SOC 2、ISO 27001、PCI DSSで再利用できるエビデンス

SOC 2、ISO 27001、PCI DSSを運用する組織では、統制の運用よりもエビデンス要求への回答に多くの時間を費やしがちです。各監査人は「アクセスレビュー」「脆弱性スキャン」「インシデント訓練」を求めますが、形式や対象期間はわずかに異なります。しかし、そのエビデンスの大部分は同じものです。コツは、三つのうち最も厳格な基準を満たす形で一度だけ収集することです。

重複が大きい理由

三つのフレームワークはセキュリティの主要な対象領域の大部分を共有しています。例えばISO 27001からSOC 2への対応関係は次のとおりです。

SOC 2 の 61 件の基準のうち、41 件（67%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、20 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

ISO 27001からPCI DSSへの重複は小さいものの、ガバナンスやプロセスの面では依然として相当あります。

PCI DSS の 260 件の要件のうち、77 件（30%）は ISO 27001 の何らかの項目にマッピングされ、76 件は緩やかに関連するのみで、107 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

要件が対応付けられる箇所では、エビデンスも通常重なります。

三つすべてに使えるエビデンス

エビデンス	SOC 2	ISO 27001	PCI DSS
ユーザーアクセスレビュー（承認および実施された変更を含む）	CC6.2, CC6.3	A.5.18	7.2.4（6か月ごと）
承認付きの入社・退職チケット	CC6.2	A.5.16, A.5.18, A.6.5	8.2.4, 8.2.5
レビュー、テスト、承認付きの変更チケット	CC8.1	A.8.32	6.5.1, 6.5.2
脆弱性スキャン結果と是正	CC7.1	A.8.8	11.3.1, 11.3.2, 6.3.3
ペネトレーションテスト報告書と再テスト	CC4.1, CC7.1	A.8.8	11.4.1〜11.4.4
インシデント記録と対応訓練	CC7.3〜CC7.5	A.5.24〜A.5.27	12.10.1, 12.10.2
セキュリティ意識向上研修の記録	CC1.4, CC2.2	A.6.3	12.6.1〜12.6.3
サプライヤーのデューデリジェンス記録	CC9.2	A.5.19〜A.5.22	12.8.1〜12.8.5
バックアップのリストアテスト	A1.2, A1.3	A.8.13	9.4.1.1, 12.10.1
リスクアセスメントとその見直し	CC3.1〜CC3.4	6.1.2, 8.2	12.3.1

最も厳格な基準に合わせて収集する

• 頻度: PCI DSSは多くの場合最も短いサイクルを定めます（6か月ごとのアクセスレビュー、四半期ごとのスキャン）。PCIの頻度で統制を運用すれば、他の基準も満たされます。
• 期間: SOC 2 Type IIは監査対象期間全体からサンプルを抽出します。監査直前だけでなく、継続的にエビデンスを保管してください。
• 網羅性: ISO監査人は母集団が完全であることをどう確認したかを尋ねる場合があります。選んだ例だけでなく、全件（全退職者、全変更）のリストを保管してください。
• 出所の確かさ: システムが生成したエビデンス（エクスポート、ログ、タイムスタンプ付きのチケット）は、誰かが整えた画面のスクリーンショットより優れています。

シンプルな構成

エビデンスの保管場所は一つにし、フレームワークごとではなく統制ごとに整理します。各統制のフォルダには期間ごとのエビデンスを一貫した名前で保管し、どのフレームワーク要件に対応するかを示す簡単な索引を付けます。監査人から「7.2.4のエビデンス」を求められたら、フレームワークではなく統制を探せばよいのです。

要点

• 大部分のエビデンス（アクセスレビュー、変更チケット、スキャン、インシデント記録、研修）は、SOC 2、ISO 27001、PCI DSSの三つすべてに同時に使えます。
• 最も厳格な基準で収集する: PCIの頻度とSOC 2の継続的な期間に合わせます。
• フレームワークではなく統制ごとにエビデンスを整理し、各項目が何を満たすかの索引を付けます。
• 一部の項目は転用できず、特にASVスキャンとISOのマネジメントシステム記録がそうです。

転用できないもの

• PCI固有のスキャン: 外部スキャンは認定スキャンベンダー（ASV）が実施する必要があります。
• PCIのターゲットリスク分析（頻度を柔軟に定められた要件向け）。
• ISOのマネジメントシステム記録: 内部監査報告書、マネジメントレビューの議事録、是正処置ログはISO固有のものです（ただしSOC 2の監査人もこれらを重視します）。
• SOC 2のシステム記述: 対象システムについて自組織がまとめた説明文書。

SOC 2とISO 27001の統一管理策セットに関する記事では統制の設計を扱っており、ギャップ分析ページでは任意の二つのフレームワーク間のマッピングを一覧できます。

よくある質問

同じエビデンスをSOC 2とISO 27001の両方に使えますか？

はい、通常は可能です。どちらも統制が機能していることの証拠を求めます。チケット、レビュー、スキャン結果、研修記録などです。SOC 2 Type IIでは監査対象期間全体からサンプルが必要になるため、継続的に収集してください。

PCI DSSが求めるが、SOC 2では不要なエビデンスは何ですか？

PCI固有の頻度と設定のエビデンスです: 四半期ごとの社内スキャンおよびASVによる外部スキャン、6か月ごとのアクセスおよびファイアウォールルールのレビュー、ターゲットリスク分析、カード会員データに固有の構成。

監査エビデンスはどのくらいの期間保管すべきですか？

少なくとも次の監査サイクルが終了するまで、またフレームワークや法令で要求される場合はそれより長く保管します。例えばPCI DSSでは監査ログの履歴を12か月分保持することが求められます。