海外の取引先、とくに米国企業とSaaSの契約を進めていると、「SOC 2レポートはありますか」と聞かれることがあります。日本国内でISMS（ISO/IEC 27001）認証を取得していても、この問いにISMSの認証書で答えると、話が噛み合わないことがあります。
理由は、両者が違う種類の成果物だからです。ISMSは第三者の審査機関が発行する**認証（certification）であり、認証書という1枚の証明が成果物になります。SOC 2は公認会計士（監査人）が作成する保証報告書（attestation report）**であり、成果物は数十ページの報告書です。「持っているか／いないか」で答えられるものと、「中身を読んでもらうもの」という違いがあります。
本記事では、両者の性質の違い、評価の基準、Type 1とType 2の区別、開示の仕方を整理し、日本のヘルスケア事業者にとってどちらが先かを考えます。ISMSそのものの全体像は ISMS（ISO/IEC 27001）とは｜ヘルスケア企業のための完全ガイド をご覧ください。
免責：本記事は一般的な情報提供です。ISMSについては ISO/IEC 27001（JIS Q 27001）の規格本文および認定機関・審査機関の公表資料が、SOC 2については米国公認会計士協会（AICPA）が定める基準および実施する監査法人の説明が正本です。制度の詳細は改定され得るため、実際の対応は一次情報および実施主体にご確認ください。
認証と保証報告書 ― 性質が違う
最初に押さえるべき違いです。
| ISMS（ISO/IEC 27001） | SOC 2 | |
|---|---|---|
| 成果物 | 認証書（certificate） | 保証報告書（attestation report） |
| 発行する主体 | 認定を受けた審査機関（認証機関） | 公認会計士事務所・監査法人 |
| 根拠 | 国際規格 ISO/IEC 27001 | 米国公認会計士協会（AICPA）が定める保証業務の基準 |
| 表現されること | マネジメントシステムが規格に適合していること | 定義された規準に対して、統制が設計され（また運用され）ていたことについての監査人の意見 |
| 公開性 | 認証取得組織として公表され得る | 原則として開示先を限定して提供（NDAのもとで共有されることが多い） |
| 主な使われ方 | 「認証を保有していること」を示す | 報告書の内容を相手が読んで評価する |
ここから、実務上の大きな違いが生まれます。ISMSは「持っている」と言えば伝わりますが、SOC 2は相手に読んでもらって初めて機能します。 米国企業のベンダーレビューでは、セキュリティチームが報告書を精査し、記載された統制と例外事項（exceptions）を確認するという運用が一般的です。
もう一つの違いは、評価の設計思想です。ISMSは「組織が自らリスクを評価し、適用する管理策を決め、その理由を適用宣言書（SoA）で説明する」というマネジメントシステムの適合性を見ます。SOC 2は「サービス提供組織が掲げた統制について、監査人が規準に照らして意見を述べる」という構造です。前者は仕組みの適合、後者は統制に対する意見と捉えると整理しやすくなります。
何を基準に評価するのか
ISMSの場合
本文（箇条4〜10）のマネジメントシステム要求と、附属書Aの管理策で構成されます。2022年版の附属書Aは93の管理策が4テーマに整理されています。
| テーマ | 管理策数 |
|---|---|
| 組織的管理策（A.5） | 37 |
| 人的管理策（A.6） | 8 |
| 物理的管理策（A.7） | 14 |
| 技術的管理策（A.8） | 34 |
93すべてを実施する義務はなく、リスクアセスメントの結果に基づいて採否を決め、その理由をSoAに記載します。 管理策の読み方は 附属書A 2022年版｜93管理策と4テーマの全体像、SoAの書き方は 適用宣言書（SoA）の書き方 をご覧ください。
SOC 2の場合
SOC 2は Trust Services Criteria（TSC） と呼ばれる規準に基づきます。TSCは次の5つのカテゴリで構成され、Security（セキュリティ）が共通規準として基礎になり、それ以外は対象範囲として選択する形をとります。
| カテゴリ | 概要 |
|---|---|
| Security | 不正アクセス等からの保護。共通規準（common criteria）として位置づけられる |
| Availability | システムが合意した水準で利用可能であること |
| Processing Integrity | 処理が完全・正確・適時・許可されたものであること |
| Confidentiality | 機密として指定された情報の保護 |
| Privacy | 個人情報の取得・利用・保管・開示・廃棄 |
どのカテゴリを対象にするかは、サービスの性質と顧客の関心によって決めます。SaaSであればSecurityに加えてAvailabilityとConfidentialityを含めるケースがよく見られます。どのカテゴリを含めたかは報告書に明示されるため、読む側はそこから対象範囲を判断します。
