SOC（System and Organization Controls）とは、アメリカの公認会計士協会（AICPA）が制定した、クラウドサービス提供者やデータセンターなどの受託会社を対象とした信頼性を証明する国際的な仕組みです。

具体的には、監査法人や公認会計士が独立した第三者の立場から、対象組織が提供するサービスの情報セキュリティやプライバシー等の有効性を評価し、結果をSOC報告書としてとりまとめます。

対象組織はこのSOC報告書を広く公開することで、情報セキュリティやプライバシー等における、自社および提供サービスの信頼性を証明することが可能となります。

SOCには評価対象や対象期間、報告書の利用用途に応じて、SOC1～SOC3の3種類があり、SOC1は財務報告における内部統制を、SOC2とSOC3はそれ以外の内部統制、具体的にはシステムに関連した内部統制を対象としています。

SOC1～SOC3はそれぞれ役割が異なります。

SOC1は主に財務報告に関連する内部統制の評価を対象としており、財務諸表監査に関連する規準です。SOC3はSOC2と同様のセキュリティ管理体制を評価しますが、報告書は一般向けに公開されることを前提とした簡素なものに留まります。よってセキュリティの領域においてはSOC2が特に重要視されています。SOC2は受託会社のセキュリティ管理体制を包括的に評価するものであり、また、受託会社が現在直面するビジネス環境における課題に直結した包括的な規準を提供しています。

具体的には以下のような課題です：

• 1. クラウドサービスのセキュリティ評価：
  クラウドサービスが乱立する中、顧客の立場からは受託会社のセキュリティ管理体制はサービス選定の重要な判断基準となります。SOC2により、クラウドサービスのセキュリティ評価を対外的に示すことが可能となります。
• 2. データ保護規制への対応：
  GDPR、CCPA等の国際的なデータ保護規制が強化される中、サービス組織はこれらの規制への準拠が求められています。SOC2は、これらの規制への対応に役立つ包括的な規準です。
• 3. サイバー攻撃リスクへの対応：
  デジタルトランスフォーメーションの進展により、サイバー攻撃のリスクが高まっています。SOC2は、これらのリスクに対応するためのセキュリティ管理体制の評価基準を提供しています。

また、SOC2報告書は受託会社の信頼性を示す差別化要因にもなり、競争力の向上につながることも期待できます。

では、SOC2の具体的な内容に関してですが、セキュリティ、可用性、処理の完全性、機密保持、プライバシーの5つの領域を対象としており、サービス組織の包括的なセキュリティ管理体制を評価しています。

評価にあたって特定の時点の評価(Type1)か、一定期間の評価(Type2)とするか選択可能であり、「Trustサービス原則」が守られているかどうか、そしてそれぞれの原則に付随する「Trustサービス規準」に準拠しているかどうかを評価していくことになります。

【図1：Trustサービス原則とTrustサービス規準の関係性】

5原則のうち、セキュリティが必須となり、セキュリティ以外の4原則は任意となります。そのため、セキュリティのみでも報告書が取得可能です。

取得例として、公共性のある重要性の高いサービスであれば、セキュリティに加えて可用性を選択する、たくさんの個人情報を取り扱うサービスを対象とするのであれば、セキュリティに加えてプライバシーを選択するという形で、報告書を取得する形となります。

必須となるセキュリティに対応する共通規準は、以下の9つの分野から構成されています。

デジタル化が加速する現在のビジネス環境において、受託会社がセキュリティ面での信頼性を確立し、競争力を維持・強化することは不可欠です。

SOC2報告書の取得は、受託会社が競争優位性を確立し、自社を差別化するための有効な手段です。報告書が示すセキュリティ管理体制の信頼性は、顧客や取引先からの信頼獲得につながり、新規ビジネスの獲得や既存ビジネスの強化に役立ちます。

また、SOC2報告書に記載された詳細な情報は、自社のセキュリティ対策の強みを具体的に示すことができ、競合他社との差別化を図る上で重要な役割を果たします。

上記により、SOC2報告書の取得は、受託会社の持続的な成長と競争力強化に寄与するといえます。