soc2-readiness

SOC 2 対応準備

組織を「文書化された統制がない」状態から監査対応可能な状態へ導きます。

1. スコープ設定

• レポートの種類を決定します：Type I（特定時点）と Type II（一定期間 — 観察期間は早めに開始します）
• システムの説明を定義します：対象範囲のサービス、インフラストラクチャ、境界（再委託先、クラウドプロバイダー）
• Trust Services Criteria を選択します：Security（必須）に加え、該当する場合は Availability、Confidentiality、Processing Integrity、Privacy

2. ギャップ評価

現在の取り組みを基準に対応付けます：

領域	代表的な基準	よくあるギャップ
アクセス制御	CC6.1–CC6.3	MFA がない、ロールベースのアクセス制御がない、アカウントを共有している
変更管理	CC8.1	デプロイ時のピアレビューがない、環境が分離されていない
リスク評価	CC3.1–CC3.4	年次リスク評価やベンダーレビューがない
モニタリング	CC7.1–CC7.3	ログレビューがない、異常に関するアラートがない
インシデント対応	CC7.4–CC7.5	IR 計画や机上演習の証跡がない
BC/DR	A1.2–A1.3	バックアップがテストされていない、RTO/RPO が文書化されていない
ベンダー管理	CC9.2	再委託先のデューデリジェンスがない
オンボーディング／オフボーディング	CC6.1	アクセス権の削除が迅速に行われていない、または証跡がない

3. 是正

• まず監査を妨げる要因を優先し、その後リスクに基づいて優先順位を付けます
• ポリシー、実践、証跡をまとめて整備します：実施の証拠がないポリシーは不適合となります
• 一般的な期間：Type I は 2～4 か月、Type II は 2～12 か月分の運用証跡が必要です

4. 証跡パッケージ

各統制について、ポリシー文書、実装成果物（スクリーンショット、設定）、およびレビュー期間中の日付入り運用証跡（アクセスレビュー、変更チケット、トレーニング記録、IR 演習）を用意します

5. 監査の進め方

• 監査人を選定し、スコープの文言がシステムの説明と一致していることを確認します
• 準備状況評価（任意ですが有用）→ フィールドワーク → 報告書ドラフトのレビュー
• 指摘事項や例外事項を正直に記録し、経営陣の対応を文書化します

成果物

担当者と日付を記載したギャップ一覧、基準に対応付けた統制マトリックス、証跡リポジトリの構成、および監査人向けのシステム説明。