Keyvaciブログ · コンプライアンス · 2026年8月16日
ISO 27001 と SOC 2：
それぞれが認証情報に求めるもの
遅かれ早かれ、大企業のお客様からどちらかを求められます。そしてどちらにも落ちる最短の道は同じです。誰も説明できない共有パスワードです。ここでは二つの規格が実際にどう違うのか、それぞれが確認する認証情報の統制、そして監査人が提出を求める証跡をまとめます。
二つの規格を、もったいぶらずに
ISO/IEC 27001 は、情報セキュリティマネジメントシステム（ISMS）を運用するための国際規格です。適用範囲とリスクを定め、Annex A から選んだ管理策（2022年版では93件）を実施し、認定機関の審査を受けて認証を取得します。その間にはサーベイランス審査が入ります。この規格が答えるのは、この組織はセキュリティを体系的に管理しているかです。
SOC 2 は認証ではなく保証業務です。ライセンスを持つ公認会計士事務所が、AICPA の Trust Services Criteria（セキュリティは常に対象、可用性・機密保持・処理のインテグリティ・プライバシーは任意）に照らして統制を検証し、報告書を作成します。Type I 報告書は、ある時点で統制が適切に設計されていたことを述べます。Type II は、通常3〜12か月の期間にわたって実際に運用されていたことを述べます。この規格が答えるのは、このベンダーに顧客データを預けてよいか、そしてその答えの裏に監査人の証拠があるかです。
| ISO 27001 | SOC 2 | |
|---|---|---|
| 何であるか | マネジメントシステムの認証 | 統制に関する監査人の保証報告書 |
| 誰が求めるか | 国際企業、欧州企業、政府機関 | 北米の大企業の購買、SaaS の調達部門 |
| 管理策の体系 | Annex A、93件の管理策（2022年版） | Trust Services Criteria（CC 系と任意のカテゴリ） |
| 柔軟性 | リスクアセスメントで管理策を選び、除外には理由を示す | 統制は自社で定義し、監査人はそれが運用されているかを検証する |
| 成果物 | 認証書。3年周期で更新 | 報告書（Type I または Type II）。毎年更新 |
| 重なり | 大きく重なります。アクセス制御、認証情報のライフサイクル、ログ、暗号技術は、どちらにとっても中心にあります | |
似た枠組みは他にもあり、求めるものも重なります。GDPR 第32条（「適切な技術的措置」として暗号化とアクセス制御が明示されています）、PCI DSS 4.0（要件7と8：最小権限、12文字以上、MFA）、HIPAA のアクセス制御に関する保護措置、そして英国の Cyber Essentials。以下の認証情報の規律を満たせば、これらすべての ID に関する章のほとんどを通過できます。
監査が実際に止まるところ：共有された認証情報
個々の利用者アカウントは ID 基盤に乗っているため、証跡を出すのは簡単です。監査を止めるのは、SSO が届かない認証情報のロングテールです。銀行のポータル、レジストラ、ファイアウォールの共有管理ログイン、スクリプトの中の API キー。どちらの規格でも、監査人はまさにこれらについて同じ四つの問いを投げます。
- 台帳： どのような共有の認証情報が存在し、それぞれの持ち主は誰か。
- 認可： 誰がそれぞれにアクセスでき、それは文書化された必要性と一致しているか。
- ライフサイクル： 3月にあの人が辞めたとき何が起きたか。記録をお見せください。
- 説明責任： この日にその共有アカウントを実際に使ったのは誰か。「共有だから」は答えではなく、指摘事項です。
表計算ファイルはどれにも答えられず、チャット履歴は最悪の形で答えます。チームの認証情報保管庫は、この穴をふさぐために存在します。そして監査のためではなく監査の前に手を付ける価値があるのは、同じ四つの問いを侵害への対応が、もっと悪い状況で投げてくるからです。
統制の対応表
| 監査人が確認すること | ISO 27001 Annex A | SOC 2 の規準 | 保管庫が生み出す証跡 |
|---|---|---|---|
| 役割と必要性に基づくアクセスの付与 | A.5.15, A.5.18 | CC6.1, CC6.2 | 保管庫ごとの閲覧・編集・管理の権限。一回の照会で人ごとに一覧化できます |
| 認証情報そのものの管理 | A.5.17 | CC6.1 | チャットのスレッドではなく、持ち主・強度の基準・経過期間のリマインダーとともに暗号化して保管 |
| 特権アクセスの制限と見直し | A.8.2 | CC6.1, CC6.3 | 保管庫ごとに管理者権限が明示され、アクセスレビューは記憶ではなくシステムから読み取ります |
| 退職時の速やかな取り消し | A.5.18, A.6.5 | CC6.2, CC6.3 | ディレクトリに紐づくサインインはアカウントとともに失われ、保管庫の取り消しは再暗号化を伴い、時刻とともに記録されます |
| 強力な認証 | A.8.5 | CC6.1 | IdP の MFA と条件付きアクセスを使う SSO。表示の前には TOTP による再認証 |
| 改ざんから保護されたイベントログ | A.8.15 | CC7.2 | 開封、表示、共有、取り消しの追記のみの監査ログ。ベンダーを含め誰にも編集できません |
| 暗号技術の適切な利用 | A.8.24 | C1.1（機密保持） | クライアント側の XChaCha20-Poly1305 と Argon2id による鍵導出。設計は公開しています |
管理策の参照は目安であり、コンプライアンス上の意見ではありません。最終的な対応づけは、貴社の監査人と適用範囲の決定によります。ただし上の各行は、実際に評価者が尋ねるのを当社が見てきた問いであり、証跡が聞き取りではなく記録システムであれば、それぞれ5分で答えられるものになります。
Keyvaci の位置づけを、正直に
Keyvaci は、共有される認証情報の層における記録システムです。権限が実際に効く保管庫、すでに監査対象になっているディレクトリでのサインイン、副署されたメンバーの鍵、期待ではなく再暗号化によって行われる取り消し、そして監査人の四つの問いを四つの照会に変える追記のみのログ。ふつうは半日の発掘作業になる退職時の証跡も、印刷物一枚になります。
そしてベンダー評価の表における当社自身の側も、はっきり申し上げます。Keyvaci を運営しているのは XNOR Group Pte. Ltd. であり、同社の情報セキュリティマネジメントシステムは ISO/IEC 27001 の認証を取得しています。認証書と適用範囲の記載は、お問い合わせページからご依頼いただければ貴社の購買部門にご提供します。Keyvaci サービス自体の SOC 2 報告書はロードマップ上にあり、まだ発行されていません。ほのめかすよりも、そう申し上げます。認証書と並んで、当社にはバッジでは運べないものもあります。当社に保存内容が読めないゼロ知識アーキテクチャを、貴社のセキュリティ部門が検証できるだけの詳しさで公開していること、そして署名済みのデータ処理付属文書です。暗号文しか持っていないと証明できるベンダーには、監査人からの質問はほとんど残りません。
実務としての進め方
- 今週： 共有される認証情報のロングテールを、持ち主と権限とともに保管庫へ移します。上位20件なら半日です。
- 今月： サインインをディレクトリにつなぎ、入社と退職の証跡が自動で残るようにし、表示前の MFA を有効にします。
- 監査のとき： 評価者が選んだ標本について、アクセス一覧と監査イベントを書き出し、浮いた日数は本当に検討を要する統制に充ててください。