SOC 2とISO 27001の違い、そしてシンガポールのCyber Essentials——セキュリティ認証は香港・シンガポールの購買担当者に何を証明するのか

要点： SOC 2とISO 27001の違いは、2つのバッジの優劣ではありません。ISO/IEC 27001は、定められた適用範囲内のマネジメントシステムを認証します。SOC 2レポートは監査人の保証報告であり、購入者が読む必要があります。NIST CSFはフレームワークで、認証ではありません。適用範囲、対象期間、そして自社テナントの証拠を求めてください。

「御社は認証を取得していますか」は、今やITサービス事業者との商談で最初に出る質問の一つです。妥当な質問ですが、返ってくるのはたいてい一言の答えです。その答えでは、購入者が知るべき大半の情報、つまりどの認証か、誰が発行したか、事業のどの部分を対象とするか、どの期間有効か、何を検証したのか、が見えなくなります。SOC 2とISO 27001の違いは、この混乱が始まる典型的な地点なので、本レポートもそこから始めます。

本レポートは、各制度を定義する公表文書とウェブページに基づき、主要な制度の実態を整理します。対象は、ISO/IEC 27001、SOC 2、シンガポールのCyber EssentialsおよびCyber Trustマーク、そして認証と取り違えられやすい米国の2つのフレームワーク（NISTサイバーセキュリティフレームワークとCMMC）です。そのうえで、公表されている認証件数を手法上の注意点とともに読み、香港にはシンガポールの国家マークに相当するものがないことを率直に述べます。以下の外部事実はすべて、2026年10月30日に私たちが実際に開ける出典と照合して再確認したものです。出典を開けなかった箇所はその旨を明記し、主張を行いません。

開示事項。Brocentはこれらの認証を求められるITサービス事業者であり、この問いについては供給側の立場にあります。BrocentのAboutページには、同社が「ISO/IEC 27001 certified」であり「SOC 2 Type II compliant」であると記載されています。本レポートはこの記述を原文どおりに引用するにとどめ、監査はしておらず、以下の内容はそれに依拠していません。ここで述べる確認方法は、他社と同様にBrocentにも適用すべきものです。

主な調査結果

• 3つの異なるものが同じ言葉で呼ばれています。ISO/IEC 27001は規格に対する認証、SOC 2は公認会計士事務所による保証報告、NISTサイバーセキュリティフレームワーク2.0はNIST自身の言葉で「成果をどのように達成すべきかを規定しない」ガイダンスです。フレームワークは「取得」できず、レポートは合格点ではありません。
• 認証が証明するのはマネジメントシステムであり、貴社にとっての個々の統制の強度ではありません。ISO自身の「Certification」ページは、ISOは認証を行わず、独立した認証機関が行うと述べ、その機関が認定を受けているかを確認するよう助言しています。認証機関が監査するのは、組織が自ら定めた適用範囲の中で、情報セキュリティマネジメントシステムが規格の要求事項を満たしているかどうかです。
• 適用範囲がすべてを左右します。ISO/IEC 27001:2022は、組織自身にマネジメントシステムの適用範囲を決定させ（箇条4.3）、どの管理策を選び、なぜ選んだかを適用宣言書に記録させます（箇条6.1.3 d）。狭い適用範囲の認証は本物であっても、貴社が購入するサービスとは無関係かもしれません。適用範囲の記述と適用宣言書が、求めるべき2つの文書です。
• シンガポールには段階的な国家制度がありますが、香港にはありません。シンガポールサイバーセキュリティ庁（CSA）はCyber EssentialsとCyber Trustを運営し、CSAが任命した認証機関が評価します。Cyber TrustはSingapore Standard SS 712:2025として公表されています。今回の調査では、香港に組織単位の同等制度は見つからず、2025年10月に開始された審査済みプロバイダー一覧があるのみでした。
• 公表されている件数は大幅な増加を示しますが、単純な傾向としては読めません。ISO Survey 2024のインフォグラフィックは、有効なISO/IEC 27001認証を2024年に96,709件、2023年に47,291件と報告していますが、ISO自身のSurveyページは、2025年以降はIAF CertSearchから直接集計すると述べています。収集方法が変わったため、この急増は自然な成長だけによるものではありません。
• 米国のフレームワークは汎用的な認証ではありません。NIST CSF 2.0は任意のガイダンスであり、CMMCは連邦契約情報または管理対象非機密情報を扱う企業に適用される国防総省の契約制度で、その第三者評価フェーズは2026年7月に停止されました。
• 購入者がすべきことは、3つを求めることです。認証書、自社テナントに関する証拠、契約上のコミットメントを求め、これらを3つの別個の保証として扱ってください。

