SOC コンプライアンスは組織にとって複雑で、時間もかかる場合があります。現在検討している方のために、基本的な考え方を理解するのに役立つ詳細なガイドをまとめました。本ガイドでは、SOC 1 と SOC 2 の違い、どちらか一方が必要になる理由、SOC 監査の仕組み、そして SOC 3 を検討する価値があるかどうかを説明します。
タイプ I とタイプ II の SOC レポートの違いは何ですか？
SOC 1 vs SOC 2 vs SOC 3
SOC レポートは同じ種類のレポートの段階のように聞こえるかもしれませんが、そうではありません。実際には、3 つの異なる対象者向けに作られた 3 つの異なるレポートです。ですから、比較するときに重要なのは、どれが優れているかではなく、どれが自分のニーズにより適しているかです。
- SOC 1 は、給与計算代行、保険金請求管理、ファンド管理など、顧客の財務報告に関わるサービスを提供する企業向けです。
- SOC 2 は、SaaS、クラウド、テクノロジーベンダーなど、顧客データを扱う企業向けです。
- SOC 3 は、SOC 2 レポートを公開向けに要約したものです。同じ基準を使用していますが、機密性の高い技術的詳細が含まれないため、自由に共有できます。
SOC 監査を受ける理由
顧客は、自社のデータをあなたの会社に安心して任せられるという証明を必要としています。しかし、すべてのベンダーを個別に監査するのは、関係者全員にとって時間もコストもかかります。このレポートの想定読者は、あなたの組織の顧客です。
米国公認会計士協会（AICPA）が策定した SOC 監査を活用すれば、企業は独立した会計事務所とこのプロセスを一度経るだけで、得られたレポートを潜在顧客に提出できます。商談のたびに新しいセキュリティ質問票に記入する必要はありません。金融やヘルスケアなど規制が厳しい、あるいはセキュリティ意識の高い業界では、SOC レポートの有無がベンダーの候補リストに残れるかどうかを左右することも少なくありません。
また、SOC 監査は、その過程で企業にアクセス管理、監視、インシデント対応といった実効性のあるセキュリティ管理策の導入を促します。つまり、レポートは顧客の調達チームを満足させるために存在しますが、その背後にあるプロセスは、誰がレポートを読むかに関わらず、自社のセキュリティ対策を強化します。SOC レポートには会社のプロセスやインフラに関する詳細な情報が含まれるため、一般的に企業はレポートを共有する前に顧客に NDA の締結を求めます。
比較表：SOC 1 vs SOC 2 vs SOC 3
| SOC 1 | SOC 2 | SOC 3 | |
| 対象範囲 | 財務報告に関する内部統制 | セキュリティ、可用性、処理の完全性、機密性、プライバシー | SOC 2 と同じ基準だが、要約版 |
| 準拠基準 | SSAE 18 (AT-C 320) | SSAE 18 (AT-C 105/205) | SSAE 18 (AT-C 105/205) |
| 主な対象者 | 監査人、規制当局、顧客の財務・経理チーム | 顧客のセキュリティ、IT、調達チーム | 一般公開／見込み顧客 |
| レポートの配布 | 限定：特定の関係者と NDA の下で共有 | 限定：特定の関係者と NDA の下で共有 | 公開：自由に投稿・共有可能 |
| 企業例 | 給与計算サービス提供者、保険金請求処理業者、ファンド運用代行会社 | SaaS プラットフォーム、クラウド事業者、データセンター | SOC 2 を取得済みで、共有可能な版を求める企業 |
| 取得可能なレポートの種類 | タイプ I とタイプ II | タイプ I とタイプ II | 該当なし |
タイプ I とタイプ II の SOC レポートの違いは何ですか？
SOC 1 と SOC 2 の監査では 2 種類のレポートが利用でき、ここから比較がより役立つものになります。
- タイプ I 監査では、企業が整備した書類、ポリシー、システム設計を精査し、それらの管理策がデータを保護するために適切に設計されているかを評価します。安全対策が実際に機能し続けているかを検証するものではなく、存在して正しく見えることを確認するだけです。
