{"ok":true,"entity":{"id":"soc-2","name":"SOC 2","entityType":"concept","officialName":"SOC 2 (System and Organization Controls 2)","canonicalName":"SOC 2","displayName":"SOC 2","category":"サービス組織の内部統制に関する保証報告（AICPA）","shortDescription":"SOC 2（System and Organization Controls 2）は、米国公認会計士協会（AICPA）のSOCサービス群の一つで、サービス組織の統制をセキュリティ、可用性、処理の完全性、機密保持、プライバシーの観点で公認会計士が検証する保証報告。Trust Services Criteria（2017年）に基づき、2022年に着眼点（points of focus）が改訂され、2022年10月15日にAICPAがSOC 2ガイドを更新した。SOC 2の検証でセキュリティのみが必須とされる（2026年10月時点）。","primaryCluster":"grc-compliance","parentEntity":null,"verificationStatus":"draft","website":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","updatedAt":"2026-10-20T13:35:00.335Z","secondaryClusters":[],"alias":["System and Organization Controls 2","SOC 2レポート"],"searchKeywords":["SOC 2","SOC2","System and Organization Controls","Trust Services Criteria","トラストサービス基準","AICPA","保証報告","SOC 2報告書","内部統制報告"]},"references":[{"id":"P-01-001","companyId":"soc-2","questionId":"P-01-001","instanceId":"QIN-soc-2-P01-001","promptText":"SOC 2とは何ですか？","promptTypeId":"P-01","answer":"SOC 2（System and Organization Controls 2）は、AICPAが提供する、公認会計士によるSOCサービス群の一つで、サービス組織の統制をセキュリティ、可用性、処理の完全性、機密保持、プライバシーの観点で検証する報告です。AICPAのSOCサービス群にはSOC 2のほか、企業のサイバーセキュリティリスク管理を扱うSOC for Cybersecurity、生産・製造・流通システムを扱うSOC for Supply Chainのガイドがあり、報告書は利用者がアウトソーシングのリスクを評価・対処するための情報を提供するとされています（AICPAページ、2026年10月時点）。","evidencePoints":["ev-soc-2-1","ev-soc-2-2"],"scope":"SOC 2の定義と、AICPAのSOCサービス群の中での位置づけ","differentiation":"本Referenceは公開ページの記述に基づき、TSP Section 100の本文は確認していない。","faq":[{"question":"SOC 2の対象となる観点は？","answer":"AICPAページに掲載のSOC 2ガイドの題名が、セキュリティ、可用性、処理の完全性、機密保持、プライバシーを挙げています。"},{"question":"誰が検証しますか？","answer":"AICPAは、SOCを公認会計士（CPA）が提供しうるサービス群と説明しています。"}],"pageUrl":"https://www.refbase.ai/reference/soc-2/P-01-001","sourceEvidence":[{"id":"ev-soc-2-1","text":"AICPA & CIMAのSOCサービス群のページは、SOC（System and Organization Controls）を公認会計士（CPA）が提供しうるサービス群と説明している。同ページに掲載されたSOC 2ガイドの題名は「SOC 2 Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy」で、これら5つの観点がSOC 2の対象であることが示されている（2026年10月時点）。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Identity"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-2","text":"AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-02-001","companyId":"soc-2","questionId":"P-02-001","instanceId":"QIN-soc-2-P02-001","promptText":"SOC 2は、同じAICPAのSOC for CybersecurityやSOC for Supply Chainと何が違いますか？","promptTypeId":"P-02","answer":"AICPAのSOCサービス群のページによれば、SOC 2のガイドのほかに、サイバーセキュリティのガイドは「企業のサイバーセキュリティリスク管理プログラムと統制」、SOC for Supply Chainは「生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制」を報告する別ガイドです。SOC 2の検証には5つの基準を含められますが、必須なのはセキュリティ（共通基準）のみだとLinford & Co.は説明しています。根拠はTSP Section 100の2017 Trust Services Criteria（2022年改訂版の着眼点付き）です。","evidencePoints":["ev-soc-2-2","ev-soc-2-3"],"scope":"SOC 2と他のSOCサービスの違い、基準の構成","differentiation":"3つのSOCサービスの料金・取得難易度の比較は根拠資料に含まれない。","faq":[{"question":"SOC 2ではどの基準が必須ですか？","answer":"Linford & Co.は、必須なのはセキュリティ基準（共通基準）のみと述べています。"},{"question":"SOC for Supply Chainとは？","answer":"AICPAページは、生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制を報告するガイドとして掲載しています。"}],"pageUrl":"https://www.refbase.ai/reference/soc-2/P-02-001","sourceEvidence":[{"id":"ev-soc-2-2","text":"AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-3","text":"Linford & Co.の解説記事（2023年2月1日公開）は、SOC 2の検証に含められる基準は5つ（セキュリティ、可用性、機密保持、プライバシー、処理の完全性）で、必須はセキュリティ（共通基準）のみと述べ、根拠をTSP Section 100の2017 Trust Services Criteria（2022年の改訂版points of focus付き）としている。