SaaS企業がISOやSOC2のセキュリティ認証を取得、情報システム部門が見る対象は認証で異なる

SOURCESこの記事がまとめた発表

画像：株式会社ダイニーの発表資料より（PR TIMES）

[1] ダイニー、ISMSの国際規格「ISO/IEC 27001」認証を取得

株式会社ダイニー ／ 掲載 2026.10.01
発表を見る

画像：株式会社SAMURAI ARCHITECTSの発表資料より（PR TIMES）

[2] 【建築AIパースのRendery】AICPAのTrustサービス規準にもとづく内部統制保証報告書「SOC 2」を取得。エンタープライズのセキュリティ審査に第三者評価で応え、導入検討の初速を上げる

株式会社SAMURAI ARCHITECTS ／ 掲載 2026.10.01
発表を見る

画像：株式会社COMPASSの発表資料より（PR TIMES）

[3] 株式会社COMPASS、学習eポータル＋AI型教材「キュビナ」と探究学習ライブラリー「SPARKE（スパ ーク）」がクラウドセキュリティの国際標準規格「ISO/IEC 27017」認証を取得

株式会社COMPASS ／ 掲載 2026.10.01
発表を見る

画像：アスエネ株式会社の発表資料より（PR TIMES）

[4] アスエネ、「ASUENE」「ASUENE SUPPLY CHAIN」のAIマネジメントシステムで国際規格「ISO/IEC 42001 」認証を取得

アスエネ株式会社 ／ 掲載 2026.10.05
発表を見る

SaaSのセキュリティ認証が対象とする範囲

SaaS事業者が取得するセキュリティ認証は、規格や報告書ごとに確かめる対象が異なります。審査では、示された名称が以下の4つのどれに当たるかを見分けることが出発点です。

• 情報セキュリティ全般のISO/IEC 27001
• クラウドサービスのISO/IEC 27017
• AIの開発と運用のISO/IEC 42001
• 組織の内部統制のSOC 2

ISO/IECの規格には、組織の管理全般を見るものと、クラウドやAIのような特定の対象を見るものがあります。また、SOC 2は監査人の検証をまとめた報告書で、第三者機関の審査による認証とは確認の形が異なります。

図1　SaaSのセキュリティ認証の対象と確認の形

情報セキュリティ全般のISO/IEC 27001

ISO/IEC 27001は、情報セキュリティマネジメントシステム（ISMS）の国際規格で、組織が持つ情報資産の安全性を確保・運用する仕組みが対象です。ダイニーは、情報の機密性や完全性、可用性を保ちながらリスクを管理していることが、第三者機関によって認定されるものだと説明しました。^[1]

ダイニーが機密性の高い情報として挙げたデータは、以下の通りです。

• 店舗の売上データ
• 顧客の購買データ
• 予約に関する情報

ダイニーは、売上予測や予約管理を担うAIエージェントが店舗や顧客のデータを扱うことを、情報セキュリティ体制を強化する理由に挙げています。

クラウドサービスのISO/IEC 27017

ISO/IEC 27017は、クラウドサービスの情報セキュリティ管理に関する国際規格です。COMPASSは、クラウドサービスの提供者と利用者がより安全な環境でサービスを提供・利用できることを、規格の目的として説明しています。^[3]

COMPASSが示した2つの規格の関係は、以下の通りです。

COMPASSは、学校現場で学習履歴や成績情報、校務データがデジタルで扱われるようになったことを取得の背景に挙げました。

AIの開発と運用のISO/IEC 42001

ISO/IEC 42001は、組織がAIを責任ある方法で開発・提供・利用するためのAIマネジメントシステム（AIMS）の国際規格で、2023年12月18日に発行されました。アスエネは、ASUENEとASUENE SUPPLY CHAINのAI開発・提供・運用を対象に、同規格の認証を取得しています。^[4]

アスエネが紹介した規格の主な要求事項は、以下の通りです。

• AIに関する方針の策定
• 責任体制の整備
• リスクの特定と評価

ただし、同社の認証は、特定のAI機能や個別の出力が常に正しいことを保証するものではないと、アスエネは明記しています。審査されるのは、AIに関するリスクを管理し、問題の予防や改善に取り組む体制とプロセスです。

