フレームワーク
SOC 2 (Trust Services Criteria)
概要
サービス提供組織の統制について、Trust Services Criteriaに照らして報告するためのAICPAのフレームワークです。セキュリティ（常に対象に含まれます）に加え、任意で可用性、機密保持、処理のインテグリティ、プライバシーを含めることができます。
対象となる読者
データを預ける前に保証を必要とする顧客を抱える、サービス提供組織、特にソフトウェア企業およびクラウド企業が対象です。主に米国の顧客からの市場上の期待であり、法的要件ではありません。
評価方法
ライセンスを持つCPA事務所が統制を検証し、報告書を発行します。Type Iは特定の一時点における設計を対象とし、Type IIは通常3か月から12か月の期間にわたる運用の有効性を対象とします。認証書は発行されません。詳しくはSOC 2報告書の取得方法をご覧ください。
61
基準
41
他のフレームワークにマッピング済み
92%
カバーしているトピック（46/50）
AICPAのSOC 2対応表はオープンライセンスではないため、ここに掲載しているSOC 2のリンクはすべてControlMapping編集部による判断です。マッピングしていない基準は一致とはみなせません。処理の完全性（PI）基準と、プライバシー（P）基準の大半には、セキュリティフレームワークに相当する項目がありません。
比較一覧
要件
要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。
| ID | 要件 | トピック | マッピング先: |
|---|---|---|---|
| A1 Availability · 3 | |||
| A1.1 | Capacity management to meet availability commitments | 事業継続 | 13 件中 8 件 |
| A1.2 | Environmental protections, backups and recovery infrastructure | バックアップと復旧, 事業継続, ディザスタリカバリ | 13 件中 11 件 |
| A1.3 | Testing recovery plan procedures | 復旧計画, ディザスタリカバリ | 13 件中 10 件 |
| C1 Confidentiality · 2 | |||
| C1.1 | Identifying and protecting confidential information | データ分類 | 13 件中 9 件 |
| C1.2 | Disposing of confidential information | データ保護 | 13 件中 11 件 |
| CC1 Control environment · 5 | |||
| CC1.1 | Commitment to integrity and ethical values | ガバナンスポリシー | 13 件中 9 件 |
| CC1.2 | Board independence and oversight of internal control | 役割と責任 | 13 件中 9 件 |
| CC1.3 | Structures, reporting lines, authorities and responsibilities | 役割と責任 | 13 件中 9 件 |
| CC1.4 | Commitment to attracting, developing and retaining competent people | 意識向上とトレーニング | 13 件中 10 件 |
| CC1.5 | Accountability for internal control responsibilities | 役割と責任 | 13 件中 9 件 |
| CC2 Communication and information · 3 | |||
| CC2.1 | Quality information to support internal control | — | 13 件中 1 件 |
| CC2.2 | Internal communication of objectives and responsibilities | 意識向上とトレーニング | 13 件中 10 件 |
| CC2.3 | Communication with external parties | コミュニケーション, 報告, 連絡と復旧 | 13 件中 12 件 |
| CC3 Risk assessment · 4 | |||
| CC3.1 | Objectives specified clearly enough to identify risks | リスクマネジメント, 事業環境 | 13 件中 10 件 |
| CC3.2 | Risk identification and analysis | リスクアセスメント | 13 件中 10 件 |
| CC3.3 | Considering the potential for fraud | リスクアセスメント | 13 件中 10 件 |
| CC3.4 | Identifying and assessing significant changes | リスクアセスメント | 13 件中 10 件 |
| CC4 Monitoring activities · 2 | |||
| CC4.1 | Ongoing and/or separate evaluations of controls | コンプライアンス | 13 件中 10 件 |
| CC4.2 | Communicating and remediating control deficiencies | コンプライアンス | 13 件中 10 件 |
| CC5 Control activities · 3 | |||
| CC5.1 | Control activities that mitigate risks | リスクマネジメント | 13 件中 10 件 |
| CC5.2 | General controls over technology | 安全な構成 | 13 件中 9 件 |
| CC5.3 | Control activities deployed through policies and procedures | ガバナンスポリシー | 13 件中 9 件 |
| CC6 Logical and physical access · 8 | |||
| CC6.1 | Logical access security over information assets | 資産管理, アクセス制御, 多要素認証, 暗号化 | 13 件中 13 件 |
| CC6.2 | User registration, authorization and removal | アクセス制御 | 13 件中 11 件 |
| CC6.3 | Role-based access, least privilege and segregation of duties | アクセス制御, 特権アクセス | 13 件中 12 件 |
