Tiro、SOC 2 Type 2保証報告書を取得
TiroはSOC 2 Type 2保証報告書を取得しました。米国公認会計士協会（AICPA）の基準に基づき、米国の監査法人Sensiba LLPがTiroのセキュリティ統制を監査し、Tiroは5つすべてのトラストサービス規準について無限定適正意見（Unqualified Opinion）を受けました。
以前、ISO/IEC 27001:2022認証の取得をご案内した際、Tiroは認証を取得時点で完結する成果ではなく、継続的な改善のプロセスとして捉えているとお伝えしました。今回の保証報告書取得は、その次のステップです。
前回のお知らせでは、Tiroがお客様のデータをどのように保護しているかをご説明しました。具体的には、音声データを処理後すぐに破棄すること、お客様の会話をAIモデルの学習に使用しないこと、保存時と転送時の両方でデータを暗号化すること、最小権限の原則に基づいてアクセスを制限すること、そしてすべてのアクセスと変更を記録することです。
これらは、Tiro自身が説明してきた運用方針です。今回変わったのは、同じ内容をTiroではなく外部監査人が確認したという点です。特定時点における統制の設計だけでなく、監査期間を通じて実際にそのとおり運用されていたかが検証されました。
セキュリティにおいて最も難しいのは、統制を作ることではなく、それが毎日守られていると証明することです。文書どおりに運用される統制と、文書にしか存在しない統制の違いは、通常時には見えにくく、事故が起きたときに一気に表面化します。SOC 2 Type 2は、その隔たりを監査します。
Type 1とType 2の違い
SOC 2には2つのタイプがあります。
Type 1は設計を評価します。 特定時点を基準として、統制が適切に設計され、実際に存在しているかを評価します。アクセス権限ポリシーが整備されているか、デプロイの承認手順が定義されているか、バックアップ体制が構築されているかなどを確認します。いわばスナップショットに近い評価です。
Type 2は運用を評価します。 設計に加え、定められた監査期間を通じて統制が実際に機能したかまで評価します。ポリシーが存在するかではなく、そのポリシーが過去数か月間、毎回守られていたかを問います。
この違いは、検証方法にはっきり表れます。監査人はポリシー文書を読むだけでは終わりません。監査期間中に実際に発生した事象からサンプルを抽出します。その期間に付与・取り消されたアクセス権限、本番環境に反映されたコード変更、実施されたバックアップおよび復旧テスト、検知・対応されたセキュリティイベントを一つずつ確認し、統制が定められたとおりに機能したかを照合します。サンプルの一つでも統制から外れていれば、その事実は例外事項として報告書に記載されます。
成果物も異なります。Type 2監査の成果物は、証明書1枚ではありません。統制ごとに、監査人が何をテストし、その結果がどうだったかを記載した監査報告書です。お客様のセキュリティ審査担当者は、この文書を直接読み、自社の確認項目と一つずつ照合できます。合否だけを伝えられるのではなく、判断の根拠そのものを受け取る仕組みです。
これは、ISO/IEC 27001とSOC 2が互いを代替できない理由でもあります。ISO 27001が、情報セキュリティマネジメントシステムという枠組みが国際規格に適合していることを認証する一方、SOC 2 Type 2は、その枠組みの中にある個々の統制が特定期間にどのように機能したかを証拠とともに記述します。一方はマネジメントシステムの適合性を、もう一方は運用の履歴を証明します。
5つすべての規準を適用した理由
SOC 2では、5つのトラストサービス規準（Trust Services Criteria）のうち、適用範囲を選択できます。必須項目はセキュリティのみで、残り4つはサービスの性質に応じて選択します。多くの企業はセキュリティのみ、またはそれに1〜2項目を加えて監査を受けます。
Tiroは5つすべてを適用しました。会議や会話を記録するサービスでは、それぞれの規準がすべて、お客様が実際に抱く懸念に直結しているためです。 各規準が何を評価し、Tiroのようなサービスにおいて何を意味するのかを順にご説明します。
1. セキュリティ（Security）：システムが不正アクセスから保護されているか
5つの規準の土台となる共通規準です。物理的・論理的アクセス制御、変更管理、リスク評価、異常検知、インシデント対応、委託先管理まで、情報セキュリティの基本的な枠組み全体が含まれます。
