ISMS・SOC 2 に対応する基幹システムのセキュリティ制御：認証から監査まで

長い連休明けの月曜日です。経理責任者が在宅からログインし、月次決算を締めようとしています。そのとき、ふと頭の片隅で同じ問いが繰り返されます。基幹システムに入っている財務データは、監査人がまもなく期待する水準で本当に守られているのだろうか、と。

日本の中堅企業の多くにとって、この問いはかつて仮説の話でした。もう違います。顧客は契約前にセキュリティ調査票を送ってきます。銀行は融資前にアクセス制御について尋ねます。そして規制当局、とくに個人情報漏えいの報告ルールが厳格化されて以降は、誰が何を見られたのか、いつ見られたのかを知りたがります。

本記事では、基幹システムで本当に意味を持つセキュリティ制御を取り上げ、なじみ深い2つの枠組み（ISMS、つまりISO 27001ファミリー、そしてSOC 2）にどう対応するか、そして正直に言って残っているギャップがどこにあるのかを見ていきます。目的はバッジを追うことではありません。監査の前に、どの制御がすでに機能していて、どの制御を取り巻くプロセスを自前で組む必要があるのかを知ることです。

なぜ日本でセキュリティが経営層の議題になったのか

2つの数字が変化を説明します。2023年度、個人情報保護委員会は12,120件の個人情報漏えい報告を受理しました。これは前年度より約60%増加した規模です（個人情報保護委員会 年次報告）。どのコンプライアンス担当部署も無視できない規模です。また、2024年の日本国内で報告されたランサムウェア被害は222件に上り、多くのケースで復旧に1か月以上を要しました。

2025年のレガシー悬崖がさらに拍車をかけます。20年前に構築したオンプレミスシステムの刷新を先送りしてきた企業は、今、同時に2つの圧力に直面しています。稼働を続けるために近代化しなければならず、同時に旧システム以上に弱いセキュリティ姿勢を受け継がないように近代化しなければなりません。後継者育成と人手不足は、脆く独自に作られたアクセスルールを見張ってくれるベテラン運用者が減っていることも意味します。

ISMSとSOC 2は、こうした購買担当者が要件を言葉にする手段です。ISMS（情報セキュリティマネジメントシステム、多くはISO 27001またはJIS Q 27001への認証）は日本で広く認知されており、とくに官公庁や大企業の顧客から重視されます。一方、AICPAが策定したSOC 2は、世界中のSaaSベンダーとその監査人が話す共通言語です。2つの枠組みは、基幹システムに関わる制御、すなわちアクセス管理、論理アクセス、変更管理、監視、そして誰が何をしたかを証明する能力という点で大きく重なり合います。

基幹システム単体で認証を取得できるわけではありません。認証は人、プロセス、ネットワーク、物理的制御を含む組織的な取り組みです。ただ、日々使うソフトウェアは、制御の証跡を簡単にするか、それとも書類作業の悪夢にするかを左右します。それが本記事で扱うギャップです。

「良い状態」とは、具体的な制御でどう見えるか

何かを枠組みに当てはめる前に、非技術の経営者でも実際に認識できる制御を並べておきましょう。Kikan Systemのチームは以下の制御をそれぞれプラットフォームに組み込んでおり、どれも「誰かが覚えておくべきポリシー」ではなく、コード上で実在し強制可能なルールとして存在します。

パスキーによるパスワードレスログイン。 スタッフは自分の端末にパスキーを登録し、パスワードを打たずにサインインできます。システムはセッションごとのチャレンジを生成し、端末の暗号学的な応答を検証したうえで、認証器をラベルと最終使用日時とともに記録します。ユーザーは登録済みの端末を一覧表示し、名前を変更し、信頼しなくなったものを削除できます。これにより、アカウント乗っ取りの最大の原因である、再利用されたりフィッシングに弱いパスワードを排除できます。

2要素認証。 パスワードを残すアカウントに対しては、時刻ベースのワンタイムコードに対応し、QRコードでの設定とリカバリーコードを備えています。パスキーログインと2要素認証は組み合わせ可能で、盗まれた認証情報のセットだけではログインを完了できません。

NISTガイダンスに沿ったパスワード履歴。 プラットフォームは直近5件のパスワードの再利用を防ぎ、ハッシュのみを保存し、パスワードを再変更できるまでの最短期間を強制します。これは、多くの日本企業がまだ引き継いでいる古くて効果の低い複雑性と有効期限のルールではなく、NIST SP 800-63Bの考え方を反映しています。

ロールごとのアクセス権。 権限は個人ごとにフラットな一覧で付与されるわけではありません。権限はロールに紐付き、各ロールは特定のリソースと操作（閲覧、作成、編集、削除）をカバーする権限マップを持ちます。経理担当者は請求書を見られますがロールを削除できません。IT管理者はロールを管理できますが自分の購買発注を承認できません。システムロールは名称変更や削除から保護され、変更時には楽観的ロックが使われるため、2人の管理者が互いに気づかず上書きし合うことはありません。

