開発を止めずに進めるSOC 2監査の準備

大手顧客のセキュリティレビューでは、遅かれ早かれSOC 2レポートを求められます。小さなソフトウェア企業にとって、それは高い壁のように感じられるかもしれません。ですが実際には、準備は他のプロジェクトと変わりません。明確なスコープ、統制項目のリスト、そしてそれらに従っている証跡を揃える作業です。

SOC 2レポートとは

SOC 2レポートは、独立した公認会計士（CPA）事務所がトラストサービス規準に照らして統制状況を検証した上で作成されます。「セキュリティ」は常に含まれ、「可用性」「機密保持」「処理の完全性」「プライバシー」は顧客の要求に応じて追加されます。

レポートには2種類あります。Type Iレポートは、特定の一時点において統制が適切に設計されているかを評価します。Type IIレポートは、一定の期間（通常3か月から12か月）にわたって統制が実際に機能していたかを評価します。多くの顧客はType IIを求めますが、観察期間の進行中にType Iを取得しておくことも有益な第一歩となります。

レポートを発行できるのは監査法人だけです。私たちが支援する準備作業（Readiness）は、その前段階のすべてにあたります。統制の仕組みを整え、証跡を漏れなく揃えることです。

まずスコープを決める

どのプロダクト、どのシステム、どの人員を対象にするかを決めます。スコープを絞り込むほど、管理も説明もしやすくなります。システムの図を描いてみましょう。顧客データがどこから入り、どこに保存され、誰や何がそこにアクセスできるのかを明確にします。

すでに行っていることを明文化する

多くのチームは、非公式ながらも適切な運用をすでに多く行っています。コードレビュー、バックアップ、退職時のアクセス権削除などがその例です。準備作業では、それらを簡潔な明文化されたポリシーと再現可能な手順に落とし込みます。実際に守られるよう、ポリシーは短く簡潔に保ちましょう。

よくあるギャップを解消する

小さなチームで特によく見られるギャップは次のとおりです。

• 管理者権限を持つ共有アカウントや個人アカウントがあり、シングルサインオンや多要素認証が必須化されていない
• 誰が何にアクセスできるかの定期的な見直しが行われていない
• レビュー記録のない変更が本番環境に反映されている
• バックアップからのリストアテストを一度も行ったことがない
• セキュリティインシデントへの対応計画が明文化されていない
• 顧客データを保持している委託先ベンダーを誰も管理・追跡していない

これらはどれも、数か月ではなく数日で修正できるものです。

日々の運用の中で証跡を集める

監査人は言葉ではなく証拠を求めます。チケット、レビュー記録、アクセスリスト、設定画面のスクリーンショットなどです。既存のツールやコンプライアンス管理プラットフォームを活用して証跡収集を自動化しておけば、監査直前に慌てずに済みます。

開発の手を止めない

準備作業のためにロードマップを止めるべきではありません。ほとんどの統制は、健全なチームの普段の仕事の流れに自然と収まりますし、優れた統制はリリースを遅らせるのではなく、より安全にしてくれます。プロダクト開発と並行して作業を細かく進め、監査期間の現実的な日程を設定しましょう。