SOC 2監査を理解する：チェックリストとプロセス

SOC 2監査の目的とは？

SOC 2監査の目的は、企業がデータと情報を保護するために導入している内部統制を評価し、AICPAが定める最低基準を満たしているかどうかを確認することです。クラウド環境がビジネス活動を支える割合が高まるなか、顧客のデータと情報を安全に保つために、組織が意識的に取り組むことが不可欠です。

SOC 2レポートが必要なのはどのような企業ですか？

クラウドを利用するすべてのSaaS企業がSOC 2監査のメリットを得られますが、ブランドの成長を目指すスタートアップにとっては必須です。大企業の見込み顧客は、スタートアップがSOC 2認証を取得しているか、少なくともSOC 2認証プロセスを進めていることを確認したいと考えます。SOC 2監査を受けなければ、SaaSスタートアップは競争上不利になり、ビジネス機会を失う可能性があります。

SOC 2監査を実施するのは誰ですか？

SOC 2監査を実施できるのは、公認会計士（CPA）の資格を持つ監査人だけです。監査人は組織のメンバーと連携し、ITチームやセキュリティチームのメンバーなどから、内部統制の証拠を収集します。また監査の一環として、経営陣は導入済みの内部統制について正式な表明を行う必要があります。監査人はSOC 2レポートの作成時に、その表明に同意するかどうかを示します。

SOC 2監査に備える方法

SOC 2監査は数か月かかることもある長期的なプロセスです。監査を開始する前にSOC 2の準備状況評価を完了しておくと、統制やプロセスの不備を見つけられ、プロセスを迅速化できます。外部脆弱性テスト、ギャップ分析、侵入テストを実施することで、監査に備えられます。

• 外部脆弱性スキャンでは、ネットワーク全体の外部IPアドレスを対象にします。悪意ある攻撃者に悪用されると、内部ネットワークへの侵入経路となるおそれがあります。

• ギャップ分析では、組織のセキュリティプログラムをSOC 2フレームワークと比較し、サイバーセキュリティ対策の不備を特定します。

• 侵入テスト（ペネトレーションテスト）は、ネットワークへの攻撃をシミュレーションし、悪意ある攻撃者に悪用される前に脆弱性を発見するために実施します。

• Snykのようなツールでクラウド環境をスキャンすると、SOC 2の統制に違反する可能性のある構成を見つけられます。

SOC 2監査チェックリスト

SOC 2監査の完了に数か月かかることは珍しくありません。しかし、適切に準備すればプロセスを短縮し、SOC 2認証をより早く取得できます。正式な監査を開始する前に活用できるチェックリストをご紹介します。

1. SOC 2監査の範囲を決める。自社の情報セキュリティ管理システムを最もよく理解しているのは、ほかでもない皆さんです。その知識を活かして、Type 1とType 2のどちらの監査が適しているか、また任意のトラストサービス原則のうち、対象とするものがあるかどうかを判断しましょう。

2. 準備状況評価を実施する。準備状況評価は、SOC 2監査の予行演習です。自社で実施することもできますが、監査人に依頼すれば、内部統制、システム、プロセスの弱点を効果的に特定できます。また、サイバーセキュリティ体制の強化に役立つ推奨事項も提示してもらえます。

3. ギャップ分析と是正措置を実施する。ギャップ分析では、SOC 2監査に合格できるよう、サイバーセキュリティ対策の不備を解消するための是正措置を明らかにします。新しい統制の導入と従業員へのトレーニング、統制記録の作成と更新、情報セキュリティを強化するためのワークフローの変更などが含まれます。

4. 2回目の準備状況評価を実施する。不備を特定して一部を解消したら、すべての脆弱性に対処できているか確認するため、2回目の準備状況評価を実施するとよいでしょう。残っている問題を修正すれば、公認会計士事務所に依頼して正式なSOC 2監査を始められます。

上記の手順は監査の準備に重要ですが、SOC 2への準備は継続的なプロセスです。4つ目のステップを終えた後も続ける必要があります。プロセスを業務に定着させれば、今後の監査に備えられるだけでなく、SOC 2への準拠を継続的に維持できます。

SOC 2監査のプロセスとは？

SOC 2監査のプロセスは、監査前のギャップ分析、範囲の設定、証拠の収集、現地訪問、監査後のSOC 2レポートという5つのステップにまとめられます。

1. ギャップ分析

前述のとおり、ギャップ分析では、組織のセキュリティプログラムを業界標準のセキュリティフレームワーク（ここではSOC 2）と比較し、サイバーセキュリティ対策やクラウドインフラ環境の不備を特定します。

