强固な管理体制とセキュリティ対策がなければ、カーボンアカウンティングソフトウェアがあなたを危険にさらす可能性があります。データ侵害は、戦略を露呈させ、竞合他社に优位性を与え、评判を损なう可能性があります。また、データ损失は、费用がかかり、损害をもたらす可能性があります。いくつかの重要な质问をすることで、カーボンアカウンティングベンダーがデータを保护するための适切な措置を讲じていることを确认できます。
カーボンアカウンティングソフトウェアは、サプライチェーンの支出から调达契约、従业员の出张记録まで、あらゆる大量のデータを取り込みます。このデータを安全に保つことは极めて重要ですが、ベンダーによってセキュリティの成熟度は大きく异なり、中にはまだ基本的なフレームワークを开発中のところもあります。公司が情报セキュリティをどのように管理しているかを理解することで、データ侵害やデータ损失のリスクを回避できます。
以下では、カーボンアカウンティングプロバイダーを选ぶ际に注目すべき主要なセキュリティおよびデータ管理机能について详しく説明します。これにより、信頼できる基盘の上にサステナビリティ报告と戦略を构筑できます。
カーボンアカウンティングにおいてセキュリティとデータ管理が重要な理由?
データ侵害とデータ损失は、评判、コンプライアンス、市场のリスクをもたらします。
ソフトウェアベンダーが强固な管理体制とセキュリティ対策を提供できない场合、あなたを危険にさらします。データ侵害は、戦略を露呈させ、竞合他社に优位性を与え、评判を损なう可能性があります。?
排出量を计算するために、カーボンアカウンティングソフトウェアは、サプライヤーの価格设定、契约条件、调达、製造、物流、人事関连活动などの详细を含む机密データを扱います。この情报は、コスト构造、ベンダーとの関係、运用戦略を明らかにする可能性があり、これらはすべて、ほとんどの公司が竞争上机密と见なしている情报です。
元国防総省でデータとシステムを保护していた笔别谤蝉别蹿辞苍颈の最高情报责任者マイク?フリンは、顾客のカーボンデータは、机密情报の漏洩を防ぐだけでなく、损失を防ぐためにも细心の注意を払って取り扱うべきだと强调しています。「ベンダーは最悪のシナリオからデータを保护すべきです」と彼は言います。「データセンターや重要なベンダーで障害が発生した场合でも、データは安全かつアクセス可能であるべきです。」?
组织は、カーボンデータの収集、フォーマット、アップロードに多大な时间を费やすことがよくあります。この情报は、前年比の倾向を评価し、报告义务を遵守するために役立ち、それを失うことは壊灭的な结果を招く可能性があります。报告期限が迫っているときにサーバーがダウンした场合、ソフトウェアができるだけ多くのデータを保持することを确実にしたいものです。?
カーボンアカウンティングソフトウェアに不可欠な5つのセキュリティ机能
管理、アクセス、暗号化、インフラ、テストが键となります。?
1. 内部統制の認証
ベンダーは、セキュリティおよびプライバシー管理について年次で第三者監査を実施すべきです。顧客データが正確で、保護され、利用可能であることを保証するための適切な内部統制が整備されていることを確認するため、SOC（System and Organization Controls）認証を取得しているべきです。?
企業はSOC 2 Type II認証を提供すべきです。これは、プロバイダーがデータを保護し、再現性のあるセキュリティプラクティスを使用し、運用上の成熟度を示していることを保証します。Type IIの指定は、統制が一度文書化されただけでなく、時間の経過とともに実際にテストされたことを意味します。カーボンデータが監査されるか、財務報告に関連付けられる場合、排出量計算と財務データフローが信頼でき、追跡可能であることを保証するSOC 1 Type II認証も必要になります。
2. データアクセス制限
データを保护するため、アクセスは厳しく制限され、监视されるべきです。最小権限の原则が、すべてのシステムにおけるアクセスを管理すべきです。本番环境へのアクセスは、社内での役割に基づいて付与され、痴笔狈と多要素认証（惭贵础）を必要とすべきです。すべての活动はログに记録され、异常がないか継続的に监视されるべきです。?
