SOC 2とは？
SOC 2（System and Organization Controls 2）とは、米国公認会計士協会（AICPA）が定める基準にもとづき、クラウドサービス事業者の内部統制を第三者機関が検証し、報告書として発行する制度です。 セキュリティ・可用性・処理の完全性・機密保持・プライバシーの5つの評価基準（トラストサービス規準）のうち、対象となる範囲は事業者ごとに異なります。
仕組み
SOC 2には、ある時点での内部統制の設計を評価するType Iと、一定期間（通常6か月〜1年）にわたる運用状況を評価するType IIがあります。ISO 27001が国際規格の認証であるのに対し、SOC 2は監査法人が発行する保証報告書という位置づけの違いがあります。報告書はNDA（秘密保持契約）のもとで開示されることが多く、一般に公開登録簿のような形では確認できません。
ビジネスでの使いどころ
海外発のSaaS・クラウドサービスでは、ISO 27001と並んでSOC 2 Type IIの取得を公式サイトで明記する事業者が多く見られます。法人向けサービスを選定する際、情報セキュリティ管理の第三者検証を受けているかどうかの目安として参照されます。