IP制限。 各社はサインインを承認済みネットワークに限定できます。この制御は単一アドレス、CIDR範囲、開始から終了までの範囲という3つのマッチ方式に対応し、IPv4とIPv6の両方を扱います。強制は2つのモードで動作します。許可モードは一覧のアドレスのみを通し、拒否モードは一覧のアドレスを遮断して残りを通します。この切り替えは会社ごとに行えるため、製造業はバックオフィスを工場のネットワークに固定しつつ、現場スタッフにはより狭い許可一覧を使わせることができます。

会社ごとのデータ分離。 すべての要求は1社のコンテキストに解決され、データへのアクセスはそのコンテキストに限定されます。同じプラットフォームのインスタンス上で稼働していても、ある会社の請求書、仕訳、在庫記録は別の会社からは見えません。

セッション管理とトークン盗難検出。 リフレッシュトークンは使用のたびに更新され、現在のトークンローテーションの指針に従います。プラットフォームは端末ごとにアクティブなセッションを追跡し、パスワード変更、ロール変更、アカウント無効化が起きた際にはトークンを一括で無効化するため、古い端末がデータを読み続けることはありません。組み込みの盗難検出フラグは、疑わしいトークンの再利用を失効対象としてマークします。

誰が何を、いつ行ったかの記録。 機密性の高い操作は、実行されたその瞬間に監査ログとして記録されます。たとえばIP制限の削除は、操作者、操作内容、タイムスタンプを記録します。承認については、ワークフローエンジンが要求、定義、各ステップを捕捉します。ある操作が承認されたことを証明するために、別途スプレッドシートを用意する必要はありません。

それらの制御がISMSとSOC 2にどう対応するか

枠組みは成果を記述するものであり、上記のコードはその成果を実現します。以下は、監査人が認識する正直な対応関係です。

ISMS（ISO 27001）のAnnex Aは、制御をテーマ別に整理しています。論理アクセス制御（A.5.15）、認証（A.5.17）、アクセス権（A.5.18）、情報アクセス制限（A.8.3）はすべて、ロールごとのアクセス権と会社ごとのデータ分離に直接対応します。パスキーと2要素認証の制御は、強力な認証に対する期待を満たします。IP制限機能はネットワークセキュリティ（A.8.20）と安全なログイン手順を支えます。誰が何をしたかの監査証跡は、ログと監視（A.8.15）を支えます。NISTに沿ったパスワード履歴は、資産と認証のライフサイクルを支えます。

SOC 2のトラストサービス基準は少し異なる形をとりますが、同じ場所に到達します。共通基準は論理および物理的なアクセス制御（CC6.1、CC6.2、CC6.3）を求めます。ロールごとのアクセス権、会社ごとのデータ分離、セッション失効は、アクセスの付与、変更、削除をカバーします。パスワードレスと2要素認証は、識別と認証に対応します。機密操作のログ記録は、システムのパフォーマンスとセキュリティイベントの監視にあたるCC7.2を支えます。

これらの機能が存在するからといって、どちらの枠組みも証明書を渡してはくれません。機能が果たす役割は、監査人が来る前に、最も一般的で最も費用のかさむ監査指摘事項、すなわち共有ログイン、ロール境界の不在、ネットワーク制限の不在、セッション失効の不在、特権操作の追跡可能な記録の不在を取り除くことです。

シナリオ：東大阪の精密部品メーカー

東大阪にある従業員約70名、年商約18億円の精密部品メーカーを想像してください。最大の顧客である自動車のティア1サプライヤーから、前四半期に90項目のセキュリティ調査票が届き、6か月以内に説得力のある回答を求められました。

刷新前、アクセス管理は属人的な仕組みでした。前任のIT管理者が「簡単にしておくため」と、共有の管理者アカウントを1つ作っていました。パスワードを知っていたのは2人。さらに3人が横目で見て覚えていました。月末の締めは、経理用PCと営業のノートPCの間でメール添付を行き来する状態でした。IP制限のポリシーは、2年間誰も開けていないサーバーラックに貼られた印刷物でした。

財務、在庫、営業をプラットフォームに移した後、状況は具体的に変わりました。共有の管理者アカウントは廃止されました。各スタッフは自分の端末に紐づいたパスキーでサインインします。経理チームのアクセスは、仕訳の計上とレポートの実行はできるがロールの変更やマスターデータの削除はできない範囲に限定されています。工場のネットワークはバックオフィスログインの許可一覧に設定されているため、個人のスマートフォンからフィッシングで盗まれた認証情報であっても、未知のネットワークからは帳簿に届きません。3月に一人の運用担当者が退職した際、ログインを無効化するだけで、全端末にわたるセッションが1ステップで失効し、誰がいつ実行したかのタイムスタンプ付き記録が残りました。

このシナリオが教えるのは、プラットフォームが監査に合格したということではありません。単体ではしていません。教訓は、監査人がテストする制御、つまりスプレッドシート中心の会社なら証跡収集に何週間もかかる制御が、切り替えたその日からすでに整い、観察可能だったということです。

