Anthropic Trust CenterでSOC2・ISO27001報告書を請求する手順
Claude開発元のAnthropicは、SOC 2 Type I・Type IIとISO 27001:2022を取得済みです。報告書はtrust.anthropic.comで請求します。申請の流れ、DPAの条項、BAAの判断点を解説。
AnthropicはClaudeの法人向け製品について、SOC 2 Type I・Type IIとISO 27001:2022を取得しています(ヘルプセンターの認証一覧による)。報告書や認証書は、Anthropic Trust Center(trust.anthropic.com)から申請して入手します。契約済みの組織は、DPA(データ処理補遺)のF.1項を提供の根拠として持てます。DPA本体だけを読むと送り先が見えません(送り先は別紙2にあります)。この記事では窓口と根拠を分けて、どの資料をどこで取るかを決めます。
Anthropic Trust Centerは報告書の請求窓口
Anthropic Trust Centerは、SOC2やISO27001といった監査・認証の報告書や認証書を請求するための専用サイトです。運営基盤はセキュリティコンプライアンス管理SaaSのVantaで、trust.anthropic.comからアクセスします。ベンダー審査を担当する情シス・調達部門が、Claudeの導入前に一次資料を集める窓口になります。審査項目からの逆引きは、セキュリティチェックシートに一次資料で答える方法と導入審査チェック項目の対応表が近道です。
DPAの条項は、本体と別紙2で番号が重なります。請求先を定めるD.3項は、別紙2(Technical and Organizational Measures)のD節「Audits and Certifications」にあります。F.1・F.2・F.3・C.3項は本体の条項です。
| 条項 | 場所 | 定めていること |
|---|---|---|
| D.3 | 場所別紙2 | 定めていること報告書・認証書の請求先はtrust.anthropic.com |
| F.1 | 場所本体 | 定めていること書面による請求への報告書の提供(秘密保持のもと) |
| F.2・F.3 | 場所本体 | 定めていること顧客費用負担での監査と、その費用の扱い |
| C.3 | 場所本体 | 定めていることサブプロセッサー追加の通知と異議申し立て |
D.3項の原文は次のとおりです。
To request access to any of our reports and certifications, please go to https://trust.anthropic.com.
同じD節のD.1項は、リスク評価や社内ポリシーの遵守状況を定期的に見直し、上級管理職へ報告する監査手順をAnthropicが定めていると書きます。D.2項は、情報セキュリティプログラムを独立した第三者監査人が毎年評価し、その報告書を顧客が利用できるようにしている、という内容です。審査票の「第三者評価の有無」には、このD.2項が根拠になります。
ステップ1: 審査に必要な認証と製品範囲を決める
請求の前に、審査票の項目がどの認証に対応するかを決めます。ヘルプセンターの「What Certifications has Anthropic obtained?」には、4系統が並びます。HIPAA対応構成(BAAあり)、ISO 27001:2022、ISO/IEC 42001:2023、SOC 2 Type IとType IIです。SOC 2はType IとType IIの両方があるため、審査側がどちらを求めているかも先に確認します。
同じ「Claude」でも、製品によって認証の対象は異なります。同ページは法人向け製品(Claude for WorkとAnthropic API)を対象にしており、HIPAA対応版はEnterpriseプラン限定です。審査書類に「Claudeは全部ISO27001とHIPAA対応済み」と転記すると不正確になるので、自社が使う予定の製品が対象に入るかを確かめてから申請します。プラン間の違いは「Claude Enterpriseとは」、官公庁向けの認証範囲は「官公庁のClaude導入ガイド」にあります。
ISO 42001やSOC 2の製品ごとの対象と、個別資料の一覧は、Trust Centerの画面で確認します。DPA自体はanthropic.com/legal/data-processing-addendumで常時公開されているので、読むだけなら申請は要りません。
ステップ2: Trust Centerで報告書を申請する
SOC 2報告書やISO 27001の資料は、trust.anthropic.comから申請します。
申請から受領までの流れ
- 1
Trust Centerを開いて資料を選ぶ
trust.anthropic.comを開き、審査で必要な報告書や認証書を探します。 - 2
申請欄に必要事項を入力する
画面の申請欄に必要事項を入力して送信します。
- 3
承認を待つ
承認された資料が申請者に届きます。
承認までの日数は申請者側では決められないため、社内稟議の日程には、即日入手できる前提を置かない方が安全です。
ステップ3: 契約済みならDPAのF.1項を根拠に残す
請求文書に契約上の根拠を引くときの拠り所が、DPA本体のF.1項です。F.1項が定める内容は次の3点です。
- 毎年、外部監査人による監査を受けている
- 顧客からの書面による請求があれば、秘密保持義務のもとで、SOC 2報告書などの監査報告書や認証書を提供する(提供できる範囲で)
- 現行の認証は
trust.anthropic.comで確認できる
