ブログ
Secomea、
セキュアリモートアクセスを支えるのは、安全な技術だけではありません。
産業分野の企業には、人と稼働中の設備をつなぐ製品が、安全な開発プロセスを経て作られているという確信が必要です。こうした技術がクラウド経由のソフトウェアサービスであるSaaSとして提供・管理される機会が増えるにつれ、そのサービスを運営する組織についても、第三者による評価が求められています。
Secomeaは、保証業務の国際基準であるISAE 3000に基づくSOC 2 Type I監査を完了しました。クラウドサービスを支える組織的な管理策が適切に設計・導入されていることについて、独立した監査人による評価を受けています。
評価には、米国公認会計士協会のAICPAトラストサービス規準のうち、セキュリティ、可用性、処理のインテグリティ、機密保持に関する規準が用いられました。処理のインテグリティは、システムの処理が完全・有効・正確・適時であり、承認に基づいて行われることを指します。
今回の監査は、安全な製品開発を基盤としてきたSecomeaのサイバーセキュリティ戦略を、SaaSプラットフォームのサービス運営へと広げる取り組みです。
今回の監査の概要
- 2026年にSOC 2 Type I監査を完了
- 対象はSecomeaのクラウドサービスを支える組織的な管理策の設計と導入状況
- 保証業務の基準はISAE 3000
- 評価規準はセキュリティ、可用性、処理のインテグリティ、機密保持に関するAICPAトラストサービス規準
- IEC 62443に関する評価・認証、脆弱性管理プログラム、サイバーセキュリティ戦略を補完
安全な製品から、信頼できるサービス運営へ
Secomeaは、製品のサイバーセキュリティをセキュリティプログラムの基盤としてきました。
安全な製品開発のライフサイクルを対象とするIEC 62443-4-1の認証を取得し、製品についてはIEC 62443-4-2の要件に照らした評価を定期的に受けています。また、2020年から共通脆弱性識別子であるCVEを採番する機関として、体系的で透明性のある脆弱性対応に取り組んでいます。
これらの基盤は引き続き重要です。一方、Secomea PrimeのようなマネージドSaaSプラットフォームを採用するお客様は、技術そのものに加えて、サービスの提供体制も評価します。
セキュリティ、調達、委託先リスク管理の担当者には、提供者がどのようにサービスを運営し、セキュリティ上の責任を管理しているか、供給者評価やセキュリティ審査に使える証拠があるかを把握する必要があります。
SOC 2 Type I監査は、Secomeaのセキュリティに関する第三者評価を、この領域へと広げるものです。
SOC 2 Type I監査で確認されたこと
SOC 2 Type I監査では、特定の時点における管理策の設計と導入状況を評価します。
Secomeaでは、独立した監査人が、クラウドサービスを支える組織的な管理策を、セキュリティ、可用性、処理のインテグリティ、機密保持に関するAICPAトラストサービス規準に基づいて評価しました。
お客様がSecomeaをSaaSおよびセキュアリモートアクセスの提供者として評価する際に利用できる、独立した証拠が加わります。
- サービスを支える管理策の第三者評価を、ITおよび工場設備の制御・運用技術であるOTのセキュリティ審査に活用
- Secomeaの組織的なセキュリティ対策に関する証拠を、調達や委託先リスク評価に活用
- 複数の拠点、チーム、外部サービス提供者にまたがるセキュアリモートアクセスの全社標準化を支援
Secomea Primeを利用する企業にとって、利用する技術と、その提供を支える組織の両面で、信頼性を判断する材料となります。
SOC 2とIEC 62443は相互に補完するもの
SOC 2はIEC 62443に代わるものではありません。それぞれ、セキュリティの異なる側面を対象としています。
| 規格・監査 | 対象 |
|---|---|
| IEC 62443-4-1 | 製品ライフサイクル全体にわたる安全な製品開発 |
| IEC 62443-4-2 | 産業用オートメーション・制御システムのコンポーネントに対する技術的なセキュリティ要件 |
| ISAE 3000に基づくSOC 2 Type I | 特定時点における、組織のサービスを支える管理策の設計と導入状況。該当するAICPAトラストサービス規準に基づいて評価 |
サービスのライフサイクル全体を通じた信頼
Secomeaでは、これらを組み合わせることで、相互につながる二つの側面を支えています。
- 認められた産業サイバーセキュリティの実務と要件に沿って開発する、安全な製品
- 独立した第三者が評価した組織的な管理策に支えられた、信頼できるサービス運営
この区別はSecomea Primeにとって重要です。お客様は、プラットフォームに組み込まれたセキュリティ機能と、その提供を支えるサービス環境の両方を利用しています。
IEC 62443とSOC 2 Type I監査を組み合わせることで、技術の開発・保守からSaaSの運営を支える管理策まで、より広い範囲について第三者評価の結果を示せます。
SOC 2 Type IIに向けた取り組み
SecomeaはSOC 2 Type Iの評価を基盤として、2027年にSOC 2 Type IIの評価を完了する計画です。
Type IIでは、一定期間にわたって管理策が有効に運用されているかを評価します。Type Iの評価範囲を広げ、お客様にさらなる第三者評価の結果を提供する予定です。
お客様にとっての意義
セキュリティ審査の対象は、機能や技術構成から、ガバナンス、運用上のセキュリティ、脆弱性管理、サービスの業務プロセス、供給者リスクへと広がっています。
規制も同じ方向へ進んでいます。EUのサイバーレジリエンス法は製品ライフサイクル全体への要求を高め、ネットワーク・情報システムのセキュリティに関するNIS2指令の対象企業は、依存する技術提供者をより厳しく評価しています。
複数拠点でセキュアリモートアクセスを標準化する企業や、稼働中の設備に外部の関係者が管理された条件で接続する企業にとって、これは特に重要です。
リモートアクセスの提供者は、企業のセキュリティ構成の重要な一部となり得ます。お客様には、接続を制御する技術と、そのサービスを支える提供者の両方への信頼が必要です。
SOC 2 Type I監査は、セキュリティ、コンプライアンス、調達、委託先リスクに関する判断に利用できる、独立した証拠の一つとなります。
公開版ISAE 3000報告書
Secomeaの公開版ISAE 3000報告書には、BDO Denmarkによる独立した評価の概要がまとめられています。
2026年9月30日時点における、セキュリティ、可用性、処理のインテグリティ、機密保持に関するAICPAトラストサービス規準に対応した管理策の設計と導入状況を対象としています。
よくある質問
SOC 2 Type I監査とは何ですか？
SecomeaのSOC 2 Type I監査は、どのように行われましたか？
どのAICPAトラストサービス規準が対象ですか？
SOC 2 Type IはIEC 62443をどのように補完しますか？
お客様にとって、今回の監査はどのような意味がありますか？
SOC 2 Type IとType IIの違いは何ですか？
どの公開報告書を入手できますか？
次に確認したい情報
NEXT STEP
導入に向けて、相談する
対象設備や運用上の課題についてお聞かせください。Secomeaの接続構成・アクセス管理機能・提供可能な製品資料をご案内します。