SOC 2レポートの取得方法

Paul Gillet 別 · 更新日 2026-10-17

お客様から「SOC 2に準拠していますか？」と問われた場合、求められているのはSOC 2レポートです。これは、独立したCPA事務所による、貴社の統制に関する意見表明であり、AICPAの保証業務基準に基づいて発行されます。SOC 2の認証書や合否基準はありません。レポートには、貴社のシステム、統制、および監査人によるテストの内容が記載されており、お客様のセキュリティチームはそれを読み、データを預けてよいかを判断します。

レポートの対象範囲

SOC 2は、貴社の統制をAICPAのTrust Services Criteria（2017年版、2022年に着眼点を改訂）に照らしてテストします。カテゴリーは5つあります：

• Security（共通の規準、CC1～CC9）：常に対象に含まれます。ガバナンス、リスク評価、モニタリング、論理的および物理的アクセス、運用、変更管理、ベンダーリスクが含まれます。
• Availability（A1）：キャパシティ、バックアップ、復旧。お客様がサービスの稼働に依存している場合に追加します。
• Confidentiality（C1）：機密情報の識別と廃棄。顧客データを保持するBtoB製品で一般的です。
• Processing Integrity（PI1）：処理の完全性、正確性、適時性。決済、給与計算、データ処理サービスに関連します。
• Privacy（P1～P8）：個人情報の通知、同意、保存、開示。セキュリティ系フレームワークでカバーされることは少なく、GDPR（EU一般データ保護規則）が最も近い対応関係にあります。

初回のレポートの多くは、Securityのみ、またはSecurityにAvailabilityとConfidentialityを加えた構成です。カテゴリーは既定で追加するのではなく、お客様から要望があったときに追加してください。カテゴリーを増やすたびに、運用すべき統制と収集すべきエビデンスが増えるためです。

Type IかType IIか？

• Type Iレポートは、特定の一時点において、統制が適切に設計され、整備されていたことを示します。取得は早く、商談を待てない場合の第一段階として有用です。
• Type IIレポートは、統制が一定期間にわたり設計どおりに運用され、有効に機能していたことを示します。期間は通常3～12か月です。統制が実際に機能していることを示すため、ほとんどのお客様のベンダーリスク担当部門が実際に求めるものです。

一般的な進め方は、準備が整い次第Type Iを取得し、その後3～6か月の期間を対象とする初回のType IIを取得し、以降は12か月を対象とする年次のType IIレポートを取得する流れです。

手順

1. 対象システムの定義：お客様が購入する製品またはサービスと、それを支えるインフラ、人員、プロセス、データを定めます。お客様が依存する範囲に絞ってください。スコープを絞ると、運用コストが下がり、説明もしやすくなります。
2. 基準の選定：Securityに加え、お客様から要望のあるカテゴリーを選びます。
3. 基準に対する準備状況の評価：ほかのフレームワークに既に準拠している場合はギャップ分析を利用し、その後CPA事務所または助言者と確認します。
4. ギャップの解消と文書化：ポリシー、リスク評価、アクセスレビュー、変更管理、ベンダーレビュー、インシデント対応、入社・離任時の手続き、バックアップなどを整備します。監査人は、貴社が「やっている」と述べていることと実際の運用を照合するため、文書は実態と一致している必要があります。
5. CPA事務所の選定：SOC 2レポートを発行できるのは、ライセンスを持つCPA事務所のみです。貴社と同様の企業での経験、監査人の技術的な深さ、エビデンスの収集方法を比較してください。
6. 任意のType I：監査人が特定時点における設計と整備状況を確認します。
7. Type IIの観察期間の実施：すべての統制を運用し、その過程でエビデンスを保管します。
8. 現地監査とレポート発行：監査人は期間中のエビデンスをサンプリングし、例外事項があれば貴社と協議したうえで、通常は期間終了後数週間でレポートを発行します。
9. 継続運用：SOC 2レポートは過去を対象とするため、お客様は毎年新しいレポートを求めます。期間の間に空白が生じないようにしてください。

一般的なスケジュール

セキュリティの基本的な管理が概ね整っている小規模なソフトウェア企業の場合、準備と是正には通常1～3か月かかります。その後すぐにType Iを取得でき、初回のType IIはさらに3～6か月後に得られます。対象範囲が広い場合、カテゴリーが多い場合、プロセスが成熟していない場合は、各段階に時間がかかります。「数週間でSOC 2を取得」といったベンダーの約束は、Type Iについての約束と捉えてください。

