SOC 2 と PDPD：両方に対応する
米国の顧客は SOC 2 を求め、ベトナムの法律はベトナム個人データ保護法令（PDPD）への対応を義務づけます。重なる部分とギャップ、作業を倍にせずに両方を進める方法を解説します。
両方のフレームワークに対応が必要なのは？
例：ホーチミン市の HR テック SaaS 企業が、ベトナムの従業員データを保管し、米国の顧客とも契約しているとします。12 か月以内に SOC 2 Type II の取得を目指す一方で、ベトナム個人データ保護法 Law 91/2025 は最初のデータを収集した時点から適用されます。
ベトナムのユーザーを抱え、米国の顧客や投資家を持つ企業によくあるケースです。ベトナムの従業員の個人情報（PII）を扱うアウトソーシング企業も含まれます。
各フレームワークの対象
- 性質 任意（法律ではない）
- 目的 米国の B2B 市場への参入
- 成果物 CPA 事務所が発行する監査報告書
- 基準 5 つのトラストサービス規準（セキュリティ、可用性、機密保持、処理のインテグリティ、プライバシー）
- 更新 通常は毎年（Type II）
- 執行 市場からの要請。執行機関はなし
- 性質 法令、強制
- 施行 2023 年 7 月から
- 対象範囲 ベトナム国民の個人データ
- 執行機関 公安省（A05）
- 違反時 罰金、行政処分
- 主な要件 機微データの登録義務、同意の仕組み、越境移転の管理
重なる部分とギャップ
| 要件 | SOC 2 | PDPD / Law 91 |
|---|---|---|
| 個人データへのアクセス制御 | 対応 | 対応 |
| データ漏えい時の通知 | 対応（顧客へ通知） | 対応（72 時間以内に公安省へ通知） |
| 社内セキュリティポリシー | 対応 | 対応 |
| データの最小化 | 一部対応 | 対応 |
| ユーザーの同意の仕組み | 対象外 | 対応 |
| 機微データ処理の登録 | 対象外 | 対応（義務） |
| 越境データ移転の管理 | 対象外 | 対応（PDPD 固有の規定） |
| ベンダー・第三者との契約 | 対応 | 対応 |
2 つのプログラムを並行して進める方法
共通のコントロール一覧をひとつ作る
既存のコントロールをすべて洗い出し、それぞれが満たすフレームワークをタグ付けします。適切なアクセス制御ポリシーがひとつあれば、SOC 2 CC6 と PDPD の両方を満たせます。
ギャップ評価でコントロールを並行して対応付ける
SOC 2 TSC と PDPD の 2 列の対応表を使い、各ギャップが片方だけのものか両方のものかを分類します。
SOC 2 でカバーされない PDPD 固有の対応
- データ保護責任者（DPO）を任命する（社内または外部委託）
- 機微データ（健康、金融、生体、民族的出自）を処理する場合は公安省に登録する
- 同意撤回の仕組みを含め、ベトナムのユーザーデータに特化した同意管理フローを構築する
- ベトナム国外のクラウド事業者を利用する場合は、越境データ移転を評価して文書化する
コンプライアンスプラットフォームでエビデンス作業の重複を避ける
エビデンスの収集は一度だけ。複数フレームワークのマッピングにより、ひとつの成果物を多数の要件に紐づけられるため、SOC 2 Type II の評価対象期間が始まる際の準備時間を削減できます。
よくある質問
PDPD と SOC 2 には重なる部分がありますか？
一部重なります。個人データへのアクセス制御、漏えい時の通知、社内のセキュリティポリシーなどです。ただし PDPD は拘束力のあるベトナムの法令であり、SOC 2 は B2B サービス組織向けの任意のフレームワークです。
SOC 2 は PDPD 対応に役立ちますか？
一部役立ちます。SOC 2 は、PDPD でも求められるデータセキュリティのコントロール基盤を構築します。ただし、公安省への影響評価書類の提出や Law 91/2025 に基づく同意要件など、PDPD 固有の義務はカバーしません。
SOC 2 と PDPD に同時に対応できますか？
できます。2 つの別々のプログラムを走らせるのではなく、共通のコントロールフレームワークをひとつ作り、各コントロールを SOC 2 TSC と PDPD の両方に対応付けます。
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。