- Type II 監査では、書類、ポリシー、システム設計を精査し、その後3〜12か月にわたって運用状況を継続的に監視します。監査人は、統制が適切に設計されているだけでなく、実効性をもって遵守されていること、つまり企業が約束どおりにログを保管し、バックアップを作成し、アクセスを監視し、インシデントに対応していることを検証します。
顧客やパートナーは通常、Type II監査をより信頼します。継続的な実環境でのセキュリティ性能を証明するものだからです。単に対象とする読者が異なるだけのSOC 1やSOC 2とは異なり、Type II監査はType Iよりも強力であると見なすことができます。
SOC 1とは何か、誰がなぜ必要とするのか
SOC 1は、提供するサービスが顧客の財務報告に影響を与える企業向けの、コンプライアンスおよび監査のフレームワークです。SOC 1は顧客の外部監査人のニーズを満たし、サービス組織の統制が顧客の帳簿にエラーを持ち込まないことを保証します。
どのようなタイプの企業がSOC 1認証の恩恵を受けるのか
SOC 1は、他社に代わって金融取引やデータを扱う企業にとって最適な認証です。これには、給与計算代行会社、決済処理会社、ファンド管理者、請求処理会社、ローンサービスプラットフォームなどが含まれます。SOC 1を取得すれば、大手顧客との新たな契約を獲得し、年次監査時の摩擦を減らし、信頼性が高く適切に統制された財務プロセスという企業の評判を強化できます。これは、財務的に機密性の高い業務の候補として検討されるかどうかを左右することが少なくありません。
SOC 2とは何か、誰がなぜ必要とするのか
SOC 2は、顧客データを扱う企業向けのコンプライアンスおよび監査のフレームワークです。SOC 2監査では、セキュリティ、可用性、処理の完全性、機密性、プライバシーを対象とするAICPAの信頼サービス基準に企業の統制がどのように適合しているかを記録した報告書を作成します。また、これらの統制が適切に設計されているかどうかについての独立した監査人の意見も含まれます。SOC 2は、米国の顧客やパートナーに対してセキュリティ統制の実効性を証明する必要がある企業にとって不可欠な認証です。
どのようなタイプの企業がSOC 2認証の恩恵を受けるのか
テクノロジーを活用したサービスを提供する企業が、SOC 2認証から最も大きな恩恵を受けます。これには、Software as a Service（SaaS）、クラウドインフラストラクチャ、データ分析プラットフォーム、フィンテックソリューション、ヘルステックアプリなどが含まれます。データ侵害が当たり前になるなか、顧客は、預けたデータやシステムを企業が保護できるという安心感を求めています。SOC 2はこれを提供し、大企業との新たな契約の獲得、ベンダーリスク評価の簡素化、強固なデータ保護という企業の評判の向上につながります。
SOC 3とは何か、誰がなぜ必要とするのか
SOC 3はSOC 2と同じ監査プロセスから導き出されますが、目的が異なるだけです。SOC 3報告書は同じ情報を高レベルで要約したもので、NDAが必要となる詳細で具体的な情報は含まれません。そのため、SOC 2報告書の公開用要約としてよく利用されます。
どのようなタイプの企業がSOC 3認証の恩恵を受けるのか
SOC 2監査プロセスを経なければSOC 3を取得することはできませんが、すでにSOC 2の評価を受けていて、その情報をマーケティングキャンペーンや営業資料で活用したい企業にとっては、SOC 3報告書の取得が有益な場合があります。
複数のSOC報告書が必要になるのはどのような企業か
SOC 1とSOC 2のどちらを選ぶかは、多くの場合、顧客のニーズに合う報告書を選ぶという問題です。しかし、複数のSOC報告書を必要とする企業もあります。たとえば、決済を処理し、機密性の高い顧客データを保存するフィンテック企業は、顧客の財務報告に関わるためSOC 1、顧客データを扱うためSOC 2の両方が必要になる可能性があります。
| SOC監査の組み合わせ | 企業の種類 |
