報告を受け止める
脆弱性の報告窓口があり、受領・影響確認・担当者への引継ぎが行われているか。対応が必要な問題の期限と進捗を確認します。
CONTINUOUS SECURITY ASSURANCE
変わり続けるサービスを、
確かめ続ける。
今日、対策を確認できても、明日のコード修正や設定変更で状況は変わります。EVIDECTは、今の実装と、その状態を維持する体制・運用実績を、共通の基準と証拠から継続して評価する認証を目指しています。
認証制度・比較サイトは構想／設計段階このページは評価方針の提案です。認証の発行や、認証企業の一覧公開を開始したものではありません。更新：
01 · 今の実装
実際に、必要な対策が機能しているか。
対象サービスの設定・アクセス権限・処理の動作を確認し、特に次の三つの領域を重視します。認可のルールと、実際の処理がそのルールを通ることの両方を、対象範囲に応じた検査で確かめる方針です。
- 非公開情報の漏えい許可されていない人が、他人の個人情報や非公開のデータを読めないか。
- アカウント・権限の不正利用他人になりすましたり、与えられていない権限で操作できないか。
- 金額・取引の改ざん金額や注文内容を不正に変えたり、決められた取引手順を飛ばせないか。
プログラムの窓口であるAPIなどを洗い出し、実際に動いている構成と検査一覧を照合します。必要なテストがない箇所を把握し、不正な閲覧・操作・取引を想定したテストを行います。必要な確認が未完了の範囲は、適合済みと扱いません。
検査対象、前提条件、未確認の範囲を明示します。テストを実施したことだけで、すべての欠陥がないと結論付けるものではありません。
02 · 変更を支える体制と運用
変更後も、基準を維持できるか。
誰が確認するかという体制と、その体制が実際に働いた記録を、合わせて確認します。コード、設定、利用するソフトウェアの更新を対象に、変更・検査・承認・サービスへの反映をたどれるようにする方針です。
- 変更する権限と、確認する責任を定める。
誰が変更・承認・緊急対応を行えるか。変更の重要度に応じた確認手順と、実際の権限設定を確認します。 - 変更を公開する前に、必要な検査を通す。
所定の検査に合格しない変更を止める仕組みと、検査結果・承認の記録を確認します。 - 検査した内容が、利用者の使う環境に反映されたか照合する。
利用者が使う環境（本番）の変更記録と、検査したコード・設定の版を突き合わせます。管理者による直接変更も確認対象に含めます。 - 緊急時の例外も、再確認まで追跡する。
通常の手順を省略した理由、責任者、再検査の期限と結果を確認します。不具合があれば、元に戻す・停止するなどの対応も記録します。
たとえば、検査を通さない変更が本番に入ったことを検知した場合、影響範囲の認証を確認保留にし、再検証します。通常の変更は共通手順で確認し、重要な変更や例外は追加評価する設計です。
組織の人数だけで評価するものではありません。役割・権限・確認手順と運用実績を見ます。検査を通過しても未知の欠陥は残り得るため、「今後も脆弱性が一切入らない」という保証はしません。開発全体で対策を続ける考え方の参照資料：NIST SSDF［1］。
03 · 新たなリスクへの対応
新しい問題を知った後、対応できているか。
利用するソフトウェアで新たな脆弱性が見つかった場合や、外部から報告が届いた場合に、対象サービスへの影響を確認し、修正と再検査まで追跡します。報告窓口、担当者、対応期限に加え、実際の対応状況を評価する方針です。
対応を数字で伝える
初回の有効な報告受領・検知から、本番で修正を確認するまでの日数。関連する脆弱性の公表日からの日数も、起点を明示して示す設計です。
対応日数には、重要度、集計期間、対象件数、未解決の件数と経過日数を添えます。事例がない場合は「実績なし」とし、0日とは表示しません。暫定対策・リスク受容・影響なしの判断は、修正完了と区別します。
STATUS & SCOPE
確認できている状況を、認証状態に反映する。
会社名から探せる一覧で、サービスごとの対象範囲、判定の根拠、最終確認日時、確認間隔を比較できる仕組みを目指します。会社全体の安全性を一つのマークで保証する設計にはしません。
- 有効
- 対象範囲で所定の基準への適合を確認し、必要な継続確認が行われている状態。
- 検証中
- 初回の評価が完了していない状態。認証取得済みとして扱いません。
- 確認保留
- 未検証の変更、証拠の期限超過、監視の停止などで、現在の適合を確認できない状態。
- 停止
- 認証条件への不適合を確認し、有効な認証としての扱いを停止した状態。
- 失効
- 有効期限の満了や、認証の終了により効力が失われた状態。