SOC 2とISO 27001の違い：同じ言葉で呼ばれる3つの異なるもの

混乱は用語から始まります。「ISO認証取得」「SOC 2準拠」「NIST準拠」は、同じ種類の主張であるかのように語られますが、そうではありません。

• 認証は、独立した機関が規格に照らして発行するものです。 ISO/IEC 27001がその例です。ISOの「Certification」ページは、ISO自身は組織を認証しないと明記しています。認証は外部の認証機関が行い、ISOが購入者に勧めているのは、その機関が認定を受けているかを、各国の認定機関または国際認定フォーラム（IAF）のデータベースIAF CertSearchで確認することです。
• 保証報告はレポートです。 SOC 2の検証は、米国公認会計士協会（AICPA）の保証業務基準に基づき、公認会計士事務所が実施します。事務所は、システムとその統制に関する経営者の記述をAICPAのTrust Services Criteriaに照らして検証し、監査人の意見を付した報告書を作成します。購入者はそれを読むことが前提です。
• フレームワークはガイダンスです。 NISTサイバーセキュリティフレームワーク2.0は、2024年2月26日にNIST CSWP 29として公表され、規模・業種・成熟度を問わないあらゆる組織のためにサイバーセキュリティの成果を記述しています。「成果をどのように達成すべきかを規定しない」とされ、文書自体に認証の仕組みは設けられていません。

実務上の帰結は、「NISTに従っています」と「ISO認証を取得しています」が、異なる問いへの答えだということです。前者は、組織が考え方をどう整理しているかを述べています。後者は、第三者が公表された規格に照らしてマネジメントシステムを監査したことを述べています。いずれも、貴社のデータが安全であるとは言っていません。

ISO/IEC 27001が検証するものと、適用範囲の記述が静かに除外するもの

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めています。組織はISMSの適用範囲を定義し、情報セキュリティリスクを評価し、適用する管理策を決定して、その決定を適用宣言書に記録し、システムを運用します。その後、認証機関が監査を行います。規格自体の構造と、認証を統括する機関の文書から、次の4点が直接導かれます。いずれも、特定の論者の名前を借りる必要はありません。

認証されるのはマネジメントシステムです。 これはマネジメントシステム規格です。認証機関が監査するのは、組織のISMSが規格の要求事項を満たしているか、つまりリスクアセスメント、リスク対応、レビューという規律です。貴社のテナントに対する技術的なテストではなく、規格も認証機関にそのようなテストを求めていません。認証を受けた企業には機能しているリスクプロセスがあります。しかし、そのリスクを貴社が受け入れられる水準まで下げているとは限りません。

適用範囲は組織自身が選びます。 ISO/IEC 27001:2022の箇条4.3「情報セキュリティマネジメントシステムの適用範囲の決定」は、組織自身にISMSの境界を定めさせます。適用範囲の記述は、会社全体、1つのデータセンター、1つの製品ライン、1つの拠点のいずれにもなり得ます。認証書にはその適用範囲が記載されます。何よりも先にそれを読んでください。

適用宣言書は、どの管理策が機能しているかを示します。 箇条6.1.3 d）は、組織が必要と判断した管理策を、採用と除外の理由とともに列挙した適用宣言書を求めています。貴社が重視する統制が、認証されたシステムの中に含まれているかどうかを教えてくれるのは、この文書です。認証書と一緒に求めてください。適用宣言書のない適用範囲の記述は、全体像の半分にすぎません。

認証は法令遵守の証明ではありません。 ISO/IEC 27001は国際規格であり、特定の国の法的要求事項を含むことはできません。データ保護法や業種別規制上の義務を果たす助けにはなりますが、それ自体で組織をそれらに準拠させるものではありません。

購入者が認証書を読むうえで役立つ実務上の事実が2つあります。第一に、ISO/IEC 27001:2013から2022年版への移行は、IAFの必須文書IAF MD 26が定めるもので、2025年10月31日に終了しました。複数の認証機関は、2013年版の認証書はその日をもって取り消されるか失効したと説明しています。2013年版を引用している認証書は期限切れです。第二に、認定を受けた認証は照合できます。IAF CertSearchは、IAFの多国間承認協定の下で認定された認証機関がデータを登録する、認定マネジメントシステム認証の世界的なデータベースであり、購入者が認証書の真正性と有効性を確認できるようにするために存在します。

