サードパーティリスク評価において、ベンダーが提出した「SOC2報告書」を確認する際のポイントは。

「認証取得済み」という事実だけでなく、監査対象が「データセンターの物理セキュリティだけ」で「アプリ運用」が含まれていない、といったスコープのズレを確認する必要がある。