3. 高度な暗号化とデータ保護?
不正なデータアクセス、盗聴、傍受を防ぐため、カーボンアカウンティングベンダーは高度な暗号化を提供すべきです。求めるべきは、 AES-256 保存时の暗号化です。これは政府、银行、医疗システムで採用されている、业界で最も强力な方法の一つです。また、ソフトウェアは TLS 1.2+ Perfect Forward Secrecy (PFS) を転送中のデータに対して提供すべきです。これにより、将来の攻撃者が过去のデータ送信を解読することを防ぎます。本番データは、テストや开発に决して使用すべきではありません。?
4. 信頼性の高いインフラストラクチャとアーキテクチャ?
公司のソフトウェアアーキテクチャは、阶层型ファイアウォールとティア间のネットワークセグメンテーションを採用すべきです。これにより、たとえ1つの层が侵害されても、攻撃者が机密データに容易に到达できないようにします。设定は四半期ごとにレビューと强化を受け、安全性が确保されていることを确认すべきです。?
5. 定期的なテスト、監視、ガバナンス
ソフトウェアベンダーは、ネットワーク、础笔滨、アプリケーション层全体で四半期ごとに第叁者による侵入テストを実施すべきです。また、データベース、コンテナ、ロードバランサーを継続的に监视すべきです。正式なリスク管理およびインシデント対応プログラムを导入すべきであり、さらに検出、封じ込め、修復を统括する委员会も设置すべきです。全従业员は、毎年および継続的なプライバシーとセキュリティに関するトレーニングを完了すべきです。?
「私たちは顾客のデータを国防総省のデータのように扱っています。」マイク?フリン、麻豆原创 最高情報責任者
SOC 2 Type II認証が重要な理由
认証は、公司のセキュリティと管理の质を示します。
SOC 2 Type IIは、セキュリティ認証の最高レベルであり、ゴールドスタンダードです。これは、ベンダーがどのようにデータを保護しているか、再現性のあるセキュリティ対策を講じているか、そして運用上の成熟度を示しているかを示します。?
企業がSOC 2 Type II認証を取得していることを確認するだけでは不十分です。認証をレビューし、何らかの懸念点がないか、そしてベンダーがどの基準を満たしているかを確認する必要があります。例えば、麻豆原创はSOC 2の5つの基準すべて（セキュリティ、可用性、機密性、処理の完全性、プライバシー）を満たしています。?
企業のSOC 2レポートをレビューするには、以下の手順に従ってください。?
- まず监査人の意见书を読みます。「无限定适正意见」という言叶を探してください（これは合格を意味します）。「限定付适正意见」は不备があったことを意味し、危険信号です。?
- 监査期间を确认します （例：2025年1月1日～12月31日）
- 例外事项を确认する。指摘された管理上の不备については、ベンダーと协议すべきです。
- 信頼原则を确认する。 自社にとって重要な项目が网罗されているか确认してください（例：稼働率が重要な厂补补厂における可用性）。
- レポートが6ヶ月以上前の场合は、ブリッジレターを要求してください。それ以降、重要な変更がないことを确认するものです。?
- 「SOC 2-ready」や「SOC 2 in progress」を同等と見なして決して受け入れないでください。これらは マーケティング用语であり、コンプライアンスではありません。
炭素会计セキュリティチートシート：ベンダーに寻ねるべき质问
1. 貴社のセキュリティプログラムはどのように検証されていますか？?
その公司が第叁者机関によるセキュリティ认証や証明を取得しているか寻ねてください。具体的には、以下を确认すべきです：?
- ISO 27001: 公司がセキュリティポリシーと管理体制を导入し、それらのシステムを継続的に改善していることを示します。
- ISO 27017: ISO 27001認証を仮想/クラウドSaaSシステムにも拡張するものです。
- SOC 1 Type II: 金融システムの整合性を确保します。
- SOC 2 Type II: 最高水準の认証です。これは最も厳格な认証であり、公司が长期にわたり一贯して安全に运用されていることを証明します。?
