ISO 27001 と SOC 2 の比較：引き継げるものと引き継げないもの

Paul Gillet 別 · 更新日 2026-10-17

ISO/IEC 27001 と SOC 2 は、「貴社にデータを預けて安心できるか？」という同じ顧客の問いに、異なる方法で答えるものです。ISO 27001 はマネジメントシステムに対する認証で、認定認証機関が、貴社が条項 4〜10 の要求事項を満たす情報セキュリティマネジメントシステム（ISMS）を運用していること、そして適用宣言書（Statement of Applicability）において附属書 A の 93 の管理策のうちどれを適用するかを決定していることを確認します。SOC 2 は保証報告で、CPA 事務所が、貴社の管理策が AICPA のトラストサービス規準（Trust Services Criteria）を満たしているかどうかを報告します。Type II 報告書は、一定期間（通常 3〜12 か月）にわたって管理策がどのように運用されたかを対象とします。

技術的な重複は大きいです。アクセス制御、ログ記録と監視、変更管理、脆弱性管理、インシデント対応、サプライヤー管理、バックアップはどちらにも含まれており、一方のために行うセキュリティ業務の多くは、もう一方にも有効です。違いは管理策そのものではなく、構造と重点の置き方にあります。

SOC 2 から ISO 27001 へ移行する場合、実質的に追加の作業となるのはマネジメントシステムです。ISO では、定義された ISMS の適用範囲、情報セキュリティ目標、管理下にある文書化された情報、適用宣言書を伴うリスクアセスメントおよびリスク対応プロセス、内部監査、マネジメントレビューが求められます。以下の比較で「対応なし」と表示される ISO の条項がこれに当たります。加えて、SOC 2 の監査人がクラウドのみの企業では軽く扱うことが多い、一部の附属書 A 管理策（特に物理的セキュリティ）も対象になります。

ISO 27001 から SOC 2 へ移行する場合、統制環境に関するもの（取締役会による監督、誠実性と倫理観、説明責任）を含め、ほぼすべてのセキュリティ規準に ISO の対応項目があります。新たな作業は、貴社が対象に含める任意のカテゴリにあります。処理の完全性（Processing Integrity）と、プライバシー規準のほとんどには ISMS に相当するものがなく、当サイトのデータにはマッピングがありません。例外は保存、廃棄、違反通知で、これらは ISO の記録、削除、インシデントに関する管理策が部分的にカバーしています。可用性と機密性は、通常、ISO が既に求めている内容に近いものです。

概要一覧

どちらが必要か？

まず誰が求めているかから始めてください。米国の大企業の顧客がセキュリティ質問票で「貴社の SOC 2」を求めている場合、SOC 2 Type II 報告書があれば商談を成立させられます。ISO 認証書も受け入れられることが多いものの、常にそうとは限りません。顧客が欧州、アジア、公共部門にいる場合、あるいは入札要件に ISO/IEC 27001 が記載されている場合は、認証書が想定される回答です。海外で販売するソフトウェア企業の多くは、最終的に両方を取得しています。

まだ誰も求めていない場合、ISO 27001 の方がより持続性の高いプログラムを構築できます。マネジメントシステムはリスクアセスメント、目標設定、内部監査、マネジメントレビューを義務づけるためです。特定の商談がそれに依存している場合は、SOC 2 の方が最初の成果物までが早く得られます。

二度手間をかけずに両方に対応する方法

1. 管理策のセットを一つにまとめる。 各管理策を附属書 A の管理策とトラストサービス規準の両方に対応づけます。下の比較表で、それらがどこで一致するかを確認できます。
2. ISMS は一度だけ文書化する。 適用範囲、リスクアセスメント、適用宣言書、内部監査、マネジメントレビューは ISO の要求事項ですが、SOC 2 の監査人が求める CC1〜CC5 のガバナンスに関する証跡にもなります。
3. 証跡は継続的に収集する。 SOC 2 Type II は対象期間全体にわたって証跡をサンプリングするため、そのために収集した証跡は ISO のサーベイランス監査にも使えます。
4. 監査スケジュールを揃える。 一部の審査機関は、併用または連続した監査を提供しています。SOC 2 の対象期間を ISO のサーベイランスサイクルに合わせると、業務の中断が減ります。
5. 双方向のギャップに注意する。 SOC 2 では、対象に含まれる場合にプライバシーと処理の完全性が加わります。ISO では、クラウドのみの SOC 2 の対象範囲が軽く扱う、マネジメントシステムの条項と物理的セキュリティが加わります。

