2026年のファイル共有におけるSOC 2要件

ファイル共有プラットフォームの SOC 2 コンプライアンスとは、 AICPA トラストサービス基準に対して独立した監査に合格することを意味します。基準はセキュリティ（必須）、可用性、処理の完全性、機密性、プライバシー（いずれもオプションですが、ファイル転送ではセキュリティ＋機密性が標準）の5つです。 Type I は特定時点における統制の設計の適切性を証明し、 Type II は3〜12か月間にわたって統制が効果的に運用されていたことを証明します。ファイル共有においては、エンタープライズのバイヤーが求めるのは Type II です。2022年のトラストサービス基準（ TSP Section 100A ）の改定では、論理アクセス、変更管理、リスク評価に関する統制が強化されました。初めての SOC 2 Type II 取得には12〜18か月の準備期間を見込んでください。

5つのトラストサービス基準の解説

セキュリティ（ TSC CC シリーズ）は物理的・論理的な不正アクセスからの保護を対象とします。可用性（ A シリーズ）はシステムが約束通りに稼働することを保証します。処理の完全性（ PI シリーズ）は処理が完全、有効、正確、適時、かつ承認されていることを確認します。機密性（ C シリーズ）は機密指定された情報を保護します。プライバシー（ P シリーズ）は通知、選択、収集、利用、保持、アクセス、開示、品質、監視、執行にわたって個人情報を管理します。ファイル共有プラットフォームは普遍的にセキュリティを含み、多くの場合に機密性と可用性を追加します。消費者データを取り扱う場合にプライバシーが追加され、処理の完全性はファイルを変換するプラットフォーム以外では稀です。

2022年改定が変えたこと

2022年改定は9つの領域（ CC1〜CC9 ）にわたって共通基準を強化しました。 CC6（論理的・物理的アクセス）は管理者アクセスへの多要素認証要件を明示的に追加しました。 CC7（システム運用）は脅威の検出と対応を強調しました。 CC8（変更管理）はデプロイのロールバック要件を追加しました。 CC9（リスク軽減）はベンダーリスク管理の期待値を追加しました。ファイル共有プラットフォームへの実際の影響としては、 MFA 施行の文書化、 SIEM ベースの脅威検出、リバーシブルなデプロイパイプライン、四半期ごとのベンダーレビューの証拠が必要です。2026年の監査人は2022年基準に対応した統制の説明と証拠サンプルを求めます。

監査のライフサイクル

フェーズ1：準備状況評価（6〜12週間）。監査人またはコンサルタントが現在の統制を TSC にマッピングし、ギャップを特定し、是正の範囲を確定します。フェーズ2：是正（3〜9か月）。ギャップを解消します。 MFA の全面展開、四半期アクセスレビューの実施、インシデント対応手順の文書化、ベンダー管理の確立を行います。フェーズ3：観察期間（ Type II の場合3〜12か月）。統制を運用して証拠を生成します。フェーズ4：監査のフィールドワーク（4〜8週間）。 CPA 事務所（例： Coalfire 、 Schellman 、 Prescient Assurance 、 Insight Assurance ）が証拠を審査し、スタッフにインタビューし、サンプルをテストします。フェーズ5：レポート発行（2〜4週間）。監査自体に5万〜20万ドル、是正と内部人件費にその3〜10倍を見込んでください。

監査人が検査する暗号化統制

監査人がサンプリングする内容：（1）使用中の暗号化アルゴリズム（保存時 AES-256 、転送時 TLS 1.2 以上、理想は TLS 1.3 ）、（2）鍵管理の実践（ HSM バックアップ、文書化されたローテーション）、（3）ストレージシステムの設定（ S3 バケットの暗号化、 Azure Storage 暗号化）、（4）ネットワークトラフィックポリシー（ TLS 終端点、暗号スイート）、（5）主張されている場合のクライアントサイド暗号化（マーケティングではなくコードのレビュー）。アーキテクチャ図、暗号化済みオブジェクトのサンプル、鍵ローテーションログ、暗号化スタックを対象としたペネトレーションテストレポートを提示してください。技術的な裏付けのない曖昧な主張は統制の例外として書き込まれます。