SOC 2レポートとは何か

SOC 2は、ベンダーのマーケティングで最も誤って説明されることが多いため、確認できたことと確認できなかったことを正確に区別しておく価値があります。2026年10月30日、私たちはこの環境からAICPA自身のSOC 2ページを開くことができませんでした。したがって以下の説明は、公認会計士事務所や監査法人がAICPAの資料をどう説明しているかに基づくものであり、引用ではなく実務上の説明として扱ってください。

SOC 2の検証は、5つのトラストサービス区分、すなわちセキュリティ、可用性、処理のインテグリティ、機密保持、プライバシーのうち、1つ以上に関連する統制を対象とします。セキュリティはすべてのSOC 2レポートに含まれる区分で、残る4つはサービスの内容に応じて選ばれます。基準はAICPAの2017年版Trust Services Criteriaで、着眼点は2022年に改訂されています。レポートは、経営者の主張、システムの記述、サービス監査人の報告の3つから構成されます。Type 1レポートは、ある時点で統制が適切に設計されていたかを示し、Type 2レポートは、それに加えて一定期間にわたり統制が運用されていたかの検証を含みます。その期間の長さはさまざまです。

この構造から、購入者にとっての帰結が4つ導かれます。

• システムの適用範囲は経営者が定義します。 レポートが記述するのは、事業者が範囲に含めると選んだシステムです。したがって最初の問いは、貴社が購入するサービスがそのシステムかどうかです。
• 対象となるのは、範囲に含まれる区分だけです。 レポートは5つの区分のうちどれを扱うかを明記するため、たとえば機密保持のように、貴社が重視するものが含まれているかを確認してください。
• レポートには監査人の意見が含まれ、例外事項が記載されることがあります。 例外事項は不合格と同じではありません。購入者が最も読むべき部分であることも少なくありません。
• バッジではありません。 「SOC 2」と書かれたロゴは、文書への案内にすぎません。保証は文書の中にあり、貴社自身のリスクに照らして読む必要があります。

シンガポールの段階的な国家制度：Cyber EssentialsとCyber Trust

まず一点、名称の整理をします。「Cyber Essentials」は、英国国家サイバーセキュリティセンター（NCSC）の制度の名称でもあります。これは別の制度で、管理策も認証の経路も異なります。本節で扱うのはシンガポールのマークだけです。英国の制度をMicrosoft 365テナントに適用する方法については、当社のMicrosoft 365におけるCyber Essentials管理策の設定別ガイドをご覧ください。

シンガポールは、本レポートが扱う3つの市場のうち、国が運営する段階的な組織単位の制度を持つ唯一の市場で、制度はシンガポールサイバーセキュリティ庁（CSA）が公表しています。CSAの認証ページと現行のCyber Essentialsマーク文書は、2026年10月30日に改めて確認しました。

CSAのCyber Trust認証ページは、このマークがシンガポール標準化プログラムの下でSingapore Standard SS 712として公表されており、現行版はSS 712:2025であると述べています。Cyber Essentialsには独自のCSA文書「Cyber Essentials mark」の2025年版があり、CSAは2025年4月15日に、両マークをクラウドセキュリティ、人工知能、制御技術（OT）へ拡張すると発表した際にこれを公表しました。両マークとも、認証はCSAが任命した認証機関が行います。CSAのページは、自己認証は認められず、組織は任命された機関のいずれにでも依頼できると述べています。

CSAの言葉を借りれば、Cyber Essentialsは中小企業を含む「サイバーセキュリティの取り組みを始めたばかりの組織」向けで、マーク文書は、ITやサイバーセキュリティの専門知識・資源が限られた組織のために設計され、パレートの法則（80/20の原則）を用いて一般的な攻撃に対する基本的な対策を優先づけると説明しています。組織は自己評価を完了し、任命された認証機関の独立した評価員がそれをレビューし検証します。CSAのページには、認証の有効期間は2年と記載されています。

Cyber Trustはその上位に位置します。CSAのページは、これを有効期間3年、毎年の監査を伴う認証と説明し、すでに適切なサイバー衛生を実装した組織を対象としています。重要情報インフラの基準引き上げに関するCSAのプレスリリースは、ライセンスを受けたサイバーセキュリティサービスプロバイダーに対し、2026年末までにCyber Trust（レベル3）の取得を求めるとも述べており、このマークはシンガポールのセキュリティ事業者に直接投げかけるべき質問になっています。

