取引先にクラウドサービスなどを委託している企業は、SOC 2報告書をどのように使えますか？

AICPAは、SOCの報告書が、利用者がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明しています。SOC 2の検証に含められる基準は、セキュリティ、可用性、処理の完全性、機密保持、プライバシーの5つです。必須なのはセキュリティ基準のみで、他の4基準は任意とLinford & Co.は述べています。具体的な評価手順は本Referenceの根拠資料に含まれません。

実績・根拠

• —ev-soc-2-2
• —ev-soc-2-3

向いている相談

委託先管理におけるSOC 2報告書の用途

他の選択肢との違い

報告書の読み方の詳細・評価手順は根拠資料に含まれない。

よくある質問

報告書が全5基準をカバーしているとは限りませんか？

Linford & Co.によれば、必須はセキュリティのみで、他の4基準は検証に含めるかどうかを選べます。

報告書は何のために使われますか？

AICPAは、SOCの報告書がアウトソーシングに伴うリスクを評価・対処するための貴重な情報を提供すると説明しています。

情報ソース

• Source
  System and Organization Controls: SOC Suite of Services | Resources | AICPA & CIMA検証待ち出典を見る
• Source
  Trust Services Criteria (TSCs) for SOC 2 Reports | Linford & Co.検証待ち出典を見る