Claudeの情シス導入審査チェック項目をTrust Centerの資料で埋める

情シス部門がClaudeの導入審査を進めるとき、多くの時間は「どの資料を見れば審査項目が埋まるか」を探す作業に取られます。Anthropic Trust Centerには審査項目ごとの一次資料がすでに揃っていますが、資料名がSOC2やHECVATのような専門用語のままなので、審査項目との対応が一目では分かりません。この記事では、情シス審査で頻出する項目とTrust Center資料を直接ひも付けます。

このTipsでできること

一般的なベンダーセキュリティ審査票(社内フォーマット、SIG、CAIQ等)によくある項目を区分ごとにまとめます。それぞれ「Trust Centerのどの資料で一次回答できるか」「公開資料か申請制か」を1つの表にまとめました。Trust Centerでの資料の探し方そのものは「Trust CenterでSOC2・ISO27001の監査報告書を取得する手順」で扱っているため、本記事では審査項目からの逆引きに絞ります。

審査項目とTrust Center資料の対応表

ログ管理とアクセス権限は、DPAの条文で一次回答できる

DPA(2025年2月24日発効の版)のSchedule 2には、技術的・組織的措置がアクセス制御・暗号化・ログなどの区分で並んでいます。SOC 2報告書の承認を待たなくても、審査票の一次回答は条番号つきで埋められます。期限に関わる約束は、本文側に数字で書かれています。

数字

DPAが数字で約束している期限と水準

• セキュリティ侵害の通知

  48時間以内

  侵害を把握してから書面で通知(G.1)

• 契約終了後のデータ返却・削除

  30日以内

  返却は同じ期間内に依頼した場合。法令上の保存義務などは例外(H.1)

• 新規委託先への異議申立て

  通知から15日

  期限内に異議がなければ同意とみなされる(C.3)

• 保存時の暗号化

  AES-256以上

  公衆網の通信はTLS 1.2以上(Schedule 2のE節)

審査票の項目ごとに、DPAのどの条に当たるかは次のとおりです。

顧客自身が監査するときは、法令上必要な場合か侵害への対応でなければ、Anthropicの合理的な費用を顧客が負担します(F.3)。監査結果の用途は、規制上の監査要件への対応とDPAの遵守確認に限られます(F.4)。

ログの保持期間は「適した期間」と書かれ、日数は条文にありません。審査票に日数の欄があるときは、条文に日数がない旨を回答欄に書き、SOC 2報告書の請求時に統制記述を確認するか、Anthropicへ問い合わせます。

データの分離についても、Schedule 2のH節は顧客のデータを論理的に分離し、他の顧客が許可なくアクセスできないようにすると定めています。インシデント対応手順の年次テストと合わせて、ログ管理やアクセス権限の欄に添えられる条文です。

委託先管理の欄は、一覧を添えるだけでは「再委託先の事故は誰の責任か」に答えられません。DPAのC.2は、各委託先にDPAと実質的に同水準のデータ保護義務を契約で課すと定めています。委託先の作為・不作為についても、Anthropicが自社の行為と同じ範囲で顧客に責任を負います。責任の上限は、契約本体の責任制限条項に従います。

侵害対応の欄にはG.2が使えます。G.1は、Anthropicが侵害を通知したり対応したりしても、それが過失や責任の承認にはならないとも書いています。48時間以内の通知に続いて、影響を受けたデータ主体と記録の分類・概数、見込まれる影響、講じる対策を、合理的に可能な範囲で適時に知らせると書かれています。

くらべる

DPAとSOC 2報告書は何を証明するか

契約上の約束

DPAの条文

条番号で引用でき、公開資料なので稟議書にそのまま貼れます。保持期間のように、数値が載らない項目もあります。

第三者による監査結果

SOC 2 Type II報告書

外部監査人が統制の運用状況を見た結果です。申請と承認が要るため、一次回答のあとに添える位置づけになります。

モデル学習の項目は、フィードバックの例外まで書く

Claude for WorkやAnthropic APIなどの商用製品では、入力と出力は既定でモデルの学習に使われません。例外は、フィードバックボタン(thumbs up/down)で送った会話と、利用者が学習への利用を許可した場合です。フィードバックを送った会話は、内容を含めて最長5年保存されます。

審査票に「学習に使うか」と1行だけ問われていても、回答欄には「既定では使わない。フィードバックの送信は例外」と両方書いておくと、あとで運用部門から確認が戻りにくくなります。なお、フィードバックにコネクタ(Google Driveなど)の生の内容は含まれませんが、会話に直接貼り付けた内容は含まれえます。

やり方 — 審査票のテンプレートにそのまま転記する

手順

独自フォーマットの審査票を埋める流れ

1. 1

   項目名を表の言葉に読み替える

   自社の審査票の項目を、上の対応表の「よくある確認項目」列に当てはめます。

2. 2

   公開資料で埋められる欄を先に埋める

   「委託先管理台帳との整合」の欄には、Subprocessors一覧のスクリーンショットを添付します。DPAのC.3(新規委託先は事前通知で、顧客は異議を申し立てられる)の一文を添えれば、公開資料だけで回答が完結します。

