セキュリティコンプライアンスと監査準備のサービス
ISO 27001、SOC 2、GDPR、PCI DSS、HIPAA、NIS2、DORAに向けたセキュリティコンプライアンスと監査準備：ギャップアセスメント、監査人がテストする技術的な管理策、ポリシーとリスク登録簿、各管理策が運用されていることを示す証跡。コンプライアンスエンジニアを専任チームとして御社に加えることも、監査までの準備プロジェクトを一貫して請け負うことも可能です。
対応するコンプライアンス業務
ISO 27001の導入
ISMSの適用範囲、リスクアセスメント、適用宣言書（SoA）、システムとプロセスに組み込む附属書Aの管理策、実際に守られるポリシーを整え、認証機関の第1段階・第2段階審査の前に内部監査とマネジメントレビューを完了します。
SOC 2の準備
対象とするTrust Services Criteriaを御社と選び、ギャップを見つけて埋め、Type Iレポートの前に管理策を稼働させ、Type IIレポートが対象とする観察期間を通じて証跡を収集し、公認会計士事務所のテストに備えます。
GDPRの技術的措置
データベース、ログ、サプライヤーにまたがる個人データのマッピング、アクセスおよび削除の請求を手作業ではなくプロダクトで処理すること、スケジュール削除による保存期間の徹底、リスクが求める場合の暗号化と仮名化、処理活動の記録とDPIAの最新化です。
監査フィールドワークの支援
フィールドワーク中は、監査人の依頼リストに名前付きのエンジニアが対応します。サンプリング用の母集団の抽出、各管理策の仕組みの説明、すべての例外への日付付きの是正計画の回答を、レポートが確定する前に行います。
PCI DSSコンプライアンス
トークン化とホスト型の決済フィールドでカード会員データの範囲を縮小し、決済ページのスクリプトの棚卸しと完全性監視、四半期ごとのASVスキャン、年次のペネトレーションテストを含め、PCI DSS v4.0.1に沿った管理策を構築して、自己評価質問票またはQSAによるコンプライアンス報告書（Report on Compliance）に備えます。
HIPAAの保護措置
HIPAAセキュリティ規則の管理的・物理的・技術的保護措置をプロダクトに組み込みます。文書化されたリスク分析、一意のユーザーID、保護対象保健情報へのすべてのアクセスの監査ログ、暗号化、データに触れるすべてのクラウド・SaaSプロバイダーとの事業提携契約（BAA）です。
NIS2への準備
各国のNIS2法が求めるリスク管理措置とインシデント報告：経営陣が承認するガバナンス、サプライチェーンのセキュリティ、多要素認証、暗号化、事業継続、国の当局が定める期限に間に合う報告プロセスです。
DORAのICTリスクとレジリエンス
金融機関と、それにサービスを提供するICTプロバイダー向けに、ICTリスク管理の枠組み、重大なICT関連インシデントの分類と報告、ICTサードパーティプロバイダーの情報登録簿、DORAが求める契約条項、計画し証跡を残したレジリエンステストを整えます。
セキュリティ質問票とトラストセンター
SIGやCAIQなどの顧客セキュリティ質問票に、承認済みの回答をまとめた1つのライブラリから回答し、NDAのもとでレポートを共有するトラストセンターを用意し、各回答の裏にある管理策をプロダクトの変化に合わせて実態と一致させます。
コンプライアンスエンジニアを採用する
専任のコンプライアンスエンジニア
御社のチームにフルタイムで参画し、御社のツールとプロセスの中で働き、御社のリードに報告するコンプライアンスエンジニアです。面接は御社が行い、ウクライナでの雇用契約、給与支払い、請求書発行、休暇管理は当社が担います。
コンプライアンスエンジニアリングプロジェクト
スコープと固定の計画が定まったコンプライアンスエンジニアリングの一区切りの業務です。当社側の担当リードが成果に責任を持ち、進捗は御社のチャネルで報告します。
継続的なコンプライアンスエンジニアリング
コンプライアンスエンジニアリングを継続サービスとして提供します。毎月同じメンバーが担当し、優先順位は御社がバックログで決め、稼働時間は当社のポータルと請求書で確認できます。
スペシャリストが御社のチームに参画する方法は専任チームのページで、プロジェクトのデリバリー、引き継ぎ、料金の考え方はアウトソーシングのページで説明しています。
御社のコンプライアンスエンジニアリングを担当するメンバー
コンプライアンスエンジニア
管理策、証跡、監査人の依頼
情報セキュリティマネージャー
ISMS、ポリシー、リスク登録簿、マネジメントレビュー
クラウド・DevOpsエンジニア
Infrastructure as Codeとしての技術的管理策