CSAが任命した認証機関は、認証を取得した組織がCSAの認証取得組織ディレクトリ（Directory of Certified Organisations）に掲載されると説明しています。私たちは2026年10月30日にそのディレクトリ自体を開くことができなかったため、本レポートでは件数を示さず、普及率も算出しません。事業者に認証書を求め、発行した認証機関またはCSAに確認してください。

シンガポールの購入者にとっての意味について、正確を期すために一点補足します。両マークは、公表された規格に基づく組織単位の保証であり、独立した評価と任命された認証機関に支えられています。そのため、単なる自己申告とは異なり、照合できます。ただし、ISO/IEC 27001やSOC 2レポートと同等になるわけではありません。両マークが検証するのは、小規模な組織を念頭に意図的に身の丈に合わせた、別の統制群です。

同じ市場の規制当局の側については、外部委託ITに対するMASテクノロジーリスク管理の期待事項に関する当社のチェックリストが、別の目的のための別の手段になります。認証は規制遵守ではありません。

米国：フレームワーク、契約制度、そしてCMMCが対象とするものとしないもの

米国には、組織単位の単一の国家認証マークはありません。あるのはフレームワーク、業種別の制度、契約に基づく要求事項であり、そのうち2つが認証と取り違えられがちです。

NISTサイバーセキュリティフレームワーク2.0はフレームワークです。6つの機能（統治、識別、防御、検知、対応、復旧）が、最上位レベルで成果を整理します。NISTは規模・業種・成熟度を問わない組織向けにこれを公表し、「成果をどのように達成すべきかを規定しない」と述べています。「NIST CSFに整合している」と述べる事業者は、自社のプログラムをどう構造化しているかを説明しているにすぎません。整合性を認証する機関はありません。

CMMC（Cybersecurity Maturity Model Certification）は実在する認証制度ですが、対象は限定的です。国防総省がこのプログラムを設ける最終規則は連邦規則集第32編第170部に置かれ、2024年10月15日に連邦官報で公示され、2024年12月16日に施行されました。その目的は、防衛関連の請負業者が連邦契約情報と管理対象非機密情報を保護するためのセキュリティ要求事項を実施していることを検証することです。レベル1とレベル2は自己評価が可能で、レベル2は代わりに認定第三者評価機関（C3PAO）の評価を受けることもでき、レベル3は政府による評価です。レベル2はNIST SP 800-171の110のセキュリティ要求事項に基づいています。

防衛契約以外の読者にとって重要な制約が2つあります。CMMCがITサービス事業者に及ぶのは、その事業者が支援する防衛関連請負業者の契約と、請負業者のために扱う情報を通じてのみです。したがって自社が対象かどうかは、認証ではなく契約条項の問題です。また、その状況は流動的です。国防総省は2026年7月13日、2026年11月10日から大半のレベル2請負業者に第三者評価を求める予定だったフェーズ2の停止を発表しました。一方、自己評価の要求事項と、その根拠となるNIST SP 800-171の義務は引き続き有効です。この状況については、法律事務所Davis Wright Tremaineの2026年7月の要約「Department of Defense Suspends CMMC Phase II」に依拠しています。国防総省自身の発表は開くことができなかったため、この状況に依拠する前に国防総省の最新の掲示を確認してください。

香港の空白：国家マークがない場合に購入者が使うもの

香港は、読者の多くにとって中心的な市場であるため、率直に述べます。今回の調査では、シンガポールのCyber EssentialsやCyber Trustに匹敵する、香港の組織単位のサイバーセキュリティ認証マークは見つかりませんでした。これは見つかったことについての記述であり、存在しないことの証明ではないため、購入者は関係当局に確認してください。

見つかったのは、組織が取得する認証ではなく、プロバイダーの審査プログラムです。デジタル政策弁公室（Digital Policy Office）とHKCERTは、主に地元の中小企業向けに、Cybersecurity Service Providers Connect Programmeを2025年10月23日に開始しました。同日のHKCERTのプレスリリースは、プロバイダーが専門資格、業界経験、サービス範囲、過去の実績に基づいて審査されると述べ、インターネットセキュリティソリューション、サイバーセキュリティ評価サービス、マネージドセキュリティおよびインシデント対応サービス、サイバーセキュリティ研修の4つのサービスカテゴリーを挙げています。HKCERTの2025年年次報告書は、執筆時点で20社超のプロバイダーが参加したとしています。これはプロバイダーの審査リストであり、組織が認証を受けるための規格ではありません。

