第三者認証は何を保証しているのか — 規格の種類・名義・範囲・プランを読む

「ISO 27001 を取得しています」と言われて安心したあと、何が保証されたのかを聞かれて答えられないことがあります。認証が見ているのは仕組みで、個々の機能ではありません。

規格ごとに、見ているものが違う

この 4 つはどれも「製品のこの機能が安全だ」とは言っていません。 だから「認証があるから、この機能にデータを入れて大丈夫」という使い方はできません。使えるのは「仕組みを持っている会社かどうか」の判断までです。

ISO 9001 は品質の規格で、情報セキュリティの認証ではありません。調査記録には、品質の規格の審査登録だけが公開されていて、情報セキュリティの認証は見当たらないツールもあります（Waha! Transformer）。

読むのは 4 か所

②が一番見落とされます。 調査記録の アシロボ の欄には、認証が提供元の会社のもので、販売している会社のものではないと書かれています。Make の欄では、ISO の認証の名義が製品名とは別の会社名で表示されていることが書かれています。Bindit の欄には、サービス個別の認証は見当たらず、会社としてプライバシーマークと品質の規格を持っていると書かれています。

③は、読めれば決め手になります。認証の登録範囲は「何の業務について認証を受けたか」を書いた文で、そこに対象の製品や事業が書かれています。範囲の文が公開されていれば、その製品が対象に入っているかを自分で確かめられます。

連携ツールの第三者認証の欄を調査記録から横に並べると、こうなります（記号や札をクリックすると原文・出典）。

◎ 条件なしで当てはまる　○ 条件つき・一部　△ 限定・要申請・無いと明記　× 当てはまらないと明記　？ 編集部がまだ確認していません　― 提供元が公開していない（編集部が調べた）　— 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。

材料の調査日（最新）: 2026-09-07

「準拠」と「認証」は別の言葉

調査記録には、セキュリティの取り組みを SOC 2 に沿わせていると書き、年次の監査を受けていると説明しているツールがあります（n8n）。これは認証の取得とは違う表現です。どちらが優れているという話ではなく、確かめ方が違うという話です。

認証番号が公開されているかどうかも手がかりになります。調査記録では、番号と認証機関と有効期限まで公開されているものと、規格名と取得の事実だけが書かれているものが分かれています。番号が無いことは不正の証拠ではありませんが、範囲を自分で確かめられるかどうかが変わります。

AI ツール側の情報セキュリティの欄も同じ形で並べてあります。

◎ 条件なしで当てはまる　○ 条件つき・一部　△ 限定・要申請・無いと明記　× 当てはまらないと明記　？ 編集部がまだ確認していません　― 提供元が公開していない（編集部が調べた）　— 記号は編集部の札から機械で付けています。物差しは項目ごとに違い、列の見出しがその項目の意味です。札の意味と根拠は各セルの要約を押すと出ます。

材料の調査日（最新）: 2026-08-26

こう決める — 認証をどう使うか

認証は入口の確認で、出口の確認ではありません。 預けたデータがどこに置かれるか、やめるとき持ち出せるかは別の欄です（データはどこに置かれるか・やめるとき持ち出せるか）。