ベトナムの IT アウトソーシング企業の SOC 2
米国の顧客が実際に求めるタイミング、アウトソーシング企業の場合の対象範囲、着手のための現実的なロードマップ。
米国の顧客が実際に SOC 2 を求めるとき
米国のスタートアップや中小企業が求めることはまれです。エンタープライズ企業やフィンテック企業では、次の 4 つの場面があります。
80〜150 問のフォームで、最初の質問が「SOC 2 Type II 報告書はありますか？」です。「いいえ」と答えると上位審査に回され、代替コントロールの提示を求められます。
MSA で SOC 2 Type II 準拠の維持と年次報告書の提出が求められます。署名すれば、報告書の提出を約束することになります。
条件に合意した後、顧客の CISO がエビデンスを求めてきます。報告書がなければ、何週間もかけてポリシーを一つずつ送ることになります。
RFP で SOC 2 Type II 報告書が必須とされています。報告書がなければ、資格審査の段階で落とされます。
まだどれにも当てはまらなければ、SOC 2 は急ぐ必要はありません。米国のエンタープライズとの商談がパイプラインに入った段階で、ギャップ評価を実施しましょう。
アウトソーシング企業の場合の SOC 2 の対象範囲
対象範囲は通常、開発環境です。ソースコードと本番環境へのアクセス、従業員アカウントの管理、開発・テスト環境での顧客データの取り扱い、インシデント対応、ログ取得と監視などが含まれます。従業員数や売上高の基準はなく、対象範囲は貴社と監査人の合意で決まります。
アウトソーシング企業にとっての SOC 2 と ISO 27001
| 項目 | SOC 2 | ISO 27001 |
|---|---|---|
| 要求する主体 | 米国のエンタープライズ企業とフィンテック企業 | 日本、EU、シンガポール、グローバル企業 |
| 成果物の種類 | 監査報告書（認証書ではない） | 国際認証 |
| コントロールの重なり | コントロールの 60〜70% が重なる | |
| 初回取得までの期間 | Type I：3〜6 か月 | 認証：6〜18 か月 |
| 年間の監査費用 | 2〜3 社の CPA 事務所に見積もりを依頼して比較 | 認証機関や企業規模により異なる |
ロードマップ：アウトソーシング企業が SOC 2 を取得するまで
対象範囲とトラストサービス規準を決めます（セキュリティは必須、可用性と機密保持は顧客のニーズに応じて）。ギャップを文書化します。
アクセス管理（MFA、最小権限、アクセスレビュー）、ログ取得と監視、テスト済みのインシデント対応手順書、人的セキュリティ（入社手続き、経歴確認、退職手続き）。
CPA 事務所が特定時点のコントロールの設計を確認します。Type II の取得までは Type I を受け入れる顧客もいます。
コントロールは評価対象期間（通常 3〜12 か月）を通じて一貫して運用されている必要があります。この期間中は、アクセスログ、変更管理の記録、インシデント報告、ベンダーレビューの記録などのエビデンスを継続的に収集します。実務の負担が最も大きいフェーズです。
CPA 事務所が評価対象期間全体の運用状況の有効性を検証し、米国のエンタープライズ企業が求める Type II 報告書を作成します。
費用の実態：予算を組む前に知っておくこと
準備費用と監査費用は、対象範囲や CPA 事務所によって大きく異なるため、信頼できる金額を示すことはできません。同じ対象範囲（システム、対象人数、TSC）を AICPA のライセンスを持つ 2〜3 社の CPA 事務所に提示し、見積もりを比較してください。
よくある質問
米国の顧客は本当に SOC 2 を求めますか？
すべての顧客ではありませんが、米国のエンタープライズ企業やフィンテック企業はよく求めます。最もわかりやすいサインは、ベンダー向けセキュリティチェックシートや、SOC 2 条項を含むマスターサービス契約（MSA）です。スタートアップや中小企業が求めることはまれです。
従業員 50 人のアウトソーシング企業にも SOC 2 は必要ですか？
企業規模ではなく顧客次第です。米国の大口顧客が SOC 2 報告書を求めるなら、50 人規模の企業でも契約を維持するために必要です。顧客がすべてスタートアップや中小企業であれば、おそらく必要ありません。
アウトソーシング企業には SOC 2 と ISO 27001 のどちらが適していますか？
日本、EU、シンガポールに顧客がいる場合は ISO 27001 が適しています。顧客が主に米国にいる場合は SOC 2 が適しています。ベトナムの大手アウトソーシング企業の多くは、両方の市場に対応するため両方に取り組んでいます。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。