取引先との商談やセキュリティチェックシートで「SOC2レポートはお持ちですか」と聞かれ、あるいはベンダーから「SOC2を取得済みです」と言われて、その正体がよく分からないまま調べ始めた方は少なくありません。SOC2は、認証バッジのような印ではなく、第三者の監査法人が事業者の内部統制を評価してまとめる「報告書（レポート）」を指します。
とはいえ、Type1とType2の違いや、ISMS（情報セキュリティマネジメントシステム）との使い分け、取得までにかかる期間など、実際に判断するとなると整理しておきたい点がいくつもあります。SOC2を「自社で取得する側」と、「委託先のSOC2レポートを評価する側」とでは、知りたいことも少し変わってきます。
本記事では、SOC2とは何かという基本から、トラストサービス規準の5分野、Type1とType2の違い、ISMSなど他の基準との違い、取得の流れと期間の目安、そして委託元としてレポートを入手・評価する際のポイントまでを整理します。自社が取得を検討する場合にも、委託先を評価する場合にも使える判断材料として活用してください。
目次
一括ダウンロードする
SOC2とは？第三者の監査法人が発行する「レポート」
SOC2（System and Organization Controls 2）とは、クラウドサービスやデータセンターなどの事業者が、セキュリティや可用性といった内部統制を適切に運用していることを、独立した第三者である監査法人・公認会計士が評価する業務です。その評価結果を意見として表明した報告書が、SOC2レポートです。
米国公認会計士協会（AICPA）が定める基準にもとづく業務で、日本では監査法人が受託会社監査人としてこの報告書を作成します。
SOC2の用語では、サービスを提供する側を「受託会社」、その利用者を「委託会社」と呼びます。本記事では、SOC2を取得する側を「提供側」、委託先を評価する側を「委託元」として説明します。
SOC2報告書は、アウトソーシング事業者(受託会社)が委託されている業務で、セキュリティ、可用性、処理のインテグリティ、機密保持、およびプライバシーに関連する内部統制を対象として保証を受けた報告書です。
出典：SOC2報告書｜デロイト トーマツ グループ
SOC2の職業基準を定めているのはAICPAで、米国ではアテステーション基準であるSSAE No.18にもとづいて実施されます。日本で受託業務の内部統制に関する保証報告を行う際の実務上の指針としては、情報セキュリティ等のTrustを対象とする保証業務実務指針3702などが用意されています。
出典・参考資料（2件）
SOC2は「認証バッジ」ではなく報告書という文書である
SOC2でつまずきやすいのが、「取得すると何がもらえるのか」という点です。ISO認証のように登録番号やマークが付与される制度を思い浮かべがちですが、SOC2で発行されるのは監査法人が作成する報告書そのものです。
報告書には、評価の対象範囲や監査人が実施した手続き、その結果までが記載されており、取引先はその中身を読んで事業者の内部統制を確認します。公開されたマークを掲げる仕組みではないため、実際の確認は報告書の受け渡しを通じて行われます。
このため、ベンダーが「SOC2取得済み」と述べている場合でも、委託元として安全性を確かめるには、後述する手順でレポートそのものを入手し、対象範囲や評価期間を読み解く必要があります。
SOC2レポートの中身（4部構成）
SOC2レポート（Type2の場合）は、次の4つのパートで構成されます。委託元としてレポートを読むときは、監査人の意見と、システムの記述、運用評価の結果を照らし合わせて確認するとよいでしょう。
報告書は「受託会社監査人の意見」、「受託会社の経営者の確認書」、「システムの記述」、「監査人が実施した運用評価手続とその結果」の4つのパートで構成されます。
出典：SOC2（System and Organization Controls for Service Organizations）｜EY Japan
トラストサービス規準（TSC）の5分野とは
SOC2は「何を評価するのか」が分かると、全体像がつかみやすくなります。評価の物差しになるのが、AICPAが定めるトラストサービス規準（Trust Services Criteria）です。次の5つの分野から構成され、事業者は自社のサービスに関係する分野を選んで評価を受けます。