正直なギャップと、その埋め方

信頼できる記事は、足りないものの名前を明示します。以下は、プラットフォームが現時点でやっていないことと、購入者が計画すべきことです。

プラットフォーム自体はISMSにもSOC 2にも認証されていません。 認証はソフトウェアの機能ではなく、組織的な取り組みです。認証はロードマップ上の目標として扱ってください。上記の制御は技術的統制の出発点として強力ですが、文書化されたポリシー、リスク評価、ネットワークおよび物理的統制、そして外部監査人が別途必要です。

専用の改ざん防止監査ログテーブルはありません。 機密操作は実行時に記録され、承認ワークフローエンジンが各ステップを捕捉します。ただし、フォレンジックレビューのために長期保持され、改ざんが検出できるログストアは、現時点の機能ではありません。監査人が別の不変ログリポジトリを求める場合は、操作記録を定期的にエクスポートして、追記型のストアに格納する計画を立ててください。

多通貨および為替レートの扱いは未実装です。 これは厳密にはセキュリティ制御ではありませんが、金銭的なエクスポージャーの報告方法に影響するため、セキュリティや財務の調査票にしばしば登場します。現時点で複数通貨を扱う場合は、実装されるまで手動での対応を見込んでください。

電子帳簿保存法対応の認証保管は提供していません。 取引データは適切に保存されますが、電子帳簿保存のルールに基づく認証アーカイブではありません。アーカイブのプロセスは別途ご用意ください。

これらのギャップは失敗ではなく、見取り図です。これらを黙って省略し、購入者に推測させるプラットフォームこそが本当のリスクです。前もって名指しすることは、購入者が現実的な認証へのロードマップを組むための方法です。

よくある質問

セキュリティ向上のために、いまのシステムをすべて入れ替える必要はありますか？

その必要はありません。ここで説明した制御は、アクセス、アイデンティティ、可視性に関するものであり、初日にすべての過去の記録を移行することではありません。多くの企業は段階的に展開し、まず財務と在庫、次に購買、そしてCRMへと進めます。パスキーとロールごとのアクセス権に最初の利用者を移した時点で、旧システムを完全に廃止する前からセキュリティ姿勢は改善します。

システム自体が認証されていなくても、監査人は認めてくれますか？

制御の証跡を示せるなら、認めてくれます。監査人は、統制が設計通りに運用されているかをテストします。ロールごとのアクセス権、会社ごとのデータ分離、IP制限、セッション失効、操作の証跡は、すべてテスト可能です。彼らが認めないのは、証拠なしにコンプライアンスを主張するベンダーです。操作ログ、ロールの割り当て、IPの許可一覧の設定を残しておけば、監査人が具体的に検証できるものがあります。

退職する従業員への対応を素早く行うにはどうすればよいですか？

ログインを無効化してください。プラットフォームはそのユーザーのアクティブなセッションをすべての端末で1つの操作で失効させ、誰がいつ無効化したかを記録します。そのユーザーのロール権限は即座に適用されなくなります。ノートPCを探し回ったり、共有パスワードを変更したりする必要はありません。

パスワードにこだわるスタッフはどう扱えばよいですか？

パスキーを推奨しますが、唯一の選択肢ではありません。2要素認証がパスワードベースのログインをカバーし、パスワード履歴が再利用を防ぎます。移行に抵抗するスタッフには、第二要素の後ろにパスワードを残したまま、同意する人から順にパスキーへ移行してください。Kikan System では、まず最大2ユーザーまで無料、クレジットカード不要で双方の方法を並行試行し、浸透してから段階的に移行する導入を推奨しています。

重要なポイント： 認証は証拠によって獲得するものであり、認証する価値のある制御とは、チームが営業日の毎日使うものです。

監査の前にギャップを埋める

基幹システムにおけるセキュリティは、マーケティングのスライドではありません。コードの中に実在するか、しないかの、小さく強制可能なルールの集合です。フィッシングに弱いパスワードを置き換えるパスキー。共有アカウントではなくロールごとに与えられるアクセス権。未知のネットワークからの盗まれた認証情報を止めるIP制限。会社ごとのデータ分離。運用者が去った瞬間に消えるセッション。誰が何をしたかの証跡。

基幹システムは、これらの制御をそれぞれ実在する機能として提供しています。プラットフォーム自体はISMSにもSOC 2にも認証されておらず、認証は皆様の人、ポリシー、外部監査人も必要なロードマップ上の目標であると、正直にお伝えします。私たちが提供するのは、スプレッドシートと貼り紙のネットワーク図から始めるよりも、認証への取り組みを短く、安く、はるかに苦痛の少ないものにする技術的な土台です。

最大の顧客からセキュリティ調査票が届いたばかりなら、まずはここから始めてください。ご自身の会社、ご自身のロール、ご自身の人材のもとで制御が動いている様子を、何かを決める前にご確認ください。

Kikan System を無料で始める、2ユーザーまで無料、カード不要。プランの詳細は /#pricing をご覧ください。

-> 関連：日本企業向けのバイリンガル基幹システム

-> 関連：JSOX承認ワークフロー