SOC 2・ISO 27001 費用計算ツール
会社に関する6つの質問から、SOC 2 や ISO 27001 の初年度と2年目以降の費用、そして取得までの期間を見積もります。
SOC 2 と ISO 27001 に実際にかかる費用
監査費用は全体の一部にすぎません。初年度費用の大半は準備、つまりギャップの解消、方針の作成、ツールの導入、証拠の収集です。自社チームで行うか、コンサルタントの支援を受けるか、コンプライアンスプラットフォームで一部を自動化するかは問いません。2年目以降は費用が下がりますが、なくなりはしません。SOC 2 は毎年監査を受け、ISO 27001 は毎年サーベイランス審査があります。
- 監査費用。 SOC 2 は独立した CPA 事務所に、ISO 27001 は認定を受けた認証機関に支払います。対象範囲に含まれるシステム、拠点、人数が多いほど高くなります。
- 準備。 コンサルタント、コンプライアンスプラットフォーム、または自社チームの工数です。ゼロから始める場合、統制がほぼ整っている会社と比べて、この費用はおよそ2倍になります。
- ペネトレーションテスト。 規格で常に求められるわけではありませんが、多くの大企業顧客は最近の結果を求めます。
- ツールと改善。 デバイス管理、ログ取得、セキュリティ研修など、ギャップを埋めるためのツール。
SOC 2 Type 1、Type 2、ISO 27001 のどれにすべきですか？
SOC 2 Type 1最も早く始められる
ある時点で統制が適切に設計されていることを示します。早く安く取得でき、商談を前に進めるのに役立ちますが、多くの顧客はすぐに Type 2 を求めます。
SOC 2 Type 2米国で一般的
3〜12か月の運用評価期間にわたって統制が機能したことを示します。米国のソフトウェアやサービスの顧客の多くが求める報告書です。
ISO 27001欧州とアジアで一般的
情報セキュリティマネジメントシステムの認証書で、有効期間は3年、毎年サーベイランス審査があります。欧州、英国、日本の顧客から求められることが多い規格です。
どのくらいの期間がかかりますか？
準備には、出発点に応じて通常1〜6か月かかります。Type 1 報告書はその直後に取得できます。Type 2 報告書は運用評価期間が加わるため、初回の Type 2 は通常6〜12か月後になります。ISO 27001 では、2段階の認証審査の前に、マネジメントシステムを運用し、内部監査とマネジメントレビューを行う必要があります。
よくある質問
この見積はどのくらい正確ですか？
中小企業向けに一般的に公開されている価格をもとに、回答に合わせて調整した範囲を示します。実際の見積は監査人、正確な範囲、所在地によって異なるため、予算策定に使い、監査人には見積を依頼してください。
SOC 2 は ISO 27001 より安いですか？
初年度は、同程度の範囲ならほぼ同じ費用です。3年間で見ると、サーベイランス審査は毎年の SOC 2 Type 2 監査より安いため、ISO 27001 の方がやや安くなることが多いです。最終的に両方を取得し、統制の大半を共用する企業も多くあります。
コンサルタントなしで取得できますか？
はい。特に一部の統制がすでに整っている場合は可能です。自社チームの工数は増えますが、コンプライアンスプラットフォームや証拠を自動収集するエージェントで減らせます。
この計算ツールは無料ですか？
はい。アカウントは不要です。連絡先を入力して PDF をダウンロードした場合、「連絡を希望しない」にチェックしない限り、当社チームがサポートできるよう、Sourceably はその連絡先を保存します。