クラウドサービスのセキュリティ調査を代行します
「このSaaS、仕事で使って大丈夫？」
そんな疑問をお持ちではありませんか？
クラウドサービスを業務で利用するときには、セキュリティ認証の取得状況やセキュリティ対策、データの取り扱いなどを確認する必要があります。
しかし、公式サイトやセキュリティページ、利用規約、認証資料などを一つずつ確認していくと、意外と時間がかかります。
そこで、クラウドサービスのセキュリティ情報を調査し、導入・利用を検討するためのレポートにまとめます。
SaaSのセキュリティ調査は、なぜ難しい？
クラウドサービスのセキュリティを調べるとき、単純に「ISO 27001を取得しているから安全」と判断できるわけではありません。
サービスによって取得している認証や対応しているセキュリティ機能が異なり、さらに利用するプランによっても条件が変わる場合があります。
セキュリティ認証を取得しているか分からない
ISO 27001、ISO 27017、SOC 2、ISMAPなど、クラウドサービスに関係するさまざまな認証・評価制度があります。
サービスによって取得している認証は異なるため、導入を検討するサービスごとに確認する必要があります。
認証を取得していても、適用範囲が分からない
「ISO 27001取得済み」「SOC 2準拠」などの記載があったとしても、それだけでは十分とは限りません。
どの組織・サービス・システムなどが認証や評価の対象となっているのかを確認する必要があります。
特に、実際に利用するサービスやプランが認証の対象になっているのかは、導入時に確認したいポイントです。
無料プランと有料プランでセキュリティ機能が違う
クラウドサービスでは、プランによって利用できるセキュリティ機能が異なることがあります。
例えば、
- SSO
- MFA
- 監査ログ
- アクセス制御
- 管理者向け機能
- データ管理機能
などが上位プランのみで提供されている場合があります。
「サービスとして対応している」だけでなく、実際に利用するプランで利用できるのかを確認することが重要です。
公開情報そのものが少ない
サービスによっては、セキュリティに関する情報が公式サイトにほとんど掲載されていない場合もあります。
この場合、
「情報がない＝セキュリティ対策をしていない」
とは限りません。
一方で、公開情報から確認できないという事実そのものが、導入前に確認すべき情報になることがあります。
どのような情報を調査するの？
ご依頼いただいたクラウドサービスについて、公開されている公式情報・資料などを調査します。
① セキュリティ認証・第三者評価
可能な範囲で、以下のような認証・評価の取得状況を確認します。
- ISO 27001
- ISO 27017
- ISMAP
- ISMAP-LIU
- SOC 2
- FedRAMP
- その他の第三者認証・評価
単に「取得している／取得していない」だけではなく、確認できる場合は認証・評価の適用範囲も確認します。
② 認証の適用範囲
例えば、
「ISO 27001取得済み」
という情報が見つかった場合でも、
- どの組織が対象なのか
- どのサービスが対象なのか
- どのシステムが対象なのか
- 利用するプランが対象なのか
など、公開資料から確認できる範囲を調査します。
③ 認証以外のセキュリティ対策
例えば、
- MFA
- SSO
- アクセス制御
- 暗号化
- ログ・監査
- バックアップ
- 脆弱性管理
- インシデント対応
- データ削除
- データ保存場所
などを確認します。
④ プランによる違い
利用予定のプランが分かる場合は、そのプランで利用できるセキュリティ機能を可能な範囲で確認します。
「サービス全体ではSSO対応」でも、
「無料プランではSSOが利用できない」
というケースがあるためです。
⑤ データの取り扱い
業務利用を検討する場合、
- データをどこで保管するのか
- データをどのように利用するのか
- 第三者への提供はあるのか
- データ削除の仕組みはどうなっているのか
- AI機能がある場合、入力データをどのように扱うのか
なども重要な確認事項になります。
公開情報が少ないサービスでも調査できます
「公式サイトを見たけど、セキュリティについてほとんど書いていない」
そんなサービスでも調査します。
例えば、公開情報から確認できなかった項目について、
| 確認項目 | 調査結果 |
|---|---|
| ISO 27001 | 公開情報から確認できず |
| ISO 27017 | 公開情報から確認できず |
| MFA | 対応を確認 |
