導入の稟議や取引先のセキュリティー審査では、ISO認証やSOC 2の報告書の提出を求められることがよくあります。1Passwordはこれらの資料を、Trust Centerというサイトにまとめて置いています。誰でも見られる資料と、アクセスを申請して承認を受けてから見られる資料があり、どちらに何があるかを知っておくと、依頼を受けてから資料がそろうまでの時間を短くできます。このページでは、取得している認証と報告書、Trust Centerでの資料の探し方、ペネトレーションテストとバグバウンティー、SOC 2の報告書を受け取った後の確認、日本の審査との対応、資料の更新と保管を説明します。
取得している認証と報告書
1Passwordが取得している主な認証と、提供している報告書は次の通りです。
| 認証や報告書 | 内容 |
|---|---|
| ISO/IEC 27001:2022 | 情報セキュリティーを管理する体制（ISMS）の認証。適用宣言書（SoA）も提供している |
| ISO/IEC 27017:2015 | クラウドサービスの情報セキュリティー管理策 |
| ISO/IEC 27018:2019 | パブリッククラウドでの個人情報の保護 |
| ISO/IEC 27701:2019 | プライバシー情報を管理する体制（PIMS）の認証 |
| SOC 2 Type 2 | 一定の期間にわたり統制が運用されていたことを監査人が評価した報告書 |
| ペネトレーションテストの報告書 | 外部の監査人による年1回のテストの結果 |
このほか、Trust Centerには、CSA STAR Level 1、TISAX、TX-RAMP、PCI DSSの報告書、アクセシビリティーの適合状況を示すVPAT、GDPRへの対応が並んでいます。欧州の自動車業界やテキサス州の調達など、特定の業界や地域で求められるものです。日本の組織が審査で使う機会が多いのは、ISO 27001とSOC 2 Type 2の2つです。
報告書は、製品名ではなく運営会社の法人名で発行されています。社内の審査記録には製品名とあわせて発行名義を控えておくと、後から照合するときに迷いません。
Trust Centerで公開と非公開を見分ける
資料は<a href="https://trust.1password.io/" target="_blank">1Password Trust Center</a>にまとまっています。資料の一覧は公開と非公開で絞り込め、非公開の資料はアクセスを申請して承認されてから閲覧とダウンロードができます。まとめてダウンロードする機能もあります。
審査でよく使う資料を、置き場所の区分ごとに並べると次の通りです。
| 区分 | 主な資料 |
|---|---|
| 報告書 | SOC 2の報告書、SOC 2のブリッジレター、ペネトレーションテストの報告書、PCI DSS |
| 認証 | ISOの各認証、ISO 27001の適用宣言書、SOC 2 Type 2 |
| 自己評価の質問票 | CAIQ v4.0.2、HECVAT Full、SIG |
| 法務 | 再委託先の一覧（Subprocessors）、データ処理契約（DPA）、サイバー保険 |
| 社内の規程と基盤 | アクセス制御などの方針、ネットワーク構成図、ホスティング先の説明 |
取引先から独自の質問票が届いた場合は、先にCAIQかSIGを渡せないか相談してください。どちらも業界で広く使われる形式で、質問の大半を埋められます。個別の質問票に1問ずつ答えるより、根拠の食い違いも起きにくくなります。
【注意】 非公開の資料は、承認を受けるまで開けません。審査の締め切りが迫ってから申請すると間に合わないことがあるため、導入の検討を始めた段階で申請しておいてください。
ペネトレーションテストとバグバウンティー
1Passwordは外部の監査人に定期的なペネトレーションテストを依頼しており、年1回の報告書をTrust Centerで提供しています。2025年11月3日から、報告書の配布はTrust Centerに一本化されました。同じ範囲の報告書を最近出した場合や、未公開の機能が対象の場合は、報告書を公開しないことがあります。
脆弱性の報告を受け付けるバグバウンティーは、2024年12月からHackerOneで公開のプログラムとして運営されています。自動プロビジョニングを支えるコンフィデンシャルコンピューティングの基盤は、2024年9月に独立した監査を受け、重大な脆弱性は見つかっていません。
審査では、ペネトレーションテストの有無だけでなく、見つかった問題にどう対応したかを問われることがあります。報告書を受け取ったら、指摘の件数と深刻度、対応の状況が書かれているカ所に目を通しておいてください。
SOC 2の報告書を受け取ったら
SOC 2 Type 2の報告書は、受け取って保管するだけでは審査の役に立ちません。少なくとも次の3点を確かめてください。
対象の期間
報告書は一定の期間の運用を評価したものです。期間が終わってから次の報告書が出るまでの空白は、ブリッジレターで埋めます。提出を求められたら、報告書とブリッジレターを組にして渡してください。
対象の範囲
どのサービスと拠点が監査の対象かを確かめます。自社が使う製品が範囲に含まれているかどうかが、回答の根拠になるかを決めます。
例外事項と利用者側の統制
監査人が指摘した例外があれば、その内容と1Password側の対応を読みます。SOC 2の報告書には一般に、利用する組織の側で整えるべき統制も書かれています。多くは、アクセス権の管理や退職者の削除のように、このガイドの各ページで扱う運用です。自社の運用がそれを満たしているかを、審査の前に確かめてください。
日本の審査との対応
Trust Centerに並ぶのは、国際的な認証と、米国や欧州の制度です。ISMAPのような日本の制度を求められたときは、<a href="https://www.ismap.go.jp/" target="_blank">ISMAPポータル</a>のクラウドサービスリストで登録の状況を確かめてください。
米国の医療情報の規制であるHIPAAについて、1Passwordは事業提携者に当たらないという立場を取っています。保存したデータを1Password社が復号できないためで、BAAは結びません。米国の医療機関と取引がある組織は、この立場を前提に回答してください。
個人情報保護法の検討では、データを保存するリージョンと、1Password社が暗号化せずに持つ情報（氏名、メールアドレス、IPアドレスなど）を材料にします。1Password社が持つ情報は暗号化とゼロナレッジの仕組み、リージョンはリージョンの選択とデータの保管場所で扱います。法令上の判断は社内の法務と行ってください。
資料の更新と保管
認証には有効期間があり、SOC 2の報告書は期間ごとに新しいものが出ます。取引先の審査は毎年のように繰り返されるため、資料を入手した日付と対象の期間を台帳にして管理してください。
【運用のポイント】 非公開の資料は、利用条件の範囲で社内に保管します。審査の窓口を1つに決め、その人がTrust Centerから取り直す運用にすると、古い版が社内で出回りません。取引先へ渡す場合も、社内のファイル共有に置いた版ではなく、その時点で最新の版を取り直してください。回答書全体の組み立て方はセキュリティー審査への回答の作り方で扱います。