🦉 Episode 11: 5つの柱 --- Trust サービス規準

木曜の朝。カイロウは先輩と一緒に、あるクライアントのSOC報告書を読んでいた。

💼「この報告書に何度も出てくる『Trust Services Criteria（TSC）』というのが今日のテーマだ。SOC報告書を理解するには、まずTSCを知る必要がある」

🦉「TSCって、何の基準なんですか？」

💼「サービス組織の統制を評価する時のものさしだ。AICPAが定めた5つのカテゴリで、全ての統制がこのいずれかに紐づく」

---

5つのカテゴリ --- 信頼の「設計図」

先輩はホワイトボードに5つの柱を描いた。

💼「TSCの5つのカテゴリは、セキュリティ（Security）、可用性（Availability）、処理のインテグリティ（Processing Integrity）、機密性（Confidentiality）、プライバシー（Privacy）だ」

🦉「CIAトライアドと似ていますね」

💼「そうだ。CIAがセキュリティの3本柱なら、TSCはそれを更に細分化したもの。ただし、TSCでの『セキュリティ』は特別な位置づけがある。全てのSOC 2報告書で必須のカテゴリなんだ」

🦉「他の4つは任意ということですか？」

💼「そうだ。セキュリティだけは必ず含めなければならないが、可用性・処理のインテグリティ・機密性・プライバシーは、サービスの性質に応じて選択する」

---

共通規準 --- 「全カテゴリに共通するルール」

💼「TSCには共通規準（Common Criteria: CC） というものがある。COSOの内部統制フレームワークの5つの構成要素に対応していて、全てのカテゴリに適用される」

🦉「COSOの構成要素って、統制環境、リスク評価、統制活動、情報と伝達、モニタリングの5つですよね」

💼「その通り。共通規準はこの5つに沿って設計されている。だからCh4で学んだCOSOの内部統制が、ここで改めて重要になる」

カイロウは点と点がつながる感覚を覚えた。内部統制の知識が、SOC報告書の理解に直結している。

---

補足規準と追加規準 --- 「専門分野の基準」

💼「共通規準に加えて、補足規準（Supplemental Criteria） と 追加規準（Additional Criteria） がある」

🦉「何が違うんですか？」

💼「補足規準は、可用性・処理のインテグリティ・機密性・プライバシーの各カテゴリに固有の規準。追加規準は、各カテゴリの中でさらに詳細な要件を定めたもの。試験では補足規準の内容が問われることが多い」

この章の試験での位置づけ

CPA Exam Blueprint（試験設計図） とは、AICPA（米国公認会計士協会）が公式に公表している「試験で何が、どのくらいの比率で、どのレベルで問われるか」を定めた文書です。 全ての出題はこのBlueprintに基づいて作成されます。つまり Blueprintを知ることは、試験の設計者の意図を知ること です。

このChapterのポイント: TSCはSOC 2/SOC 3報告書の評価基準。5つのカテゴリの内容と区別（特にSecurityの必須性）、共通規準（CC1-CC9）とCOSO 17原則の対応関係、補足規準の中身（特にPrivacyの9原則）、機密性 vs プライバシーの区別が頻出。Ch12（SOC報告書）と対で出題されることが多く、TSCを正しく理解していないとSOC 2の「スコープ（範囲）」の議論についていけない。

前提知識 --- この章に入る前に、分かっているとラクなこと

---

1. なぜこの論点が必要か（Why）

ISCの全体像マップ --- 今どこにいるか

【ISCの全体フロー】

情報システム基礎   ITガバナンス    IS部門の役割    内部統制     リスク管理      BCP        DRP
    (Ch1)    →    (Ch2)    →    (Ch3)    →   (Ch4)   →   (Ch5)   →  (Ch6)  →  (Ch7)