# SOC 2とは

> SOC 2とは、米国公認会計士協会（AICPA）が定める監査報告書で、サービス提供組織がトラストサービス基準（セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシー）に対してどのように統制を実装しているかを報告します。Type Iはある時点での統制の設計を評価し、Type IIは一定期間（一般に3〜12か月）にわたる運用の有効性を検証します。

最終更新: 2026-07-27

SOC 2はしばしば「認証」と説明されますが、そうではありません。合格ラインも証明書も存在しません。組織自身が定義した統制群について、組織自身が設定した適用範囲の中で、監査人が意見を述べるものです。したがって2つのSOC 2報告書は自動的に比較可能なわけではありません。

そのため、バッジを受け入れるのではなく次の3点を確認する価値があります。第一に適用範囲——どのシステムと5基準のどれが実際に含まれたか。セキュリティのみを対象とする報告書は一般的で正当ですが、可用性やプライバシーについては何も語りません。第二にType IかType IIか——Type Iは「ある一日、統制が正しく見えた」ことを述べるにとどまります。第三に例外事項の記載欄——監査人が「記載どおりに運用されていなかった統制」を記録する箇所です。重要な例外を含む報告書は、含まない報告書とは別物です。

日本の買い手にとって、SOC 2はISO/IEC 27001の代わりではなく併存することが多くあります。両者は異なる問いに答えるためです。ISO 27001は規格を満たすマネジメントシステムの存在を認証し、SOC 2は特定の統制が実際に運用されたかを報告します。米国と日本の双方に拠点を持つ企業は、両方を求めることが少なくありません。

ベンダーにとって、この報告書は取得費用が高いうえ、取得後は各買い手のチェックシートに手作業で要約し直されます。同じ証拠が年に何十回も書き写されるのはこのためです。

出典: [1] https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2

## 関連用語

- [セキュリティチェックシート](https://agent-door.com/ja/glossary/security-questionnaire)
- [ISO/IEC 27001（ISMS）](https://agent-door.com/ja/glossary/iso-27001)
- [ベンダー評価](https://agent-door.com/ja/glossary/vendor-evaluation)

## よくある質問

### SOC 2 Type IIは常にType Iより優れていますか？

Type IIは、統制が単一の日付ではなく一定期間にわたって検証されるため、より多くの証拠を持ちます。若い企業が初回にType Iを取得するのは通常のことで、それ自体は問題ではありません。ただし何年もType Iのままの企業には理由を尋ねる価値があります。

### SOC 2は日本企業の購買審査を満たしますか？

役には立ちますが、それだけで十分なことはまれです。日本の買い手の多くはISMS／ISO 27001により馴染みがあり、それでも自社のチェックシートを送ってきます。要求は企業ごとに異なるため、想定せずに個別の買い手が何を受け入れるか確認してください。

---
HTML 版: https://agent-door.com/ja/glossary/soc-2