ISO 27001認証は、リモート通訳プラットフォームが機密性の高い会話を実際に保護していることを検証する最も明確な方法です。単に保護を謳っているだけでは不十分です。機密情報や規制対象コンテンツの通訳サービスを購入する組織にとって、ISO 27001認証はベンダー評価チェックリストの最優先事項の一つであり、後回しにすべきではありません。.
この記事では、認証が対象とする範囲、なぜ他のほとんどのソフトウェアカテゴリよりも通訳において認証が重要なのか、 Interprefyが 認証を取得するために何をしたのか、そしてベンダーのコンプライアンスに関する主張を鵜呑みにする前に確認すべき点について説明します。
ISO 27001（正式名称：ISO/IEC 27001）は、情報セキュリティ管理に関する国際規格です。この規格は、情報セキュリティ管理システム（ISMS）の要件を定めています。ISMSとは、情報の機密性、完全性、可用性を保護するための、構造化され継続的に見直される一連のポリシー、手順、および管理策のことです。
現行規格であるISO/IEC 27001:2022では、要求事項が組織、人材、物理、技術の4つのテーマにわたる93の管理項目に分類されています。この範囲が重要なのは、優れた暗号化機能だけでは認証が取得できないためです。組織は、アクセス制御、従業員研修、サプライヤー管理、インシデント対応、物理セキュリティのすべてが同じ厳格さで管理されていることを実証する必要があり、それを単に主張するのではなく、独立した認定認証機関に対して証明しなければなりません。.
第三者による検証こそが、真のセキュリティ体制とマーケティング上の主張を区別するものであり、この区別は、ほとんどのソフトウェア分野よりも通訳においてより重要視されます。セキュリティに関する議論の多くは、ファイル、レコード、データベースといった静止データに焦点を当てています。一方、通訳プラットフォームは、制御がより困難な、編集されていない生の音声を扱います。通訳者は、同じ部屋にいる2人の間で行われるはずの会話に、唯一の第三者として立ち会うことが多いため、会話の中で最も機密性の高い内容が含まれることがよくあります。これらのリスクがAIによる通訳に具体的にどのように適用されるかについて詳しく知りたい場合は、 自動音声翻訳が満たすべきセキュリティ基準。
遠隔通訳プラットフォームは、伝送中の音声および映像ストリームを保護し、クライアント組織外の通訳者のアクセスを管理し、録音データが規定に従って保存および削除されることを保証する必要があります。認証取得には、これが一度限りの設定ではなく、継続的に見直されるリスク管理プロセスに組み込まれていることが求められます。.
組織、人材、物理的、技術的な安全対策を含む93項目の管理基準に基づいて評価されることで、プラットフォームは、独自のセキュリティポリシーや自己定義のセキュリティポリシーではなく、金融、医療、政府技術で使用されているものと同じベンチマークに位置づけられる。.
認証は、認定監査員が自己評価アンケートではなく直接的な証拠に基づいて、マネジメントシステムが規格の要件を満たしていることを確認した場合にのみ付与されます。訴訟手続き、合併交渉、政府会議、臨床相談など、あらゆる場面において、データベース層だけでなく、あらゆる段階でこの認証チェーンが維持されていることが不可欠です。.
通訳サービスを購入する組織にとって、認証は3つの実質的なメリットをもたらします。それは、個人情報の保護強化、知的財産のより確実な保護、そしてプラットフォームの防御機能がローンチ後に停滞することなく常に最新の状態に保たれるという保証です。.
参加者および通訳者のデータ（ライブ会話の内容を含む）は、転送中および保存時の暗号化、役割ベースのアクセス制御、およびイベントデータにアクセスできるユーザーを制限するシングルサインオン、SAML 2.0、二要素認証などの認証手段によって保護されています。.
合併交渉から未公開の製品詳細に至るまで、機密性の高い議論においては、配信にアクセスするすべての人が明確な義務を負う必要があります。つまり、通訳者やサポートスタッフは、イベント配信にアクセスする前に秘密保持契約を締結しなければなりません。これは単なる形式的な配慮ではなく、文書化された管理体制の一環です。.
管理システムは、年に一度の見直しではなく、継続的な監視によって維持されます。認証を受けた組織は、年一回の監視監査と、約3年ごとの全面的な再認証監査を受け、定期的な独立機関による侵入テストと専任の情報セキュリティ責任者による監督によって支えられています。.
ISO 27001の認証取得は、自己申告によるものではありません。2段階の外部監査が必要です。まず、文書化された方針とリスク評価をレビューし、次に、それらの方針が実際に運用されているかどうかを詳細に評価します。認証は、認定監査員がISMSが規格の要件を満たしていることを確認した場合にのみ付与され、それで終わりではありません。認証を受けた組織は、毎年サーベイランス監査を受け、約3年ごとに全面的な再認証監査を受けるため、認証は一度きりの成果ではなく、継続的な状態を反映するものです。.
Interprefyはこのプロセスを経て、 2021年11月からISO 27001認証。監査員は審査全体を通して不適合事項がゼロであると報告しており、同社は通訳技術分野でこの認証を取得した最初の企業の1つとなっています。認証そのものよりも、この監査履歴の方がより有用な指標となります。つまり、経営システムが外部機関によってテストされ、その有効性が認められたことを示しているのです。
実際には、認証は枠組みを定めるものであり、運用上の詳細はそれが日々の業務にどのように反映されるかということです。Interprefyは、TLS 1.2とAES-256-GCM暗号化を使用して転送中のデータを保護し、ロールベースのアクセス制御を使用してイベントデータにアクセスできるユーザーを制限し、エンタープライズ顧客向けにシングルサインオン、SAML 2.0、および二要素認証を提供します。データは欧州連合内に保存され、通訳者とサポートスタッフはイベントストリームにアクセスする前に機密保持契約に基づいて業務を行い、プラットフォームは定期的に独立した侵入テストを受けています。専任の情報セキュリティ責任者がISMSに対する継続的な監視を監督しており、これが認証を静的なものではなく最新の状態に保つ要因となっています。
これによってリスクが完全に排除されるわけではありません。しかし、通訳業者を評価する組織にとって、単なる約束以上の具体的なもの、つまり、外部監査を受け、毎年見直しが行われ、通訳という本来の目的である、生身の人間による機密性の高いコミュニケーションを保護するために特別に構築されたシステムを提供できるのです。.
ISO 27001準拠の主張はすべて同じ重みを持つわけではないため、ウェブサイトのフッターにあるバッジよりも詳細を確認する価値があります。ベンダーに直接確認すべき次の3点があります。1つ目は、認証の正確な範囲です。組織によっては、購入するプラットフォームではなく、事業のごく一部のみを認証している場合があるからです。2つ目は、認証機関の身元と認定です。認証は、認められた独立した監査機関から発行されたものでなければ、重みを持ちません。3つ目は、最新の監視監査の日付です。数年前の認証で、継続的なレビューの証拠がない場合、見た目ほど信頼性は高くありません。弊社の 顧客セキュリティ、プライバシー、SLAの約束を評価する 認証だけでなく、通訳・翻訳ベンダーに尋ねるべきより幅広い質問を取り上げています。