議事録には、組織の意思決定、お客様との会話、社内での議論、今後の計画が含まれます。1件の文書が流出することと、会議記録全体にアクセスできるようになることでは、被害の規模が異なります。そのためTiroにおけるセキュリティとは、「お客様のデータに到達できる経路をどこまで減らせるか」という課題です。監査人は、それぞれの経路に統制が設けられていたか、そしてその統制が監査期間を通じて維持されていたかを検証しました。
2. 可用性（Availability）：合意した水準でサービスを利用できるか
システムが合意された水準で稼働し、アクセス可能な状態にあるかを評価します。モニタリング、障害対応、バックアップと復旧テスト、キャパシティ管理などが該当します。
会議記録サービスにおける可用性は、ほかの多くのサービスとは少し性質が異なります。一般的なサービスであれば、障害が復旧した後に作業を再開できます。しかし、会議はもう一度開かれることはありません。その瞬間に記録されなければ、その会話を復元する方法はありません。お客様がTiroを起動して会議を始めた瞬間から、Tiroはその会議を記録し損なわない責任をともに担います。可用性を監査範囲に含めたことは、その責任を外部検証の対象にするという意思の表れです。
3. 処理のインテグリティ（Processing Integrity）：処理が完全かつ正確に行われているか
システムの処理が完全、正確、適時であり、承認された範囲内で実行されているかを評価します。データが安全に保存されているかではなく、そのデータを扱う処理自体が正しく行われているかを見る規準です。
議事録は、作成された瞬間よりも、その後に活用されることのほうが多いものです。数週間後に意思決定の根拠として引用されたり、出席していない人に会議の唯一の記録として共有されたりします。そのとき実際の内容と異なる情報が記載されていれば、それは単なる便利機能のエラーではなく、信頼に関わる問題です。会議記録サービスにとって、結果の正確性はセキュリティと同じくらい重要な信頼の条件です。処理のインテグリティを監査範囲に含めたのは、この判断によるものです。
4. 機密保持（Confidentiality）：機密情報が指定された範囲内でのみ扱われているか
機密と指定された情報が、定められた範囲内でのみアクセスされ、保持期間が終了した後に安全に破棄されるかを評価します。個人情報に該当するかどうかにかかわらず、「この情報は限定された範囲でのみ扱われるべき」と指定されたすべての情報が対象です。
会議内容の多くは、個人情報ではなくても機密情報です。未公開の計画、交渉中の契約条件、組織内部の議論などが該当します。こうした情報は、外部への流出だけでなく、社内で意図した範囲より広く共有されるだけでも問題になります。そのため機密保持の規準では、ノートの共有範囲が設定どおりに守られているか、権限が取り消された際にアクセスも同時に遮断されるか、サブプロセッサーへの提供範囲が契約によって制限されているか、保持期間を過ぎたデータが実際に破棄されているかを確認します。
5. プライバシー（Privacy）：個人情報が通知したとおりに扱われているか
個人情報の収集、利用、保管、提供、破棄が、通知した内容と一致しているかを評価します。5つの規準のうち、唯一、別途定められたプライバシー原則の体系にも従う規準です。
会議記録サービスにおける個人情報は、アカウント情報にとどまりません。参加者の氏名、音声、発言内容そのものが個人情報に該当する場合があり、Tiroと直接契約していない外部参加者の情報が含まれることもあります。機密保持が「誰が閲覧できるか」を見るのに対し、プライバシーは「何のために収集したのか、通知した目的を超えて利用していないか、要求があった際に開示や削除が実際に行われるか」を確認します。お客様の会話をAIモデルの学習に使用しないという原則も、この規準のもとで監査人による確認の対象となりました。
監査結果
監査報告書には、5つすべての規準がTiroのシステムに適用可能であり、除外された規準がないことが明記されています。Tiroは、統制の設計だけでなく、監査期間における運用の有効性も含めて無限定適正意見（Unqualified Opinion）を受けました。また、監査期間終了時点を基準として、直近12か月間にサービスへ重大なセキュリティインシデントが発生していないことも報告書に記載されています。
証拠が残る形で運用するということ
監査に合格するには、統制が存在するだけでは不十分です。その統制が機能したことを示す記録が残っていなければなりません。Tiroが監査準備を、単に文書をそろえる作業ではなく、運用を「証拠が残る形」に再設計する取り組みとして進めたのは、このためです。
