無料 SOC 2 準備状況評価
SOC 2、ISO 27001、HIPAA、GDPR への準備状況を確認しましょう。わかりやすい質問に答えると、フレームワーク別・統制領域別の準備度と、最初に解消すべきギャップがわかります。
SOC 2 準備状況評価とは？
準備状況評価とは、監査人より先に自社で行う確認です。現在のセキュリティ運用を、SOC 2 監査（または ISO 27001 認証、HIPAA 審査、GDPR 評価）で確認される内容と比べ、その差を計画にまとめます。顧客から SOC 2 報告書やセキュリティ質問票を求められ、あとどれくらいで対応できるかを知る必要があるときに実施するのが一般的です。
この無料評価は、ほぼすべての監査と顧客審査で取り上げられる統制を網羅しています：ガバナンスとリスク、アクセス管理、端末、データ保護、運用、インシデント、ベンダー、証拠。監査法人による正式な準備状況レビューの代わりにはなりませんが、数分で現状がわかります。
どのフレームワークが必要ですか？
SOC 2 米国の顧客
統制の設計状況（Type 1）と一定期間の運用状況（Type 2）について CPA 事務所が発行する保証報告書。米国の SaaS 企業や大企業の顧客から一般的に求められます。
ISO 27001 グローバル
認定機関による情報セキュリティマネジメントシステムの認証。英国、欧州、オーストラリア、アジアの顧客で一般的です。
HIPAA 米国の医療データ
医療情報を保護するための米国の法律です。医療分野の顧客のために PHI を扱う場合、その保護措置とビジネスアソシエイト契約が必要です。
GDPR EU・英国の個人データ
EU と英国に住む人の個人データに関するプライバシー法。拠点がどこであっても、そのデータの収集、利用、保護、削除の方法に適用されます。
スコアの仕組み
各質問は、監査人や顧客が一般的に求める統制に対応しています。「はい」は満点、「一部」は半分、「いいえ」と「わからない」は未整備として扱われます。重要な統制（MFA、端末の暗号化、バックアップ、インシデント対応計画、リスク評価など）は 2 倍で計算されます。各フレームワークのスコアは該当する質問だけで計算するため、SOC 2 と GDPR のスコアは異なる場合があります。
- 90% 以上： 監査準備に進める段階：証拠を集め、準備状況レビューを予約しましょう。
- 70–89%: あと一歩：残りのギャップを解消し、証拠の収集を始めましょう。
- 40–69%: 整備中：数か月の集中した計画で通常ギャップを解消できます。
- 40% 未満： 初期段階：方針、MFA、暗号化、バックアップ、インシデント対応計画から始めましょう。
よく見られるギャップ
- 証拠が残っていない。 統制はあっても、前四半期に運用されたことを誰も示せない。SOC 2 Type 2 は一定期間の証拠が重要です。
- 退職手続きが遅い。 退職者が数週間にわたりメールやクラウドアカウントにアクセスできる。
- テストしていないバックアップとインシデント対応計画。 どちらも書類上は存在するものの、試したことがない。
- リスク評価がない。 監査人が最初に求める書類の一つで、最も早く整えられる書類の一つでもあります。
- 誰も審査していないベンダー。 顧客はあなたを審査し、監査人はあなたが自社のベンダーを審査しているかを確認します。
SOC 2 Type 1 と Type 2 のどちら？
Type 1 報告書は、ある時点で統制が適切に設計されているかを確認します。Type 2 報告書は、一定期間（通常 3〜12 か月）統制が有効に運用されたかも検証します。多くの企業は、顧客に早く応えるために Type 1 から始め、その後 Type 2 に移行します。いずれにしても、この評価で見つかったギャップから先に解消しましょう。
よくある質問
この評価は無料ですか？
はい。アカウントを作成しなくても、何度でも評価を行い、PDF をダウンロードし、スナップショットを共有できます。
回答はアップロードされますか？
いいえ。スコアはブラウザ内で計算されます。共有されたスナップショットのリンクには、回答がリンク自体に含まれています。連絡先を入力してダウンロードまたは共有した場合、「連絡は不要です」にチェックしない限り、Sourceably がその連絡先とスコアを保存します。
高スコアなら SOC 2 に準拠しているということですか？
いいえ。これは自己評価であり、監査・保証・認証ではありません。SOC 2 報告書を発行できるのは認可を受けた CPA 事務所だけで、ISO 27001 の認証を行えるのは認定を受けた認証機関だけです。
SOC 2 の準備にはどれくらいかかりますか？
出発点によって異なります。基本がほぼ整っている企業なら、数週間から数か月で準備できることが多いです。その後 Type 2 報告書には、通常 3〜12 か月の運用評価期間が必要です。
結果を顧客と共有できますか？
はい。「スナップショットを共有」で、自己申告と明記されたスコアを表示するリンクを作成できます。顧客が信頼できるスコアカードにするには、Sourceably のオンプレミスエージェントで統制を検証しましょう。