SOC 2とは？

対象となる範囲

System and Organization Controls（SOC）は、米国公認会計士協会（AICPA）が提供する報告サービスの総称です。SOC 2報告書は、サービス組織の統制のうち、トラストサービスの5つのカテゴリー（セキュリティ、可用性、処理の完全性、機密性、プライバシー）の1つ以上に関わるものを対象にします。セキュリティが基本で、残りの4つは、そのサービスにとって重要な場合に加えます。

AICPAは、SOCの業務を、公認会計士がAICPAの定める専門職基準に従って提供するサービスと説明しています。つまり報告書は独立した監査人の仕事であり、ベンダーが自社について述べたものではありません。報告書には、監査人の意見、経営者によるシステムの記述、対象とした統制、テスト結果（例外を含む）が載っています。

種類は2つです。Type Iの報告書は、ある一時点で、統制が適切に設計されていたかを見ます。Type IIの報告書は、それに加えて、定められた期間にわたって統制が有効に運用されていたかをテストします。購入側が通常Type IIを求めるのはこのためです。

何が求められるか

SOC 2報告書の取得を求める法律はありません。企業が自発的に取得するのが普通で、多くは、顧客がセキュリティ審査で求めるからです。この枠組みに合格や不合格の判定はありません。報告書は、何を検査し、監査人が何を見つけたかを記述するものです。認証書は発行されないので、「SOC 2認証取得」という言い方はよく見かけますが、正確ではありません。

音声エージェントにとっての意味

音声エージェントは、発信者の音声、氏名、アカウントの詳細、ときには健康情報や支払い情報を、複数のシステムに通します。SOC 2報告書は、ベンダーがアクセス制御、変更管理、ログ記録、インシデント対応をどう運用しているかを知る、手っ取り早い手段の1つです。読むときは、次の点を確認してください。

• どのシステムとサービスが対象か。自社のWebダッシュボードに関する報告書が、リアルタイム音声の経路まで含んでいるとは限りません。
• テストした期間と、それが最近のものか。期間の終了日から現在までに空白がある場合は、ブリッジレターが必要になることがあります。
• どのトラストサービスのカテゴリーが含まれているか。セキュリティだけでは、機密性やプライバシーについてほとんど何もわかりません。
• 表紙だけでなく、例外と監査人の意見。
• クラウドホストなど、ベンダー自身の再委託先が報告書の対象外になっていないか。
• 誰が署名したか。報告書の信頼性は、署名した事務所の信頼性しだいです。

SOC 2報告書は証拠であって、ほかの義務の代わりにはなりません。HIPAAに基づくビジネスアソシエイト契約、GDPRに基づくデータ処理契約、カードデータを扱う場合のPCI評価（PCI DSS）を置き換えることはできません。音声データをどれだけの期間保管するかも、報告書からはわかりません。これは設定で決める事項で、ゼロデータ保持で説明しています。購入時のチェックリストは、オンプレミス音声AIのガイドをご覧ください。

法務担当に確認する質問

1. 自社の顧客との契約には、SOC 2報告書で足りるか。別のものが求められないか。
2. 自社のユースケースでは、どのカテゴリーとどのサービスを対象に含める必要があるか。
3. 報告書の期間の終了日から自社の稼働開始日までの空白は、どう扱うか。
4. 監査人が指摘した例外は、どう評価すべきか。
5. ベンダーの報告書を自社の顧客と共有できるか。共有できる場合、どんな条件か。

関連用語

• HIPAA
• GDPR
• PCI DSS
• ゼロデータ保持

ガイド

• オンプレミス音声AIとは：仕組みと導入方法

出典

• AICPA and CIMA, System and Organization Controls (SOC) suite of services