クラウドサービスで、顧客データを保存・管理する企業も増えてきています。クラウドサービスを利用する際に注意しなければならないのは、セキュリティ対策でしょう。もしセキュリティ対策が不十分であれば、顧客データの流出など、大きな事故にもつながりかねません。そのような事故を防ぐサイバーセキュリティフレームワークの一種に、本記事で紹介するSOC2があります。

SOC2の基本を理解する

SOC2については、「仕組みがまったくわからない」、「聞いたことはあるが、内容については理解できていない」という人も多いでしょう。そのような場合には、SOC2の基本について理解することが最優先となります。

SOC2における5つの要件

SOC2とは、Service Organization Control Type 2が正式名称となるAICPA（米国公認会計士協会）が開発したフレームワークの一種です。サイバーセキュリティやコンプライアンス（法令遵守）を目的としており、第三者のサービスプロバイダが、より確実かつ安全な方法でクライアントデータを管理できるか評価するためのフレームワークになります。

SOC2では、5つの項目からセキュリティ水準を評価しています。

SOCレポートの種類

本記事では、主にSOC2について紹介していますが、SOCレポートにはほかにもSOC1、SOC3が存在します。種類によって目的や対象者なども異なり、それぞれの違いについて表にすると、以下のようになります。

	SOC1	SOC2	SOC3
評価対象	財務報告に影響を与える内部統制	情報セキュリティ 可用性 処理保全性 秘密保持 プライバシー	情報セキュリティ 可用性 処理保全性 秘密保持 プライバシー
報告書の種類	評価報告書 概要報告書	評価報告書 概要報告書	評価報告書
利用者	監査法人 投資家 金融機関	顧客 パートナー 規制当局	顧客 一般公開
評価基準	AICPAのSOC1基準	AICPAのSOC2基準	AICPAのSOC2基準
メリット	財務報告の信頼性向上 投資家へのアピール コンプライアンス強化	情報セキュリティ対策の強化 顧客信頼獲得 規則対応	情報セキュリティ対策の透明性向上 顧客信頼獲得 ブランドイメージ向上
適用例	金融機関 会計事務所 クラウドサービス事業者	クラウドサービス事業者 SaaS事業者 データセンター	クラウドサービス事業者 SaaS事業者 Webサービス事業者

一般的に用いられているフレームワークはSOC1とSOC2です。SOC1とSOC2との違いは対象にあります。前者は財務レポートをメインにしているのに対して、後者はビジネスマネジメントやコンプライアンスの方に重きを置いています。SOC2は、テクノロジー企業により深く関連するフレームワークといえます。

一方、SOC3はSOC2の延長線上に位置するイメージです。SOC2で得られた結果を一般の方でも理解できるわかりやすい形式で報告するのが特徴です。

SOC2のタイプ

SOC2は、大きく分けてタイプ1とタイプ2の2種類に分類できます。この2種類の違いは、証明する時点にあります。タイプ1は特定の時点で対象の組織が標準システムやプロセスを使用したことの証明が目的です。一方、一定期間（6カ月以上）にわたるコンプライアンスに則った運用の証明となるのがタイプ2です。

タイプ1の場合、組織が導入している統制に関する記述がメインとなり、その統制が適切に計画・実行されていることを証明します。一方、タイプ2ではタイプ1で紹介されている内容に加えて、統制が運用にあたって有効である証明まで含まれている点が両者の違いとなっています。

SOC2とIAMの関係性

SOC2を考えるにあたって、IDやアクセス管理のためのIAM（Identity and Access Management）との関係は重要です。SOC2の基準を満たすためには、IAMの導入が不可欠といえます。IAMシステムはアクセス制御を担っているため、SOC2のセキュリティや機密性、プライバシー原則を担保するために欠かせない存在だからです。

IAMアプリは進化を続けていて、最新のものでは、2段階認証やパスワードの自動リセットなどきめ細かなアクセスコントロールも可能となっています。IAMは、SOC2認証への近道となり、運用にあたっての安心感を顧客に与えられます。

SOC2レポートを受け取るメリット

SOC2レポートを取得するメリットとして、企業に対する信頼性を高められる点が挙げられます。米国公認会計士協会が設定するフレームワークのため、その認証を受けることは高い信頼性の獲得につながります。

現状を把握できる

SOC2の監査を受けることで、セキュリティ面を中心とした現状の把握が可能となることはメリットといえるでしょう。とくに課題の正確な把握は、進化させるためのきっかけを得ることにもつながります。課題が明確になれば、克服のための方策を検討でき、より良いスペックの獲得も可能となります。

顧客からの信頼を得やすい

SOC2を導入することで、顧客からの信頼を勝ち取れるのは大きなメリットです。顧客はセキュリティやプライバシーの確保に関して敏感になっています。SOC2による認証は、著名団体のお墨付きと同義であり、顧客の信頼を獲得できます。また、新規顧客の獲得も容易になり、競争力の向上にもつながります。つまり、さらなるビジネスチャンスを手にできる可能性も出てくるわけです。

SOC2による認証を受けていれば、コンプライアンスや法的要件を満たしていることの証明にもなりえます。プライバシーに関する規制やデータ保護に関して、SOC2認証を受けていれば法的な基準を満たしていることの証拠になります。こちらもクライアントにとっては、安心して導入できる理由の一つになるでしょう。

プロセス向上につなげられる

SOC2には5項目の要件が設定されており、組織全般のセキュリティ体制の整備が必要となります。そのため、企業の内部プロセスについて、全体的な底上げが期待できます。また、それに伴いセキュリティに関するインシデントの発生リスク軽減も期待できるでしょう。インシデントの発生率を低くできれば、情報漏洩などの重大事件が発生するリスクも軽減できるわけです。

SOC2を実装することで、脆弱性の問題をはじめとして改善しなければならないポイントも出てくるでしょう。しかし、適切に対策すれば、それだけ穴のないシステムを構築できるわけです。最終的には組織のセキュリティマネジメントの効率性を高め、信頼性も向上させられます。

まとめ

クラウド化の進んでいる現在、システム運用は以前よりずっと便利になりました。一方、セキュリティ対策などは、今まで以上に重視されるようにもなっています。大手のクラウドサービスを見てみると、SOC2の報告書を公開している例が見られます。顧客データを取り扱っている企業であれば、セキュリティ対策の一環として、SOC2レポートを受け取ることは有効な手段です。

なお、セキュリティに関する認証制度は、SOCレポートだけではありません。次の記事では、日本の政府機関がクラウドサービスを利用する際に情報セキュリティレベルを評価するための制度である「ISMAP」について、詳しく解説しています。

あわせて読みたい

ISMAPとは何か？概要や審査基準や申請の流れ、確認方法について解説 IT化、デジタル化は国を挙げて進められており、これまでにも様々な施策が発表されています。その中の一つに、当記事で紹介するISMAPがあります。 ISMAPとは、Informatio...

お試しフリープランでは、月額基本料と送信量のコストがかからず、GMOサインの基本操作をお試しいただけます。契約業務における高度なセキュリティを確保したいと検討されている方は、ぜひ一度使い勝手などをチェックしてみてください。

＼ 月額料金＆送信料ずっとゼロ ／

あわせて読みたい

【弁護士監修】電子契約サービス29社を徹底比較！どこを選ぶべき？特徴や料金、使いやすさなどをご紹介... 紙の契約書は、作成後に署名・押印を行い、さらに相手方にも同様の手続きをしてもらう必要があり、非常に手間がかかる業務です。しかし、電子データを用いて契約書の作...