したがって実際には、香港の購入者は、上で取り上げた国際的な手段であるISO/IEC 27001とSOC 2、そして業種ごとの規制当局が期待する内容に頼ることになります。金融分野については、香港企業がMSP、MSSP、HKMA C-RAFの支援を1つの契約にまとめる理由を扱った当社のレポートが主題としているため、ここでは繰り返しません。本節のいかなる記述も、香港の規制当局が何を求めているかについての主張ではありません。

保証の水準は実際にどこまで動いたか

認証件数は、保証の水準を示す指標のうち、公表されていて数えられる唯一の定量的な尺度であり、慎重な扱いが必要です。

ISO Surveyは、マネジメントシステム認証に関するISOの年次調査です。出典としてIAF CertSearchを挙げるISO Survey 2024のインフォグラフィックは、2024年の有効なISO/IEC 27001認証を96,709件、対象サイトを179,877か所、2023年を47,291件と報告しています。ISO自身のSurveyページは、2025年以降、調査はIAF CertSearch内の匿名化・集約されたデータから直接集計され、国別の数値はそのデータベースの中でのみ閲覧できると述べています。香港、シンガポール、その他いずれの国・地域についてもISO/IEC 27001の件数は取得できなかったため、記載しません。

47,291件から96,709件への増加は、公表データ上は事実ですが、単純な傾向として示すべきではありません。データの出典が変わったのです。調査は、認証機関がデータを登録するIAF CertSearchに移行し、ISO自身も、2024年より前は認証機関が任意で調査データを提出していたと述べています。認証の数え方が変われば、系列の中に成長のように見える段差が生じます。断絶のもう一つの兆候として、ある認証機関による2025年版の表のスペイン語の転載は、2025年12月31日時点で有効なISO/IEC 27001認証を125,622件とする一方、2023年の数値を47,291件ではなく48,671件と書き換えています。これは二次情報であり、過去の年の数値が修正されつつあることを示すためにのみ引用するもので、2025年の成長率を加えるためではありません。

したがって、正直にまとめられることは限られます。公表された件数が示しているのは、ISO/IEC 27001が今や一般的になり、2024年版では世界で96,709件の有効な認証が報告されているということです。「採用が1年で倍増した」といった表現や、特定市場の成長率を裏づけるものではありません。

認証、証拠、契約は3つの異なる保証です

認証が答えるのは、独立した第三者が、定められた適用範囲内のマネジメントシステムが、ある時点で規格を満たしていると判断したか、という一つの問いです。残る問いはさらに2つあり、購入者はこの3つすべてに答えを得る必要があります。

• 認証： どの制度か、どの適用範囲か、どの版か、どの機関が発行したか、いつまで有効か。ISO/IEC 27001では、適用範囲の記述と適用宣言書を求め、IAF CertSearchで認証書を確認してください。SOC 2では、要約ではなく完全なレポートを求め、対象期間と検証対象の区分を確認してください。
• 証拠： 貴社が重視する統制は、貴社のテナント、データ、ユーザーに対して実際に運用されているか。ここが認証と購入者自身のリスクが交わる点であり、よくあるギャップでもあります。事業者が有効な認証を持っていても、その適用範囲が貴社にサービスを提供するプラットフォームを除外していたり、サンプリングされた統制に貴社のものが含まれていなかったりすることがあります。貴社の環境に関する証拠は、レポート、ログ、テスト結果、そして貴社自身のレビューから得られます。Microsoft 365テナントについては、固定価格のMicrosoft 365セキュリティ監査（ユーザー数に応じてUS$450、US$990、US$1,800、US$2,900、報告書は5〜7営業日）が、証拠として使える形式で設計された報告書を得る一つの方法です。この監査自体は何も認証せず、保険会社や認証機関は引き続き自ら判断します。
• 契約： 事業者は何を行うと約束し、約束が果たされない場合はどうなるのか。通知期限、監査権、毎年レポートを確認する権利は、契約書に盛り込むべきです。認証は貴社への約束ではありません。

