AICPA（米国公認会計士協会）が定める「トラストサービス基準（Trust Services Criteria / TSP Section 100）」には、以下の5つのカテゴリーが設定されています。

• セキュリティ（Security）※必須
• 可用性（Availability）
• 処理のインテグリティ（Processing Integrity）
• 機密保持（Confidentiality）
• プライバシー（Privacy）

SOC2で必須となるカテゴリー

SOC2の評価対象となるカテゴリーは、これらの中から選択しますが、「セキュリティ」はすべてのSOC2報告書において必須項目とされています。

一方で、それ以外の4つのカテゴリーについては任意選択項目です。

ただし、「任意」とはいえ、自社の都合だけで自由に選択できるものではありません。

あくまでも、サービス利用者（ユーザー）にとって重要な観点かどうか、すなわち「ユーザー視点」に基づいて選択する必要があります。

カテゴリー選定の考え方

たとえば、

• システム停止が事業に大きな影響を与えるサービスであれば「可用性」
• 機密情報を多く扱うサービスであれば「機密保持」
• 個人情報を大量に取り扱うサービスであれば「プライバシー」

といったように、提供サービスの性質や顧客ニーズに応じてカテゴリーを選定することが重要です。

カテゴリー追加時の注意点

また、カテゴリーを追加するほど、必要となる内部統制や監査対応も増加するため、「どのカテゴリーが本当に必要か」を整理したうえで検討することが望ましいでしょう。