SOC2（ソックツー）とは、AICPA（American Institute of Certified Public Accountants：米国公認会計士協会）が定めたトラストサービス規準（Trust Services Criteria）に基づき、クラウドサービス事業者などのセキュリティ体制を監査法人が評価した保証報告書です。
ISMS（Information Security Management System：情報セキュリティマネジメントシステム）認証のような「認証資格」とは異なり、セキュリティや可用性など5つの規準について統制の詳細までレポートとして開示される点が特徴です。
この記事では、SOC2の基本的な仕組みからISMS認証との違い、取得の意義、取得までの具体的な流れまでを解説します。
Webアプリケーションやプラットフォームの脆弱性診断を専門とするユービーセキュアは、SOC2取得に向けたセキュリティ統制の評価も支援できます。統制の有効性をどう確認すればよいか迷っている段階でも、まずはお気軽にお問い合わせください。
保証報告書としてのSOC2の位置づけ
SOC2の上位概念であるSOC（System and Organization Controls）は、AICPA（米国公認会計士協会）が策定した外部監査（保証）の枠組みです。もともとは「Service Organization Controls（受託会社の内部統制）」の略でしたが、2017年に「System and Organization Controls」として定義し直され、受託会社以外の組織も対象にできるようになりました。
現在のSOCには、SOC1（財務報告に関わる内部統制）、SOC2、SOC3のほか、SOC for Cybersecurity、SOC for Supply Chainが含まれます。その評価軸となるトラストサービス規準は、AICPAとCICA（当時のカナダ勅許会計士協会）が共同開発しました。SOC2は、この枠組みのうちサービス提供事業者のセキュリティ統制を対象とするレポートにあたります。
5つのトラストサービス規準
SOC2の評価対象は5つのトラストサービス規準ですが、すべてを対象に含める必要はありません。
必須なのは「セキュリティ」のみで、残る4つ（可用性・処理のインテグリティ・機密保持・プライバシー）は、自社のサービス特性や顧客の要求に応じて選択して組み込みます。
1. セキュリティ
情報とシステムが、不正アクセス、情報の不正な開示、およびシステムへの損害から保護できているかを評価する規準です。ほぼすべてのSOC2レポートに共通して含まれる基盤であり、アクセス制御やネットワーク保護、インシデント対応などの統制がここに含まれます。
共通規準は、統制環境・情報と伝達・リスク評価・モニタリング・統制活動という内部統制の基本要素に加えて、論理／物理アクセス制御、システム運用、変更管理、リスク低減の各領域で構成されています（※1）。
2. 可用性
情報とシステムが、事業者の目的（SOC2では顧客への契約上のコミットメントとシステム要件）を満たす形で利用できる状態にあるかを評価します。バックアップや障害復旧の体制、稼働監視の仕組みなどが対象となり、SaaSのように継続稼働が前提のサービスで重視されます。
3. 処理のインテグリティ
システムの処理が完全・妥当・正確・適時に行われ、認可された内容どおりに実行されているかを評価します。
データの入力から出力までの過程で改ざんや欠落が起きない統制が問われるため、決済や取引処理を担うサービスと相性の良い規準です。評価は組織全体ではなく、対象となるシステムや業務機能の単位で行われるのが一般的です。
4. 機密保持
機密として扱うべき情報が適切に保護され、限られた範囲にのみ開示されているかを評価します。
暗号化やアクセス権限の管理に加えて、保存期間の管理と不要になった情報の確実な廃棄を通じて、法令・規制または契約で機密扱いが求められる情報を守れているかが焦点となります。機密情報には、営業秘密や知的財産のほか、個人情報が含まれることもあります。
5. プライバシー
