SOC 2 · 準備キット
SOC 2 Type I・Type II の準備
Trust Service Criteria のマッピングからエビデンス収集まで、SOC 2 監査の準備資料です。米国・カナダ市場を目指すベトナムの SaaS 企業向けです。
pTrackly に相談する →1. 対象範囲と TSC の選定
- □ 対象とするサービスを定義（通常は本番システム）
- □ 必須の TSC を選定：Security（CC）は常に必須
- □ 追加を検討：Availability、Confidentiality、Processing Integrity、Privacy
- □ Type I（短期間）か Type II（エンタープライズ向け）かを決定
2. コントロールのマッピング
- □ 既存のコントロールを Common Criteria（CC1-CC9）にマッピング
- □ ギャップを特定（未整備・不十分なコントロール）
- □ システム記述書を作成し、システムとコントロールを説明
- □ 方針で網羅すべき領域：アクセス制御、変更管理、リスク、インシデント
3. エビデンス収集（Type II）
- □ コントロールごとにエビデンスの種類を特定（自動／手動）
- □ 評価対象期間：通常 3〜12 か月。早めに収集を開始
- □ エビデンスの例：アクセスログ、変更チケット、インシデント報告書、研修記録
- □ エビデンスを一元管理し、監査人と共有しやすくする
4. 監査を行う CPA 事務所の選定
- □ 監査人は AICPA の認可を受けた CPA 事務所であること
- □ SaaS／テック企業の実績がある事務所：BARR Advisory、Prescient Assurance、A-LIGN、Johanson Group
- □ 少なくとも 2〜3 社から提案を取得
- □ 監査期間の目安：キックオフから報告書まで 4〜8 週間
5. SOC 2 報告書の受領後
- □ Type I 報告書の有効性：期限はないが、大企業は通常 1 年以内のものを求める
- □ Type II：毎年の更新監査が一般的に推奨される
- □ 見込み顧客と共有するためのエグゼクティブサマリーを準備
- □ Trust Center／セキュリティページで SOC 2 報告書の提供可否を公開
pTrackly のテンプレートとエビデンスの自動収集で、SOC 2 の導入を効率よく進められます。
無料デモを予約
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。