SOC 2

SOC 2（Service Organization Control 2）は、クラウドサービスなどの事業者が、顧客のデータをどのように守っているかについて、独立した監査人が評価して作成する報告書です。米国公認会計士協会（AICPA）が定めた基準にもとづいています。企業がAIサービスを選ぶとき、「このベンダーは情報管理の仕組みを第三者に確認してもらっているか」を判断する材料として、よく求められます。

何を評価するか

SOC 2 は、「トラストサービス基準」と呼ばれる観点で評価します。

• セキュリティ（必須）：不正なアクセスから情報やシステムを守れているか
• 可用性：約束した水準でサービスが使えるか
• 処理の完全性：処理が正確で、漏れなく行われるか
• 機密保持：機密情報が適切に保護されているか
• プライバシー：個人情報が適切に収集・利用・保管・破棄されているか

どの観点を対象にするかは事業者が選ぶため、報告書にどの範囲が含まれているかを読む必要があります。

Type I と Type II

報告書には2つの種類があります。

• Type I：ある時点で、管理の仕組みが適切に設計されているか。
• Type II：一定期間（たとえば半年から1年程度）にわたり、その仕組みが実際に継続して運用されていたか。

運用の実績まで確認できる Type II のほうが、より信頼の材料になると一般に考えられています。

具体例

企業の情報システム部門が、新しいAIツールの導入審査を行うとします。ベンダーに SOC 2 の報告書の提示を依頼し、対象範囲が使う製品を含んでいるか、監査の期間が最近か、指摘事項（例外）がないかを確認します。報告書は機密扱いで、秘密保持契約を結んだうえで開示されることが多いです。

誤解しやすい点

• 「SOC 2 取得済み」は安全の保証ではありません。 認証のような合否ではなく、評価結果の報告書です。内容に例外が記載されていることもあります。
• 対象範囲を確認しましょう。 提供元の会社全体ではなく、特定のサービスや拠点だけが対象の場合があります。
• ほかの基準もあります。 情報セキュリティの国際規格 ISO/IEC 27001 などもよく使われ、目的が似ていても別の仕組みです。
• 自社の責任は残ります。 ベンダーが基準を満たしていても、アカウント管理や入力する情報の取捨選択は利用者側の仕事です。

関連する考え方

保存の条件はデータ保持期間、個人データの法令対応は GDPR、規約面の確認は利用規約の項目が関連します。