Service Organization Control Type 2 (SOC 2)とは何ですか？
Service Organization Control Type 2 (SOC 2)は、サービス事業者が顧客データを保護し、一定期間にわたりシステムの信頼性を維持しているかを検証する独立した監査です。スライド上の説明だけでなく、実際の運用がどうなっているかを確認します。セキュリティと信頼性に関する、短期集中の確認ではなく期間を通した厳しい点検のようなものです。誰がこれを定義しているか気になりますか？概要はこちらをご覧ください： System and Organization Controls.
「Service Organization Control Type 2 (SOC 2)を取得している会社は決して侵害されない」これは誤りです。報告書は統制が設計され運用されていることを確認しますが、魔法の盾ではありません。引き続き適切なセキュリティ習慣、監視、それに常識が必要です。
Service Organization Control Type 2 (SOC 2)の仕組み
以下は、暗号資産のカストディアン、取引所、ウォレット提供者がService Organization Control Type 2 (SOC 2)監査を受ける際の流れです：
- ステップ1： 対象範囲と独立した監査人を選定します。例：カストディ、鍵管理、インシデント対応。
- ステップ2： Trust Services Criteriaに統制をマッピングします：セキュリティ、可用性、処理の完全性、機密性、プライバシー。
- ステップ3： 監査人が期間全体でテストする間、その統制を数か月にわたり運用します。一時点だけを調べるわけではありません。
- ステップ4： 監査人は意見、システムの記述、詳細な試験結果（例外を含む）を含む報告書を発行します。
- ステップ5： 企業は報告書をNDAの下で、求める顧客やパートナーと共有します。
以上です。正式な情報源が必要なら、AICPAのこのページがプログラムを説明しています： AICPA SOC.
Service Organization Control Type 2 (SOC 2)が重要な理由
何が時間をかける価値を生むのでしょうか？
- 利点： ベンダーのデューデリジェンスを速めます。1件の報告書で多数のセキュリティ質問に答えられます。
- 視点： 機関はこれを求めます。多くのファンドやトレジャリー、フィンテックのパートナーはSOC 2 Type 2を最低条件と見なします。
- 関連性： カストディアン、取引所、分析系SaaS、ウォレットのインフラでよく見られます。例えば、Fireblocksが監査をどのように示しているかはここを参照してください： Fireblocks security and compliance.
まず監査期間の開始日と終了日、及び対象範囲を確認してください。Type 1ではなくType 2であること、鍵管理、HSMの使用、インシデント対応など暗号資産特有の項目が境界内に含まれていることを確認しましょう。
Service Organization Control Type 2 (SOC 2)の主な特徴
違いを素早く把握できるポイント：
- 期間： 統制が期間を通じて機能していたことを示すために日付範囲を対象にします。
- 基準： 試験項目を導く5つのTrust Services Criteriaを使用します。
- 対象範囲： マーケティングの主張や機能一覧ではなく統制に焦点を当てます。
- 監査人： 証明業務を行う独立したCPA事務所が実施します。
- 共有： 報告書全文は通常NDAの下で共有され、公開されないことが多いです。
- 主張： システムと統制に関する経営陣の表明。
- 意見： 設計および運用の有効性に関する監査人の結論。
- 記述： システムがどのように機能しているかの平易な説明。
- 試験： 各統制がどのように試験されたかとその結果。
- CUCs： 利用者側で実施すべき補完的な統制（Complementary User Controls）。
企業がNDAの下でこれらをどのように共有しているかを確認したいですか？多くはAWS Artifactのようなポータルで報告書をホストしています： AWS Artifact.
バリエーション
同じ系列の別の種類：
- Type1： 監査人が単一時点で統制の設計を確認します。
- Type2： 監査人が数か月にわたり設計と運用の有効性を確認します。
- SOC1： 財務報告に関する統制に焦点を当て、一般的なセキュリティとは別です。
- SOC3： SOC 2の公開向け要約で、広く共有できます。
SOC 2は期間を通じた運用への信頼に関するものです。製品がバグなしであることやオンチェーン資産にリスクがないことを証明するものではありません。
例
ある暗号ファンドがカストディプロバイダーにService Organization Control Type 2 (SOC 2)の報告書提供を求め、鍵管理、変更管理、インシデント対応を確認してから資産を送金します。
豆知識
頭字語のSOCは当初Service Organization Controlとして使われ、その後スポンサーはプログラムをSystem and Organization Controlsと呼ぶようになりました。字は同じで、範囲が広がった形です； AICPA overviewがこの包括的な概要を説明しています。
まとめ
簡潔に言えば：Service Organization Control Type 2 (SOC 2)は主要なパートナーが迅速に承認できるための信頼報告です。