ISMSの適用宣言書とSOC 2の対象カテゴリは、いずれも「どこまでを対象にしたか」を示す点で似た役割を持ちます。認証書やレポート表紙だけを見て判断せず、範囲の記載を読むことが、どちらの制度でも要点になります。
Type 1 と Type 2 の違い
SOC 2を理解するうえで避けて通れない区別です。
| Type 1 | Type 2 | |
|---|---|---|
| 評価の対象 | 特定時点における統制の設計 | 一定期間にわたる統制の設計と運用の有効性 |
| 答えている問い | 「その日時点で、統制は適切に設計されていたか」 | 「その期間を通じて、統制は設計どおりに運用されていたか」 |
| 必要な準備 | 統制を整備し、その時点の状態を示せること | 統制を一定期間運用し、その証跡を蓄積していること |
| 取引先の受け止め | 初回の暫定的な証明として受け入れられることがある | 実務上、こちらを求められることが多い |
取引先が「SOC 2」と言うとき、多くの場合Type 2を指しています。 Type 2は運用期間の証跡が必要になるため、統制を整備してから報告書が出るまでに、対象期間ぶんの時間が物理的に必要です。対象期間の長さは事業者と監査人が合意して決めますが、初回は短めの期間で実施し、以降は年次で期間を延ばしていく運用が見られます（期間の設定は実施主体との調整事項です。要一次確認）。
この「運用期間が要る」という構造は、ISMSにおいて内部監査とマネジメントレビューを1周実施した記録が必要という制約とよく似ています。どちらも、文書を揃えただけでは到達できないという点で共通しています。ISMS側の逆算の考え方は ISMS取得にかかる期間｜6か月スケジュールの実際 にまとめています。
なお、SOC 1・SOC 2・SOC 3は目的が異なります。SOC 1は財務報告に関連する内部統制を対象とするもので、セキュリティの証明として求められるのは通常SOC 2です。SOC 3はSOC 2の要約版として一般公開を想定した報告書です。取引先が指しているのがどれかを、最初に確認してください。
誰が、どう受け取るのか
開示の仕方の違いは、営業・調達の実務に直結します。
ISMSの場合：認証書を提示し、必要に応じて適用範囲と適用宣言書を共有します。認定機関のサイトで認証取得組織を検索できる仕組みもあり、相手が独自に存在を確認できるという利点があります。RFPの必須要件欄への記載にも対応しやすい形式です。
SOC 2の場合：報告書はNDAのもとで共有するのが一般的です。そのため、「SOC 2を持っています」とWebサイトに書いても、報告書を渡すまでは評価が始まりません。 逆に言えば、渡した瞬間に相手のセキュリティチームによる詳細なレビューが始まります。報告書には**例外事項（exceptions）**が記載されることがあり、それが商談の論点になることもあります。
この違いから、次のような使い分けが実際に起きています。
| 場面 | 有効な制度 |
|---|---|
| 国内の医療機関・製薬企業・自治体の調達要件 | ISMS |
| 国内企業の情報セキュリティチェックシート対応 | ISMS（SoAで具体的に説明できる） |
| 米国企業のベンダーレビュー、エンタープライズSaaS契約 | SOC 2（Type 2） |
| 欧州向けで個人データの取扱いが論点 | ISMS＋ISO 27701などの組合せが検討対象 |
| クラウドサービス提供者としての追加証明 | ISO 27017 / 27018 |
調達要件としてのISMSの扱われ方は ISMSが取引条件になるケース｜医療機関・製薬・自治体の調達、認証以外の対応で足りる場合の判断は ISMS認証を取らない選択肢｜チェックシート対応との比較 をご覧ください。
維持のサイクルの違い
| ISMS | SOC 2 | |
|---|---|---|
| 初回 | 1次審査（文書審査）→ 2次審査（実地審査） | Type 1、またはType 2（対象期間の設定が必要） |
| 維持 | 毎年のサーベイランス審査（維持審査） | 通常は年次で報告書を更新（対象期間を連続させる運用が一般的） |
| 更新 | 3年ごとの更新審査（再認証） | 制度上の「更新」はなく、期間ごとの報告書が積み重なる |
| 途切れたとき | 認証が維持できなくなる | 報告書の対象期間に空白（ギャップ）が生じる |
SOC 2で注意したいのは「ギャップ」です。 報告書は対象期間についての意見であるため、期間が連続していないと、取引先から「その間はどうだったのか」を問われます。年次で切れ目なく更新する運用設計が必要になります。
ISMS側の維持については サーベイランス審査（維持審査）の準備、費用が3年サイクルでどう発生するかは ISMS取得費用の全体像｜コンサル費・審査費・社内工数 にまとめています。
日本のヘルスケア事業者はどちらが先か
結論から言えば、国内の医療機関・製薬企業・自治体を主な取引先とするなら、まずISMSです。 理由は次のとおりです。
