Trust CenterでSOC2・ISO27001の監査報告書を取得する手順

Anthropic Trust Centerに置かれた監査資料は、すべてが同じ手順で入手できるわけではありません。SOC 2 Type II報告書やISO 27001の適用宣言書のような機密性の高い文書は、氏名・所属を記入する「Request access」フォームを通さないとダウンロードできません。一方でSOC 3報告書やISO 27001認証書そのものは、ボタンを押すだけでその場で開けます。この線引きを知らずに探すと、公開資料の場所すら見つけられずに終わります。

Anthropic Trust Centerとは何か

Anthropic Trust Centerは、SOC2やISO27001といった監査・認証の証跡をまとめて公開する専用サイトです。運営基盤はセキュリティコンプライアンス管理SaaSのVantaで、trust.anthropic.comからアクセスします。ベンダー審査を担当する情シス・調達部門が、Claudeを導入する前に一次資料を集める窓口として使う想定で、セキュリティチェックシートに一次資料で答える方法を合わせて確認すると審査項目からの逆引きがしやすくなります。

サイト上部のナビゲーションは「Overview」「Resources」「Subprocessors」「FAQ」「Updates」の5タブに分かれています(情シス審査の項目からTrust Center資料を逆引きしたい場合は導入審査チェック項目の対応表が近道です)。ただし実際の画面は縦スクロールの1ページで、タブはその区画へのジャンプリンクとして機能します。監査報告書を探すときは「Resources」区画、委託先の一覧は「Subprocessors」区画を見ます。

冒頭には次の一文が明記されています。「ここでは準拠状況の資料や申請用の文書を確認できます。機密性の高い文書にアクセスするには、ページ上部のrequest accessボタンから申請フォームを完了してください」。つまりTrust Center自体が「公開ゾーン」と「申請ゾーン」の2層構造だと、運営側が最初から宣言しています。

ステップ1: 公開資料と申請制資料を見分ける

Trust Centerの各資料は、リンクとボタンの2種類の見た目で表示されます。リンクになっている資料はクリックすると申請フォームが開き、ボタンになっている資料はその場でダウンロードが始まります。この違いを見た目で判定できれば、申請が要らない資料を探して時間を無駄にせずに済みます。

Trust Centerの「Resources」区画に並ぶ主要な資料を、公開/申請制で分けると次のとおりです。

SOC 3報告書はSOC 2報告書を一般公開向けに要約したもので、内部統制の詳細な記述を含みません。概要だけで足りる一次審査ならSOC 3、監査人が詳細な統制記述を求める二次審査ならSOC 2本体の申請が必要、と目的で使い分けます。

ステップ2: Request accessフォームで監査報告書を申請する

SOC 2本体やISO適用宣言書のような申請制資料は、ページ上部の「Request access」ボタンから入力フォームを開きます。フォームで入力する項目は次の7つです。

• First name / Last name(担当者氏名)
• Email(所属先のメールアドレス)
• Company name(会社名)
• Reason(申請理由。「既存顧客」「導入検討中の見込み顧客」「その他」から選択)
• Access level(Full access = 公開・申請制の全資料 / Limited access = 選んだ資料のみ)
• Select resources by Product(製品ごとに一括選択する場合の絞り込み)
• Add additional resources(上記に含まれない個別資料の追加選択)

初期状態では「Limited access」が選択されており、資料を1件も選ばずに送信すると何も共有されない仕様です。SOC 2報告書をピンポイントで欲しいだけなら、該当資料のリンクから直接フォームを開くと、その資料が最初から選択済みの状態でフォームが立ち上がります。

フォーム送信後の承認プロセス(承認までの日数や、担当者による個別レビューの有無)は画面上に明記されていません。社内稟議のスケジュールに組み込む際は、即日入手できる前提を置かないのが安全です。

ステップ3: 製品ごとの認証範囲を確認してから申請する

同じ「Claude」でも、利用する製品によって取得済みの認証は異なります。Trust Centerの「Overview」区画には、製品×認証のマトリクス表が掲載されています。