| 分野 | 何を見るか（概要） |
|---|---|
| セキュリティ | ネットワークやシステムへの不正なアクセスから情報を守る統制。アクセス制御や多要素認証などが該当する。5分野のうち必須の土台にあたる |
| 可用性 | サービスが取り決めた水準で利用できる状態を保つための統制。障害対応や復旧の備えなど |
| 処理の完全性（インテグリティ） | システムの処理が正確・完全・適時に、承認された形で行われることを担保する統制 |
| 機密保持 | 機密と定めた情報を、保管・送受信を通じて保護するための統制。暗号化やアクセス範囲の限定など |
| プライバシー | 個人情報の収集・利用・保管・開示を、定めた方針に沿って扱うための統制 |
5分野のうち、どの範囲を評価対象にするかは事業者が選択します。そのため、SOC2レポートを読む際は「どの分野を対象にしたレポートか」を確認することが、評価の第一歩になります。
出典・参考資料（2件）
一括ダウンロードする
SOC2 Type1とType2の違い
SOC2には、評価する範囲が異なるType1とType2があります。Type1は特定の時点における内部統制の「デザイン（整備状況）」を評価するもので、Type2はそれに加えて、一定期間にわたる「運用状況の有効性」まで評価します。
運用の実態まで確認するType2のほうが、取得の負担は大きく、運用状況まで示すぶん取引先のより踏み込んだ確認に使われます。両者の違いを整理すると、次のようになります。
| 比較項目 | Type1 | Type2 |
|---|---|---|
| 評価の対象 | 内部統制のデザイン（整備状況） | デザインに加え、一定期間の運用状況の有効性 |
| 評価の時点・期間 | 特定の時点 | 一定期間（運用状況を評価する期間を設定する） |
| 取得の負担 | 比較的軽い | 運用実績が必要なため重い |
| 想定される使い分け | 取得を始めた段階での整備状況の提示 | 継続的な運用まで示したい段階・取引先の要求が高い場合 |
Type2の評価対象期間（audit window）は事業者ごとに設定します。たとえば、ある事業者の取得事例では3か月間を評価期間として設定していました。取得後の有効期間や更新については、後述の取得の流れの節で触れます。
どちらを取得・確認すべきかは、取引で求められる水準によって変わります。多くの取引では運用の実態まで示すType2が求められますが、取得を始めたばかりの段階ではまずType1から対応するケースもあります。
SOC2と似た基準との違い（ISMS・Pマーク・SOC1・SOC3・ISMAP）
「すでにISMSを取得しているが、SOC2も必要なのか」という疑問は多く聞かれます。SOC2と混同されやすい基準・制度を、対象や目的の違いで整理すると、次のようになります。
| 基準・制度 | 主な対象 | 根拠・規格 | 性格 |
|---|---|---|---|
| SOC2 | サービスを提供する受託会社の内部統制（サービス単位） | AICPAのトラストサービス規準 | 監査法人による第三者の保証報告書 |
| SOC1 | 委託会社の財務報告に関連する受託業務の内部統制 | AICPA基準／日本は保証業務実務指針3402 | 財務報告に関わる保証報告書 |
| SOC3 | SOC2と同じ5分野 | AICPA基準 | 一般公開向けの要約版（詳細なテスト結果は含まない） |
| ISMS（ISO/IEC 27001） | 組織の情報セキュリティマネジメント体制 | JIS Q 27001（ISO/IEC 27001） | 認定機関にもとづく第三者認証 |
| プライバシーマーク（Pマーク） | 事業者の個人情報の取扱い | JIS Q 15001 | JIPDECが付与する認証 |
| ISMAP | 政府調達向けクラウドサービスの安全性 | ISMAP運営委員会が定める基準 | 日本政府の評価・登録制度 |
SOC1・SOC3との違い（同じSOCシリーズ内での違い）