プライバシーエンジニア
GDPRのデータマッピング、保存期間、データ主体の請求
ペネトレーションテスター
監査人と規格が求めるテスト
監査への備え方
認証は認定を受けた認証機関が発行し、SOC 2レポートは独立した公認会計士事務所が、PCI DSSのReport on ComplianceはQSAが発行します。当社が担うのは、管理策と、それをテストするための証跡です。まず規格と必要な適用範囲に照らしたギャップアセスメントから始め、監査人が最初にテストするものの順に計画を並べ、各管理策はポリシーに書くだけでなく、御社のシステムに組み込みます。
管理策は、できる限りコードとして実装します。アクセスルール、暗号化、ログ、バックアップ、変更承認はTerraformとパイプラインに置くため、証跡は監査の前の週に撮るスクリーンショットではなく、システムが生成する記録になります。当社自身の端末にも同じ規律を適用しています：当社のノートPCは、Rustで自作したエージェントがセキュリティベースラインに照らして点検しており、対象はWindows、macOS、Ubuntuで、点検項目はISO 27001、CIS、Cyber Essentials、Essential Eight、SOC 2に対応付けています。
その他のクラウド・DevOps・セキュリティサービス
AWS開発
AWS開発サービス：EKSとECSのコンテナ、サーバーレス、ランディングゾーン、移行、データベース、データ基盤、Bedrockによる生成AI、セキュリティとコスト最適化を、専任のAWSエンジニアまたはプロジェクト単位でご提供します。
Google Cloud開発
Google Cloud開発サービス：Cloud RunとGKE、BigQuery、Firebaseのバックエンド、Cloud SQLとAlloyDB、Agent Platform上のGemini、セキュリティ、移行を、専任のGoogle Cloudエンジニアまたはプロジェクト単位でご提供します。
Kubernetesコンサルティング
Kubernetesのコンサルティングと開発：EKS、AKS、GKE、オンプレミスのクラスター、Helm、Argo CDまたはFluxによるGitOps、クラスターのセキュリティ、バージョンアップ、GPUワークロードを、専任のKubernetesエンジニアまたはプロジェクト単位でご提供します。
DevOpsとCI/CD
DevOpsとCI/CDのサービス：パイプライン、Terraformによるインフラのコード化、オブザーバビリティ、SREとオンコール、DevSecOps、プラットフォームエンジニアリング、FinOpsを、専任のDevOps・SREエンジニアまたは継続的なDevOps業務としてご提供します。
サイバーセキュリティとペネトレーションテスト
サイバーセキュリティとペネトレーションテストのサービス：Web、モバイル、API、ネットワーク、クラウドのペンテスト、セキュアコードレビュー、SOCとインシデント対応、ISO 27001とSOC 2を、専任のセキュリティエンジニアまたは範囲を定めたプロジェクトとしてご提供します。
ITインフラ
ITインフラとシステム管理のサービス：WindowsとLinuxのサーバー、ネットワーク、Microsoft 365とEntra ID、仮想化、バックアップ、通信を、専任のシステム管理者または継続的なサポートとしてご提供します。
SRE（サイト信頼性エンジニアリング）
サイト信頼性エンジニアリングのサービス：SLO、OpenTelemetryによるオブザーバビリティ、オンコールとインシデント管理、負荷テスト、ディザスタリカバリ、カオスエンジニアリングを、専任のSREエンジニアまたはプロジェクト単位でご提供します。
プラットフォームエンジニアリング
プラットフォームエンジニアリングのサービス：社内向け開発者プラットフォーム、Backstageポータル、ゴールデンパスとテンプレート、セルフサービス型インフラ、Kubernetesプラットフォームを、専任のプラットフォームエンジニアまたはプロジェクト単位でご提供します。
クラウドアーキテクチャ
クラウドアーキテクチャとコンサルティングのサービス：AWS、Azure、Google Cloudの設計、移行計画、ランディングゾーン、Well-Architectedレビュー、耐障害性とコストを、専任のクラウドアーキテクトまたはプロジェクト単位でご提供します。
FinOps
FinOpsとクラウドコスト最適化のサービス：コスト配賦、ライトサイジング、Savings Plansとリザーブドインスタンス、Kubernetes・データ・AIのコスト、予算、異常検知アラートを、専任のFinOpsエンジニアまたはプロジェクト単位でご提供します。
