Keyvaci
創業者
Keyvaci に責任を負う人物
Keyvaci は XNOR Group Pte. Ltd. が運営しています。創業者兼最高経営責任者は Ethan Pham（Phạm Sĩ Nguyên）で、法人顧客向けのソフトウェア開発に二十年以上携わってきました。保管庫は、ほかのソフトウェアよりも多くの信頼を求めるものです。その信頼を求めている側が誰なのかを知る権利がお客様にはあります。そのため、このページを用意しました。
監査を受けてきた二十年、そして自ら取得した認証
Ethan はオーストラリアの Swinburne University of Technology で情報技術の修士号を、ベトナム国家大学で電気工学の学士号を取得しています。XNOR Group を創業する前はオーストラリアとシンガポールの複数の企業でコンサルティング、システムアーキテクチャ、マネジメントの上級職を務め、Enouvo IT Solutions を共同創業し、事業の各段階で CTO、CIO、そして CEO を務めながら、ベトナム・ダナンの地域スタートアップから世界向けのソフトウェア開発企業へと育てました。この三か国を行き来しながら働いており、Forbes Business Council にも定期的に寄稿し、法人向けテクノロジーのリーダーシップ、AI ガバナンス、ソフトウェアの開発と提供について書き続けています。
この製品にとって重要なのは肩書きではありません。その二十年が法人顧客向けだったこと、つまり二十年のあいだ他社の ISO に沿った工程の内側で働いてきたことです。取引先のアクセス権の棚卸し、セキュリティ質問票、調達ゲート、そして取引先が連れてくる監査人。供給側の席に座って二十年それらに答えてきたので、法人のお客様が保管庫について何を尋ねるかを、尋ねられる前から知っています。
そして他社の基準に従うだけではありません。XNOR Group 自身の情報セキュリティマネジメントシステムを自ら運用しています。ISO/IEC 27001 および 9001 の認証を受けたシステムであり、適用範囲、リスクアセスメント、管理策、維持審査に責任を負うのは本人です。他社のシステムについて質問に答える立場ではありません。審査員に仕組みを説明する当事者になると、保管庫を仕様に落とし込む作業はまったく別のものになります。
コンサルティングの創業者が保管庫をつくった理由
XNOR Group はテクノロジーコンサルティング会社です。つまり共有ログインが数十件あります。顧客のステージングサーバー、クラウドのルートアカウント、ドメインレジストラと DNS のアカウント、法人向けインターネットバンキング。コンサルティング会社が預かる認証情報は自社のものではなく、そのぶん一つ一つのリスクが格段に高くなります。
この用途のためにつくられた道具は、いつのまにか巨大なアイデンティティ基盤へと育っていました。価格も製品の形も、調達部門を構えるような大企業に向けたものです。そして誠実に見える残りの選択肢は、どれも「信じてほしい」と求めてきました。そこで Keyvaci はまず XNOR 自身のためにつくられ、コードの最初の一行を書く前に原則が決まりました。提供者が顧客データを読めないことは、方針文書の一文ではなく数学の性質でなければならない、という原則です。
信頼は、お願いするものではなく、設計で決めるものです。
Ethan Pham
法人向け二十年が製品に持ち込んだもの
| どこから来たか | Keyvaci で何になったか |
|---|---|
| ISO/IEC 27001 認証を受けたマネジメントシステムを、ただ従うのではなく自ら運用していること | 監査証跡は追記しかできず、書き換えも削除もできません。これをアプリケーションコードではなくインフラの権限で強制しています。審査員が最初に問うのは、その記録を書いているシステム自身が記録を書き換えられるかどうかだからです |
| 二十年答えてきた法人向けセキュリティ質問票 | モデルの強みと並べて限界も公開するセキュリティページ、そして番号を付けて解決まで追跡する脅威モデル。評価する側は、強みばかりのページよりも、明記された弱点のほうを信頼します |
| 取引先の監査で精査されてきたアクセス権と退職処理 | メンバーを外すと全項目を新しい鍵で暗号化し直すので、その人の端末に残ったコピーはその時点で使えなくなります。誰かが切り忘れかねない権限設定ではありません |
| 他社の認証情報を預かるコンサルティング会社 | 保管庫ごとの権限、パスワードを表示するたびの再認証、そして表示のすべてを残す記録。「これを見たのは誰か」への答えが「たぶん誰もいない」であってはならないからです |
| 想定外を許さない調達ゲート | すべてのプランにすべてのセキュリティ機能、公開された価格、版を付けた法的文書、そして契約が切れたときは削除ではなく読み取り専用 |
これは機能一覧ではありません。保管庫を仕様に落とし込んだ人物が、監査される側で二十年を過ごしたのか、監査される人に売る側で二十年を過ごしたのか。その違いです。