状態の理由と更新日時も表示し、必要な修正・再確認を経て状態を更新する方針です。保留・停止・復帰の条件や確認期限は、評価基準として事前に明示します。
確認保留は「危険が立証された」という意味ではありません。未参加の企業も「危険」と評価しません。変更の検知には遅れがあり得るため、最終確認日時と確認間隔を併せて伝えます。
一覧に載せる情報の設計例 · 架空のサービス
サンプル社 ／ 対象サービスA
認証状態の例：確認保留 — 未検証の設定変更を確認
- 対象範囲
- 会員情報・権限管理・注文処理。対象外の機能も記載。
- 判定の根拠
- 適用基準の版、確認した設定・テスト・運用記録の要約。
- 情報の新しさ
- 最終確認日時、状態の更新日時、確認間隔。
- 問題への対応
- 報告窓口、修正に要した日数、未解決件数と経過日数。
静的な表示例です。実在する企業の評価や、動作中の監視結果ではありません。機密を含む証拠の原本は、そのまま一般公開せず、第三者の検証と顧客への要約公開を分ける方針です。
SHARED CRITERIA · VERIFIABLE EVIDENCE
同じ基準と証拠から、判断をたどれるように。
基準、検査手順、証拠の形式を共通化し、機械で確認できる部分を自動化します。自動判定は、対象・証拠・基準と検査ツールの版・検査条件をそろえて再現できるようにし、人による評価が必要な部分も、判断理由と例外を記録する設計です。審査のばらつきと負担を抑え、第三者が再確認しやすくすることを目指します。
証拠の収集元、対象サービスとの対応、必要な範囲がそろっているか、いつの情報かも確認します。記録を保存するだけで適合と判定することはありません。機械で扱える評価情報については、NIST OSCAL［2］などの先行する仕組みも参考にします。
VAPは、証拠と判定の履歴を確認するために。
VAPとの連携では、変更 → 検査 → 承認 → 本番反映 → 対応の記録を結び付け、後から改変されていないかを検証する仕組みを検討しています。ハッシュ値（データから計算する要約値）、署名、外部に固定した記録を組み合わせる設計です。［3］ ［4］
ハッシュ計算やVAPそのものが、安全性を証明するわけではありません。
記録が改変されていないことと、記録の内容が正しいこと、対策が適切なことは、それぞれ別に確認します。一度も収集されなかった操作の記録まで、ハッシュから復元・確認することはできません。
よくある質問
ISO 27001と、何が違いますか？
ISO/IEC 27001は、情報セキュリティを管理し、維持・改善する仕組みの要求事項を定めています。組織のリスク管理と継続的な改善を支えるための規格です。［5］
EVIDECTの構想は、対象サービスの実装と運用の証拠、共通手順による評価、更新される確認状態を、顧客が比較できるようにするものです。既存の管理体制の認証を補完することを目指します。
「数学的に安全」と証明する認証ですか？
構想の中心は、共通基準と機械で検証できる証拠に基づく評価です。企業全体の安全性や、将来の事故ゼロを数学的に証明するものではありません。必要に応じて特定のルールや性質の形式検証を活用する場合も、その対象と前提条件を明示し、実際の処理・設定との対応を別に確かめます。
公開情報を見るだけで認証できますか？
公開情報による調査は、問題の候補を見つける入口です。認証構想では、対象組織の許可と協力の下で、実装・設定・検査・運用の記録を確認します。外から見える情報だけで、変更管理の体制や内部の対策まで確認済みとは扱いません。
認証の申請や、認証企業の検索はできますか？
認証制度と比較サイトは構想・設計段階です。評価基準、対象範囲、確認間隔、審査・異議申立ての運営方法などを具体化しています。現時点では、構想へのご意見や実証に向けたご相談を受け付けています。
考え方の参照資料
- NIST SP 800-218：Secure Software Development Framework v1.1開発全体での役割、検査基準、証拠の保護、脆弱性への対応。
- NIST：Open Security Controls Assessment Language（OSCAL）実装・評価の情報を共通の機械可読な形式で扱う取り組み。
- NIST FIPS 180-4：Secure Hash Standardハッシュによるデータ変更の検知。
- VAP Framework Specification v1.2.0（Draft 3）参照版を固定した設計資料。EVIDECTでの連携は設計段階です。
- ISO/IEC 27001：Information security management systems情報セキュリティ管理の仕組みを確立・運用・維持・継続改善する規格。
参照資料は、この認証構想への承認や、EVIDECTの適合認証を示すものではありません。