個人情報の収集・利用・保管・開示・廃棄が、事業者が掲げるプライバシー上の目的に沿って行われているかを評価します。
規準は取扱いルールの遵守だけでなく、本人への通知、選択と同意の取得、本人からの開示・訂正請求への対応、保有する個人情報の正確性の維持、侵害発生時の通知、遵守状況のモニタリングまでを含む8つの領域で構成されています。機密保持が広く秘密情報全般を対象とするのに対し、こちらは個人情報に特化している点が違いです。
さらに、これら5つの規準に加えてCSA CCM（Cloud Security Alliance Cloud Controls Matrix）やFISC安全対策基準といった追加のフレームワークを組み込んだ「SOC2+」と呼ばれる拡張レポートもあります。業界特有の要求に応えたい場合の選択肢になります。
Type1とType2の違い
SOC2レポートには、統制を評価する切り口の異なるType1とType2の2種類があります。
Type1は特定時点における統制の「設計」が適切かを評価し、Type2は同じ設計の適切性に加えて、一定期間にわたる統制の「運用」が有効に機能していたかまでを評価します。つまりType2はType1の評価範囲を含んでおり、両者は別々の観点というより評価範囲の広さが異なります。
| 比較軸 | Type1 | Type2 |
|---|---|---|
| 評価対象 | 特定時点の統制の設計 | 統制の設計に加えて、一定期間にわたる運用状況 |
| 評価期間 | ある一時点（基準日） | 一定期間（実務上は3〜12ヶ月、6〜12ヶ月が主流） |
| 証明する内容 | 統制が適切に設計されていること | 統制が設計どおりに運用され続けたこと |
| 監査人によるテストの記載（※1） | なし | 実施したテスト手続とその結果を詳細に記載 |
Type1のレポートには、運用の有効性についての監査人の意見も、実施したテスト手続とその結果の記載も含まれません。この点が、取引先の審査でType2が重視される直接の理由です。
取引先からは、継続的な運用の信頼性まで確認できるType2を求められることが多くなっています。ただしType2は一定期間の運用実績が前提となるため、まずType1で設計の妥当性を固め、その後Type2へ移行する段階的な進め方が現実的な選択となります。
※1 AICPA & CIMA｜「2017 Trust Services Criteria (With Revised Points of Focus – 2022)」2022年
SOC2とSOC1・SOC3は何が違う？ SOCレポート3種類の整理
SOCレポートにはSOC1・SOC2・SOC3の3種類があり、それぞれ評価する対象と想定する読み手が異なります。
| 比較軸 | SOC1 | SOC2 | SOC3 |
|---|---|---|---|
| 評価対象 | 財務報告に関する内部統制 | セキュリティ・可用性・処理のインテグリティ・機密保持・プライバシーの5領域 | SOC2と同じ5領域 |
| 評価基準 | 経営者が設定した統制目標 | トラストサービス規準（AICPA） | トラストサービス規準（AICPA） |
| 想定利用者 | 委託企業の監査人・財務担当 | 委託企業やその監査人など限定された関係者 | 不特定多数（一般公開） |
| 公開範囲 | 限定的（統制の詳細を含む） | 限定的（統制の詳細を含む） | 一般公開（統制の詳細は含まない要約） |
| Type1/Type2 | あり | あり | なし |
SOC1は財務報告に影響する内部統制を対象とするため、決算監査の文脈で使われるレポートです。
一方、SOC2はセキュリティを含む5領域を対象とし、統制の詳細まで含んだ報告書を取引先に提示できます。ただし、SOC2は利用者を限定した報告書であり、誰にでも配布できるものではありません。実務上は秘密保持契約を結んだうえで提供するのが一般的です。
SOC3はSOC2と同じ領域を評価しますが、一般公開向けに要約された内容で、個別の統制情報までは含みません。Webサイトなどで対外的にセキュリティへの取り組みを示す用途に向いています。
