SaaS利用審査基準についての意見募集

Masahiro — Mon, 09 Oct 2023 10:00:11 GMT

私が担当する顧客企業のうちの日本企業1社にて、SaaS利用審査基準の見直しを支援しております。そのことについて、皆様のご意見を賜りたく、投稿しました。

その企業では、各組織から様々なSaaSの利用が情報セキュリティ部門に申請されてきます。情報セキュリティ部門では、用途と自社のセキュリティ・ポリシー、そしてプロバイダーからのアンケート回答やSOC2レポートから、そのSaaSの利用を許可するか審査をします。

しかし、その申請の数が多く、十分に審査をすることができていません。SOC2レポートをプロバイダーから入手しても、中身を読み込むことまで手が回らないことがよくあります。適切に審査できる能力を持った担当者は1名で体制の継続性に不安があります。

そこで、次のように審査基準を単純化し、審査の省力化し審査の難易度を下げようと考えております。具体的には、以下いずれかの基準を満たせば、例外なく利用を許可しようと考えています。

ISMAPまたはFedRAMPによって認定されている。
1年以内に発行された最新のSOC3レポートにて、監査人の意見にネガティブな見解がないか、ネガティブな意見をSOC2レポートで具体的に確認し、自社のポリシーと用途から問題ないことが確認できる。
CASBのスコアリング・サービスにて、非常に高いレベル（たとえばNetskopeならExcellent）である。
最高機密に分類されるデータを保持させない場合、ISO/IEC 27001および27017（個人情報を扱う場合は27018も）の認証を3年以内に受けている。
最高機密に分類されるデータを保持させない場合、CASBのスコアリング・サービスにて、高いレベル（たとえばNetskopeならHigh）である。
機密性の低いデータを保持する場合、CASBのスコアリング・サービスにて、中程度のレベル（たとえばNetskopeならMedium）である。
完全性や可用性については、4～6の機密性を読み替える。

そこで質問です。

以上、感想でもかまいませんので、何等かコメントいただけると、うれしいです。

topic SaaS利用審査基準についての意見募集 in Japan Chapter Discussion Forum