🎯 SOC2 Type II 認証の詳細
✅ 現在の認定状況
監査情報
📋 基本情報:
- • 認定の種類: SOC2 タイプ II
- • 現在のステータス： アクティブで有効
- • 最後の監査日時: 2024年9月
- • 次回の監査: 2025年9月
- • 観察期間 12か月（2023年10月〜2024年9月）
- • 報告日: 2024年10月15日
🏢 監査法人
- • デロイト＆トウシュLLP
- • 4大会計事務所
- • サイバーセキュリティおよびリスクサービス
- • SOC2監査における15年以上の経験
- • 利益相反なし
監査結果と所見
🎯 統制の有効性
- • 重要な弱点 該当なし
- • 統制の不備: 例外は一切ありません
- • テスト結果: 100%の管理が有効に機能している
- • 経営陣からの回答: 是正処置は不要です
- • フォローアップ項目: 未処理なし
📊 スコープ範囲:
- • ビジネスオペレーションズ すべてのコアサービス
- • データセンター 主設備およびバックアップ設備
- • クラウドインフラストラクチャ AWS および Azure 環境
- • 関係するすべての職員および契約業者
- • 第三者: 主要なベンダーとの関係
🛡️ 信頼サービス基準の適用範囲
🔐 セキュリティ管理（TSC CC6）
コアセキュリティフレームワーク
🔑 アクセス制御:
- • 多要素認証（MFA）の必須化
- • ロールベースのアクセス制御（RBAC）
- • 最小権限の原則の適用
- • 定期アクセスレビュー（四半期ごと）
- • 自動化されたアクセス権の付与／剥奪
- • 特権アクセス管理（PAM）
🛡️ インフラストラクチャセキュリティ:
- • ネットワークセグメンテーションとファイアウォール
- • 侵入検知／防止システム
- • 脆弱性管理プログラム
- • セキュリティインシデント対応計画
- • 24時間年中無休のセキュリティ監視
- • ペネトレーションテスト（年次）
可用性管理（TSC A1）
⚡ システム稼働状況:
- • SLA目標 稼働率99.9%
- • 99.95%（目標値を上回る）
- • リアルタイムのシステム健全性
- • 自動インシデント検知
- • 災害復旧手順
🔄 事業継続:
- • 最大4時間
- • 1時間のデータ損失許容時間
- • バックアップ頻度: 継続的レプリケーション
- • 四半期ごとの災害復旧テスト
🎯 処理の完全性と機密性
処理の完全性 (TSC PI1)
✅ データ処理:
- • 入力検証とサニタイズ
- • 処理精度の検証
- • エラー検出と訂正
- • すべての取引に対する完全性チェック
- • 自動化されたデータ品質モニタリング
🔒 機密保持 (TSC C1):
- • データ分類フレームワーク
- • 保存時の暗号化（AES-256）
- • 転送中の暗号化（TLS 1.3）
- • 鍵管理コントロール
- • データ損失防止（DLP）
プライバシー管理（TSC P1-P8）
👥 個人データの保護
- • プライバシーポリシーおよび通知手続き
- • 同意管理フレームワーク
- • データ主体の権利の実装
- • 目的限定管理
- • データ最小化の実践
📋 コンプライアンス管理
- • プライバシー影響評価
- • サードパーティリスク管理
- • プライバシー研修プログラム
- • 侵害通知手続き
- • データの保持と廃棄
🔍 コントロールのテストと検証
📊 テスト手法
統制テスト手順
🎯 テスト手法
- • サンプル選択: リスクベースの統計的サンプリング
- • テスト期間 12か月の運用試験
- • 制御周波数: 日次、週次、月次の管理
- • 証拠収集 スクリーンショット、ログ、ドキュメント
- • エンドツーエンドのプロセス検証
📈 テスト結果:
- • テストされたコントロール: 156個のユニークなコントロール
- • テストインスタンス: 2,847件の個別テスト
- • 合格率 100％（例外なし）
- • 95% 精度検証
- • 経営レビュー レビュー完了率100%
証拠文書化
📁 ドキュメントの種類
- • ポリシーおよび手順文書
- • システム生成レポートおよびログ
- • 議事録と経営レビュー
- • 研修記録および確認書
- • ベンダー評価および契約
- • 構成のスクリーンショットと設定
🔍 検証プロセス:
- • 独立試験 第三者による検証
- • 複数の証拠源
- • 証拠の網羅率100%
- • 原本のソースの検証
📋 レポートアクセスとエンタープライズ向け特典
📄 SOC2 レポートへのアクセス
レポートの利用可能性
🔐 アクセス要件:
- • エンタープライズ顧客限定
- • 法的要件 署名済みNDA必須
- • ビジネス上の正当化理由: 正当な業務上の必要性
- • リクエストのプロセス: アカウントマネージャーを通じて
- • レビュー期間 最大30日間アクセス
📊 レポート内容:
- • 経営者による表明 統制設計の妥当性
- • 監査人意見: 運用効果
- • コントロールの説明: 詳細な管理マトリックス
- • テスト結果: 例外分析
- • 管理側の対応
エンタープライズ向け価値提案
✅ コンプライアンス上の利点
- • ベンダーリスク評価にかかる時間を短縮します
- • 監査要件を満たします
- • デューデリジェンスを実施していることを示す
- • 規制遵守を支援
- • より迅速な調達承認を可能にする
🎯 ビジネスへの影響
- • リスク低減 検証済みセキュリティコントロール
- • 信頼構築 独立検証
- • 競争優位性 認定されたセキュリティ体制
- • コスト削減 セキュリティ評価の削減
⚖️ SOC2認証の比較
📊 業界比較
| プラットフォーム | SOC2 ステータス | タイプ | 最後の監査 | 基準の網羅度 |
|---|---|---|---|---|
| Sembly AI | ✅ 認定済み | Ⅱ型 | 2024年9月 | セキュリティ + 4つの基準 |
| Fireflies | ✅ 認定済み | Ⅱ型 | 2024年8月 | セキュリティのみ |
| Otter.ai | ✅ 認定済み | Ⅱ型 | 2024年7月 | セキュリティと可用性 |
| Gong | ✅ 認定済み | Ⅱ型 | 2024年11月 | セキュリティ + 4つの基準 |
| スーパー ノーマル | ⏳ 進行中 | Ⅱ型 | Q1 2025 | 未定 |
| グラノーラ | ❌ 未認定 | 該当なし | 該当なし | 該当なし |