組織の内部統制のSOC 2

SOC 2は、米国公認会計士協会（AICPA）のTrustサービス規準を物差しに、クラウドサービス事業者の内部統制を独立した監査人が検証した報告書です。SAMURAI ARCHITECTSは、建築特化型画像生成AI「Rendery」について、SOC 2を取得しました。^[2]

SAMURAI ARCHITECTSによれば、評価の対象はシステムそのものではなく組織としての管理のしかたで、例に挙がった運用は以下の通りです。

• アクセス権限の付与と棚卸し
• 変更管理と監視
• インシデント対応

SAMURAI ARCHITECTSは、大手企業の設計現場で利用が広がり、商談で「退職者の権限はいつ消えるのか」といった問いが並ぶようになったことを、SOC 2を選んだ背景に挙げています。

セキュリティ認証を確かめる第三者の種類

セキュリティ認証を確かめる第三者の形は、第三者機関の審査と監査人の検証に分かれます。取引先の資料で最初に読み取るのは、確かめた主体と基準です。

• 認証機関が審査するISO認証
• 監査人が検証するSOC 2報告書

どちらも事業者の自己申告ではなく、第三者による確認の結果として示されます。

図2　ISO認証とSOC 2報告書の確認の形

認証機関が審査するISO認証

ISO/IECの規格の認証は、組織が規格に沿った体制を整えて運用していることを、第三者機関が審査して確認するものです。アスエネは、AIのリスクを継続的に把握し、適切な方針と管理体制のもとでサービスを運用していることが、第三者機関の審査で確認されたと説明しました。^[4]

各社が公表した審査の主体と認証番号は、以下の通りです。^[1][3]

日付の扱いは各社で異なり、ダイニーとCOMPASSは認証取得日、アスエネは認証決定日として示しています。認証番号や審査の主体は、取引先の認証を照会するときの手がかりです。

監査人が検証するSOC 2報告書

Trustサービス規準にもとづくSOC 2の報告書は、評価する範囲によってType 1とType 2に分かれます。SAMURAI ARCHITECTSは、統制の整備状況を自社の自己申告ではなく、独立した監査人の検証結果として確認してもらえると説明しています。^[2]

SAMURAI ARCHITECTSが示した2種類の違いは、以下の通りです。

Type 1は基準日時点の評価のため、一定期間にわたり統制が運用されたかまでは示しません。SAMURAI ARCHITECTSは、統制の運用を続けてType 2の取得をめざすとしており、発表時点では予定の段階です。

セキュリティ認証の適用範囲を示す記載

セキュリティ認証を取得した会社でも、認証や報告書が及ぶのは各社が定めた範囲のサービスや拠点です。審査では、取引先が示す範囲に、自社が使う予定のSaaSが含まれるかを確かめます。

各社が示した範囲は、以下の通りです。^[1][2][3][4]

範囲に含まれないサービスや拠点は、同じ会社の認証があっても、確認済みとは読み取れません。たとえばSAMURAI ARCHITECTSは、不動産向けAI「knock knock」などへの展開を、発表時点では検討中としています。

図3　取引先SaaSの認証範囲で確かめる項目

取引先SaaSのセキュリティ認証を審査する観点

取引先SaaSのセキュリティ認証は、認証名のみで判断せず、対象や第三者による確認の形、範囲、時点に分けて確かめます。審査で見る観点と確かめる記載は、以下の通りです。

SAMURAI ARCHITECTSは、SOC 2の報告書を起点に、セキュリティチェックシートへの回答や情報システム部門との協議を進められると説明しています。導入判断に要する時間の短縮は同社が見込む効果として示されたもので、実証された結果ではありません。^[2]

図4　取引先SaaSのセキュリティ認証を確かめる流れ

また、同社はISMS（ISO/IEC 27001）とプライバシーマークの取得を引き続き推進するとしています。予定として示された認証は、取得済みの認証や報告書と分けて記録しておくと、認証範囲や認証番号を照らし合わせるときに混同を防げます。