SOC 2 とは

SOC 2 とは、クラウドなどのサービスを提供する会社(受託会社)の内部統制を、公認会計士が検証して報告書にまとめる仕組みです。照らし合わせる基準は、AICPA(米国公認会計士協会)の Trust サービス規準です。AICPA は、顧客やビジネスパートナーが、統制の設計・運用・有効性の情報を必要とし、SOC 2 報告書を求めることが多い、と説明しています。

5 つの区分は何を見るか

Trust サービス規準は、AICPA の委員会が定めた統制の評価規準で、日本公認会計士協会が翻訳を公開しています。規準は 5 つの区分に分かれ、報告の対象は、5 つのうち 1 つ以上の区分です。

Type 1 と Type 2 は何が違うか

Trust サービス規準の説明では、Type 2 の SOC 2 業務は、特定の期間を通じた統制のデザインの適切性と運用の有効性を対象とします。報告書には、監査人が実施した統制のテストとその結果の詳細な記述が含まれます。Type 1 は同じ主題を扱いますが、運用の有効性に関する意見も、テストの結果の記述も含まれません。Type 1 は統制が設計されているかを、Type 2 はその統制が期間を通じて実際に働いていたかを示す、ということです。

アクセス管理はどこで見られるか

5 つの区分に共通して使われる共通規準の中に「論理的及び物理的アクセス管理」の項目群(CC6)があります。アカウント管理に関わるのは次の 3 つです。

CC6.1 は、論理的なアクセスセキュリティのソフトウェアと仕組み(システムへの入り口を制限する仕組み)を導入し、情報資産を守ることを求めます。その着眼点(規準を満たしているかを見るときの観点)に、ユーザーの識別と承認があります。CC6.2 は、新しい利用者を登録・承認してからアクセスを許可し、アクセスが承認されなくなったときに資格を削除することを求めます。CC6.3 は、最小権限の原則と職務分離(1 人で完結させない役割分担)を考慮して、役割や責任に基づきアクセスを承認、変更、削除することを求めます。

CC6.2 の着眼点には、アクセス資格の適切性を定期的に見直すことも含まれます。取引先の立場でこの部分を読むと、預けたアカウントを誰が使えるかが管理され、要らなくなった人のアクセスが削除されているかが分かります。Type 2 なら、その手続が期間を通じて働いていたかも分かります。

取引先から求められたらどうするか

SOC 2 報告書を求める取引先は、サービスの内部統制を自分で監査する代わりに、公認会計士の報告書で確かめようとしています。報告書がない場合、取引先はセキュリティチェックシート(安全対策を確かめる質問票)などで同じ点を聞いてくることがあります。誰がどのアカウントを使えるかの一覧、付与と削除の手続と記録、使ったときの記録を出せる状態にしておくと、報告書の有無にかかわらず答えやすくなります。検証を受けるかどうかは、取引先の要求と費用を見て判断します。