コストと工数

どちらにも固定料金はありません。外部費用（認証機関または CPA 事務所）は、対象範囲、人員数、拠点によって変わり、通常は社内の工数やツールの費用より小さくなります。初めて取得する小規模企業の場合は、プログラムを担当する人員による数か月分の非常勤作業に加え、監査費用を見込んでください。両方に対応する場合でも、ほとんどの管理策と証跡が共通のため、どちらか一方の二倍よりはコストを抑えられます。

両方に対応する場合の現実的なスケジュール

SOC 2 から始めるソフトウェア企業の典型的な流れ：

1. 1〜3 か月目：準備。 システムの範囲を定義し、ポリシーを作成し、ギャップ分析で見つかったギャップを解消し、CPA 事務所を選定します。
2. 3 か月目：Type I（任意）。管理策の設計と導入が完了次第実施します。
3. 3〜9 か月目：初回の Type II 観察期間。 通常 3〜6 か月で、期間終了後数週間で報告書が発行されます。
4. 6〜12 か月目：ISMS の追加。 ISO の適用範囲を定義し、リスクアセスメントを実施し、適用宣言書を作成して、内部監査とマネジメントレビューを行います。附属書 A の管理策の多くは、既に SOC 2 のために運用されています。
5. 10〜14 か月目：ISO の第1段階および第2段階監査。

ISO 27001 から始める場合は順序が逆になります。認証取得までに 6〜12 か月かかり、その後に SOC 2 の準備状況確認と 3〜6 か月の観察期間が続きます。いずれの場合も、二つ目のフレームワークは最初のものの数分の一の時間で済みます。

作業例：従業員 50 名の SaaS 企業

従業員 50 名の B2B ソフトウェア企業を想定します。この企業は、セキュリティ、可用性、機密性を対象とする SOC 2 Type II 報告書を保有しています。欧州の大手顧客が、新たに ISO 27001 認証を求めています。

引き継げるもの： アクセス制御、変更管理、ログ記録と監視、脆弱性管理、インシデント対応、ベンダー管理、バックアップと事業継続。この企業は既にこれらの管理策を運用し、証跡を収集しているため、ほぼそのまま適用宣言書に組み込めます。

新たに必要なもの： ISMS そのものです。この企業には、文書化された適用範囲（製品、そのインフラ、それを運用するチームが該当する可能性が高い）、測定指標を伴う情報セキュリティ目標、正式なリスクアセスメント方法と台帳、正当な理由を付した除外事項を含む適用宣言書、作業担当者から独立した者による内部監査、議事録付きのマネジメントレビューが必要です。また、附属書 A の一部の管理策にも対応が必要です。典型的にはオフィスの物理的セキュリティと脅威インテリジェンスです。

費用： 主に ISMS を所管する担当者の工数に加え、認証機関への費用、そして独立した人員が社内にいない場合は外部の内部監査人の費用です。管理策と証跡が既に存在するため、二つ目のフレームワークは最初のものよりはるかに低コストで済みます。

要点

• 管理策のセットを一つ運用し、証跡は二つのフレームワーク向けに提示する。各管理策を、附属書 A の管理策とトラストサービス規準の両方に対応づけてください。
• SOC 2 → ISO：ISMS そのもの（適用範囲、目標、リスク対応、SoA、内部監査、マネジメントレビュー）に予算を充てる。新たな技術的管理策のための予算は不要です。
• ISO → SOC 2：任意のカテゴリのうち、どれを対象に含めるかを早期に決定してください。新たな作業が生じるのはプライバシーと処理の完全性です。

この比較をダウンロード（CSV） ギャップ分析で開く →