2. 監査範囲の設定

監査人と相談しながら、監査の範囲を決定します。SOC 2監査では、最大5つのSOC 2トラスト原則、すなわちセキュリティ、可用性、処理の完全性、機密性、プライバシーの観点から、情報セキュリティ管理システムを評価します。必須なのはセキュリティ原則のみですが、サービス組織は残り4つの原則から任意のものを選んで追加評価を受け、その原則に準拠していることを証明できます。

また、SOC 2 Type 1監査（ある時点における内部統制を調べる監査）と、SOC 2 Type 2監査（一定期間にわたる統制を評価する監査）のどちらが適切かも決定します。

3. 証拠の収集

内部統制、ポリシー、手順の証拠を監査人に提出するよう求められます。コンプライアンス管理ソフトウェアを使えば、書類の収集や提出の多くを自動化し、プロセスを迅速化できます。クラウドインフラ環境のSOC 2準拠状況を評価するツールを使うと、追加の証拠を提示できます。

4. 現地訪問

監査範囲に含まれ、組織が完全リモートでない場合、監査人が現地を訪問して環境を実地検査することがあります。監査人は、組織の統制、プロセス、手順を詳細に把握しようとします。特定のデバイスをどのようにロックダウンしているか、重要な情報が保管されている可能性のある機密エリアに誰がアクセスできるかなどを確認します。

5. SOC 2レポート

検査後、監査人からSOC 2レポートが提出されます。レポートには、検査した統制に関する意見と、経営陣の正式な表明に監査人が同意するかどうかが記載されます。情報セキュリティ管理システムがSOC 2基準に準拠していると監査人が判断した場合、組織はこの認証を自社の強みとして活用できます。

SOC 2監査の完了までにかかる期間は？

SOC 2監査の完了にかかる期間は、監査範囲や監査対象となる企業の規模によって異なります。少なくとも6週間はかかると見込まれますが、6か月かかることも珍しくありません。

自動化プラットフォームのなかには、14日で監査を完了できるとうたうものもあります。しかし実際には、手作業での書類作成プロセスを省くことで、監査を迅速化できるにすぎません。監査を実施できるのは公認会計士（CPA）の資格を持つ監査人だけであり、開始からSOC 2レポートの提出まで2週間を超える期間が必要です。

SOC 2レポートにアクセスできるのは誰ですか？

SOC 2レポートには、情報セキュリティ管理システムの詳細が記載されています。そのため、機密情報として扱う必要があり、第三者と共有する場合は秘密保持契約（NDA）の締結が必要です。ただし、機密情報を除いたSOC 3レポートを（SOC 2監査と併せて）依頼すれば、共有することができます。

SOC 2監査の費用はいくらですか？

SOC 2 Type 1レポートの費用は、企業の規模、監査範囲、既存のポリシーやシステムに応じて、1万ドルから6万ドルです。SOC 2 Type 2はより長い期間を対象とするため、プロセスも長期化し、費用は3万ドルから10万ドルになることがあります。

SOC 2監査はどのくらいの頻度で実施する必要がありますか？

SOC 2レポートの所見と結論は、レポート発行日から12か月間有効です。そのため、SOC 2監査は毎年実施する必要があります。

Snykは統合型のポリシー・アズ・コードエンジンを活用し、チームがクラウドセキュリティとコンプライアンスの課題を解決できるよう支援します。このソリューションは、主要なクラウドプロバイダー全体でセキュリティとコンプライアンスのガードレールを提供し、導入後すぐに関連するすべてのポリシーに準拠できるようチームを支援します。

さらに、Snyk Infrastructure as Codeはクラウドセキュリティの自動化を活用するため、Infrastructure as Codeの開発およびデプロイ時に、SOC 2準拠チェックのポリシーを自動で設定できます。

SnykはSOC 2監査にどのように役立ちますか？

Snykは統合型のポリシー・アズ・コードエンジンを活用し、チームがクラウドセキュリティとコンプライアンスの課題を解決できるよう支援します。このソリューションは、主要なクラウドプロバイダー全体でセキュリティとコンプライアンスのガードレールを提供し、導入後すぐに関連するすべてのポリシーに準拠できるようチームを支援します。

さらに、Snyk Infrastructure as Codeはクラウドセキュリティの自動化を活用するため、Infrastructure as Codeの開発およびデプロイ時に、SOC 2準拠チェックのポリシーを自動で設定できます。