SOCシリーズにはSOC1・SOC2・SOC3があります。SOC1は、委託会社の財務報告に関連する受託業務の内部統制を対象とした報告書で、日本では保証業務実務指針3402がこの保証業務の指針にあたります。金融サービスや資産運用など、委託元の財務報告に影響する業務が対象です。
SOC3は、SOC2と同じ5分野を扱いますが、詳細なテスト手続きや結果を含まない一般公開向けの要約版という位置づけです。クラウド大手の公式情報でも、SOC3はSOC2レポートの公開可能な要約として案内されています。取引先の評価に使うのは、通常、詳細を含むSOC2レポートです。
ISMS・Pマーク・ISMAPとの違い（国内の認証・制度との違い）
ISMS（情報セキュリティマネジメントシステム）は、組織全体の情報セキュリティの管理体制を対象とした第三者認証で、認証基準はJIS Q 27001（国際規格ISO/IEC 27001に整合）です。プライバシーマークは、事業者の個人情報の取扱いを対象に、JIS Q 15001にもとづいて日本情報経済社会推進協会（JIPDEC）が付与する認証です。
ISMAPは、政府情報システムの調達に向けて、クラウドサービスの安全性を評価・登録する日本政府の制度で、ISMAP運営委員会が定める基準にもとづきます。
このように、SOC2は「特定のサービスの内部統制を、監査法人が報告書として保証する」点に特徴があり、組織の管理体制や個人情報の取扱い、政府調達を対象とする他の制度とは目的が異なります。
出典・参考資料（3件）
ISMSがあってもなぜSOC2が別途必要なのか
ISMSとSOC2は、評価する切り口が異なるため、どちらか一方で他方を代替できるとは限りません。ISMSは組織の情報セキュリティマネジメント体制が規格の要求事項を満たしているかを認証します。一方、SOC2は特定のサービスを対象に、監査法人が内部統制を検証して意見を表明する保証報告書で、Type2では一定期間の運用状況の有効性まで評価します。
そのため、取引先が「サービス単位で、運用の実態まで第三者に確認された報告書」を求めている場合には、組織の体制を認証するISMSだけでは要求に応えきれないことがあります。
両者は対立するものではなく、組織の体制はISMS、個別サービスの運用はSOC2レポートで示す、というように補い合う関係として捉えると整理しやすくなります。取引先がどちらを求めているかを確認したうえで、必要な範囲を判断することが現実的です。
SOC2取得のメリット（提供側／委託元の2立場）
SOC2レポートは、サービスを提供する側と、委託先を評価する側の双方にとって意味を持ちます。それぞれの立場で、どんな場面で役立つのかを見ていきます。
提供側（取得する側）のメリット
SaaSやクラウドサービスを提供する事業者にとって、SOC2レポートは取引先への信頼を示す材料になります。商談や調達審査でセキュリティチェックシートへの回答を求められる場面は多く、そのたびに個別に説明する負担が発生します。第三者が検証した報告書を用意しておくことで、こうしたレビューや質問への対応にかかる時間や手間を抑えることが期待できます。
委託元（評価する側）のメリット
委託先を評価する企業にとっては、SOC2レポートはベンダーの内部統制を客観的に確認するための材料になります。自社で一から安全性を調査する代わりに、監査法人が検証した報告書を読むことで、委託先が守るべき法令や規制への対応状況などを確認しやすくなります。委託先の選定や、導入後の継続的な監督においても、評価の根拠として活用できます。
出典・参考資料（1件）
SOC2取得の流れ・期間・費用・体制
自社でSOC2を取得する場合、どのような手順をたどり、どのくらいの期間や体制が必要になるのかを整理します。実額の費用は公開されていないことが多いため、ここでは公開されている取得事例をもとに、流れと目安を示します。
取得の流れ（準備から毎年の更新まで）
ある事業者がSOC2 Type2を取得した事例では、おおむね次の流れで進められています。まず準備段階で、内部統制の体制を整え、対象とするトラストサービス規準（この事例ではセキュリティ・可用性・機密保持の3分野）と評価の範囲を決めます。あわせて、規程や監査証跡を一元管理するためのGRC（ガバナンス・リスク・コンプライアンス）ツールを導入しています。