TerraformとIaC
TerraformとInfrastructure as Codeのサービス：TerraformとOpenTofuのモジュール、インポート、planとapplyのパイプライン、ドリフト管理、Policy as Code、Ansibleを、専任のTerraformエンジニアまたはプロジェクト単位でご提供します。
Linux管理
Linux管理サービス：Ubuntu、Debian、RHEL、Rocky Linux、AlmaLinuxのサーバーの構築、パッチ適用、ハードニング、監視、バックアップ、サポート終了に伴うバージョンアップを、専任のLinux管理者または継続的なサポートとしてご提供します。
ネットワークエンジニアリング
ネットワークエンジニアリングのサービス：ルーティングとスイッチング、ファイアウォール、SD-WANとゼロトラストアクセス、クラウドネットワーク、Wi-Fi、自動化を、Cisco、Juniper、Fortinetで、専任のネットワークエンジニアまたはプロジェクト単位でご提供します。
クラウドセキュリティ
クラウドセキュリティのサービス：CSPMとCNAPP、IAMのレビュー、Kubernetesのセキュリティ、ネットワークとデータの保護、AWS・Azure・Google Cloudでのクラウドコンプライアンスを、専任のクラウドセキュリティエンジニアまたはプロジェクト単位でご提供します。
SOCとセキュリティ監視
SOC as a Serviceとセキュリティ監視：マネージドSOC、SIEMの導入、ログの取り込み、検知エンジニアリング、EDR、脅威ハンティング、インシデント対応のリテーナーを、専任のSOCアナリストまたは継続的な監視としてご提供します。
セキュリティコンプライアンスに関するご質問
コンプライアンスエンジニアはどの業界で働いていますか？
主に、顧客から求められてSOC 2とISO 27001に備えるSaaS・ソフトウェア企業、PCI DSSとDORAの対象となるフィンテック・銀行・保険、HIPAAとGDPRのもとで患者データを扱うヘルスケア・医療機器プロダクト、カード決済を受け付けるEコマース・小売、サイバーセキュリティ企業、NIS2の対象となる産業・エネルギー・ホスティング・通信企業です。
ISO 27001やSOC 2の監査に備えるには、どのくらいかかりますか？
適用範囲と、すでに整っているものの量によって変わるため、まずギャップアセスメントを行い、日付入りの計画で締めくくります。SOC 2 Type IIレポートには観察期間も必要で、通常は3か月から12か月、その間管理策が稼働して証跡が残ります。この期間は、管理策が稼働した時点から開始できます。
NIS2、DORA、サイバーレジリエンス法は当社に適用されますか？
業種、規模、EUで販売するものによります。NIS2は、各国の法律を通じて重要分野の中規模・大規模事業者を対象とします。DORAは2025年1月17日からEUの金融機関に適用され、契約を通じてそのICTプロバイダーにも及びます。サイバーレジリエンス法は、デジタル要素を持つ製品の製造者に対し、2026年9月11日から積極的に悪用されている脆弱性の報告を義務付け、主な義務は2027年12月11日から適用されます。どれが御社に該当するかを整理し、それぞれが求める管理策を構築します。
コンプライアンスエンジニアは、どのくらいで開始できますか。
適任のコンプライアンスエンジニアがすぐに対応可能な場合、開始までの条件は、御社の面接と、NDAおよび知的財産権の譲渡契約の締結のみです。そうでない場合は人材を探索し、通常は2〜3週間以内に候補者のプロフィールをお出しします。御社が承諾するまで、誰も業務を始めません。
BigTree108を通じてコンプライアンスエンジニアを採用するには、どうすればよいですか。
必要な業務内容、シニアリティ、稼働時間をお知らせください。1〜2名の候補者をプロフィールとともにご提案し、御社が自社で採用する場合と同じ形で面接を行います。契約はBIG TREE 108 LLCとの1本、請求書は月1通です。
成果物の権利は、誰に帰属しますか。
御社です。すべてのスペシャリストはBigTree108と署名済みの契約を結び、成果物のすべてを会社に帰属させています。さらに、御社との契約により、その権利は御社に引き継がれます。コード、デザイン、ドキュメントは、当社だけが変更できる場所ではなく、御社のリポジトリとツールに納品します。
監査に備えていますか？
規格、適用範囲、目指している監査日や顧客の期限をお知らせください。1営業日以内に、ギャップアセスメントの範囲、準備計画、または候補者のプロフィールをお返しします。