3. 3

   指定フォーマットがあれば回答済みの質問票を使う

   SIG Lite・CAIQ・HECVATのいずれかに一致するなら、Trust Centerの「Questionnaires」区画から回答済みの質問票を入手できます。ゼロから回答せず、既存の回答に自社の利用条件を追記します。

補足 — 表に無い審査項目が出てきたら

上の対応表でカバーできない審査項目(たとえば製品固有のセキュリティ機能や、特定のクラウド環境での認証状況)が出てきた場合は、Trust Centerの「Ask a question」から資料を探せる場合があります。「Claude Codeのペネトレーションテストは実施されているか」のような質問を入れて、該当資料を探す使い方です。審査項目が対応表の粒度より細かい場合の逃げ道になります。

製品によって取得済み認証が異なる点にも注意が必要です。Trust Centerに製品別の認証対応表がある場合は、プランごとにHIPAAやSOC2などの対応状況が分かれて表示されます。医療系の情報を扱う部署が特定のプランの契約を検討している場合は、対応表を埋める前にこの対応表で当該プランがHIPAAに対応しているかを確認しておきます。プランによって対応認証の組み合わせが異なるため、審査項目のうち医療情報関連だけは製品名まで含めて確認する必要があります。

表に追加できる審査項目 — アクセシビリティ・脆弱性報告・行動規範

情シスの審査票が調達・法務部門と共同運用の場合、セキュリティ以外の項目が混ざることもあります。Trust Centerには次の3種類の資料もあり、単独の表に追加して使えます。

VPATはアクセシビリティ適合報告書で、調達の審査項目にアクセシビリティが含まれるときに使います。Security Advisories区画は、脆弱性管理プロセスの審査項目に添える資料です。行動規範の行を除く4項目はボタン表示の公開資料なので、Request accessフォームを使わずに入手できます。

暗号化まわりの審査項目には、CMEK(Customer-Managed Encryption Keys、顧客管理の暗号鍵)に関するホワイトペーパーも用意されています。これは「インフラのセキュリティ」区分の申請制資料の一つで、鍵管理を自社側に置きたいという要件がある審査で参照します。暗号鍵の管理主体を問う項目がある場合は、インフラ構成図とあわせて申請すると1回のやり取りで済みます。

4種類の標準質問票をどう使い分けるか

Trust Centerの「Questionnaires」区画には、SIG Lite・CAIQ Full・VSA Core・HECVATという4種類の回答済み質問票が並んでいます。取引先の指定フォーマットがどれに該当するかで、選ぶ質問票が変わります。

• SIG Lite: Shared Assessmentsが策定した標準質問票SIGの簡易版です。一次審査で概要レベルの確認だけしたい場合に使います
• CAIQ Full: Cloud Security Alliance(CSA)が策定した、クラウドサービス特化の詳細質問票です。クラウド上のデータ保管・暗号化・アクセス制御を深く確認したい審査に向きます
• VSA Core: Vendor Security Alliance(VSA)が策定した質問票です
• HECVAT: Higher Education Community Vendor Assessment Toolkitの略で、主に大学・教育機関がベンダー審査に使う標準フォーマットです

自社の審査票がこの4種類のいずれとも一致しない場合でも、内容の多くは重複しています。項目数の多いCAIQ Fullを取得し、審査票の項目に個別に転記する方法が、質問票を1から作るより早く済みます。

他社の審査ツールとの違い — Trust Center特有の注意点

一般的なベンダー審査では、取引先から個別にアンケートが送られてくる形式も多くあります。AnthropicのTrust Centerは、その逆で「あらかじめ回答済みの資料を自分で取りに行く」形式です。この違いにより、次の3点で運用が変わります。

• 催促のメールを送る相手が決まっていない。個別の営業担当者に依頼する形ではなくフォームで申請するため、承認の進捗を誰に問い合わせるかを事前に社内で決めておきます
• 資料は更新されることがある。社内の審査記録には資料名だけでなく取得日も残しておくと、後日の版の差分を確認しやすくなります
• 申請フォームには「Already have access? Reclaim access」という導線もある。すでにアクセス権を持つ担当者向けの入り口で、初回申請と同じフォームを毎回埋め直す必要はありません

Claudeを含むAI関連の書類をコンプライアンス監査向けに整理する運用そのものは「Claudeで散在した書類をコンプライアンス監査向けに整理する方法」でも扱っています。Trust Centerから取得した資料の保管・棚卸しまで含めて自動化したい場合は、あわせて参照してください。

審査後も更新を追い続ける — 一度きりの確認にしない

導入審査は一度通せば終わりではありません。Trust Centerの「Updates」区画には、認証や資料が更新されるたびに履歴が残ります。認証書や報告書、サブプロセッサー一覧のような審査資料の更新も、この区画に並びます。

年1回の定期審査だけに頼ると、これらの更新に半年以上気づかないことがあります。ヘッダーの「Subscribe to updates」に登録しておくと、更新を通知で受け取れます。審査記録を更新するタイミングを、自社の定期棚卸しではなくAnthropic側の更新通知に合わせる運用にすると、資料の陳腐化を防ぎやすくなります。

まとめ

ログ管理・アクセス権限・データ保持・委託先管理は、公開されているDPAの条文だけで一次回答が書けます。SOC 2報告書やペネトレーションテストの要約は、保持期間の日数のように条文に出てこない欄を埋める段階で申請すれば足ります。