DPAはCommercial Terms of Serviceに組み込まれていて、Commercial Termsに同意した時点でDPAにも同意したことになります。F.1項は書面による請求を前提にしていますが、送り先の定めはありません。D.3項が請求先をTrust Centerとしているので、まずTrust Centerで申請し、F.1項は秘密保持のもとで提供するという根拠として請求文書に引きます。報告書を出せない場合には、DPAを遵守していることを示すのに合理的に必要な、そのほかの情報を提供する、という代替も定められています。
F.2項は、顧客費用負担での監査実施を定めています。条件は、顧客または顧客指定の第三者監査人が秘密保持契約を結ぶこと、範囲・期間を双方で合意すること、同種の監査が直近12か月以内に行われていないことです。規制当局の要請や不遵守の兆候があるときは、12か月の制限が外れます。F.3項により、法令上必要な監査でも、セキュリティ侵害への対応でもない監査を顧客が行ったときは、Anthropicに生じた合理的な費用を顧客が負担します。
第三者のプラットフォーム経由でClaudeを使う場合は、そのプラットフォームの利用規約が適用されます。ヘルプセンターのDPAの項にも、この注記があります。
HIPAA案件は報告書とは別にBAAの範囲を見る
HIPAA対応の認証があっても、BAA(Business Associate Agreement、医療情報の取り扱いに関する契約)を結んだことにはなりません。BAAは製品ごとに別の経路で有効化します。
BAAの有効化経路
Claude Enterprise
組織のPrimary Ownerが、「Data and privacy」にあるHIPAA対応の設定を有効にし、BAAを承諾します。標準のEnterpriseプランのままではBAAの対象になりません。
1P API
Primary OwnerがBAAに署名したうえで、Anthropicの担当者またはセールスへ連絡して、PHI(保護対象の医療情報)の利用を有効にしてもらいます。
審査に効く要点は3つです。BAAが及ぶのは、承諾した組織1つだけです。Claude Codeは、ZDR(Zero Data Retention、データを保持しない設定)を有効にしたCLIとデスクトップのローカルモードが対象です。リモートモードやClaude Code on the webは対象外になります。そして範囲は承諾した版で変わります。Enterpriseのチャットやファイル作成などは、2025年12月2日より後に承諾した版が対象です。1P APIのMessages APIで対象になるのは6機能です。Prompt Caching・Structured Outputs・Memory・Web Search・Bash tool・Text Editor toolで、2026年4月1日より後に承諾した版が条件です。
Claude Console、Claude Cowork、ベータ機能、Batch APIなどは対象外で、MCP・コネクタ経由で第三者へ送るデータも対象に入りません。機能ごとの可否は、承諾した日付と使う機能を突き合わせて確かめます。
よくあるつまずき
DPAと監査報告書を同じ資料だと思い込む
DPAは個別の申請を通さずに公開されています。監査報告書はDPA本体ではなく、Trust Centerで申請して入手します。F.1項は、その請求文書に引く根拠です。
別紙2のE節(Encryption Standards)は暗号化の基準を定めています。保存時は最低AES-256、公衆網上の通信はTLS1.2以上で、審査票の暗号化の項目はここから拾えます。F節(Endpoint Protection)は、従業員のワークステーションとクラウドのエンドポイントをEDR(エンドポイントでの検知と対応)で保護すると定めます。内訳はウイルス対策、リアルタイム監視、社内セキュリティチームへのアラートです。G節(Vulnerability Management)のG.2項は、外部の評価者による年次のペネトレーションテストを定めています。直近のペネトレーションテスト報告書の要約は、請求すれば顧客に提供されます。脆弱性管理の項目は、このG節から引けます。DPAが定めるController/Processorの役割分担やサブプロセッサー管理の詳細は「Claude DPAは何を定めるか」にあります。
Claude CodeならどのアカウントでもBAAの対象だと思い込む
Claude CodeでEnterprise OAuth経由とデスクトップのローカルモードを使う場合、ZDRは対象アカウントに限られ、PHIを扱うならセールス担当への相談が要ります。
サブプロセッサーの変更通知を取り逃がす
委託先管理の審査では、Anthropicがどの外部事業者にインフラを委託しているかも確認項目に入ります。一覧はwww.anthropic.com/subprocessorsで公開されており、アクセスするとtrust.anthropic.com/subprocessorsへ転送されます。C.3項では、新しい委託先がPersonal Dataにアクセスする前に、Anthropicが合理的な期間をおいて通知します。顧客はデータ保護上の懸念を理由に、通知日から15日以内に異議を申し立てられ、期限を過ぎると同意したものとみなされます。異議が出た場合、双方が受け入れられる解決を誠実に協議します。委託先管理台帳の担当者は、通知の受信先を決めておくと取りこぼしを防げます。
まとめ
未契約の審査段階ならTrust Centerで申請し、契約後に書類の根拠を残す必要が出たらDPAのF.1項を引いて請求します。HIPAA案件では、報告書とは別に、BAAを承諾した組織・版・機能の範囲を確かめます。