私たち自身の経験は定性的なものでありサンプルではありませんが、香港とシンガポールでオンボーディング時に保証を求められるとき、繰り返し現れるギャップは、提示される認証と、購入者自身のテナントについて実証される統制との間にあります。認証は通常、本物です。欠けていることが多いのは、その適用範囲と、購入される具体的なサービスとの結びつきです。これは統計ではなく所見であり、その発生頻度について主張するものではありません。

本レポートは分類と件数を扱うものであり、事業者自身がなぜ購入者の環境への入り口になり得るのかという問いには、意図的に踏み込みません。その議論と、契約に何を書くべきかについては、ITサービス契約の両側から見たサードパーティのサイバーリスクに関する当社のレポートをご覧ください。

市場別・購入者規模別に何を求めるか

以下は、上記の文書に基づく私たちの推奨であり、いずれの市場においても規制上の要件ではありません。

• シンガポールの中小規模の購入者。 事業者がCyber EssentialsまたはCyber Trustを取得しているかを尋ね、認証書と有効期限の提示を求め、発行した認証機関またはCSAに確認してください。事業者がISO/IEC 27001またはSOC 2レポートを保有している場合は、その適用範囲とレポートも求めてください。選定時の質問については、シンガポールでのサイバーセキュリティ事業者の選び方ガイドが扱っています。
• 香港の中小規模の購入者。 参照できる国家マークがないため、適用範囲の記述と適用宣言書を伴うISO/IEC 27001、または対象期間を明示したSOC 2 Type 2レポートを求め、その適用範囲が購入するサービスを含んでいることを示す証拠を求めてください。セキュリティ事業者を選ぶ場合は、DPOとHKCERTのプロバイダー一覧も参照できますが、これは認証ではなく審査リストである点に留意してください。
• 米国の購入者。 認証に関する質問への答えとして「NIST準拠」を受け入れないでください。SOC 2 Type 2レポート、または適用範囲を示したISO/IEC 27001認証書を求め、事業者自身のプログラムがどのフレームワークに対応づけられているかを尋ねてください。業務が防衛契約に関わる場合は、契約が求めるCMMCレベルと現在の評価状況を具体的に尋ねてください。
• あらゆる市場の大規模または規制対象の購入者。 認証は答えではなく、フィルターとして扱ってください。レポートまたは適用宣言書、貴社自身の要件に対する統制ごとの対応表、そして上述の契約上の権利を求めてください。当社のサイバーセキュリティサービス概要とマネージドITセキュリティサービスは、事業者のセキュリティの適用範囲がどのようなものになり得るかを説明しています。当社のITアセスメント・監査サービスは適用範囲を購入者自身の要件に照らして検証するためのもので、固定価格のMicrosoft 365セキュリティ監査は同じことを1つのテナントについて行います。

事業者の側から見た同じ作業も、規律は対称的です。自社の適用範囲の記述を把握し、認証書、レポート、証拠を互いに整合させて保ち、その適用範囲が購入者のサービスにどう対応するかを示せるよう備えておくことです。

本レポートが主張しないこと

調査レポートの価値は、その限界がどれだけ明確かで決まります。以下が私たちの限界です。

• 香港、シンガポール、その他いずれの国・地域についてもISO/IEC 27001の件数は示していません。国別データは私たちが開けなかったIAF CertSearchの中にあるため、世界合計のみを報告しています。
• 認証数の増加を傾向として示していません。調査のデータ収集方法が変更されており、2025年の数値はISOのページではなく、ある認証機関による表の転載に基づくものです。
• SOC 2の説明はAICPAの文章の引用ではありません。AICPAのページを開けなかったため、区分、基準、レポートの構造は監査法人の説明に沿って記述しています。
• ISO/IEC 27001について、特定の論者の名前を挙げた引用は行っていません。規格に関する各点は、規格自体の箇条構成、ISOのCertificationページ、IAF MD 26、IAF CertSearchに基づいています。
• シンガポールの節ではディレクトリの件数を示していません。2026年10月30日にCSAの認証取得組織ディレクトリを開くことができなかったためです。
• 香港に関する記述は検索結果であり、不存在の証明ではありません。また、規制当局のページは読んでいないため、規制当局についての主張でもありません。
• CMMCの状況は、名前を明示した法律事務所の要約に基づいており、一次通知を確認する必要があります。
• Brocent自身の認証はAboutページの記載を原文どおり引用したもので、ここでは監査していません。購入者の行動に関する所見は定性的なものであり、サンプルではありません。

