事例インタビュー
SOC2 Type2の効率的な取得のためShisho Cloudのクラウド診断を活用。SaaSのグローバル展開を加速
・グローバルに展開しているエンジニア組織の開発生産性可視化・向上SaaS「Findy Team+」を対象にSOC2 Type2※1の取得を目指していた。
・SOC2取得が複数の取引先との商談における必須条件となっており、対応が急務だった。
・SOC2取得のために導入したツールはセキュリティ・コンプライアンス自動化プラットフォームDrata※2と脆弱性診断ツールShisho Cloud （以下Shisho Cloud）。
・Drataを中心に取得プロセスを進め、監査法人もDrataの紹介を受けた。
・取得前にはセキュリティ条件を満たすことができず商談を実施できなかった企業も、取得後は商談の機会をいただけた。
・SOC2と関係なく、日々セキュリティ対策を実施し、開発プロセスを整備していたおかげでスムーズに取得することができた。
※1 本事例取材時点ではSOC2 Type1のみ取得済みでしたが、2025年3月にSOC2 Type2も取得されています。
※2 Chainopticは Drataの提供に関与していません。
会社・事業
——貴社について教えてください。
CTO室 シニアSRE 安達涼さん
安達さん：ファインディは「挑戦するエンジニアのプラットフォームをつくる。」をビジョンに掲げている会社です。
IT/Webエンジニアの転職サービス「Findy」、ハイスキルなフリーランスエンジニア紹介サービス「Findy Freelance」、エンジニア組織の開発生産性可視化・向上SaaS「Findy Team+」、開発ツールに特化したレビューサイト「Findy Tools」などのサービスを展開しています。
——今回SOC2 Type1を取得されましたが、貴社としてセキュリティについて意識していることはありますか？
安達さん：弊社が展開するサービスは人材関連のものが多く、個人情報の保護が極めて重要です。
個人情報保護法を遵守するため、データ暗号化やデータ保存時の通信制御、AWSのIAMロール設定におけるミスの防止など、総合的な対策が必要です。
また、GitHubなど様々なサービスとの連携をしているので、認証・認可の設定が非常に重要になります。求人情報などのAPIも多数提供しており、アプリケーションの脆弱性に対する監視も不可欠です。
SOC2の取得
——SOC2 Type1の取得背景について教えてください。
SOC2（Service Organization Control Type 2）は、米国公認会計士協会（AICPA）が定めたサイバーセキュリティ・コンプライアンスの国際的な枠組みです。トラストサービス原則と基準に則り、サービスを提供する組織の管理体制を評価し、SOC2保証報告書を作成します。 |
浜田さん：SOC2はFindy Team+を対象として取得しました。
プロダクト開発部 Team+開発 副部室長 浜田直人さん
Findy Team+はSaaSプロダクトなので顧客データをこちらの環境に保存する必要があります。そのため、利用にあたって顧客から高いセキュリティ要件を求められることも多いです。
Findy Team+はグローバルに展開しており、インドにも拠点を構えています。ISMSは以前から取得していましたが、国際的にはISMSよりもSOC2がスタンダードです。
特に、SaaSやクラウドの領域ではよりその傾向が顕著であり、実際にSOC2を取得していないことを理由に商談に至らなかったケースが複数ありました。SOC2を取得しないとそもそも商談のテーブルにつけないということなので、取得を進めることになりました。
——まずは何から始めましたか？
浜田さん：SOC2を取得するために必要なツール、監査法人を探すところから始めました。
体制は特に変えておらず、アプリケーション面は私のチーム、インフラ面は安達がいるSREチーム、プライバシーポリシーなどドキュメント周りの整備はセキュリティ室といった形で既存の部署で役割を分担して進めました。全体のプロジェクトマネジメントも私が行いました。
——具体的にはどのように進めましたか？
浜田さん：今回はDrataというセキュリティ・コンプライアンス自動化プラットフォームを利用しました。
Drataは、SOC2を含む様々なセキュリティ・コンプライアンスフレームワークの達成と維持を効率化し、自動化するためのプラットフォームです。 |
弊社で使っているコード管理やインフラ、ログ管理サービスをDrataに連携し、Drata上で要対応になっている箇所を1つずつ解決していく形で進めました。
新たに活用したツールはDrataとShicho Cloudのみで、それ以外は既存のツールで対応できました。
——監査法人はどのように決めましたか？
浜田さん：監査法人の選定もDrataに協力してもらいました。
Drataは世界的にSOC2取得を支援しており、監査法人とのコネクションも持っています。今回はDrataを中心にSOC2の取得対応を行なっていたため、効率化の観点からDrataの活用に慣れている海外の監査法人を紹介してもらいました。
Drataを使用しない監査法人の場合、Drataを使用しているにもかかわらず別のフォーマットで監査資料を提出する必要があるなど、工数や時間の面でのネックがありました。
今回依頼した監査法人の方はDrataを利用して自ら必要な証跡を確認してくれたのでとても楽でした。
Shisho Cloudについて
——新たに活用したツールはDrataとShisho Cloudのみとのことでした。Shisho Cloudの導入背景を教えてください。
