SOC 2
SOC 2 (SOC 2)
サービス提供企業の内部統制を第三者が評価し、報告する保証報告書。米国公認会計士協会（AICPA）の枠組みで、セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーを対象とし、設計を見るType Iと、一定期間の運用を見るType IIがある。
詳細
概要
SOC 2は、クラウドサービスやSaaSなどのサービス提供企業の内部統制を、第三者が評価して報告する保証報告書です。米国公認会計士協会（AICPA）は、SOC（System and Organization Controls）を、公認会計士がサービス組織のシステムレベルの統制などについて提供できるサービス群の総称と説明し、その報告書を、業務の外部委託に伴うリスクを評価するための情報として利用者に提供するとしています。AICPAの資料は、SOC 2の対象領域としてセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーの5つを挙げています。
仕組み：Type IとType II
スタートアップの発表では、SOC 2をAICPAが定めるSSAE 18に基づく監査基準とし、独立した第三者機関が内部統制を評価・保証するものと説明しています。報告書には2つの種類があります。
- Type I: 内部統制の設計が適切かを評価する報告書（be-FULLの発表による）
- Type II: 内部統制が適切に整備・運用されていることを、第三者機関が一定期間にわたり検証したもの（CrowdChemの発表による）
評価は監査法人が行い、受けた企業が報告書を受け取ります。Tailor Technologiesは、SOC 2に実績のある監査法人が自社の内部プロセスと統制を評価したと述べています。
企業の取引での位置づけ
SecureNaviのヒアリング記事は、大手企業や金融機関との取引でSOC 2への対応状況を確認される機会が増えており、取引先ごとの個別のセキュリティチェックが双方の負担になっていると整理しています。一方で、費用・工数・専門知識の面でハードルが高いとも述べています。
スタートアップの取り組み
- CrowdChemは、化学分野の材料データプラットフォームについてSOC 2 Type II準拠を達成しました（発表、2026年4月）。監査完了日は2026年3月19日と発表しています。
- be-FULLは、マネジメント特化型AIエージェント「PXクラウド」でSOC 2 Type Iを取得しました（発表、2026年9月）。
- PeopleXは、「PeopleX AI面接」と「PeopleX AIロープレ」でSOC 2 Type 2保証報告書を取得しました（発表、2026年8月）。
- TableCheckは、SOC 2 Type 1を取得しました（発表、2026年4月）。
- SIGQは、SOC 2 Type 1保証報告書を受領しました（発表、2025年12月）。
- Astermindsは、AIヒアリングエージェント「InTake」でSOC 2 Type Iの保証報告書を取得しました（発表、2026年8月）。
- テイラーは、ヘッドレスERP「Tailor Platform」の運営元であるTailor TechnologiesがSOC 2 Type 2を取得したと発表しました（発表、2023年9月）。
- SecureNaviは、規制対応自動化プラットフォーム「Fit&Gap」を提供し、SOC 2対応を始めた企業へのヒアリングをまとめました（発表、2026年6月）。