次に、ポリシー文書や監査証跡を作成し、監査を担う監査会社を選定します。その後、設定した評価期間のなかで監査を実施し、監査人からの指摘に対応していきます。この事例では、監査の開始時点でおおむね9割程度の準備完了が必要だったと紹介されています。
最後に、監査人から報告書を受け取り、内容を確認して署名することで監査が完了します。SOC2 Type2は継続的な運用を評価する性格上、受領した報告書は1年間有効で、その後も毎年の監査・更新が必要です。
準備段階で中心になるのが、規程や内部統制、監査証跡の整備です。この部分は手作業では負担が大きいため、後述するGRC・認証運用支援のサービスを活用して効率化する例が増えています。
取得にかかる期間・体制・費用の目安
期間は、準備の進み具合や監査人との調整によって変わります。前述の事例では、運用状況を評価する期間を3か月間として設定していました。準備期間を含めると、取得までには相応の時間を見込む必要があります。
体制の面では、SOC2の監査項目にはシステムの技術的な統制だけでなく、従業員のバックグラウンド確認や組織全体のセキュリティ対策に関する項目も含まれます。そのため、情報システムやセキュリティの担当者だけでなく、人事や経営層も含めて組織全体で取り組む必要があります。
費用については、監査法人の報酬や準備にかかるコストが中心になりますが、具体的な金額は公開されていないことが多く、対象範囲や企業規模によって大きく変わります。実額は個別見積もりが前提と考え、監査会社やGRCツールの提供元に問い合わせて確認するのが確実です。
出典・参考資料（1件）
委託元向け：SOC2レポートの入手方法と読み方
委託先が「SOC2取得済み」としている場合、その内容を確認するにはレポートそのものを入手します。SOC2レポートには内部統制やセキュリティ対策の詳細が含まれるため、一般公開されず、閲覧には秘密保持契約（NDA）の締結が前提になることが一般的です。クラウド大手でも、SOC2レポートの閲覧にはNDAが必要で、専用の仕組みを通じて提供されると案内されています。
An NDA is required to review the AWS SOC 1 and SOC 2 reports.
出典：SOC Compliance FAQ｜Amazon Web Services
レポートを入手したら、まず対象範囲を確認しましょう。Type1かType2か（運用の実態まで評価されているか）、トラストサービス規準の5分野のうちどれが対象か、評価の対象期間はいつか、が読み取るべきポイントです。自社が委託する業務にとって重要な分野が対象に含まれているか、監査人の意見に例外事項がないかを確認することが、ベンダー評価の要点になります。
SOC2+（Plus）とは
SOC2レポートのなかには、トラストサービス規準に加えて、任意の評価規準を追加した「SOC2+」と呼ばれるものがあります。これは、業界固有の規制や追加の要求事項に対応していることを、同じ報告書のなかで示すためのものです。
SOC2はTrustサービスの原則と規準に、任意の評価規準を追加することができます（SOC2+）。
出典：SOC2｜EY Japan
追加される規準の例としては、HIPAA（米国の医療情報に関する規則）、GDPR（EUの一般データ保護規則）、PCI DSS（クレジットカード業界のセキュリティ基準）などがあります。委託先のレポートがSOC2+の形をとっている場合は、どの規制・基準が追加で対象になっているかを確認すると、自社の求める要件に合致しているかを判断しやすくなります。
出典・参考資料（2件）
SOC2への対応を支えるサービス
SOC2への対応では、「自社でSOC2を取得する準備を進める」場面と、「委託先のSOC2をはじめとする安全性を評価・監督する」場面の両方で、作業を効率化するサービスがあります。ここでは、取得する側を支えるサービスと、評価する側を支えるサービスを紹介します。
| サービス名 | VendorTrustLink | SecureNavi |
|---|---|---|
| 向いている読者 | 委託先のSOC2を評価する側 （委託元） | SOC2を自社で取得・ 運用する側（提供側） |