安達さん：以前はSecurity Hubを活用していました。しかし、AWS Organizationsで管理していることにより数十個以上のクロスアカウントが存在することや、Google Cloudも利用していることにより一元管理ができないといった課題がありました。また、操作性や評価結果の視認性が悪く、トリアージの集計工数がかかることや英語のドキュメントが多く素早く対応できないなど、やや活用の難易度が高く、より良いツールを探していました。
そして、ジュニアなSREも含め幅広く使えるものが欲しいとも考えていたため、機能やわかりやすさ、コストパフォーマンスの観点からShisho Cloudを導入しました。
Shisho Cloudを導入したアーキテクチャ
——Shisho Cloudの具体的な活用内容を教えてください。
安達さん：SOC2を取得したFindy Team+だけでなく、全てのサービスで利用しています。
検知結果は重大度に応じてランクづけされて通知されるのですが、「Critical」「High」となっている検知結果は全て潰すことを目標にしています。
検知結果をSlackに通知するようにしており、通知が来たら検知結果に対してみんなでやりとりする文化醸成もできています。通知を受けた際にメンバーが自ら率先して対応を取ってくれているのがとても嬉しいです。
——診断実施や対応の流れを教えてください。
安達さん：誰かが変更を加えたらすぐに実施し、問題があった時にすぐ通知されるようにしています。
対応の有無については、Embedded SRE（各アプリケーションチーム専属のSRE）含めて全体で共有し合って判断しています。
具体的には、隔週でSLA/SLOの振り返り、月1でEmbedded SREの報告会を実施しており、そこで協議、優先順位づけをしています。
——SOC2にフォーカスすると、どのように活用していますか？
浜田さん：Drataは使用していますが、Drataはあくまで要対応箇所を検知するだけなので、インフラの具体的に踏み込んだところまでは対応できません。そのため、具体的な箇所はShisho Cloudで対応しています。
もしShisho Cloudを使っていなければSREチームなどのインフラ管理担当が自分たちで管理画面を確認する対応を自前で整備する必要があり、Security Hubなどを使わざるを得ないと思います。
SOC2 Type1取得の成果
——SOC2 Type1を取得した効果はどのように現れていますか？
浜田さん：取得前に商談を実施できなかった会社に再度連絡して、商談につながった例があります。
一方で、Type2を求めている顧客も多く、その場合はType2も取得するのでその際はお願いしますと次に繋げる形になっています。
今後の取り組み
——SOC2 Type2取得の話もありましたが、セキュリティ領域の今後の取り組みについて教えてください。
※冒頭に記載の通り、現在はSOC2 Type2取得済みです。
浜田さん：上記の課題もありますので、SOC2 Type2の取得には既に動いています。
Type2は継続してセキュリティが高い状態を保てていることの保証なので、今回Type1を取って終わりということではなく、ずっと継続させていくことが重要になります。Shisho Cloudの継続利用も含め、セキュリティのレベルを落とさないように、世の中の変化に合わせて対応していかなければならないと思っています。
安達さん：クラウド環境におけるセキュリティ強化は前提として取り組んでいますが、加えて AWS Well-Architected Framework に準拠した運用を意識し、FTR（Foundational Technical Review） の取得も視野に入れて進めています※。
現状では、AWSのアカウント内の状況をリアルタイムで把握するのが難しいため、可視化を目的としたログモニタリングに注力しています。特に、WAFで検知される広域攻撃の送信元IPアドレスの傾向分析が可能な仕組みを作ろうとしているところです。
※ AWS FTRは本事例取材実施時点では未取得でしたが、2025年4月に取得済みです。
振り返り
——SOC2 Type1取得を振り返って、やっておいて良かったことや大変だったことを教えてください。
浜田さん：割とスムーズにできたと思っています。具体的には、取得に動き出して約半年でType1を取得することができました。ただ、日々の積み重ねがあったからこそできたことで、それがなければ今回のスピードでの取得は難しかったと思います。
例えば、SOC2と関係なく、インシデントの証跡や再発防止策をドキュメントにして残していました。セキュリティだけではありませんが、プロダクトを運用していく上で、証跡を確認できるようにしておくことなどプロセスの整備がかなり大事だと改めて感じました。
——SOC2の取得を検討している企業に向けてアドバイスがあればお願いします。
浜田さん：先ほどの話ともつながりますが、日々のセキュリティ対策と開発プロセスの整備が重要だと思います。
例えば、パッチ管理やセキュリティを考慮したアーキテクチャ設計、非機能要件を意識した開発などです。特に開発初期段階では機能開発が優先され、これらの整備が不十分になりがちです。しかし、スケールさせていくうえでは重要になります。
SOC2の取得を検討するということはある程度スケールしていると考えられます。上記のような点を意識することでSOC2のスピーディーな取得につながると思います。
——安達さん、浜田さん、本日はどうもありがとうございました！
