objetivo do DTCF funciona da mesma forma. Aqui está um dos 39, exatamente como o framework o registra.
Autenticação forte
A autenticação é proporcional ao risco, com autenticação multifator nos acessos administrativos e remotos.
Configuração de autenticação, relatório de cobertura de MFA, exceções.
O roubo de credenciais continua sendo o ponto de entrada mais comum.
- SOC 2CompletoCC6.1
- ISO 27001CompletoA.8.5
- NIST CSFCompletoPR.AA-03
- PCI DSSCompleto8.4
- HIPAAParcial164.312(d) Autenticação de pessoa ou entidade sem especificar fatores.
- GDPRParcialArt. 32 Por meio de medidas adequadas.
- Lei de IA da UEAusente Não abordado.
- NIST AI RMFAusente Não abordado no nível de controle.
Leia assim: construa o controle uma vez em relação ao objetivo, mantenha as evidências uma vez e cite a cláusula sobre a qual cada auditor perguntar. Quando um framework é parcial, a nota diz o que ele deixa de fora. Quando é ausente, isso é uma constatação sobre o framework, não uma lacuna no seu programa.
O mapa de cobertura
Todos os 39 objetivos em relação a todos os 8 frameworks.
Cada quadrado é um mapeamento classificado. Passe o mouse para ver a cláusula ou o motivo da ausência. Selecione um objetivo para abri-lo.
O que o mapa mostra
Três coisas que a maioria dos programas aprende da forma mais difícil.
SOC 2 e ISO 27001 se sobrepõem quase completamente
Ambos tratam integralmente os mesmos 30 objetivos. Uma equipe com um SOC 2 sem ressalvas já opera a maioria dos controles que o Anexo A da ISO 27001 exige. A ISO também exige suas cláusulas de sistema de gestão, que o DTCF não mapeia; é aí que está a maior parte do trabalho restante.
Sua certificação de segurança não diz nada sobre a sua IA
SOC 2, o Anexo A da ISO 27001, PCI DSS e HIPAA não tratam de nenhum dos 3 objetivos de IA. O NIST CSF aborda 2, apenas em parte, por meio de práticas gerais de ativos e riscos. A Lei de IA da UE e o RMF de IA do NIST cobrem integralmente todos eles.
Um núcleo comum que todo framework exige
16 objetivos são tratados, integral ou parcialmente, pelos 8 frameworks, abrangendo governança e responsabilização, risco e decisões, obrigações e conformidade, dados e privacidade, operações seguras e mais. Acerte estes primeiro.
Já é certificado?
Veja até onde um framework leva você em direção a outro.
Cada número indica quantos objetivos do DTCF ambos os frameworks tratam integralmente. Leia na horizontal a partir do que você tem e na vertical até o que lhe será pedido em seguida. A diagonal é o total de cada framework.
Exemplo: do PCI DSS (27 objetivos) para o SOC 2, 25 já são compartilhados. Do GDPR para a Lei de IA da UE, apenas 3.
| SOC 2 | ISO 27001 | NIST CSF | PCI DSS | HIPAA | GDPR | Lei de IA da UE | NIST AI RMF | |
|---|---|---|---|---|---|---|---|---|
| SOC 2 | 31 | 30 | 29 | 25 | 20 | 8 | 6 | 18 |
| ISO 27001 | 30 | 30 | 29 | 25 | 19 | 8 | 6 | 17 |
| NIST CSF | 29 | 29 | 31 | 24 | 19 | 8 | 6 | 17 |
| PCI DSS | 25 | 25 | 24 | 27 | 16 | 8 | 5 | 14 |
| HIPAA | 20 | 19 | 19 | 16 | 22 | 8 | 6 | 12 |
| GDPR | 8 | 8 | 8 | 8 | 8 | 11 | 3 | 5 |
| Lei de IA da UE | 6 | 6 | 6 | 5 | 6 | 3 | 10 | 8 |
| NIST AI RMF | 18 | 17 | 17 | 14 | 12 | 5 | 8 | 22 |
Os 8 frameworks
O que cada um cobre e o que deixa a seu cargo.
31 completos · 5 parciais · 3 ausentes
Completo emGovernança e Responsabilização, Obrigações e Conformidade, Identidade e Acesso
Omisso emIA e Decisões Automatizadas
30 completos · 6 parciais · 3 ausentes
Completo emObrigações e Conformidade, Identidade e Acesso, Operações Seguras
Omisso emIA e Decisões Automatizadas
31 completos · 6 parciais · 2 ausentes
Completo emObrigações e Conformidade, Identidade e Acesso, Operações Seguras
27 completos · 7 parciais · 5 ausentes
Completo emDados e Privacidade, Identidade e Acesso, Operações Seguras
Omisso emIA e Decisões Automatizadas
22 completos · 10 parciais · 7 ausentes
Completo emGovernança e Responsabilização, Resiliência e Resposta
Omisso emIA e Decisões Automatizadas
11 completos · 19 parciais · 9 ausentes
Completo emDados e Privacidade, Terceiros e Cadeia de Suprimentos
10 completos · 16 parciais · 13 ausentes
Completo emIA e Decisões Automatizadas
Omisso emIdentidade e Acesso
22 completos · 10 parciais · 7 ausentes
Completo emGovernança e Responsabilização, Obrigações e Conformidade, IA e Decisões Automatizadas
As 10 famílias
Tudo o que um programa de confiança precisa alcançar, em 10 partes.