| SOC2との関わり方 | 委託先が出すSOC2レポート等の 評価・継続的な監督を支える | SOC2対応の社内規程・ 内部統制・証跡の準備を クラウドで一元管理（Fit&Gap） |
| 主な機能 | チェックシートの自動送付・ 回収・採点、委託先管理、 経年比較・ダッシュボード、 AIによるリスク判断支援 | Fit&GapによるSOC2・ISMAP などへの対応（規程・統制・ 証跡の一元管理）、ISMS・ Pマーク運用支援、SOC2 Type1 対応支援 |
| 提供形態 | クラウド（SaaS） | クラウド（SaaS） |
| 料金 | 要問い合わせ （個別見積もり） | 要問い合わせ （個別見積もり） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 |
※上記は各サービスの一般的な機能の傾向です。実際の機能や提供形態は各社の最新情報をご確認ください。
委託先リスク管理サービス VendorTrustLink（株式会社アトミテック）
VendorTrustLinkは、株式会社アトミテックが提供する、委託先・取引先のリスク管理に特化したクラウドサービスです。委託先へのチェックシート送付・回収・採点・履歴管理をオンラインで行い、委託先起因のリスクを可視化・一元管理します。委託先が出すSOC2レポートなどの評価と、その後の継続的な監督を支える、評価する側のためのサービスです。
セキュリティやコンプライアンスなどのチェックシートを自社で設計して複数の委託先に一括配信でき、回答は自動採点されて経年比較やダッシュボードで確認できます。委託業務の重要度や個人情報の取扱区分による分類、未回答者への自動リマインド、履歴の蓄積といった運用機能を備え、AIによるリスク判断を支援する機能も案内されています。
料金は委託情報の件数に応じた個別見積もりで、東証プライム上場企業への導入実績が公式に示されています。
SecureNavi（SecureNavi株式会社）
セキュリティ認証の取得・運用をクラウドで支援するのが、SecureNavi株式会社のSecureNaviです。ISMSやプライバシーマークの運用支援に加え、SOC2やISMAPなどの基準・制度への対応を効率化するプラットフォーム「Fit&Gap」を提供しています。SOC2を自社で取得・運用する側の準備を支えるサービスです。
Fit&Gapは、SOC2対応に必要となる社内規程・内部統制・監査証跡をクラウド上で一元管理し、監査の準備から対応までのプロセスを効率化します。SOC2 Type1への対応支援も提供しており、準備状況や監査人との調整によっては最短3か月でのレポート発行を目指せるとしています。取得準備で負担になりがちな文書作成や証跡の管理を、テンプレートや一元管理の仕組みで軽減できる点が特徴です。
出典・参考資料（2件）
ここで紹介したサービスも含め、SOC2の取得準備で中心になる規程・内部統制・証跡の整備や、委託先の管理は、いずれもGRCツールが支える領域です。製品ごとの機能や料金、選び方を広く見比べたい場合は、以下の記事もあわせてご覧ください。
まとめ
SOC2は、第三者の監査法人が事業者の内部統制を評価して発行する報告書です。評価の物差しはトラストサービス規準の5分野で、Type1は整備状況を、Type2は一定期間の運用状況まで評価します。ISMSなど他の制度とは対象や目的が異なるため、取引先が何を求めているかを確認したうえで、必要な対応を判断することが重要です。
次の一歩は立場によって分かれます。自社でSOC2の取得を検討するなら、取得準備を支えるGRC・認証運用支援のサービスの資料を取り寄せて、文書化や証跡管理の負担をどう軽くできるかを具体的に比べてみてください。委託先を評価する立場なら、対象のベンダーにSOC2レポートを請求し、Typeと対象分野を確認したうえで、委託先リスク管理のサービスも活用しながら評価を進めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. SOC2とは何ですか？