| SOC 1 + SOC 2 | 財務報告と重要な顧客データの両方を扱う企業 |
| SOC 1 + SOC 3 | 該当なし（SOC 2なしではSOC 3を取得できません） |
| SOC 2 + SOC 3 | 重要な顧客データを扱い、SOC 2認証を公開コンテンツで示したい企業 |
| SOC 1 + SOC 2 + SOC 3 | 財務報告と重要な顧客データの両方を扱い、SOC 2認証を公開コンテンツで示したい企業 |
SOC監査の仕組みとは？スケジュール、監査フェーズ、更新
SOC監査のコストと所要時間は、さまざまな変数によって左右されます。SOC 1またはSOC 2のコンプライアンスを計画している場合は、次の要素を念頭に置いておきましょう。
SOCスケジュール
| SOC | スケジュール |
| SOC 1 Type I | ~ 2〜4 か月 |
| SOC 1 Type II | ~ 合計6〜12 か月、観察期間は通常6〜12 か月 |
| SOC 2 Type I | ~ 合計3〜6 か月 |
| SOC 2 Type II | ~ 合計6〜15 か月、観察期間は通常3〜12 か月 |
SOC監査のフェーズ
SOC監査は複数のフェーズで構成され、数週間から数か月にわたって進みます。各段階の内容は次のとおりです。
1. 準備（1〜4週目）
テストを開始する前に、どのシステムが対象範囲に含まれるかを特定し、AICPAの信頼サービス基準のうちどれが適用されるかを確認します。SOC 2の場合、通常はセキュリティが必須基準となり、顧客のニーズに応じて可用性、処理の完全性、機密性、プライバシーを任意に組み合わせます。また、すでに導入している統制、たとえばアクセスポリシー、暗号化標準、バックアップ手順、インシデント対応計画を洗い出します。ここでの目的は、後になって想定外の問題が起きないようにすることです。
2. 文書化（4〜8週目）
統制が存在し、適切に設計されていることを示す証拠をまとめます。これには、文書化されたポリシー、システムアーキテクチャ図、ロールベースのアクセス権限表、ベンダーリスク評価、トレーニング記録などが含まれます。監査人はこれらの資料を精査し、関連するすべての要件を網羅しているか、顧客が合理的に期待する内容と一致しているかを確認します。
3. 監査（8〜12週目）
Type I報告書の場合、監査人は特定の一時点を基準に実地調査を行います。主要な担当者への聞き取り、統制証拠のサンプリング、文書が実態を反映しているかの検証を行います。この段階では、統制が正しく設計されていることを確認しています。
4. 観察（3〜15か月目）
Type IIでは、監査人が統制を継続的に監視する観察期間が追加されます。この期間中、監査人は次のような点を精査します。
- アクセスログ：誰に権限が付与されたか、アクセスがいつ失効したか、特権アカウントが定期的にレビューされたか
- 変更管理記録：コードのデプロイがどのように承認され、追跡されたか
- インシデント対応：セキュリティイベントが検知され、エスカレーションされ、文書化されたプロセスに従って解決されたかどうか
- バックアップと監視：システムが実際に監視され、約束どおり復元されているという証拠
観察期間の終了時に、監査人は対象期間全体を通じて管理策がどの程度適切に機能したかについて意見を表明します。
SOCの更新
SOC認証の更新は、通常、初回の監査よりも迅速に行えるはずです。スコープ、管理策、システム境界がすでに確立されているため、監査人はゼロから始めるのではなく、既知のベースラインを基に作業を進めます。また、多くの更新は初回監査よりも安価かつ迅速です。レポートの有効期間は通常12か月なので、ほとんどの企業は毎年更新し、カバレッジに空白が生じないよう、現在の観察期間が終了した直後に次の観察期間を開始することがよくあります。
SOC監査の費用はいくらですか？
CPAから見積もりを取得しない限り、SOC監査の費用を判断するのはほぼ不可能です。費用は5,000米ドル程度から150,000米ドル以上にまで幅があるためです。費用は、組織の規模、組織の準備状況、プロセスに割り当てられるリソースの数、どの種類の監査を目指すかなど、さまざまな要因によって決まります。タイプI監査は、所要時間が短いため、一般に費用を抑えられます。