SOC2とISMS認証はどう違う？ 他のセキュリティ評価制度との比較
国内で馴染みのあるISMS認証（ISO/IEC 27001）やISMAPと、SOC2は何が違うのでしょうか。いずれもセキュリティに関わる制度ですが、評価対象・目的・情報の開示範囲が異なります。
ISMS認証（ISO27001）との違い
ISMS認証は、あらゆる組織を対象に情報セキュリティマネジメントシステムがISO/IEC 27001に準拠しているかを認証する制度です。これに対しSOC2は、受託会社が提供するサービスの統制に特化した保証報告書であり、認証の合否ではなく統制の状況そのものをレポートとして示します。
| 比較軸 | SOC2 | ISMS認証（ISO27001） |
|---|---|---|
| 対象組織 | 受託会社の特定のサービス | あらゆる組織のマネジメントシステム |
| 評価基準 | トラストサービス規準 | ISO/IEC 27001:2022（JIS Q 27001:2023） |
| 目的 | サービスの統制状況を取引先へ具体的に示す | 組織的な情報セキュリティ管理の準拠を認証する |
| 情報開示の範囲 | 統制の詳細をレポートとして委託企業に開示 | 登録組織名・登録番号・適用範囲・認証機関などが公開（非公開希望を除く）。ただし個々の管理策の運用状況は非公開 |
| 取得形式 | 監査法人による保証報告書 | 審査機関による認証 |
海外顧客に対しては、統制の中身まで確認できるSOC2が信頼証明として機能しやすくなります。一方、国内で組織全体の包括的なセキュリティ管理体制を示すには、認知度の高いISMS認証が向いています。目的に応じて両方を併用する企業もあります。
すでにISMS認証を取得している場合、SOC2の準備で構築する統制の多くはISMSで整備済みの管理策と重なります。この重複部分を活かせば、SOC2取得に向けた負荷を抑えられる場合があります。
ISMAPとの違い
ISMAP（政府情報システムのためのセキュリティ評価制度）は、政府機関がクラウドサービスを安全に調達するために、あらかじめ政府が求めるセキュリティ要求を満たすサービスを評価・登録する制度です。
SOC2が民間企業間の信頼証明を目的とするのに対し、ISMAPは政府調達の要件を満たすことを目的としています。両者は対象とする取引先が異なるため排他的な関係ではなく、政府調達と民間取引の双方を視野に入れる事業者にとっては補完的に機能します。
SOC2が必要になる企業と取得の意義
海外顧客やエンタープライズとの取引でSOC2レポートの提出を求められる場面が増えており、SaaSやクラウドサービスを提供する事業者にとって取引条件の一つになりつつあります。
SOC2を取得する3つのメリット
主なメリットとしては、以下の3点が挙げられます。
- 顧客への信頼性の証明
- セキュリティ体制の強化と可視化
- 海外取引や大手企業との契約要件への対応
SOC2レポートは統制内容の詳細を開示できるため、認証の有無しか分からないISMS認証と比べ、より具体的な信頼性の証明になります。「安全に運用しています」という宣言ではなく、監査法人が評価した統制の中身を示せる点が取引先の安心につながり、セキュリティチェックシートへの回答負荷を軽減できる点も実務上の利点です。
また取得の過程で統制を文書化し運用実績を記録するため、自社の体制を客観的に把握できます。特にType2では対象期間を通じた運用の証跡が求められ、規程の整備だけでなく日々の運用を定着させる効果があります。
さらに海外のエンタープライズや大手企業では、取引開始の条件としてSOC2レポートの提出を求めるケースがあり、用意できていれば商談を止めずに進められます。
SOC2を取得すべき企業
SOC2の主な取得対象は、SaaS・クラウドサービスを提供する事業者やデータセンターを運営する企業です。ただし対象はこれらに限られず、業務を受託して他社のデータを扱う事業者であれば、BPO・決済代行・人事給与サービスなども対象になり得ます。