規制対応の認証・表明は次のとおりです。

Claude Teamプランには、Anthropic API・Claude EnterpriseにあるHIPAA準拠の列がありません。医療系のワークロードでHIPAA準拠が要件になる場合、Teamプランのままでは審査を通せない可能性があります(プラン間の違いは「Claude Enterpriseとは」で比較しています)。申請フォームを埋める前に、自社が使う予定の製品がどの列に該当するかを必ず確認してください。FedRAMP HighはClaude for Governmentなど政府向け製品専用で、通常のAPI利用やEnterpriseプランには適用されません(官公庁向けの認証範囲は「官公庁のClaude導入ガイド」で扱っています)。

申請後に使えるAI検索機能とアップデート通知

Request accessフォームで一度でも資料を申請すると、Trust Center上部の「Ask a question」機能が有効になります。これは申請済みの資料群を対象に、自然文の質問で該当箇所を検索できるAIアシスタントです。認証範囲や取得スコープを何度も画面で探し直す代わりに、「Claude Codeの認証範囲は」のように質問を投げて該当資料へのリンクを引き出せます。

継続的にベンダー審査を担当する場合は、上部の「Subscribe to updates」も登録しておく価値があります。Trust Centerの「Updates」区画には、HIPAA実装ガイドの改訂やサブプロセッサー変更のような更新履歴が並び、登録しておけば認証状態が変わるたびに通知が届きます。委託先管理台帳を最新に保つ実務では、この通知の有無が更新漏れの防止線になります。

よくあるつまずき

DPAと監査報告書を同じ窓口だと思い込む。データ処理補遺(DPA)は個別の申請フォームを通さず、anthropic.com/legal/data-processing-addendumで常時公開されています。Commercial Terms of Serviceに同意した時点でDPAにも同意したことになる仕組みで、Trust Centerの「Request access」を経由する必要はありません。DPAが定めるController/Processorの役割分担やサブプロセッサー管理の詳細は「Claude DPAは何を定めるか」で扱っています。

BAAをTrust Centerから直接ダウンロードできると思い込む。Business Associate Agreement(BAA、医療情報の取り扱いに関する契約)は、Trust Centerに置かれた文書ではありません。FAQ区画によれば、HIPAA関連の準拠状況と利用目的をAnthropicが個別に確認したうえで、対象製品向けにBAAを提供するかどうかを判断する運用です。対象になるのはClaude Enterprise Chat・Anthropicの1P API・Zero Data Retention(ZDR、データを保持しない設定)を有効にした一部のClaude Codeアカウントに限られ、Free・Pro・Max・Teamプランやベータ機能は対象外と明記されています。

製品名を確認せずに認証状況を語る。「Claudeは全部ISO27001とHIPAA対応済み」という説明は不正確です。前述のマトリクス表のとおり、Claude for GovernmentはSOC2やISO27001の列がN/A(対象外)で、代わりにFedRAMP Highを取得しています。審査書類に転記する際は、必ず自社が使う製品の行だけを引用します。

サブプロセッサー一覧を見落とす。委託先管理の審査では、Anthropicがどの外部事業者にインフラを委託しているかも確認項目に入ります。Trust Centerの「Subprocessors」区画には、Google Cloud Platform・Amazon Web Services・Microsoft Azure・Cloudflareが「全製品対象」として掲載されています。新規追加時は事前通知される運用で、DPA側にも同じ一覧への参照が明記されています。

まとめ

Anthropic Trust Centerの監査資料は、SOC 3報告書やISO認証書のようにボタン一つで開ける公開資料と、SOC 2本体やISO適用宣言書のように氏名・会社名を入力する申請フォームを通す資料に分かれます。情シス・調達の一次審査で概要レベルの証跡が欲しいだけなら、公開資料だけで足りることが多く、無駄な申請を減らせます。SOC 2の詳細な統制記述やインフラ構成図のような機密資料が必要になった段階で、初めてRequest accessフォームを使います。申請前には、自社が使う製品がマトリクス表のどの行に当たるかを必ず確認し、Teamプランではまだ対象外の認証がある点にも注意してください。