日本語
コンプライアンスの門番：SOC 2 と GDPR のもとでの本人認証を分析する
SOC 2 と GDPR が、本人確認、MFA、アクセス制御、および監査ログを法律でどのように要求しているか、公式基準への直接的な参照と共に解説します。
Guamian
Product & Design
Product & Design
SOC 2 と GDPR が、本人確認、MFA、アクセス制御、および監査ログを法律でどのように要求しているか、公式基準への直接的な参照と共に解説します。
現代の規制環境では、ID・アクセス管理（IAM）はもはや IT 運用のタスクではなく、法的・コンプライアンス上の必須事項です。この分野を規定する最も重要な二つのフレームワークが、SOC 2（システムおよび組織管理基準 2）と GDPR（一般データ保護規則）です。
SOC 2 はサービス提供に関する信頼性、GDPR は個人のプライバシー権に焦点を当てていますが、どちらも次の真実に収束します：アクセスする人の身元を検証できなければ、データを保護することはできません。
以下に、厳密な分析と、本人認証を義務付ける両フレームワークの具体的な条項・基準（公式基準への直接リンク付き）を示します。
SOC 2 監査は、AICPA の 2017 トラストサービス基準（TSC） に基づいています。本人認証について、共通基準 (CC) 6.0 シリーズ（論理的および物理的アクセス制御）が決定的な権威となります。
基準：
「事業体は、保護された資産に対し論理的アクセスセキュリティのソフトウェア、インフラ、アーキテクチャを実装し、事業体の目標達成のため、セキュリティイベントから守ります。」
分析：
これは IAM システムの包括的な要件です。CC6.1 を満たすには、ID プロバイダー（IdP）のような中央集権的な仕組みでアイデンティティ管理を行っていることを証明する必要があります。アドホックまたは共有アカウントは、「論理的アクセスセキュリティ」の監査が不可能になるため、ここで失格となります。
基準：
「事業体は、システム資格情報の発行およびシステムアクセスを与える前に、事業体が管理する新規の内部・外部ユーザーを登録・認可します。」
分析：
これは厳格な Joiner/Mover/Leaver（JML）プロセスを要求します。
基準：
「事業体は、役割、責任、またはシステム設計に基づき、データ、ソフトウェア、機能、その他保護情報資産へのアクセスを認可、修正、削除します...」
分析：
文面では「役割（RBAC）」を明示していますが、AICPA の CC6.3「注目ポイント」は多要素認証（MFA）の必要性を強調しています。
基準：
「事業体は、許可された担当者にだけ、施設および保護情報資産に対する物理的アクセスを制限し、事業体の目標を達成します。」
分析：
文脈上、論理的アクセスに適用すると、これはユーザーアクセスレビュー（UAR）を課します。一度ユーザーの認証を行えば終わりではなく、定期的（通常は四半期ごと）に、身元が正当で適切な権限を持っているかを再検証しなければなりません。
SOC 2 と異なり、GDPR は EU 法です。特定技術（「OTP アプリ使用」など）は列挙せず、強固な認証を法的に必要とするような成果を求めます。
条文： 第5条(1)(f)
「個人データは、適切な安全性を確保する方法で処理されなければならない。ここには無許可または不法な処理からの保護を含む...」
分析：
「無許可の処理」が主なポイントです。攻撃者に弱いパスワードを推測されて個人データにアクセスされた場合、その組織は第5条の要件を満たしていません。
条文： 第32条(1)
「技術水準、導入コスト、処理の性質、範囲、状況、目的を考慮し...管理者および処理者は適切な技術的および組織的対策を実施しなければならない...」
分析：
これが「技術水準」条項です。
条文： 第25条(2)
「管理者は、処理ごとに必要最小限の個人データだけがデフォルトで処理されるよう、適切な技術的および組織的対策を実施しなければならない。」
分析：
これは最小権限原則を義務付けています。
以下の表は、両基準を同時に満たす方法をまとめたものです：
| 機能 | SOC 2 要件（基準） | GDPR 要件（条文） | 厳格な実装基準 |
|---|---|---|---|
| ログインセキュリティ | CC6.3（アクセス制御） | 第32条（処理の安全性） | MFA は必須。顧客データや本番環境にアクセスする全従業員対象。 |
| アクセス範囲 | CC6.2（認可） | 第25条（設計によるプライバシー） | RBAC（ロールベースアクセス制御）。デフォルト拒否、職務に基づく明示許可。 |
| オフボーディング | CC6.2（削除） | 第5条（完全性） | 自動解除。 契約終了時は即時にアクセスを剥奪する必要あり。 |
| 監査 | CC6.1（セキュリティアーキテクチャ） | 第30条（処理記録） | 集中監査ログ。 誰が、いつ、どこ（IPアドレス）からログインしたか。 |
両基準の厳密な要件を満たすには：
SOC 2 と GDPR に準拠するには、単純なパスワード管理を超え、中央集権的な ID プロバイダー（IdP）、MFA の強制、厳格な RBAC、そして自動化されたプロビジョニング・ログの実装が必須です。これらを怠った場合、SOC 2 監査（CC6.x の例外）に失格し、第32条の「適切な技術的措置」未実装による GDPR の罰金リスクも生じます。