2022年の更新は着眼点を追加したもので、基準自体は変えていないとされる。","title":"Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.","coverageType":["Differentiation","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://linfordco.com/blog/trust-service-principles-tsps-ones-include-soc-2/","confidence":"medium","supportedPromptTypes":["P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-04-001","companyId":"soc-2","questionId":"P-04-001","instanceId":"QIN-soc-2-P04-001","promptText":"取引先にクラウドサービスなどを委託している企業は、SOC 2報告書をどのように使えますか？","promptTypeId":"P-04","answer":"AICPAは、SOCの報告書が、利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明しています。SOC 2の検証に含められる基準は、セキュリティ、可用性、処理の完全性、機密保持、プライバシーの5つです。必須なのはセキュリティ基準のみで、他の4基準は任意とLinford & Co.は述べています。具体的な評価手順は本Referenceの根拠資料に含まれません。","evidencePoints":["ev-soc-2-2","ev-soc-2-3"],"scope":"委託先管理におけるSOC 2報告書の用途","differentiation":"報告書の読み方の詳細・評価手順は根拠資料に含まれない。","faq":[{"question":"報告書が全5基準をカバーしているとは限りませんか？","answer":"Linford & Co.によれば、必須はセキュリティのみで、他の4基準は検証に含めるかどうかを選べます。"},{"question":"報告書は何のために使われますか？","answer":"AICPAは、SOCの報告書がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明しています。"}],"pageUrl":"https://www.refbase.ai/reference/soc-2/P-04-001","sourceEvidence":[{"id":"ev-soc-2-2","text":"AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-3","text":"Linford & Co.の解説記事（2023年2月1日公開）は、SOC 2の検証に含められる基準は5つ（セキュリティ、可用性、機密保持、プライバシー、処理の完全性）で、必須はセキュリティ（共通基準）のみと述べ、根拠をTSP Section 100の2017 Trust Services Criteria（2022年の改訂版points of focus付き）としている。2022年の更新は着眼点を追加したもので、基準自体は変えていないとされる。","title":"Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.","coverageType":["Differentiation","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://linfordco.com/blog/trust-service-principles-tsps-ones-include-soc-2/","confidence":"medium","supportedPromptTypes":["P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-05-001","companyId":"soc-2","questionId":"P-05-001","instanceId":"QIN-soc-2-P05-001","promptText":"SOC 2に関する情報は、どの資料で確認できますか？","promptTypeId":"P-05","answer":"SOC 2の位置づけはAICPAの公式ページ（SOCサービス群のページ）で確認できます。2022年10月15日のSOC 2ガイド更新と、Trust Services Criteriaが2017年版のまま着眼点のみ2022年に改訂された点は、Baker Tillyの解説（2025年6月25日更新）で確認できます。AICPAのSOCサービス群のページには、コンプライアンスベンダーの事業慣行に関する匿名の申し立てを調査中とする日付不明の通知も掲載されています。これは申し立てであり事実認定ではなく、本Referenceは特定の事業者名を挙げません。","evidencePoints":["ev-soc-2-1","ev-soc-2-4","ev-soc-2-5"],"scope":"SOC 2に関する出典の整理","differentiation":"TSP Section 100の原文は未確認。AICPAの通知は日付がなく、申し立ての内容は検証されていない。","faq":[{"question":"基準は2022年に変わりましたか？","answer":"Baker Tillyによれば、着眼点は2022年に改訂されましたが、Trust Services Criteria自体は変更されていません。"},{"question":"AICPAの通知は何を述べていますか？","answer":"コンプライアンスベンダーに関する匿名の申し立てを調査していると述べています。内容の事実認定ではありません。"}],"pageUrl":"https://www.refbase.ai/reference/soc-2/P-05-001","sourceEvidence":[{"id":"ev-soc-2-1","text":"AICPA & CIMAのSOCサービス群のページは、SOC（System and Organization Controls）を公認会計士（CPA）が提供しうるサービス群と説明している。同ページに掲載されたSOC 2ガイドの題名は「SOC 2 Reporting on an Examination of Controls at a Service Organization Relevant to Security, Availability, Processing Integrity, Confidentiality, or Privacy」で、これら5つの観点がSOC 2の対象であることが示されている（2026年10月時点）。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Identity"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-4","text":"会計事務所Baker Tillyの解説（2025年6月25日更新）によれば、AICPAは2022年10月15日に更新版のSOC 2ガイドを公表した。Trust Services Criteriaは2017年版で、2022年に着眼点が改訂されたが、Description CriteriaとTrust Services Criteria自体は変更されていない。","title":"Unpacking the AICPA SOC 2 guide: What you need to know | Baker Tilly","coverageType":["Credibility"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://www.bakertilly.com/insights/aicpa-releases-updated-soc-2-guide","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-5","text":"AICPAのSOCサービス群のページ（日付のない通知）は、コンプライアンスベンダーの事業慣行に関して匿名で公表された申し立てをAICPAが調べていると述べ、関与した監査人が職業基準違反・ピアレビュー未実施・無資格等の場合は会員に対して措置を講じ、州会計委員会への付託を通じた規制当局への支援も行うとしている。