- 調達要件として指定されるのがISMSであることが多い。医療機関は3省2ガイドラインへの対応を求められる立場にあり、委託先にも同等の管理水準を求める構造が働きます
- 国内のチェックシート対応と親和性が高い。適用宣言書があると、管理策単位で「採用しているか、していないならなぜか」を説明できます
- 他の制度の土台になる。ISO 27017・27018（クラウド）、ISO 27701（プライバシー情報）はISMSを前提に積み上がります。3省2ガイドライン対応の文書もISMS文書を起点に整備できます
SOC 2を先に検討すべきなのは、次の場合です。
- 米国企業が主要顧客で、ベンダーレビューでSOC 2 Type 2を明示的に求められている
- エンタープライズ向けSaaSとして海外市場を主戦場にしている
- 取引先が「ISO 27001では代替不可」と明確に回答している
最後の点は必ず確認してください。実務上、「ISO 27001の認証書＋SoA＋直近の内部監査結果」で足りるという判断になることは珍しくありません。SOC 2の対応は監査人の関与を伴う継続的な取り組みであり、要求が確定していない段階で着手すると負担だけが先行します。
判断の順序としては次のように考えると整理できます。
| 質問 | Yesの場合 |
|---|---|
| 国内のヘルスケア調達が事業の中核か | ISMSを先に |
| 米国エンタープライズがSOC 2 Type 2を明示的に要求しているか | SOC 2の検討を開始 |
| 要求は「セキュリティ認証」と曖昧か | 何の証明を求めているかを確認。多くはISMSで足りる |
| クラウド事業者としての証明も求められているか | ISMS＋ISO 27017・27018 |
| 個人情報の取扱いが中心か | ISMSとPマークの違い と ISO 27701 を検討 |
両方が必要になった場合
海外展開が進むと、ISMSとSOC 2の両方を求められる状況が現実に発生します。このとき重要なのは、土台となる統制を一つにすることです。
- アクセス制御、ログ、変更管理、脆弱性管理、委託先管理といった統制は、両制度で重複して問われます
- 統制ごとの証跡（誰が・いつ・何を確認したか）を一元的に蓄積しておけば、両方の対応で使えます
- 逆に、制度ごとに別の記録を作り始めると、運用が二重化して長続きしません
ISMSを先に構築していれば、リスクアセスメント、管理策の運用記録、内部監査の仕組みがすでに存在します。SOC 2の対応はその上に「対象期間の証跡」を整える作業として設計できます。文書体系を一元化する考え方は、3省2ガイドライン対応でも同じです。ISMS文書と3省2ガイドライン対応文書の統合 と、医療機関側が求められている内容をまとめた 3省2ガイドラインとは｜医療情報システムの安全管理 もあわせてご覧ください。
まとめ
- ISMSは認証（certification）、SOC 2は保証報告書（attestation report）。前者は「持っている」と言えるもの、後者は「読んでもらう」もの
- 評価の基準が違う。ISMSは本文＋附属書A 93管理策とSoA、SOC 2はTrust Services Criteria（Securityを共通規準とし、対象カテゴリを選択）
- SOC 2の Type 1は特定時点の設計、Type 2は一定期間の運用の有効性。取引先が指すのは多くの場合Type 2で、対象期間ぶんの時間が必要
- 開示方法が違う。ISMSは認証書の提示と第三者による確認が可能、SOC 2はNDAのもとで報告書を共有し、相手が精査する
- 国内ヘルスケアのBtoBならISMSが先。調達要件として指定されやすく、チェックシート対応や他制度の土台にもなる
- 両方必要な場合は、統制と証跡の土台を一つにしてそれぞれの様式に載せる。制度ごとに記録を分けると運用が破綻する
ポテックは、ヘルスケア領域に特化してISMS認証取得を支援しています。「取引先が求めているのはどの制度か」という見極めの段階からご相談いただけます。適用範囲の設計、規程・台帳・教材のひな形提供、進行管理、内部監査まで一貫してお引き受けし、製品側の技術的対策についてもご相談いただけます。
支援内容と料金は ISMS認証取得支援サービス をご覧ください。海外取引での要求への対応を含むご相談は お問い合わせ から承ります。
参考・出典
- 情報マネジメントシステム認定センター（ISMS-AC）
- ISO/IEC 27001 Information security management systems｜ISO
- AICPA & CIMA
- 日本公認会計士協会
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
※SOC 2の規準・報告書の様式・対象期間の設定は、AICPAが定める基準および実施する監査人の説明が正本です。ISMSの要求事項・認証の取扱いは規格本文および認定機関・審査機関の公表資料をご確認ください。いずれの制度も改定され得ます。