AIエージェントプラットフォームにSOC 2が重要な理由
企業がAIエージェントプラットフォームを評価する際、セキュリティとコンプライアンスは一貫して最重要要件として挙げられます。エンタープライズリーダーの75%がセキュリティ、コンプライアンス、監査可能性をエージェントデプロイの最も重要な基準と述べています。
SOC 2 Type IIは、SaaSプラットフォームが顧客データを保護するために必要なコントロールを備えていることを証明するゴールドスタンダードです。自己評価ではなく、独立したCPAファームが延長された観察期間にわたってコントロールを検査するサードパーティ監査です。
特にAIエージェントプラットフォームにとって、SOC 2は以下を検証します：
- AIエージェントが処理する顧客データが保護されている
- アクセスコントロールが未承認のエージェントアクションを防止
- 監査証跡がすべてのシステムアクティビティをキャプチャ
- インシデント対応手順が整備されている
- 変更管理コントロールがプラットフォーム更新を管理
監査対象
JieGouのSOC 2 Type II監査は5つのTrust Service Criteriaをカバーします：
1. セキュリティ（Common Criteria）
SOC 2の基盤。セキュリティコントロールには以下が含まれます：
- BYOK（Bring Your Own Key）APIキーの保存時のAES-256-GCM暗号化
- セッションクッキー管理付きFirebase Authentication
- 20のきめ細かい権限を持つ6ロールRBAC（Owner > Admin > Manager > Editor > Viewer）
- LLMエンドポイントへのRedisバックレート制限（ユーザーあたり30リクエスト/分）
- LLMレジリエンスのためのプロバイダーごとのサーキットブレーカー
2. 可用性
プラットフォームのアップタイムと信頼性のコントロール：
- オートスケーリング付きEKS上のKubernetesデプロイメント
- 構造化モニタリング付きヘルスチェックエンドポイント
- カテゴリ別リトライロジック付きデッドレターキュー
- ワークフロー実行リカバリーのためのスタール実行ウォッチドッグ
3. 処理の完全性
AIエージェント出力が完全、有効、正確であることの保証：
- LLM-as-judge評価付きBakeoffテストフレームワーク
- 自動品質スコアリング付きテンプレートヘルスCI
- 反復的品質改善のための収束ループ
- 統計的信頼度（Kendall’s tau、Spearman’s rho）付きマルチジャッジ評価
4. 機密性
機密ビジネスデータの保護：
- カテゴリごとの分類（HIPAA/GDPR/PCI-DSS/SOX/FedRAMP）付きデータレジデンシーコントロール
- 顧客APIキーが管理外に出ないBYOK暗号化
- エージェントが関連部門のデータのみ参照する部門スコープデータアクセス
- 4つのスコープを持つ実行可視性コントロール：プライベート、部門、アカウント、グループ
5. プライバシー
顧客データ取り扱い慣行：
- 30アクションタイプ、ファイアアンドフォーゲットの監査ログ
- ビジュアルガバナンスイベント履歴のためのコンプライアンスタイムライン
- 8カテゴリにわたる17 TSCコントロールのエビデンスエクスポート
- 設定可能な保持ポリシー付きGDPR対応データ処理
監査タイムライン
SOC 2 Type II監査は2026年3月5日に12ヶ月の観察期間で開始しました：
- 2026年3月： サービス期間開始、Vanta継続モニタリングアクティブ
- 継続中： コントロールがモニタリングされ、エビデンスが自動収集
- 2027年3月： 観察期間終了、監査レポート発行
Type I（vs. Type II）ではなくType IIを選択したのは、コントロールが設計されているだけでなく時間をかけて効果的に運用されていることの証明が必要だからです。Type I監査はある時点のスナップショットです。Type II監査は持続的なコンプライアンスを証明します — エンタープライズ顧客が実際に必要としているものです。
顧客にとっての意味
JieGouを評価するエンタープライズ向け：
-
**「SOC 2 Type II — 監査進行中」**はセキュリティコントロールのサードパーティ検証にコミットしたことを意味します。監査はアクティブで継続的にモニタリングされています。
-
ガバナンススタックがSOC 2の基盤。 AIエージェントガバナンスのために構築した10層ガバナンスアーキテクチャ、監査ログ、RBAC、コンプライアンスコントロールは、SOC 2監査が検証するのと同じコントロールです。
-
エビデンスエクスポートは既に利用可能。 監査の完了を待つ必要はありません。JieGouのエビデンスエクスポートは8カテゴリにわたる17 TSCコントロールをカバー — 社内コンプライアンスチーム向けに構造化。
JieGouの位置付け
ほとんどのエージェントネイティブプラットフォーム（CrewAI、LangGraph、AutoGen）にはSOC 2認証や進行中の監査がありません。エンタープライズ自動化プラットフォーム（Zapier、Make）にはSOC 2がありますが、エージェント固有のガバナンスコントロールを提供しません。JieGouは両方を組み合わせます：エンタープライズグレードのセキュリティ認証と、目的に特化したAIエージェントガバナンス。
JieGouのセキュリティとコンプライアンスの詳細：
- セキュリティページ — 詳細なセキュリティアーキテクチャ
- コンプライアンス機能 — ガバナンスコントロールとコンプライアンスフレームワーク
- エンタープライズトライアルを開始 — 完全なガバナンスとコンプライアンス機能で評価