| CC6.4 | Physical access restrictions | 物理的セキュリティ | 13 件中 8 件 |
| CC6.5 | Protection of data when assets are disposed of | データ保護 | 13 件中 11 件 |
| CC6.6 | Protection against threats from outside system boundaries | ファイアウォール / ネットワークセグメンテーション, Web セキュリティ, ゼロトラスト, WAF | 13 件中 9 件 |
| CC6.7 | Restricting transmission, movement and removal of information | 暗号化, モバイルセキュリティ, DLP | 13 件中 11 件 |
| CC6.8 | Preventing or detecting unauthorized or malicious software | エンドポイント保護, メールセキュリティ | 13 件中 10 件 |
| CC7 System operations · 5 | |||
| CC7.1 | Detecting configuration changes and new vulnerabilities | 脆弱性管理, パッチ管理, 安全な構成 | 13 件中 13 件 |
| CC7.2 | Monitoring system components for anomalies | 継続的モニタリング, ログ記録と監査, 侵入検知, 異常検知 | 13 件中 11 件 |
| CC7.3 | Evaluating security events to determine if they are incidents | SIEM / SOC, インシデント対応 | 13 件中 12 件 |
| CC7.4 | Responding to identified security incidents | インシデント対応, フォレンジック, 緩和策 | 13 件中 12 件 |
| CC7.5 | Recovering from identified security incidents | 復旧計画, 教訓の反映, 連絡と復旧 | 13 件中 11 件 |
| CC8 Change management · 1 | |||
| CC8.1 | Change management for infrastructure, data and software | セキュア開発 | 13 件中 8 件 |
| CC9 Risk mitigation · 2 | |||
| CC9.1 | Mitigating risks from business disruptions | リスクマネジメント, 事業継続 | 13 件中 10 件 |
| CC9.2 | Managing vendor and business partner risk | サプライチェーンリスク, クラウドセキュリティ, ベンダーリスク管理 | 13 件中 12 件 |
| P Privacy · 18 | |||
| P1.1 | Privacy notice | — | なし |
| P2.1 | Choice and consent | — | なし |
| P3.1 | Collection limited to privacy objectives | — | なし |
| P3.2 | Explicit consent where required | — | なし |
| P4.1 | Use limited to privacy objectives | — | なし |
| P4.2 | Retention of personal information | — | 13 件中 1 件 |
| P4.3 | Disposal of personal information | — | 13 件中 1 件 |
| P5.1 | Data subject access | — | なし |
| P5.2 | Correction of personal information | — | なし |
| P6.1 | Disclosure to third parties with consent | — | なし |
| P6.2 | Record of authorized disclosures | — | なし |
| P6.3 | Record of unauthorized disclosures | — | なし |
| P6.4 | Privacy commitments from third parties | — | なし |
| P6.5 | Notification by third parties of unauthorized disclosures | — | なし |
| P6.6 | Breach notification to affected individuals | — | 13 件中 1 件 |
| P6.7 | Accounting of disclosures to data subjects | — | なし |
| P7.1 | Quality of personal information | — | なし |
| P8.1 | Handling privacy inquiries, complaints and disputes | — | なし |
| PI1 Processing integrity · 5 | |||
| PI1.1 | Information about processing objectives | — | なし |
| PI1.2 | Controls over system inputs | — | なし |
| PI1.3 | Controls over system processing | — | なし |
| PI1.4 | Controls over system outputs | — | なし |
| PI1.5 | Storing inputs, items in processing and outputs | — | なし |
トピックのカバレッジ
SOC 2のマッピング済み要件を持つトピック（46件）:
ガバナンスポリシー意識向上とトレーニングリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメント事業環境データ分類脆弱性管理アクセス制御多要素認証暗号化データ保護バックアップと復旧特権アクセスファイアウォール / ネットワークセグメンテーションエンドポイント保護パッチ管理安全な構成セキュア開発メールセキュリティWeb セキュリティゼロトラストモバイルセキュリティクラウドセキュリティWAFDLP継続的モニタリングログ記録と監査侵入検知異常検知SIEM / SOCインシデント対応フォレンジックコミュニケーション緩和策報告復旧計画事業継続教訓の反映連絡と復旧ディザスタリカバリベンダーリスク管理物理的セキュリティ
当サイトのデータにはマッピングがありません SOC 2 の要件なし（4）: