「SOC 2 認証を取得していますか?」が間違った質問である理由

ほぼすべてのセキュリティ質問票にこの質問が含まれているようです。「SOC 2 の認証を取得していますか?」。ベンダーは「はい」と答え、PDF を添付して、チェックボックスに印を付けます。問題は、この質問が双方の考えている意味を持っていないことです。チェックが付いたことで、買い手が見つけようとしていたまさにそのリスクが隠れてしまうこともあります。

SOC 2 の認証証明書は存在しません

SOC 2 は認証 (certification) ではなくアテステーション (attestation) です。ライセンスを持つ CPA 事務所が、サービス組織の統制を AICPA の Trust Services Criteria に照らして検証し、その意見を添えて報告書を発行します。認証証明書を発行する者はおらず、認証済み企業の登録簿もなく、合否基準もありません。範囲が定義された認証証明書を発行し、有効期間が 3 年間となる認定認証機関が関与する ISO 27001 と比べてみてください。(ISO 27001 と SOC 2 の比較 で違いを整理しています。)

SOC 2 報告書を証明書と呼ぶのは、単なる細かい言葉遣いの問題ではありません。詳細で条件付きの文書が、イエスかノーかだけのバッジに変わってしまい、リスクがあるのは詳細の部分だからです。

「はい」の陰に隠れるもの

ベンダーは、次のような状態であっても、SOC 2 報告書を持っていると正直に言うことができます。

• 報告書は Type I です。 統制がある一時点で設計され、整備されていたことは示しますが、一定期間にわたって有効に機能していたことは示しません。
• スコープが、買おうとしているサービスを除外しています。 報告書は記述されたシステムを対象とします。データが報告書の範囲外の製品や地域を経由する場合、報告書はそれについて何も述べていません。
• 対象期間が遠い過去に終わっています。 報告書は過去の期間を対象とします。終了から何か月も経っている場合、直近の運用は誰によっても検証されていないことになります。
• 意見が限定付きであるか、テスト結果に、あなたにとって重要な例外事項が記載されています。
• 重要な統制がサブサービス組織に切り出されています（クラウドホストなど）。そのサブサービス組織自身の報告書を、あなたは目にしていません。
• 報告書は、あなた側が自ら運用すべき統制に依存しています。補完的ユーザー組織統制 (complementary user entity controls) として記載されており、あなた側の誰もそれを把握していません。
• 対象となっているのはセキュリティのみです。あなたが重視していたのが可用性、機密性、またはプライバシーだった場合でも。

これらのいずれも、報告書を無価値にするわけではありません。ただし、これらはすべて「はい」の陰に隠れて見えなくなってしまいます。

優れた SOC 2 報告書の価値

これは SOC 2 への反対論ではありません。信頼できる監査事務所による Type II 報告書は、買い手が入手できる最も有用な文書の一つです。独立した検証者が数か月にわたり実際の証跡をサンプリングしています。アクセスの付与と削除、変更の承認、インシデントへの対応、バックアップのリストア。ベンダー自身のスタッフが回答する質問票では、これに並ぶことはできません。報告書を適切に読むセキュリティチームは、質問票の大部分を減らすことができます。

価値は詳細にあります。どの統制がテストされたか、どのような方法で、どのような結果になったか。略語的な表現はその詳細を捨ててしまいます。ベンダーに「認証を取得しているか」を尋ねると「はい」という答えを招き、報告書が何を対象としているかを尋ねると、証拠が示されます。

尋ねるべきより良い質問

「SOC 2 の認証を取得していますか?」を、回答が役に立つ質問に置き換えてください。

1. お持ちの報告書はどちらですか。Type I か Type II か、また対象期間はいつですか?
2. システムの記述には、当社が利用するサービスと地域が含まれていますか?
3. Trust Services Criteria のどのカテゴリがスコープに含まれていますか?
4. 例外事項や限定付きの意見はありましたか。あった場合、どのように解決されましたか?
5. どのサブサービス組織が切り出されていますか。また当社が運用する必要のある補完的ユーザー組織統制はどれですか?

その後、報告書を読んでください。少なくとも、意見、システムの記述、例外事項、ユーザー組織側の統制は確認してください。それにかかる時間は、質問票に費やした時間よりずっと短くて済みます。

これはすべてのフレームワークに当てはまります

このパターンは SOC 2 に固有のものではありません。「ISO 27001 認証取得済み」は認証証明書の範囲次第です。「NIS2 準拠」は国内法や、どの認証証明書も検証しない報告手続きに左右されます。「NIST CSF に整合」は、CSF には認証制度がまったく存在しないため、ほとんど何でも意味し得ます。フレームワーク名は会話の始まりであり、終わりではありません。

ベンダー側の場合は、これを分かりやすくしてください。どの報告書か、どの期間か、どの範囲かを最初に明示し、自社の統制が顧客の使用するフレームワークにどのように対応するかを示してください。ギャップ分析 と SOC 2 フレームワークのページ が対応付けに役立ち、SOC 2 ガイド では報告書がどのように作成されるかを説明しています。

よくある質問

SOC 2 の認証というものは存在するのでしょうか?

いいえ。SOC 2 報告書はアテステーションであり、ライセンスを持つ CPA 事務所が、サービス組織の統制を AICPA の Trust Services Criteria に照らして評価した意見です。認証証明書は発行されません。

SOC 2 報告書で最初に読むべきものは何ですか?

監査人の意見（限定付きではないか）、スコープとシステムの記述、対象期間、テスト結果における例外事項、そしてユーザー組織側が運用することを求められている補完的ユーザー組織統制 (complementary user entity controls) です。