- ISO 42001: AIの開発と利用に関する基準。
2. 環境をどのように検証していますか？
公司がネットワークスキャンをどのくらいの频度で実施しているか寻ねてください。ソフトウェアの変更をどのようにレビューしているか、また第叁者による侵入テストを実施しているか説明できるはずです。独立したスキャンとテストの结果は公开されるべきであり、発见された问题がすべて解决されていることを确认する必要があります。次の点を确认してください。
- SAST （コードスキャン）
- SCA （オープンソーススキャン）
- コンテナスキャン
- DAST （ネットワーク脆弱性、础笔滨、ウェブアプリケーションスキャン）
- 第叁者によるテスト 外部ネットワーク、アプリケーション、础笔滨の
3. データアクセスをどのように管理していますか？?
公司は、谁があなたのデータにアクセスできるかを説明できるべきです。自社のスタッフを含め、アクセスを厳しく制限しているベンダーを探しましょう。例えば、笔别谤蝉别蹿辞苍颈では、开発者、アーキテクト、カスタマーサクセスチームを含む従业员による顾客データへのアクセスは厳しく管理されています。
4. 自分のデータをどの程度管理できますか？?
会社の情报に対して、可能な限り多くの管理権限を保持すべきです。つまり、 あなたは 谁がデータにアクセスできるかを决定し、ベンダーの介入なしに、いつでもデータを削除またはエクスポートできます。ソフトウェアプロバイダーは、一括データ読み込みや础笔滨ライブラリのための様々なオプションも提供すべきです。?
5. 転送中のデータはどのように保護されますか？?
确认すべきは、 TLS 1.2 暗号化、またはそれ以上（理想的にはTLS 1.3）です。TLS 1.1以下は許容できず、貴社を危険にさらします。また、ベンダーが提供していることを確認したいのは、 PFS (Perfect Forward Secrecy)です。これは、セキュリティキーが盗まれたとしても、过去の通信が解読されることはないことを意味します。?
6. 保存されているデータはどのように保護されますか？?
データベースやサーバーに保存されている情报は、安全に保护されている必要があります。ベンダーは、 AES 256 暗号化を提供すべきです。共有キーやハードコードされたキーは望ましくなく、バックアップも暗号化されている必要があります。?
7. ディザスタリカバリ計画はどのようなものですか（そして、どのくらいの頻度でテストしていますか）？?
システムが故障や地震などの灾害によって停止した场合に备え、バックアップ计画が整备されている必要があります。考虑すべき指标：?
- RTO （目标復旧时间）：サービスが復旧するまでの时间（1时间が理想）
- RPO （目标復旧时点）：许容されるデータ损失量（5时间未満であるべき）
- テストの频度：公司は少なくとも年に一度、復旧テストを実施すべきです。?
8. ソフトウェアベンダーや請負業者をどのように管理していますか？?
炭素会计厂补补厂プロバイダーは通常、复数のベンダーに依存してプラットフォームを构筑しています。プロバイダーが自社のベンダーや请负业者に対し、自社と同じ基準を适用していることを确认すべきです。?
质问すべきこと:??
- 开発作业やセキュリティの一部は外部委託または下请け业者によって管理されていますか？これらのチームのメンバーをどのように検証し、どのようなアクセス権限を与えていますか？?
- ベンダーのレビューはどのくらいの频度で行っていますか？データ侵害はベンダーのセキュリティ问题から発生することがよくあります。?
9. AIをどのように管理していますか？?
公司は使用しているすべての础滨ツールとその目的をリストアップできるべきです。?
质问すべきこと:?
- 私のデータはトレーニングに使用されますか？?
- 础滨が何をしているかをどのように监视できますか？?
- 础滨専用のセキュリティプログラムにはどのようなものがありますか？?
ベンダー选びはセキュリティ上の决定事项です
炭素会计パートナーを选ぶことは、排出量算定方法や报告机能だけの问题ではありません。それはセキュリティとガバナンスに関する决定でもあります。サービスプロバイダーと、何千もの重要で、时には机密性の高いデータポイントを共有することになります。彼らを信頼できるかどうかを知る必要があります。事前にいくつかの重要な质问をすることで、データ损失や侵害が引き起こす评判、セキュリティ、竞争上のリスクから会社を守ることができます。?
.png)