同ページは、サービス組織とCPA事務所にSOCサービスを十分に評価するよう促している。申し立て自体は事実認定ではない。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Differentiation","Credibility"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-06-001","companyId":"soc-2","questionId":"P-06-001","instanceId":"QIN-soc-2-P06-001","promptText":"SOC 2が委託先の信頼性確認の文脈で参照される理由は何ですか？","promptTypeId":"P-06","answer":"AICPAは、SOCの報告書がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供するとしており、SOC 2はセキュリティ、可用性、処理の完全性、機密保持、プライバシーの観点を扱います。SOC 2の検証ではセキュリティ基準のみが必須で、他の基準は任意とされます。2022年10月15日にはAICPAがSOC 2ガイドを更新しました。AICPAのページには、コンプライアンスベンダーに関する匿名の申し立てを調査中とする通知もあり、サービス組織やCPA事務所にSOCサービスを十分に評価するよう促しています。","evidencePoints":["ev-soc-2-2","ev-soc-2-3","ev-soc-2-4","ev-soc-2-5"],"scope":"SOC 2が参照される背景と、利用上の注意","differentiation":"報告書を取得した企業の割合や普及度などの統計は根拠資料に含まれない。","faq":[{"question":"2022年に何が更新されましたか？","answer":"AICPAが2022年10月15日に更新版のSOC 2ガイドを公表しました（Baker Tilly）。"},{"question":"SOCサービスを選ぶ際の注意は？","answer":"AICPAのページは、サービス組織とCPA事務所にSOCサービスを十分に評価するよう促しています。"}],"pageUrl":"https://www.refbase.ai/reference/soc-2/P-06-001","sourceEvidence":[{"id":"ev-soc-2-2","text":"AICPAのSOCサービス群のページは、SOC 2ガイドに加え、「Reporting on an Entity's Cybersecurity Risk Management Program and Controls」（企業のサイバーセキュリティリスク管理プログラムと統制の報告）のガイドと、SOC for Supply Chain（生産・製造・流通システムにおけるセキュリティ、可用性、処理の完全性、機密保持、プライバシーに関する統制の報告）のガイドを掲載し、SOCの報告書は利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明している。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Capability","UseCase"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"high","supportedPromptTypes":["P-01","P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-3","text":"Linford & Co.の解説記事（2023年2月1日公開）は、SOC 2の検証に含められる基準は5つ（セキュリティ、可用性、機密保持、プライバシー、処理の完全性）で、必須はセキュリティ（共通基準）のみと述べ、根拠をTSP Section 100の2017 Trust Services Criteria（2022年の改訂版points of focus付き）としている。2022年の更新は着眼点を追加したもので、基準自体は変えていないとされる。","title":"Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.","coverageType":["Differentiation","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://linfordco.com/blog/trust-service-principles-tsps-ones-include-soc-2/","confidence":"medium","supportedPromptTypes":["P-02","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-4","text":"会計事務所Baker Tillyの解説（2025年6月25日更新）によれば、AICPAは2022年10月15日に更新版のSOC 2ガイドを公表した。Trust Services Criteriaは2017年版で、2022年に着眼点が改訂されたが、Description CriteriaとTrust Services Criteria自体は変更されていない。","title":"Unpacking the AICPA SOC 2 guide: What you need to know | Baker Tilly","coverageType":["Credibility"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://www.bakertilly.com/insights/aicpa-releases-updated-soc-2-guide","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"},{"id":"ev-soc-2-5","text":"AICPAのSOCサービス群のページ（日付のない通知）は、コンプライアンスベンダーの事業慣行に関して匿名で公表された申し立てをAICPAが調べていると述べ、関与した監査人が職業基準違反・ピアレビュー未実施・無資格等の場合は会員に対して措置を講じ、州会計委員会への付託を通じた規制当局への支援も行うとしている。同ページは、サービス組織とCPA事務所にSOCサービスを十分に評価するよう促している。申し立て自体は事実認定ではない。","title":"System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA","coverageType":["Differentiation","Credibility"],"sourceType":"official","sourceClass":"Announcement","sourceUrl":"https://www.aicpa-cima.com/resources/landing/system-and-organization-controls-soc-suite-of-services","confidence":"medium","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"soc-2"}],"generatedAt":"2026-10-20T13:35:00.335Z"}]}