よくある質問

SOC 2とISO 27001の違いは何ですか。

ISO/IEC 27001は認証です。認定を受けた独立機関が、定められた適用範囲内の組織の情報セキュリティマネジメントシステムを、公表された規格に照らして監査します。SOC 2レポートは保証報告です。公認会計士事務所が、システムとその統制の記述をAICPAのTrust Services Criteriaに照らして検証し、その意見を報告します。購入者は、前者からは認証書と適用範囲の記述を、後者からは読むべきレポートを受け取ります。

ISO 27001認証は実際に何を証明しますか。

認定を受けた認証機関が、組織が箇条4.3に基づいて自ら定めた適用範囲の中で、マネジメントシステムが規格の要求事項を満たしていると判断したことを示します。選ばれた管理策は箇条6.1.3 d）に基づき適用宣言書に記録されます。これはマネジメントシステムの監査であり、貴社のテナントに対する技術的なテストではありません。また、認証書を発行するのはISOではなく認証機関です。

SOC 2レポートは合格か不合格かを示すものですか。

いいえ。経営者の主張、システムの記述、そして発見された例外事項を含むサービス監査人の意見が記載された報告書です。購入者は、適用範囲、対象とする区分、検証された期間を読み取り、そのうえで購入するサービスをカバーしているかを判断する必要があります。

NIST CSFは認証ですか。

いいえ。NISTはCSF 2.0を「成果をどのように達成すべきかを規定しない」ガイダンスと説明しており、文書に認証制度は含まれていません。事業者は自社のプログラムをこのフレームワークに整合させていると述べることができますが、その整合を認証する機関はありません。

シンガポールのCyber EssentialsとCyber Trustとは何ですか。

シンガポールサイバーセキュリティ庁の段階的な組織単位のマークで、CSAが任命する認証機関による評価を経て付与されます。Cyber Essentialsはサイバーセキュリティの取り組みを始めたばかりの組織を対象とし、有効期間は2年です。Cyber TrustはSingapore Standard SS 712:2025として公表されており、有効期間3年で、毎年の監査があります。

シンガポールのCyber Essentialsは英国のCyber Essentialsと同じものですか。

いいえ。名前が同じだけで、他はまったく別のものです。シンガポールのマークはCSAが運営し、CSAが任命した認証機関が評価し、有効期間は2年です。英国の制度は国家サイバーセキュリティセンターが運営し、独自の管理策と認証の経路を持っています。「Cyber Essentialsを取得している」と述べる事業者には、どちらの制度かを尋ねるべきです。英国制度の認証書はシンガポールの要求事項について何も語らず、その逆も同様です。英国制度に関する当社のMicrosoft 365ガイドは上でリンクしています。

香港には国家のサイバーセキュリティ認証マークがありますか。

シンガポールのマークに匹敵するものは見つかりませんでした。デジタル政策弁公室とHKCERTは2025年10月23日に審査済みプロバイダーの一覧を開始しましたが、これはサービス事業者を審査するものであり、組織が取得する認証ではありません。香港の購入者は通常、ISO/IEC 27001、SOC 2、そして業種ごとの規制当局の期待に頼っています。これは検索結果であり、不存在の証明ではありません。

認証が本物で、かつ自社に関係があるかをどう確認すればよいですか。

ISO/IEC 27001では、認証書、適用範囲の記述、適用宣言書を求め、版が2022年版であることを確認し、IAF CertSearchで状況を確認してください。SOC 2では、完全なレポートを求め、システムの記述、区分、期間を読んでください。シンガポールのマークでは、認証書を求め、発行した認証機関またはCSAに確認してください。いずれの場合も、適用範囲が購入するサービスを含んでいることを確認し、認証の適用範囲が自社テナントに届いていない部分については、自社テナントの証拠を求めてください。

次のステップ

保証を求められている場合も、求めている場合も、上記の3つの問い、すなわち適用範囲、対象期間、証拠から始めてください。見つかったギャップがMicrosoft 365のテナントレベルの証拠であれば、固定価格のMicrosoft 365セキュリティ監査が、証拠として使える形式で設計された報告書とワークブックを作成します。価格はユーザー数に応じてUS$450、US$990、US$1,800、US$2,900で、5〜7営業日で納品します。事業者の適用宣言書を貴社の要件に照らして読み解くことから、本稿で述べた契約上の権利の整備まで、より広い範囲についてはBrocentのコンサルタントにご相談ください。