アンケートの問題
小規模なソフトウェア企業は毎四半期、エンタープライズ案件を失っています。その理由はほとんどの場合、製品ではありません。書類手続きです。
エンタープライズ購買チームは長いセキュリティアンケートを送付します。典型的なフォームは150問に及びます。正式なリスク評価、変更管理プロセス、過去の監査記録について質問します。小規模チームの多くには、専任のセキュリティ担当者がいません。1件のフォームに40〜80時間かかります。その時間は製品開発とカスタマーサポートから奪われます。
ソフトウェア自体は多くの場合、安全ではありません。問題はチームが十分に速く証明できないことです。
ISO 27001認証はこの問題を解決します。認証書と適用宣言書は、150問のフォームの大部分に回答します。認証済みのサプライヤーは、新しい案件のたびにエビデンスファイルを一から作り直す必要がありません。認証書がエビデンスファイルそのものです。
価値はチェーンの下流へ流れる
ISO 27001の価値は最初の購買者で止まりません。サプライチェーンを下流に流れていきます。
例として、PII処理に認証済み匿名化ツールを使うリーガルテックスタートアップを考えてみましょう。そのスタートアップ自身もエンタープライズ顧客を持ちます。その顧客は「御社のPIIツールはどのような認証を保有していますか？」と尋ねます。スタートアップは匿名化ツールのISO 27001認証書を回答に含めます。エンタープライズ顧客のセキュリティチームがそれを確認し、ベンダー評価項目を完了します。
スタートアップはツールを自社で監査していません。認証書がその作業を担いました。1社の認証済みサプライヤーが、チェーン上流のすべての企業のコンプライアンス負荷を軽減します。
コストとリターン
初回のISO 27001監査費用は1万5千〜5万ユーロです。年次サーベイランス監査の費用も継続的に発生します。規制産業のサプライヤーにとって、この投資は最初の2〜3件のエンタープライズ案件で回収されることが多くあります。認証書がなければ停滞していた案件です。
エンタープライズ購買者にもメリットがあります。ベンダー評価の作業時間を節約できます。自己申告ではなく、独立した検証を得られます。自社の監査担当者に対し、サプライチェーンに文書化されたセキュリティ管理策が存在することを示せます。
認証は案件ごとの繰り返しコストを、一度限りの投資に変えます。新しいエンタープライズ見込み客はいつも同じ短い回答を受け取ります。認証書はここにあります。発行者はここです。日付はここです。
サプライチェーン認証の規制面については、DORA ICTベンダー管理とISO 27001ガイドをご覧ください。小規模チームの広範なコンプライアンス対応については、スタートアップ予算でのエンタープライズPIIコンプライアンスで解説しています。認証済みアーキテクチャが調達期間を短縮する仕組みについては、セキュリティアンケートと営業サイクルガイドをご参照ください。