稟議で聞かれる順に並べました。制度への対応、データの置き場所、中身の開示、ISMSとSOC 2への対応表です。Kanaが何らかの認証を保有しているという主張は、このページのどこにもありません。
SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）の★3は、専門家確認付きの自己評価です。要求事項26項目、評価基準81件、有効期限1年。Kanaは端末から集めた状態を、この26項目に紐づけて保存します。確認にあたる専門家や取引先には、その画面か書き出したPDFをそのまま渡せます。
自動で埋まる範囲は、正直に言えば半分です。7領域での内訳は次の通りです。
| 領域 | 自動化 | Kanaが残す証拠 |
|---|---|---|
| 資産管理 | ● | 端末・OS・導入ソフトの毎日の棚卸し。台帳は自動で最新になります。 |
| 端末保護 | ● | ディスク暗号化、画面ロック、マルウェア対策の稼働状態を全台で記録。 |
| 脆弱性・更新管理 | ● | 未適用の更新の検出と適用。適用日時が証跡として残ります。 |
| ログ・監視 | ● | 端末の動作ログの保管。保管期間の要件を満たしていることを示せます。 |
| アクセス制御 | ◐ | 端末側の権限とアカウント状態。業務システム側の権限は手で確認が要ります。 |
| インシデント対応 | ◐ | 検知と隔離の記録（防御プラン以上）。連絡体制と手順書は雛形をお渡しし、貴社で決めていただきます。 |
| 教育・体制 | 責任者の任命、社内教育、内部監査。人の仕事です。販売パートナーが支援します。 |
※ 正式な要求事項・評価基準はIPAおよび経済産業省の公開文書に準拠します。7領域は点検用の簡易区分です。制度は運用開始に向けて変更される可能性があり、最新の要求事項はIPAの公表資料をご確認ください。
収集した証拠と報告は、日本国内に保管します。管理コンソール、報告PDF、サポートは日本語です。監視付きプランでは、監視と一次対応も日本語で、夜間・休日を含めて行います。
確認にあたる専門家や評価機関には、閲覧用のアカウントを発行できます。証拠をメールで送る必要はありません。
監査に出す証拠が、中身の見えない箱から出てくるのは筋が通りません。収集エージェントはosqueryを基盤とするオープンソースで、端末の状態をSQLのテーブルとして扱います。どの問い合わせを投げているかは設定ファイルとして開示します。隠しコマンドはなく、設定ファイルにない情報は取得しません。
エージェントが毎日集めるもの：
EPP／EDRの中核は、米国Endpoint Solutions, Inc.からライセンス供与を受けた、実績のある製品と同じものです。ゼロから作った検知エンジンではありません。
ISMS認証を既にお持ちの会社、あるいは取得を検討中の会社向けです。Kanaが残す証拠は、ISO/IEC 27001:2022 附属書Aの次の管理策に対応付けています。内部監査や審査の証拠として使えます。Kana自身がISO/IEC 27001の認証を保有しているという意味ではありません。
| 附属書A 管理策 | 自動化 | Kanaが残す証拠 |
|---|---|---|
| 5.9 情報及びその他の関連資産の目録 | ● | 端末・OS・導入ソフトの毎日の棚卸し |
| 8.1 利用者エンドポイント機器 | ● | 暗号化、画面ロック、マルウェア対策の稼働状態 |
| 8.24 暗号の利用 | ● | 全台のディスク暗号化の有効状態 |
| 8.7 マルウェアに対する保護 | ● | 対策ソフトの稼働状態。防御プラン以上では検知・隔離・復旧の記録 |
| 8.8 技術的ぜい弱性の管理 | ● | 未適用の更新の検出、適用、適用日時 |
| 8.19 運用システムに関するソフトウェアの導入 | ● | 導入ソフトの一覧と変化 |
| 8.15 ログ取得 ／ 8.16 監視活動 | ● | 端末の動作ログの保管。監視付きプランでは日本語での監視と一次対応 |
| 5.18 アクセス権 ／ 8.2 特権的アクセス権 | ◐ | 端末側のアカウントと権限。業務システム側は手で確認 |
| 5.24〜5.26 インシデント管理 | ◐ | 検知と隔離の記録。連絡体制と手順書は雛形をもとに貴社で作成 |
| 6.3 意識向上、教育及び訓練 | 人の仕事。販売パートナーが支援します |
※ 管理策の番号と名称はISO/IEC 27001:2022（JIS Q 27001:2023）附属書Aに基づきます。対応付けはKanaの整理であり、審査での採否は審査機関の判断によります。
米国系の取引先やグループ会社から求められる場合に備えたものです。Kanaが残す証拠は、SOC 2のTrust Services Criteriaのうち次の3つに対応付けています。Kanaが SOC 2 報告書を取得している、あるいは提供できるという意味ではありません。
| Trust Services Criteria | Kanaが残す証拠 |
|---|---|
| CC6 論理アクセスと物理アクセス | ディスク暗号化、画面ロック、端末側のアカウントと権限 |
| CC7 システム運用・監視 | マルウェア対策の稼働、動作ログの保管、検知・隔離の記録、日本語での監視（監視付きプラン） |
| CC8 変更管理 | 更新の適用と適用日時、導入ソフトの一覧と変化 |