アクセス制御の証拠

CC6 の要件は最も重い証拠負担を生じさせます。監査人が求める内容：承認ワークフローに紐付いたユーザープロビジョニング記録、マネージャーが署名した四半期アクセスレビュー、 MFA 施行のスクリーンショットまたはポリシーエクスポート、特権アクセス監視（管理者アクションのセッション記録）、終了タイムリネスの証拠（ HR トリガーから24時間以内のジョイナー・ムーバー・リーバー処理）。 Okta 、 Azure AD 、 Google Workspace などの ID プロバイダーはこれらのほとんどを自動的に生成します。エクスポート可能な監査ログがない自社製 IAM は SOC 2 において悪夢になります。監査ウィンドウが開く前に IdP 移行の予算を確保してください。

変更管理と CI/CD の証拠

CC8 は制御された変更を要求します。現代の CI/CD でこれを満たすには、ブランチ保護（ main への直接コミット禁止）、必須のピアレビュー（本番環境への2人以上の承認）、自動テストゲート、職務分離（開発者が承認なしに本番にデプロイしない）、ロールバック能力が必要です。 GitHub や GitLab の設定エクスポート、 CI パイプラインログ、デプロイ記録が監査証拠になります。監査人は観察期間中の25〜40件の本番変更をサンプリングします。文書化されていない緊急修正が1件でも指摘事項になりえます。ブレークグラス手順を文書化し、節度を持って使用してください。

インシデント対応と監視

CC7 は脅威の検出と対応を要求します。証拠：期間中の SIEM アラート、トリアージと解決を示すインシデントチケット、卓上演習の記録、教訓の証拠。ファイル共有に一般的な SIEM スタック： Datadog Security Monitoring 、 Sumo Logic Cloud SIEM 、 Splunk Enterprise Security 、 Elastic Security 、 Panther 。どのツールを使っても、監査人が確認するのは、アラートルール、期間中のアラート量、応答 SLA と実際の応答時間、完全な法医学的証跡を持つ2〜3件のインシデントです。実際のインシデントが発生しなくても、 SIEM カバレッジが弱いサービスは指摘されます。

ベンダーとサブプロセッサーの管理

CC9 はベンダーリスク管理を追加しました。ベンダー台帳には、名称、サービスカテゴリ、データの機密性、 SOC 2 / ISO 27001 の状況、 DPA または BAA の有無、前回レビュー日を記載してください。最低年1回（機密データを処理するベンダーは四半期ごと）にレビューしてください。ファイル共有プラットフォームのベンダーには通常、クラウドプロバイダー（ AWS 、 GCP 、 OVH ）、メール配信（ SendGrid 、 Postmark ）、決済処理（ Stripe ）、エラー監視（ Sentry ）、アナリティクス（ Mixpanel ）、 CDN （ Cloudflare 、 Fastly ）が含まれます。それぞれについて評価を文書化し、許容可能なセキュリティポスチャーの証拠が必要です。重要なベンダーの変更は30日前に顧客に通知してください。

個人データ処理時のプライバシー基準

ファイル共有プラットフォームが従業員以外のユーザーの個人情報を取り扱う場合、プライバシー基準を追加することで GDPR および CCPA 向けのレポートが強化されます。12のプライバシーサブ基準は通知、選択と同意、収集、利用と保持、アクセス、第三者への開示、セキュリティ、品質、監視と執行を網羅します。証拠にはプライバシーポリシーのバージョン履歴、同意記録、データサブジェクト要求の処理ログ、削除確認付きの保持スケジュール、プライバシートレーニングの完了率が含まれます。金融・医療などの規制業種の顧客は SOC 2 ＋プライバシーをますます要求しています。

初回レポート後の継続的コンプライアンス

SOC 2 Type II は年次取得です。初回レポートは3〜12か月を対象とし、その後のレポートは12か月周期をカバーします。レポートの間隔中も継続的に証拠を維持してください。コンプライアンス・アズ・コードに投資してください。 Drata 、 Vanta 、 Sprinto 、 Secureframe 、 Tugboat Logic はいずれも AWS 、 GitHub 、 Okta 、主要な SaaS ツールからの証拠収集を自動化します。コンプライアンスツールに月額1,000〜5,000ドル、年次監査に5万〜10万ドルの費用を見込んでください。 Box 、 Dropbox 、 Tresorit 、 Egnyte 、 HexaTransfer などのファイル共有プラットフォームは定期的な SOC 2 レポートを維持しています。定期的な SOC 2 を持たない小規模な競合他社はエンタープライズ契約で厳しい上限に直面します。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。