SOC 2とISO 27001で統制セットを共通化し、同じ作業を二度行わずに済ませる

ソフトウェアを国際的に販売する企業は、米国の顧客向けにSOC 2レポート、それ以外の地域向けにISO 27001認証を求められ、結果的に両方を持つことがよくあります。2つのプロジェクトとして別々に進めると、ポリシーを2セット書き、同じ証跡を2回集め、重複する監査を2回受けることになります。1つの統制セットから運用すれば、2つ目のフレームワークの費用は1つ目のごく一部で済みます。

その設定方法は以下のとおりです。

重複する部分

方向	マッピング済み	緩やかに関連	マッピングなし
ISO 27001 を保有、SOC 2 が必要	61 件中 41 件 (67%)	0	20	レポート →
SOC 2 を保有、ISO 27001 が必要	123 件中 98 件 (80%)	21	4	レポート →

SOC 2からISO 27001へ見ると、ほぼすべての附属書Aの管理策とISMSの箇条がSOC 2の基準に対応します。対応先がないのは少数で、ISOのマネジメントシステム上の仕組み、つまりISMS自体の定義と文書化された情報の管理がこれにあたります。逆方向では、ISOに対応先がないSOC 2の基準は任意のカテゴリであるプライバシーと処理の完全性だけで、セキュリティの基準はすべて対応付けられます。

したがって、重なるのはセキュリティ管理策の部分です。違いは構造にあります。ISOは管理策を取り巻くマネジメントシステムを求め、SOC 2は一定期間にわたって管理策が運用されていたことの証跡を求めます。

ステップ1：基準となる骨格を選ぶ

共通の統制セットには、すべてが対応付けられる主たる構造が1つ必要です。認証を取得済みまたは取得予定であれば、ISO 27001の附属書Aを骨格にしてください。適用宣言書がすでに各管理策とその理由を一覧にしているためです。主な成果物が報告書であれば、SOC 2の基準を使います。どちらでも構いませんが、重要なのは、すべての管理策に帰属先が1つあることです。

ステップ2：各管理策を1回だけ記述する

管理策ごとに、次の内容を含む記録を1件作成します。

• 何をしているかの平易な記述（「本番環境へのアクセスは、システムオーナーが承認し、四半期ごとにレビューされるチケットを経て許可される」）。
• オーナーと頻度。
• 満たすフレームワークの参照先（例：ISOのA.5.15とA.5.18、SOC 2のCC6.1～CC6.3）。
• 生成される証跡と、その証跡の保管場所。

参照先は、当サイトのようなマッピングから取得します。アクセス制御の場合は次のようになります。

フレームワーク	アクセス制御	リンク
NIST CSF 2.0	PR.AA-01PR.AA-05	トピックの定義
ISO 27001	A.5.15A.5.16A.5.18A.8.3	対応表
CIS v8.1	CIS 5.1CIS 6.1CIS 6.2CIS 6.7CIS 6.8CIS 3.3CIS 5.2CIS 5.3CIS 5.5CIS 5.6CIS 6.6CIS 12.5	対応表
SOC 2	CC6.1CC6.2CC6.3	編集
PCI DSS	7.2.17.2.27.2.48.2.1	対応表
CMMC	AC.L2-3.1.1AC.L2-3.1.2	対応表
800-53	AC-2AC-3	対応表
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	対応表
GDPR	Art.25(2)Art.32(1)(b)	編集
NIS2	11.111.211.5	対応表
Essential Eight	—	当サイトのデータにはマッピングがありません

各リンクの詳細と根拠： アクセス制御 のフレームワーク横断 →

ステップ3：証跡は一度収集し、二重にタグ付けする

SOC 2 Type IIの監査人は、観察期間全体からチケット、レビュー、スキャン、教育記録などの証跡をサンプリングします。ISOのサーベイランス監査人も同種の記録を求めます。各証跡は一箇所で一度だけ収集し、その管理策が持つフレームワーク参照をすべてタグとして付与してください。

ステップ4：スケジュールを揃える

• SOC 2の観察期間は、管理策を導入した当日ではなく、数週間稼働させた後に開始してください。
• ISOの内部監査とマネジメントレビューは、SOC 2の期間内に記録が生成されるように計画します。これらはSOC 2の共通規準にとっても優れたガバナンスの証跡になります。
• 2つの監査の現地作業を調整できるか監査人に確認してください。調整できない場合でも、2つの監査を近い時期に実施すれば、証跡の依頼は1回で済みます。

ステップ5：それぞれが残すギャップを埋める

SOC 2 → ISO 27001 ギャップ分析レポートと、その逆方向のレポートを実行してください。次の2種類の新たな作業が発生すると見込んでください。

• ISO向け：マネジメントシステム。適用範囲、目標、リスクアセスメントとリスク対応、適用宣言書、内部監査、マネジメントレビュー、是正処置。
• SOC 2向け：含めることにした任意のカテゴリ、そして1つの期間を通じて証跡を継続的に保管する習慣。

ISO 27001とSOC 2の比較では、両方向のすべての要件を一覧にしています。監査そのものについては、SOC 2とISO 27001の各ガイドで扱っています。

マッピングについての注記

公開ライセンスで提供されているSOC 2の対応表は存在しないため、当サイトのSOC 2へのリンクはすべてControlMappingの編集上の判断によるもので、その理由を併記しています。マッピングは統制セットの設計に使い、依拠する前に詳細を監査人と確認してください。

よくある質問

1人の監査人でSOC 2とISO 27001を同時に実施できますか？

CPA業務とアクレディテーションを受けた認証機関の両方を持ち、監査を調整する事務所もありますが、成果物がSOC 2レポートとISO 27001認証の2つであるため、監査は依然として2件の業務です。

SOC 2とISO 27001のどちらを先に取得すべきですか？

顧客が先に求めるほうです。ここで説明した共通の統制セットを構築していれば、2つ目は主に、ISOの場合はマネジメントシステムの条項を、SOC 2の場合は証跡の運用期間と任意の基準を追加するだけで済みます。