AikidoでSOC 2 Type 1・Type 2に対応する方法

【なぜ重要か】 SOC 2監査は、複数ツールにまたがる証跡収集や継続的なログ管理が求められる負担の大きいプロセスです。特にType 2では「審査期間を通じてコントロールが有効に機能し続けていたこと」を証明するための継続的なエビデンスが必要であり、スナップショットのスクリーンショットだけでは対応できません。Aikido Securityは、SAST・DAST・SCA・シークレット検出・コンテナ／IaCスキャン・CSPM・マルウェア検出・AIペネトレーションテストを一つのプラットフォームに統合し、監査に必要な証跡を通常の業務の副産物として自動生成します。

【ポイント】

• Type 1とType 2の違いへの対応：Type 1はある時点でのコントロール設計の適切さを示す「点」の評価であるのに対し、Type 2は通常3〜12か月の期間にわたってコントロールが継続的に機能していたことを示す「面」の評価。Aikidoの継続スキャンとSLAトラッキング（修正期限の遵守記録）は、Type 2が要求する日付付きのエクスポート可能な証跡を自動生成する。
• Trust Services Criteriaへのマッピング：論理アクセス（CC6.1）ではMFA未設定やアクセス制御の誤設定を検出、境界保護（CC6.6）ではネットワーク分離の不備や露出サービスをフラグ、データ暗号化（CC6.7）では転送中の暗号化をSAST・クラウドチェックで検証、マルウェア対策（CC6.8）では依存関係スクリーニングと既知の悪意あるパッケージの検出を行うなど、複数のTrust Services Criteriaに対応した証跡を一元的に提供する。
• 変更管理（CC8.1）の自動証跡：CI/CDゲートとSCMセキュリティポスチャチェックにより、PRゲート（プルリクエスト単位）とリリースゲート（ビルド・リリース単位）の2段階でチェックを実施。設定した重大度しきい値を超える問題が含まれる変更はマージ・デプロイをブロックし、すべてのPR・ゲート判定・オーバーライド・例外はログに記録されて監査可能な状態になる。
• リスクアセスメント（CC3.2）の高度化：重大度スコアリング、到達可能性分析（脆弱な関数が実際にコードから呼び出し可能かどうかの検証）、CVE悪用可能性分析、AIペネトレーションテストによる環境内での実際の悪用可能性検証を組み合わせ、「とにかくいつかパッチを当てる」という対応では監査を通過できなくなりつつある現状に対応したリスクベースの優先順位付けを実現する。
• 証跡の一元化と監査対応の効率化：脆弱性管理・アクセス制御検証・変更管理追跡・暗号化検証のすべてを単一プラットフォームから一括エクスポートできるため、異なるタイムスタンプ形式のデータを複数ツールから寄せ集める作業が不要になる。

【まとめ】 Aikidoは、SOC 2監査で最も証跡収集の負担が大きいレイヤー（脆弱性管理・アクセス制御・変更管理・暗号化検証）を一元化し、継続的な監査証跡を自動生成するプラットフォームです。Type 2を近い目標として掲げている場合は、監査期間が正式に始まる前から継続スキャンとSLAトラッキングを設定しておくことが重要です。取得していないエビデンスは遡及して存在させることができないため、早期のセットアップが審査通過の鍵となります。