| SSO | 対応プランを確認 |
| 監査ログ | 詳細を確認できず |
| データ保存場所 | 公開情報から確認できず |
| インシデント対応 | 方針の記載あり |
というように、
「何が分かったのか」だけでなく、「何が分からなかったのか」も整理します。
なお、
「公開情報から確認できない」＝「その対策を実施していない」
という意味ではありません。
確認できなかった事項については、その旨を明確に記載します。
調査結果は「導入判断」に使える形でまとめます
単純にセキュリティ情報を並べるだけではありません。
例えば、
調査結果の概要
調査したクラウドサービスについて、セキュリティに関する情報を整理してレポートします。
例えば、以下のような内容です。
- 取得しているセキュリティ認証
- 認証の適用範囲
- MFA・SSO・ログなどのセキュリティ機能
- データの保存・取り扱い
- 利用するプランで利用できるセキュリティ機能
- 公開情報から確認できなかった事項
- 導入前にサービス提供事業者へ確認したほうがよい事項
そして、調査結果をもとに、
「このサービスについて、セキュリティ上どこまで確認できているのか」
を分かりやすく整理します。
「安全」「危険」といった単純な点数やランクで評価するのではなく、導入を検討する際に必要な情報を整理し、利用者が判断できるようにすることを重視しています。
こんな方におすすめです
情報システム担当者
現場から突然、
「このSaaSを使いたいんですが、セキュリティ的に大丈夫ですか？」
と相談されて困っている方。
SaaS導入担当者
導入したいサービスについて、セキュリティ面を整理しておきたい方。
公的機関・自治体の担当者
ISMAP登録サービスだけでは選択肢が足りず、その他のクラウドサービスについてセキュリティを確認したい方。
上司・管理者への説明が必要な方
「なぜこのサービスを利用してよいのか」を説明するための材料が必要な方。
調査レポートについて
調査結果は、PDF形式のレポートにまとめてオンラインで納品します。
レポートには、例えば以下の内容を含みます。
- サービス概要
- 調査対象・前提条件
- セキュリティ認証
- 認証の適用範囲
- セキュリティ対策
- プランによる違い
- データの取り扱い
- 公開情報から確認できない事項
- 導入前の確認事項
- 調査結果の所見
- 参照した資料・情報源
調査結果を社内で確認・説明する際に利用しやすい形で整理します。
このサービスで「安全」と保証するものではありません
本サービスは、公開情報をもとにクラウドサービスのセキュリティ情報を調査し、導入・利用を検討するための判断材料を提供するものです。
特定のサービスについて、
「安全です」
「問題なく導入できます」
と保証するものではありません。
また、公開情報から確認できない事項については、その旨を明記します。
最終的な導入可否については、利用者の組織における規程・基準等に基づいてご判断ください。
料金
👇現在、サービス内容の改善を目的としてモニターを募集しています。👇
モニター価格：9,800円（税込）
先着5件
通常価格はモニター終了後に設定する予定です。
※調査対象によっては、お引き受けできない場合があります。
ご利用の流れ
STEP 1｜お問い合わせ
調査したいサービス名・URL・利用目的などをお知らせください。
↓
STEP 2｜調査内容を確認
調査可能な内容か確認します。
↓
STEP 3｜お支払い
対応可能な場合、決済方法をご案内します。
↓
STEP 4｜セキュリティ調査
公式サイト、セキュリティ資料、規約、認証資料等を調査します。
↓
STEP 5｜レポート納品
調査結果をPDFでオンライン納品します。
よくある質問
Q. 有名なクラウドサービスでなくても調査できますか？
はい。当記事で取り上げていないサービスについてもご依頼いただけます。
Q. 海外のSaaSも調査できますか？
公開されている情報を確認できる範囲で対応します。
Q. 無料プランを調査してもらえますか？
はい。利用予定のプランが分かる場合は、そのプランを前提として確認します。
Q. セキュリティ情報がほとんどないサービスは？
公開情報から確認できない事項も含めて、調査結果として整理します。
Q. 「安全」「危険」と判定してもらえますか？
本サービスでは単純な安全・危険の断定は行いません。
確認できた情報、確認できない情報、注意すべき事項を整理し、導入判断の材料を提供します。
調査したいクラウドサービスはありませんか？
「このSaaS、仕事で使って大丈夫？」
そんな疑問があれば、お気軽にご相談ください。