Alguém é responsável, as decisões são registradas e o programa é dirigido, e não improvisado.
GOV-01Responsável final pela confiança digitalGOV-02Conjunto de políticas aprovadoGOV-03Papéis e responsabilidades definidosGOV-04Código de conduta e declaração de compromisso ético
A incerteza é identificada, avaliada e tratada, e as aceitações expiram.
RSK-01Avaliação de riscos realizada e repetidaRSK-02Registro de riscos com responsáveis e tratamentoRSK-03As aceitações expiramRSK-04Apetite e indicadores
As obrigações aplicáveis são conhecidas, têm responsáveis e são comprovadamente cumpridas.
OBL-01Inventário de obrigaçõesOBL-02Escopo decidido e documentadoOBL-03Treinamento e conscientização
Os dados são conhecidos, classificados, minimizados, compartilhados deliberadamente e descartados por completo.
DAT-01Inventário e classificação de dadosDAT-02Tratamento lícito e minimizadoDAT-03Compartilhamento deliberado de dadosDAT-04Descarte completo
O acesso é concedido deliberadamente, revisado e removido.
ACC-01Admissões, movimentações e desligamentosACC-02Acessos revisados periodicamenteACC-03Autenticação forteACC-04Acesso privilegiado controlado
Mudanças, configuração, logs, vulnerabilidades e endpoints são gerenciados.
OPS-01Gestão de mudançasOPS-02Gestão de vulnerabilidadesOPS-03Registro de logs e monitoramentoOPS-04Proteção de endpoints e dispositivosOPS-05Desenvolvimento seguro
Os terceiros são avaliados, contratados, monitorados e desligados.
TPR-01Inventário de terceirosTPR-02Due diligence proporcional ao riscoTPR-03Cláusulas contratuais e desligamento
Os incidentes são detectados e tratados; a organização consegue dar continuidade e se recuperar.
RES-01Plano de resposta a incidentes e papéisRES-02Notificação de violação dentro do prazo legalRES-03Backups que restauramRES-04Objetivos de continuidade e recuperação
Os sistemas de IA são inventariados, avaliados, governados e monitorados.
AIG-01Inventário de sistemas de IAAIG-02Risco de IA avaliado antes da implantaçãoAIG-03Supervisão humana e divulgação
Os controles têm responsáveis, são testados, evidenciados e relatados com honestidade.
ASR-01Os controles têm responsáveisASR-02As populações estão completasASR-03As evidências são datadas, atribuíveis e retidasASR-04Testes e relatórios independentesASR-05As constatações são encerradas com evidências
Use-o
Gratuito, aberto e seu para desenvolver.
Baixe o framework completo, com todos os mapeamentos, cláusulas e ausências registradas, sob CC BY 4.0. Use-o para definir o escopo de uma auditoria, planejar uma segunda certificação ou explicar a um conselho por que um único controle atende a cinco requisitos.
- Definir o escopo de uma auditoriaVeja quais objetivos um framework realmente testa antes de o auditor chegar.
- Planejar a próxima certificaçãoParta do que é compartilhado e construa apenas a diferença.
- Mapear seus próprios controlesAssocie cada controle a um objetivo uma única vez e reporte em relação a qualquer framework.
- Aprender o trabalhoCada família leva aos cursos da Academia que a ensinam.
Como o DTCF é governado
Primeira edição. Os objetivos são declarações normalizadas do que uma organização deve alcançar. Os mapeamentos são classificados: completo, parcial ou uma ausência registrada com o motivo da ausência. Uma célula vazia é uma constatação sobre o framework, não sobre o objetivo.
- autorAssociation of Digital Trust Practitioners Elabora e mantém o DTCF. O framework é publicado gratuitamente sob CC BY 4.0 e não está vinculado a nenhum produto.
- colaborador patrocinadorUm colaborador patrocinador Um colaborador patrocinador da edição 2026.1 contribuiu com pesquisa e revisão de mapeamentos. Os patrocinadores não são proprietários do DTCF nem o controlam; como qualquer fornecedor, podem declarar conformidade com ele.
DTCF 2026.1, published September 10, 2026. Framework names and references are the property of their publishers. DTCF is an independent mapping and is not endorsed by them. Corrections are welcome through the contact form and are published in the edition changelog.