取得を判断する主要因は、海外顧客やエンタープライズとの取引があるかどうかです。総務省の通信利用動向調査によると、2025年時点で企業のクラウドサービス利用率は83.5%に達しており（※1）、利用者側からサービス提供事業者へ信頼性の証明を求める動きは強まっています。海外展開や大手との取引を見据える段階に入ったなら、取得の優先度は高いといえます。
SOC2取得の準備から報告書受領までの流れ
SOC2の取得は、スコープ決定から統制整備、予備監査、本監査、レポート受領へと進みます。全体でおおむね数ヶ月から1年超を要するため、顧客要求を受けてからの着手では間に合わないリスクがあります。
1. 準備段階：スコープ決定と統制の整備
最初に取り組むのは、5つのトラストサービス規準のうちどれをスコープに含めるかの選定です。実務上ほぼすべてのレポートに含まれるセキュリティに加え、自社のサービス特性や顧客の要求に応じて可用性やプライバシーなどを組み込みます。スコープが定まったら、セキュリティポリシーを整備し、規準を満たす統制を実際のシステムや運用に実装します。
この準備では、プレ評価（Readiness Check）を通じて現状と要求水準のギャップを洗い出し、改善事項を識別・整理します。国内でSOC2検証業務を行う監査法人が示す目安では、この準備フェーズにおおむね2〜3ヶ月を見込むとされています（※1）。
ただし所要期間は、スコープに含める規準の数、既存の統制の整備度合い、ISMS認証などをどこまで流用できるかによって大きく変わり、公開されている実務例でも数ヶ月から半年以上まで幅があります。具体的な期間は依頼先の監査法人・監査事務所に確認してください。
2. 監査の実施と報告書の受領
準備が整ったら、監査に進みます。プレ評価後に予備監査で最終的な確認を行い、そこで挙がった指摘事項を改善したうえで、監査法人・監査事務所による本監査を経てレポートが発行されます。
国内では、日本公認会計士協会が保証業務実務指針3702「情報セキュリティ等に関する受託業務のTrustに係る内部統制の保証報告書に関する実務指針」を定めており、国内の監査法人はこれに基づいてSOC2相当の保証報告書を発行します（※2）。SOC1に相当する指針は保証業務実務指針3402です。
ここで注意したいのが評価期間です。Type2の本監査では6〜12ヶ月の運用実績を評価対象とすることが多く、AICPAは最低期間を定めていません。国内の監査法人の実務例では3ヶ月・6ヶ月・1年といった対象期間が示されており（※1）、レポートが必要な時期から逆算してスケジュールを組む必要があります。取得にかかる費用はスコープや監査法人によって異なるため、複数社に見積もりを取って比較することをおすすめします。
レポートは一度受領すれば終わりではありません。統制は継続的に運用し、定期的に更新して次回の監査に備える必要があります。取得後の維持まで見据えて体制を整えることで、信頼の証明を継続できます。
※1 令和監査法人｜「SOC2取得までの一般的なスケジュール」2024年
※2 日本公認会計士協会｜「実務指針等公表物一覧-実務指針」
まとめ：SOC2は統制の中身を示す保証報告書、Type1から段階的に
SOC2は、クラウドサービスの信頼性を取引先へ具体的に示すための保証報告書です。合否を示す認証資格ではなく、統制の詳細まで開示される点でISMS認証とは構造的に異なり、海外展開やエンタープライズ取引を見据える企業ほど取得の優先度が高まっています。
自社が取得すべきかは、海外顧客やエンタープライズとの取引があるかどうかが主な判断材料になります。該当するなら、まずは必須のセキュリティを軸にスコープを定め、Type1で設計を固めてからType2へ移行する段階的な進め方が現実的です。取得には数ヶ月から1年超かかるため、早めに準備を始めることをおすすめします。SOC2の準備では、整備した統制が実際に有効かをどう確認するかが課題になります。この検証を外部の視点で補いたいときに、脆弱性診断は有効な手段です。ユービーセキュアは、SOC2のスコープに関わるWebアプリケーションやプラットフォームの診断を通じて、統制の弱点を客観的に評価できます。
取得準備の進め方に迷う段階でも、ユービーセキュア公式サイトからお気軽にご相談ください。
-1.png)
