SOC2 (Service Organization Control 2)

### 概要 米国公認会計士協会（AICPA）が定める保証報告書。特にSaaSベンダーが、顧客（エンタープライズ企業）に対して「自社のセキュリティはしっかりしている」ことを証明するために取得します。 ### ログ管理への要求 TSC（Trust Services Criteria）に基づき、以下の統制が求められます。 - **CC1.4 (Monitoring)**: システムの異常を検知・監視しているか。 - **CC6.1 (Logical Access)**: ログへのアクセス権限は適切か。 - **CC7.2 (Incident Response)**: インシデント時に調査できるか。 ### 実務のポイント 単にツールを入れているだけでは不十分で、「四半期に一度、アクセス権の棚卸しをした記録」などの運用証跡（Evidence of Operation）が重視されます。