NIST CSF 2.0 対 SOC 2：採用するフレームワークか、監査を受ける報告書か

Paul Gillet 別 · 更新日 2026-10-17

NIST CSF 2.0は任意で利用できる成果ベースのフレームワークで、目標プロファイルを自ら決め、それに照らして自組織を評価します。SOC 2は、AICPAの信頼のサービス規準に基づく独立したCPAによる保証報告書であり、北米の多くの顧客がSaaS事業者に調達時に求めるものです。

SOC 2のセキュリティ（Common Criteria）要件のほとんどには、CSFの対応する項目があります。論理アクセス、監視、インシデント対応、変更管理、リスク評価、ベンダー管理がそれにあたります。CSFに沿ったプログラムを構築すれば、監査人が検証するコントロールの大部分を備えられます。

CSFからSOC 2へ見ると、ほぼすべての共通要件に対応するCSFの項目があり、統制環境の要件（倫理、取締役会による監督、説明責任）も含まれます。これらはCSFの統治機能で扱われます。対応する項目がないのは、SOC 2の任意のカテゴリである処理のインテグリティとプライバシーで、セキュリティフレームワークにはほとんど対応項目がありません。SOC 2について機械可読な公開対応表は存在しないため、この比較におけるSOC 2側の対応づけは、ControlMappingの編集による対応づけです。

SOC 2からCSFへ見ると、ギャップは主にCSFのより広いガバナンスと回復力の成果に関するもので、リスク戦略、サプライチェーンリスク管理のライフサイクル、脅威インテリジェンスと改善のプロセスなどが含まれます。SOC 2はこれらを明示的に求めていません。

概要一覧

両者の関係

CSFは、優れたプログラムが達成すべき成果を示し、SOC 2は特定の統制が機能していることを顧客に証明します。多くの企業は、CSFでプログラムを構成し取締役会へ報告し、SOC 2で顧客へ証拠を提示しています。SOC 2にはオープンライセンスの対応表がないため、ここに示すすべてのSOC 2との対応づけは、理由を付したControlMappingの編集上の判断です。

誰がどちらを求めるか

• SOC 2 は顧客から求められるもので、主にソフトウェアやサービスの提供事業者を評価する米国の大企業です。「データを預けて信頼できるか」という問いに、独立した監査人の意見で答えるものです。
• NIST CSF 2.0 は、組織全体のサイバーリスクの管理方法を知りたい取締役会、規制当局、保険会社、パートナーから求められます。「CSF認証」を発行することはできず、代わりにプロファイルとその裏付けとなる証拠を示すことになります。
• 社内でCSFを用い、顧客向けにSOC 2報告書を作成する企業は増えています。両者は競合するものではなく、互いに補完し合います。

SOC 2に備えるためのCSFの活用

すでにCSFに基づくプログラムを運用しているなら、SOC 2のセキュリティ要件が検証する内容のほとんどはすでに備わっています。CSFの成果を信頼のサービス規準に対応づけたうえで、CSFでは自動的に求められない3点を確認してください。各統制が継続的に証拠を生成していること（SOC 2 Type IIは数か月にわたってサンプルを抽出します）、統制環境の要件（取締役会による監督、誠実性と倫理観、能力、説明責任）が網羅されていること、そしてシステムの記述が顧客の関心の境界と一致していることです。CSF → SOC 2 ギャップ分析レポートでは、すべての要件について、CSFとの対応項目と各対応の理由を一覧できます。

コストと工数

CSF自体は無料で、工数はプロファイルの評価と改善に費やされます。SOC 2では、CPA事務所への報酬が加わり、Type IIの場合は観察期間全体にわたって証拠を収集する規律が必要になります。成熟したCSFプログラムを持つ企業にとって、SOC 2の追加工数は主に証拠の収集、システムの記述、含めることにした任意のカテゴリへの対応です。ゼロから始める企業にとっては、先にCSFに沿って構築すると基盤がより広くなり、先にSOC 2に沿って構築すると顧客向けの成果物をより早く得られます。

スケジュール

稼働しているCSFプログラムから初回のSOC 2 Type II報告書を得るまでには、通常6〜9か月かかります。内訳は、統制のマッピング、ギャップの解消、監査人の選定に1〜3か月、その後3〜6か月の観察期間、報告書の作成に数週間です。逆方向では、SOC 2報告書を持つ企業は数週間でCSFの現在のプロファイルを作成できます。防御、検知、対応の成果はすでに証拠がそろっていることが多いためです。ただし統治機能が最も手間を要することが一般的です。

事例：フィンテック・スタートアップ

従業員30名のフィンテック企業は、決済APIについてSOC 2 Type IIの報告書を保有しています。取締役会とサイバー保険会社から、サイバーリスクをより広く管理しているかを問われるようになりました。同社はSOC 2の統制からCSF 2.0の現在のプロファイルを作成し、防御、検知、対応の大部分が十分に対応されていることを確認しました。一方で統治には、正式なリスク選好の文書がない、ベンダーアンケート以外のサプライチェーンリスクのプログラムがない、定期的な監督報告がない、というギャップがありました。同社は目標プロファイルを設定し、CSFの観点による四半期ごとの取締役会報告を追加し、SOC 2の監査サイクルはそのまま維持しました。統制の一式で両方の読み手に答えられるようになりました。

よくある誤り

• CSFに沿っていれば、SOC 2の準備も整っていると考えること。 CSFは一定期間にわたる継続的な証拠を求めず、Type II報告書はそれを検証します。
• 統制環境を無視すること。 SOC 2のCC1〜CC5の要件（取締役会による監督、誠実性、能力、説明責任）には、技術中心のCSFプログラムにはしばしば欠けている証拠が必要です。
• SOC 2報告書の対象範囲を過剰に広げること。 顧客が依拠するシステムではなく、CSFプログラム全体に合わせてしまうことです。
• プログラムを二重に運用すること。 一式の統制を双方向に対応づければ、証拠の重複を避けられます。
• 統治を最後に回すこと。 CSF 2.0の統治の成果は、SOC 2を先行させたプログラムで最も弱い部分になりがちで、取締役会が最も多く質問する部分でもあります。

要点

• CSFは目指すべき姿を示し、SOC 2は顧客に対して実際に運用していることを証明します。
• 証拠は継続的に収集してください。Type II報告書は監査期間全体にわたる証明を必要とします。
• 処理のインテグリティとプライバシーが対象範囲に含まれる場合は、それぞれ別のプロジェクトとして扱ってください。

この比較をダウンロード（CSV） ギャップ分析で開く →