ProtonがSOC監査の完了を支援する方法
ProtonはISO 27001認証とSOC 2 Type IIアテステーションの両方を取得しており、Proton製品を利用する企業が自社の認定を取得しやすくなる可能性があります。安全で暗号化されたWorkspaceを利用すれば、SOC 2 Type IIの厳格な監査をすでに満たしている実績あるセキュリティベースラインを継承できます。これにより、コンプライアンスを証明するために必要な労力を減らし、監査のスケジュールを短縮できます。
SOC監査のヒント
- 監査が始まる前に、できるだけ多くの準備作業を行ってください。 準備不足は、プロセスを遅らせ、コストを増加させることがよくあります。
- 実地調査が始まる前に、システム境界を定義してください。 実際に何がスコープに含まれるかについての曖昧さは、遅延の最も一般的な原因の1つです。
- レポートを求めているのが誰かをもとに、タイプIIの観察期間を選択してください。どれだけ早く欲しいかだけを基準にしないでください。 3か月の観察期間ならレポートを早く受け取れますが、多くの顧客は6か月から1年分の証拠を期待しており、それより短いと難色を示す可能性があります。
- 明確な管理策の担当者を早い段階で任命してください。 証拠、承認、インタビューのために社内で適切な担当者を探し回る間に、最大の遅延が発生することがあります。
- 更新を見据えて計画し、証拠収集を監査前の慌ただしい作業ではなく継続的な習慣として扱ってください。 継続的な監視を通常業務に組み込んでいる組織は、各サイクルを単発のプロジェクトとして扱う組織よりも、更新が迅速かつ安価になることがよくあります。
SOC 1およびSOC 2監査に関するFAQ
SOC 1とSOC 2とは何ですか？
SOC 1とSOC 2はどちらもAICPAが開発した監査フレームワークですが、目的が異なります。SOC 1は財務報告に対する内部統制に焦点を当てています。給与計算処理業者やファンド管理者など、サービスが顧客の財務諸表に影響を与える企業向けに設計されています。SOC 2はセキュリティ、可用性、処理の完全性、機密性、プライバシーに焦点を当てています。顧客データを扱うテクノロジー企業やクラウドサービスプロバイダー向けに設計されています。
SOC 2の前にSOC 1が必要ですか？
いいえ、SOC監査は順番に行うものではなく、単に種類が異なるだけなので、SOC 2を実施する前にSOC 1を完了する必要はありません。SOC 1は財務報告を行う企業を対象としているのに対し、SOC 2は企業のセキュリティ、プライバシー、処理の完全性を監査します。
SOC 2監査にはどのくらい時間がかかりますか？
SOC 2監査は、タイプIとタイプIIのどちらを目指すか、組織の規模と複雑さ、チームの準備状況によって、完了までに3か月から1年以上かかることがあります。
SOC 1またはSOC 2監査の費用はいくらですか？
SOC監査の費用は、監査の種類、組織の規模、システムの複雑さによって、5,000米ドルから150,000米ドルの間になることがあります。
SOC 2は認証ですか？
いいえ、SOC 2は認証ではなく、アテステーションです。SOC 1および2監査ではこれらの用語が互換的に使われていますが、アテステーションはどちらかといえば格付けのようなもので、認証は合否です。
SOC 2はどのくらいの頻度で再取得する必要がありますか？
SOC監査は、システムが変更されない限り、厳密には有効期限切れにはなりませんが、業界標準では6～12か月ごとに更新します。多くの企業は年に1回の更新プロセスを設定していますが、それはタイプIとタイプIIのどちらの監査を目指すかによって異なり、タイプIIの場合は観察期間の長さにもよります。
SOC 2なしでSOC 3を取得できますか？
いいえ、SOC 3はSOC 2と同じ監査プロセスから導出されます。SOC 3はSOC 2へのオプションの追加であり、別個のプロセスではありません。