A. SOC2とは、独立した第三者の監査法人・公認会計士が、クラウドサービスなどの事業者の内部統制を評価し、その結果を意見として表明した報告書（レポート）です。米国公認会計士協会（AICPA）が定める基準にもとづく業務で、日本では監査法人が受託会社監査人としてこの報告書を作成します。セキュリティや可用性など、トラストサービス規準の5分野のうち、事業者が選んだ分野について評価されます。
出典・参考資料（2件）
Q. SOC2を取得すると認証バッジや登録番号がもらえますか？
A. SOC2では、ISO認証のような登録番号やマークは付与されず、発行されるのは監査法人が作成する報告書そのものです。取引先は公開されたマークを確認するのではなく、報告書に書かれた対象範囲・監査人が実施した手続き・その結果を読んで内部統制を確認します。
そのため、ベンダーが「SOC2取得済み」と述べている場合でも、委託元として安全性を確かめるにはレポートそのものを入手し、中身を読み解く必要があります。
Q. SOC2はType1とType2のどちらを取得すればよいですか？
A. SOC2のType1とType2のどちらが必要かは、取引で求められる水準によって決まり、運用の実態まで示すType2が求められる取引が多いです。Type1は特定時点の内部統制のデザイン（整備状況）のみを、Type2はそれに加えて一定期間の運用状況の有効性まで評価します。
取得を始めたばかりの段階ではまずType1から対応し、その後にType2へ進むケースもあります。委託先を評価する側も、対象レポートがどちらのTypeかを確認することが評価の出発点になります。
Q. ISMSを取得していればSOC2は不要ですか？
A. ISMSを取得していても、取引先がサービス単位で運用の実態まで第三者に確認された報告書を求める場合には、SOC2が別途必要になることがあります。ISMSは組織全体の情報セキュリティマネジメント体制を認証する仕組み（認証基準はJIS Q 27001＝ISO/IEC 27001）で、SOC2は特定のサービスを対象に監査法人が内部統制を検証する保証報告書です。
両者は対立するものではなく、組織の体制はISMS、個別サービスの運用はSOC2レポートで示す、という補完関係として捉えると整理しやすくなります。取引先がどちらを求めているかを確認したうえで判断しましょう。
Q. SOC2の取得にはどのくらいの期間がかかりますか？
A. SOC2の取得期間は準備の進み具合や監査人との調整によって変わりますが、運用状況を評価する期間を3か月間に設定した取得事例があり、準備期間を含めると相応の時間を見込む必要があります。
ある事業者のSOC2 Type2取得事例では、監査の開始時点でおおむね9割程度の準備完了が必要で、受領した報告書は1年間有効となり、その後も毎年の監査・更新が必要だとされています。
出典・参考資料（1件）
Q. SOC2の取得費用はどのくらいですか？
A. SOC2の取得費用は、具体的な金額が公開されていないことが多く、対象範囲や企業規模によって大きく変わるため、個別見積もりが前提です。費用の中心は監査法人への報酬と準備にかかるコストで、正確な金額は監査会社やGRCツールの提供元に問い合わせて確認するのが確実です。対象とするトラストサービス規準の分野をどこまで広げるかが、準備の負担と費用の両方に影響します。
Q. 委託先のSOC2レポートはどうやって入手できますか？
A. 委託先のSOC2レポートは、内部統制の詳細を含むため一般公開されず、秘密保持契約（NDA）の締結を前提に提供されるのが一般的です。たとえばクラウド大手のAWSでも、SOC1・SOC2レポートの閲覧にはNDAが必要で、専用の仕組み（AWS Artifact）を通じて提供されると案内されています。
入手したら、Type1かType2か、トラストサービス規準の5分野のうちどれが対象か、評価対象期間はいつかを確認し、監査人の意見に例外事項がないかを読み取ることが、ベンダー評価の要点になります。
出典・参考資料（1件）
GRC・認証運用支援サービスの料金・資料を一括チェック
MCB FinTechカタログでは、SOC2をはじめとする認証の取得・運用を支えるGRCツールや、委託先リスク管理サービスの最新資料を無料で一括請求できます。機能・提供形態・対応範囲を並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
