読み方：ソックツー

SOC2【System and Organization Controls 2】

概要

SOC2とは、クラウドサービスなどを提供する企業の内部統制について、セキュリティや可用性などの観点から独立した第三者が評価し、その結果を報告書としてまとめる枠組み。米国公認会計士協会（AICPA）が策定した基準に基づいて監査が行われ、サービスの委託元が委託先の信頼性を確認する。

評価の対象となる領域は、セキュリティ、可用性、処理の整合性、機密保持、プライバシーの5項目に分かれ、これらは「トラストサービス基準」（trust services criteria）と呼ばれる。セキュリティは必須の評価項目であり、残る4項目はサービスの内容に応じて評価対象とするかどうかを選択できる。

監査では、規程や手順書が整備されているかに加え、ログ管理やアクセス制御、変更管理といった実際の運用記録も確認される。報告書には「タイプ1」と「タイプ2」の2種類があり、タイプ1はある時点における管理体制の設計が基準を満たしているかを評価したものである。タイプ2は、6か月から1年程度の一定期間に渡って管理体制が実際に運用されていたかを継続的に検証したものであり、設計のみを確認するタイプ1より高い信頼性を持つ報告書とされる。

企業が外部のクラウド環境に重要なデータやシステムを預ける動きが進む中、委託先の管理状況を客観的に確認する手段としてSOC2が参照されるようになった。従来の財務報告を対象とした監査基準では対応できない、ITシステム固有のリスクやデータ保護の状況を示す手段として、金融や医療など高い信頼性が求められる分野を中心に普及している。

なお、SOC2の報告書は一般に公開されるものではなく、契約関係にある取引先など限定された相手に対し、機密情報として提供される点が他の多くの認証制度と異なる。取得した企業は自社のWebサイトなどで「SOC2準拠」と表示できるが、報告書そのものの内容は非公開として扱われる。

(2026.6.20更新)