SOC 2 Type IIロードマップ
SOC 2 Type IIプログラムは進行中です。このページは完了・進行中・計画中の項目を示すもので、認証取得やレポート提供済みを示すものではありません。
マイルストーン
2026-Q1
アーキテクチャ整備
AWS マルチ AZ + 保管時 AES-256 + 通信時 TLS 1.2 以上 + Secrets Manager + IAM 最小権限。基盤コントロールはすべて本番稼働中。
2026-Q2
GDPR 対応アーキテクチャ
第 1 〜 4 次プライバシー監査を完了：データ最小化、削除権フロー、同意取得の仕組み、第 9 条(2)(a) に基づく生体データの取り扱い。
2026-Q3
監査ログとインシデント対応の整備
プラン別 1 〜 3 年保持の集中監査ログ、インシデント対応ランブック、オンコール輪番、データ侵害通知プロトコルを整備。
2026-Q3
監査人選定 — Vanta + A-LIGN
コンプライアンス自動化にVanta、SOC 2 Type IIの独立監査法人としてA-LIGNを選定しました。
2026-Q4
監査準備状況の評価
Vanta によるギャップ分析と、A-LIGN の担当者による事前レビュー。ポリシー、アクセス制御、変更管理、委託先管理、暗号化を点検し、6 か月の観察期間が始まる前に残課題を解消します。
2027-Q1
監査期間の開始
6 か月の観察期間がスタート。継続的に証跡を収集し、特定時点ではなく一定期間にわたるコントロールの運用有効性を評価します。
2027-Q2
監査期間の終了
監査人による証跡レビューが完了。監査終了時の面談と経営側の見解を経て、レポート作成へ移行します。
2027-Q3
SOC 2 Type II レポート発行
最終レポートは NDA 締結のうえお客様にご提供します。以降は年次の再監査サイクルとなり、Type II 観察期間ごとにレポートが更新されます。
ベンダー選定
コンプライアンス自動化にVanta、選定監査法人としてA-LIGNを利用します。
Vanta — コンプライアンス自動化プラットフォーム
Vantaは運用システムからの継続的な証跡収集を支援します。
A-LIGN — 監査会社
A-LIGNはType II監査業務に選定した独立監査法人です。
Type I ではなく Type II を選ぶ理由
SOC 2 Type I は特定時点でコントロールが存在していたことを示すものであり、Type II は一定期間（通常 6 か月）にわたってコントロールが有効に機能していたことを示します。エンタープライズの IT 部門は Type I の評価を低く見ており、要するにスナップショットに過ぎないと考えています。実際に求められるのは Type II のレポートです。
「役に立たないマイルストーン」という落とし穴を避けるため、Type I をスキップして Type II に直行します。スケジュールはおよそ 6 か月延びますが、その分、お客様が実際に使えるレポートが手に入ります。
今すぐセキュリティ質問票への回答が必要ですか？
目標の2027年第3四半期にレポートが発行されるまでは、次を提供できます。
• CSA Cloud Controls Matrix に対応した CAIQ-Lite の回答
• 取引先ごとの質問票への個別回答（Vanta、Drata、SecurityScorecard の取り込み — 通常 3 営業日）
• エンジニアリング責任者による署名付きのアーキテクチャ図とデータフロー説明