本番環境と開発環境をアカウント単位で分離しました。 開発環境からお客様のデータにアクセスすることはできず、アカウント間の境界は組織レベルのポリシーによって強制されます。これにより、チームはお客様のデータから完全に隔離された環境で自由に実験できます。
すべてのアカウントの監査ログを、独立したセキュリティアカウントに集約しています。 ログは暗号化して保存され、改ざんの有無を検証できます。また、ログを生成する側と保管する側の権限を分離し、事故発生時にもログを削除できないようにしています。
本番環境に反映されるコードには、必ず承認が必要です。 メインブランチへ直接反映する経路を遮断し、承認のないマージはプラットフォームによって技術的に防止されます。どのコードを誰がレビューする必要があるかも、リポジトリごとに指定されています。
インフラの大部分をコードで管理しています。 Tiroのサービスインフラ全体の約80%がInfrastructure as Code（IaC）として定義されており、すべての変更がコードレビューを経て履歴として残ります。同じ構成をいつでも再現できること自体が、運用が統制されている証拠となります。
継続的な検知とデバイス統制を組み合わせて運用しています。 クラウド環境では、脅威検知、脆弱性スキャン、Webアプリケーションファイアウォールが24時間稼働しています。また、従業員の業務用デバイスとアカウントは、統一された認証基盤と管理ツールによって統制されています。
これらの統制の状態は、コンプライアンスプラットフォームを通じて継続的に点検されます。設定が基準から外れた場合は、監査期間外であってもすぐに把握できます。
保証報告書の取得後も続く取り組み
SOC 2 Type 2は、過去の監査期間に対する評価です。次の期間における信頼は、その期間の運用記録によってのみ証明できます。
Tiroは、外部のセキュリティ専門企業であるTheoriおよびKAOS Labsと契約し、定期的にペネトレーションテストを実施しています。表面的な点検ではなく、ソースコードやインフラ構成まで閲覧できる条件で実施し、発見された脆弱性は修正後に再検証しています。また、CIS Controls v8.1、NIST AI Risk Management Framework、NIST Cybersecurity Frameworkへの統制マッピングも完了しており、一つの情報セキュリティマネジメントシステム上で複数のフレームワークを運用しています。
セキュリティ環境は常に変化しています。近年のさまざまな事例が示すように、AIモデルの性能が急速に向上する一方で、セキュリティ上の脅威もより巧妙になっています。Tiroは、こうした変化に対応しながら、サービスインフラと運用体制を継続的に見直しています。
今後もTiroは、お客様が安心して会議を記録・活用できるよう、セキュリティリスクを継続的に点検し、より安全なサービス環境を構築してまいります。
Tiro Trust Center
Tiroは、Tiro Trust Centerを通じて、取得している認証、準拠しているフレームワーク、サブプロセッサーの一覧を公開しています。SOC 2監査報告書の全文には、監査人が実施した統制ごとのテスト手順と結果が記載されており、秘密保持契約の締結後、Trust Centerのリクエスト手続きを通じて提供しています。
セキュリティ審査やベンダー評価を実施されている場合は、Trust Centerから必要な資料をご請求いただくか、partners@theplato.ioまでお問い合わせください。
監査情報
| 項目 | 内容 |
|---|---|
| 監査基準 | SOC 2 Type 2（AICPA, TSP section 100・2017 Trust Services Criteria） |
| 適用範囲 | セキュリティ、可用性、処理のインテグリティ、機密保持、プライバシー（5つすべて） |
| 監査対象 | ThePlato Inc. Software as a Service System（Tiro） |
| 監査期間 | 2026年4月1日〜2026年6月30日 |
| 監査法人 | Sensiba LLP |
| 監査意見 | 無限定適正意見（Unqualified Opinion） |
監査報告書の全文は、秘密保持契約の締結後、Tiro Trust Centerからご請求いただけます。
今後もTiroは、お客様が安心して会議を記録・活用できるよう、セキュリティリスクを継続的に点検し、より安全なサービス環境を構築してまいります。