監査人が求めるエビデンス

Type IIのテストは、主にサンプリングによって行われます。観察期間から、次のような要求が想定されます：

• 新規入社者と離職者について、アクセス権が承認に基づいて付与され、適時に削除されたことを示す証跡；
• 主要システムに対する定期的なユーザーアクセスレビュー；
• 本番環境への反映前に、レビュー、テスト、承認が行われたことを示す変更チケット；
• 脆弱性スキャンとペネトレーションテストの結果、およびその是正状況；
• リスク評価と、経営陣によるそのレビュー；
• 重要サプライヤーのデューデリジェンス記録；
• インシデントチケット、およびインシデント対応訓練の実施記録；
• バックアップとリストアのテスト、ならびにモニタリングアラートとその後の対応；
• セキュリティ意識向上トレーニングの記録と署名済みポリシー。

見落とされやすい点

• 再委託先組織：クラウドプロバイダーの統制は貴社の統制ではありません。多くのレポートは切り出し方式（carve-out）を用います。これは、プロバイダーを明記し、そのSOC 2レポートに依拠するとともに、貴社がそれをレビューしていることを示す方法です。
• 相補的ユーザー組織統制（CUEC）：レポートには、お客様自身が運用しなければならない統制が記載されます。たとえば、お客様自身のユーザー管理などです。現実的に運用できる内容にしてください。
• 例外事項：Type IIには例外事項（不合格となったサンプル）が含まれる場合がありますが、それでも有用なレポートです。例外を隠すのではなく、経営陣の回答で明確に説明してください。
• スコープの拡大（スコープクリープ）：対象範囲内のすべてのシステムは、期間中のすべての日において、すべての統制を満たしている必要があります。

当サイトの活用方法

ControlMappingは、すべてのSOC 2の規準を、対象となる他のフレームワークに対応付けるため、既存の取り組みがどこまで引き継げるかを確認できます。規準の本文はAICPAの著作物であるため、当サイトでは独自の一行要約を掲載しています。また、SOC 2へのすべてのリンクはControlMappingの編集上の判断によるもので、その理由を併記しています。AICPA自身のマッピングはオープンライセンスではないためです。計画の策定に活用してください。監査証跡としては使用しないでください。

別のフレームワークもお持ちですか？

すでに従っている可能性のあるフレームワークの要求事項が、SOC 2 の要求事項にいくつ対応するかを示しています。要求事項ごとの一覧は、ギャップレポートを開いてご確認ください。

対応表 公開されたクロスウォーク（NIST、ENISA、CIS、PCI SSC）によって関連付けられたもの · 編集 対応するクロスウォークが存在しない箇所における ControlMapping の判断（理由を表示） · 緩やかに関連 CSF 2.0のアウトカムを1つ共有するのみ：確認の価値はあるが、マッピングではありません · 当サイトのデータにはマッピングがありません 当サイトのデータではマッピングされていません。新規の取り組みであることが多いですが、カバレッジに関する注記を確認してください. 件数は ギャップ分析 と同じデータに基づきます。マッピングとは関連する要求事項があることを意味し、一方が他方を満たしていることを証明するものではありません。

よくある質問

SOC 2は認証ですか？

いいえ。SOC 2レポートは保証業務（アテステーション）であり、CPA事務所による貴社の統制に関する意見表明です。「SOC 2認証を取得」という表現は一般的に使われていますが、誰も「SOC 2認証」を受けているわけではありません。

SOC 2のType IとType IIのどちらが必要ですか？

ほとんどのお客様はType IIを求めます。Type IIは、一定期間にわたって統制が運用されていたかをテストするためです。Type IIの観察期間の進行中にお客様がType Iを受け入れてくれる場合、Type Iは妥当な第一段階です。

SOC 2は法律で義務付けられていますか？

いいえ。SOC 2は市場の期待であり、主に米国のお客様のベンダーリスク管理プロセスから求められるものです。契約によって、貴社に義務付けられる場合があります。

法律または準拠に関する助言ではありません。利用に先立ち、正式な原文と、監査人、評価者、規制当局にご確認ください。