ISO 27001 に対応する項目がない SOC 2 の基準と、その存在理由

顧客から SOC 2 レポートを求められた時点で、すでに ISO 27001 を取得している組織であれば、作業の大部分は完了しています。セキュリティ管理策は大きく重なり、ISMS は SOC 2 の監査人が求めるガバナンスの証跡を提供します。しかし、ISO 27001 には対応する項目が一切ない SOC 2 の基準があり、監査人と対象範囲を合意する前に把握しておく価値があります。

見出しの数字

SOC 2 の 61 件の基準のうち、41 件（67%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、20 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

SOC 2 の基準で ISO に「緩やかに関連」するだけのものはありません。各基準は対応するか、しないかのどちらかです。この明確な区分が、現状を理解する手がかりになります。

ISO への対応がない基準

SOC 2	要件	一致	ISO 27001
P1.1	Privacy notice	当サイトのデータにはマッピングがありません	—
P2.1	Choice and consent	当サイトのデータにはマッピングがありません	—
P3.1	Collection limited to privacy objectives	当サイトのデータにはマッピングがありません	—
P3.2	Explicit consent where required	当サイトのデータにはマッピングがありません	—
P4.1	Use limited to privacy objectives	当サイトのデータにはマッピングがありません	—
P5.1	Data subject access	当サイトのデータにはマッピングがありません	—
P5.2	Correction of personal information	当サイトのデータにはマッピングがありません	—
P6.1	Disclosure to third parties with consent	当サイトのデータにはマッピングがありません	—
P6.2	Record of authorized disclosures	当サイトのデータにはマッピングがありません	—
P6.3	Record of unauthorized disclosures	当サイトのデータにはマッピングがありません	—
P6.4	Privacy commitments from third parties	当サイトのデータにはマッピングがありません	—
P6.5	Notification by third parties of unauthorized disclosures	当サイトのデータにはマッピングがありません	—
P6.7	Accounting of disclosures to data subjects	当サイトのデータにはマッピングがありません	—
P7.1	Quality of personal information	当サイトのデータにはマッピングがありません	—
P8.1	Handling privacy inquiries, complaints and disputes	当サイトのデータにはマッピングがありません	—
PI1.1	Information about processing objectives	当サイトのデータにはマッピングがありません	—
PI1.2	Controls over system inputs	当サイトのデータにはマッピングがありません	—
PI1.3	Controls over system processing	当サイトのデータにはマッピングがありません	—
PI1.4	Controls over system outputs	当サイトのデータにはマッピングがありません	—
PI1.5	Storing inputs, items in processing and outputs	当サイトのデータにはマッピングがありません	—

この一覧のすべての基準は、SOC 2 の 5 つのカテゴリのうち 2 つ、処理の完全性（PI1）とプライバシー（P1～P8）に由来します。どちらも任意です。すべての SOC 2 レポートに含まれる共通基準 CC1～CC9 からなるセキュリティカテゴリは完全に対応し、可用性と機密性も同様です。

処理の完全性に ISO の対応がない理由

処理の完全性は、システムがデータを完全に、正確に、適時に、かつ許可された方法で処理しているかを問うものです。具体的には、入力が検証されていること、処理エラーが検出されること、出力が正しい宛先に届くこと、保存データが一貫していることが求められます。これはセキュリティを取り巻く領域ではなく、サービス自体の正しさに関するものです。

ISO 27001 は情報セキュリティの規格です。情報の機密性、完全性、可用性を保護しますが、そこでの「完全性」は許可されていない変更からの保護を意味し、給与計算が全従業員の給与を正しく計算したかどうかを問うものではありません。附属書 A のどの管理策も、業務処理の妥当性確認を求めていません。そのため、顧客が決済、請求、給与、保険金支払い、データパイプラインなど、数値の正確さをシステムに依存している場合、成熟した ISMS があったとしても、処理の完全性は新たに取り組むべき作業になります。具体的には、入力検証、照合、エラー処理、出力管理を行い、その証跡を残す必要があります。

大半のプライバシー基準に ISO の対応がない理由

SOC 2 のプライバシー基準は、個人情報のライフサイクルに沿って並んでいます。通知（P1）、選択と同意（P2）、収集（P3）、利用・保持・廃棄（P4）、アクセスと訂正（P5）、開示（P6）、品質（P7）、モニタリングと苦情（P8）です。これらはセキュリティよりも、プライバシー管理プログラムの要件に近いものです。GDPR に近いと言えます。

ISO 27001 も一部には関係します。A.5.34 は個人データ保護に関する義務を特定し満たすことを求め、A.5.33 は記録の保護を扱い、A.8.10 は情報の削除を扱います。そのため、保持（P4.2）、廃棄（P4.3）、侵害通知（P6.6）は、理由を明記した編集上のリンクを通じて当サイトのデータにも対応付けられています。プライバシー通知、同意、データ主体のアクセス要求、開示記録などの残りの項目には、附属書 A の管理策がありません。

これらが必要な場合、ISO/IEC 27701 が ISMS をプライバシー情報管理システムへ拡張するもので、自然なパートナー規格です。GDPR 側については、GDPR のセキュリティ関連条項と ISO 27001 の比較をご覧ください。

対応方法

1. まず対象範囲を合意してください。 顧客が必要とする場合にのみ、処理の完全性またはプライバシーを含めます。多くの SOC 2 レポートは、セキュリティのみ、またはセキュリティに可用性と機密性を加えた範囲を対象としています。
2. 含める場合は、ISO の対応付け作業ではなく新規の管理策として扱ってください。 作成し、運用し、観察期間全体を通じて証跡を保管します。
3. それ以外は ISMS を再利用してください。 ISO 27001 → SOC 2 ギャップ分析レポートでは、すべての基準と対応する ISO の項目を一覧できます。1 セットの管理策を両方に使う方法については、当サイトの記事で仕組みを解説しています。

逆方向は事情が異なります。SOC 2 から ISO 27001 へ移行する場合、新たに必要になるのは管理体系そのものです。ISO 27001 と SOC 2 の比較では両方向を扱っています。

データについての注記

公開ライセンスの SOC 2 対応表は存在しないため、ここに示すすべての SOC 2 の対応付けは ControlMapping の編集上の判断であり、各要件のページに理由を明記しています。上記の件数は、現在のデータからその都度計算されています。

よくある質問

ISO 27001 は SOC 2 のプライバシー基準を対象としていますか？

ほぼ対象外です。ISO 27001 は個人データを情報として保護しますが（A.5.34）、プライバシー通知、同意、データ主体のアクセス、開示記録までは求めません。ISO/IEC 27701 は ISMS をプライバシー管理へと拡張するもので、より近い対応規格です。

SOC 2 レポートに処理の完全性を含める必要はありますか？

いいえ。必須なのはセキュリティカテゴリ（共通基準）のみです。顧客がシステムに対し、データを完全かつ正確に処理することを求める場合（例：決済や給与計算）には、処理の完全性を追加します。