Vanta 導入・運用支援 — Eastandart

VANTA MSP PARTNER

セキュリティは、審査のために
あるのではありません。

Vanta公式パートナーのEastandartが提供するのは、審査を通すための道具ではありません。
現場の対策を日々確かめ、その状態を顧客に示し続ける、セキュリティそのものの基盤です。

画面はイメージです。数値は例です。

証明する側と、確かめる側。
Vantaは、その両方を一つの基盤で支えます。

取引先からSOC 2やISMS、セキュリティチェックシートへの回答を求められる一方で、自社も委託先や利用中のSaaSの安全を説明する立場になっています。
経済産業省も、発注元は取引先の対策状況を外から判断しにくく、
委託先は複数の取引先からさまざまな対策を求められるという双方の課題を、制度づくりの出発点に挙げています。

自社状態社外

顧客に証明する

自社 → 顧客・取引先

1現場が設計し、運用している対策がある
2継続的モニタリングで、その状態を保つ
3Trust Centerで、状態を顧客に開示する

クラウドAWS / GCP / Azure

ID基盤Oktaなど

リポジトリGitHubなど

→

Vanta自動テスト
1時間ごと同じ基盤で証明する側と
確かめる側を
一つに

→

顧客・取引先Trust Centerで開示

審査証跡として提出

委託先を確かめる

委託先・SaaS → 自社

1使っているベンダーを把握する
2自社の基準で評価する
3評価の後も、変化を監視し続ける

リスク台帳評価結果を集約

是正計画下書きを作成

←

委託先・SaaSSOC 2レポート・DPA

質問票所見を取り出す

侵害・重要な変更監視し続ける

取引先に示す基準が定まりつつあり、
対策の実効性がより問われています。

SCS評価制度

サプライチェーン強化に向けたセキュリティ対策評価制度

経済産業省と内閣官房国家サイバー統括室が、2026年3月27日に制度構築方針を公表しました。
取引の際に、委託元が委託先に求める段階（★）を示し、実施状況を確認する使い方が想定されています。
★4には、取引先の対策状況の把握など、自社の立場に合ったサプライチェーン強靭化策が含まれます。
★3・★4は2026年度末頃の申請受付開始を目指すとされています（変更の可能性あり）。

段階	★3	★4
要求事項	26件	43件
評価方法	専門家確認付き自己評価	第三者評価
有効期間	1年	3年

Five Eyes共同声明

2026年6月22日公表

米国・英国・カナダ・オーストラリア・ニュージーランドのサイバーセキュリティ機関の長が、連名で公表しました。
AIは長期的には防御を強化する一方で、攻撃の速度・規模・巧妙さも高めており、変化は年単位ではなく月単位で起きると指摘しています。
経営層に対し、リスクと備えの把握、基礎的な対策の優先、セキュリティ責任者への権限と資源の付与を求めています。
日本の機関は署名者に含まれていません。

Vantaは、対策の状態を
証明し続けるための基盤です。

Vantaは、クラウドやID基盤、リポジトリなどと連携し、設定や運用の状態を継続的に確認して証跡として残します。
SOC 2、ISO 27001を含む35以上のフレームワークに対応し、16,000社超が利用しています。
導入すれば認証が取れる製品ではありません。対策が先にあり、証明はその後に来ます。

Automated

Vantaが自動化すること

連携先からの証跡の収集
統制の状態の継続的な監視
ポリシーの雛形の提供
セキュリティ質問票の回答の下書き
Trust Centerでの状態の開示

Yours

自動化されないこと

審査そのもの（監査人・認証機関が行います）
足りない対策の実装（設定、体制、教育）
リスクを受け入れるかどうかの判断
連携できないシステムや紙の運用の証跡
AIが作成した下書きの最終確認

対応フレームワーク

Vantaは35以上のフレームワークに対応しています。以下はVanta公式の一覧に掲載されている名称を、当社で分類したものです。

情報セキュリティ

SOC 2ISO 27001ISO 27017ISO 27018NIST CSF 2.0NIST 800-53NIST 800-171CIS v8.1Cyber EssentialsEssential EightBSI C5TISAX

プライバシー・医療

GDPRISO 27701US Data PrivacyHIPAAHITRUST CSF

AIガバナンス

ISO 42001NIST AI RMFEU AI ActAgentic Trust Controls

金融・規制

PCI DSSDORANIS 223 NYCRR 500CPS 234CRI ProfileSOX ITGC

公共（米国）

FedRAMPFedRAMP 20xCMMC 2.0CJIS

事業継続・品質・取引先要件

ISO 22301ISO 9001AWS FTRMVSPMicrosoft SSPAOFDSS

独自の基準

Custom Frameworks

経営、情シス、開発。
それぞれの現場で、Vantaが変えること。

経営者・責任者

審査の時期に関係なく、説明できる状態を保てます

取引先から問われたときに、その時点の対策状況を根拠とともに示せます。どこに投資すべきかも、同じ画面の情報から判断できます。

情シス・セキュリティ担当

同じ回答と証跡を、毎回ゼロから作らずに済みます

チェックシートへの回答や審査前の証跡集めを、蓄積した記録から進められます。委託先の評価も同じ基盤に記録できます。

開発者・SRE

現場の設計判断が、そのまま顧客への説明になります

皆さんが設計し運用している権限設計、MFA、ログ、パッチ適用、バックアップは、すでにセキュリティそのものです。Vantaはその状態を連携先から取得し、証跡にします。

AWSGoogle CloudAzureGitHubOkta

機能ごとの効果

526% 3年間の投資対効果（ROI）

3か月投資の回収期間

継続的モニタリング・審査

1時間ごと自動テストの実行間隔

82%減審査1件あたりにかかる時間

コンプライアンス業務

129%コンプライアンスチームの生産性向上

66%ポリシー作成の効率向上

セキュリティ質問票

81%セキュリティレビュー完了の高速化

80%以上AIが自動で回答する質問の平均割合

Trust Center

93%資料閲覧のアクセス承認を自動化

6,000件超VantaがホストするTrust Centerページ

TPRM（取引先の管理）

54%TPRM担当チームの生産性向上

62%ベンダーからの証跡収集の高速化

審査の実績

26,000件超Vantaを通じて完了した審査

100社超連携する監査会社

審査と審査の間も、
設計した状態からのずれに気づけるように。

年に一度の審査だけでは、期中に起きたずれに次の審査まで気づけないことがあります。
たとえば、退職者のアカウントが残っている、MFAの設定が外れた端末がある、といったずれです。
継続的モニタリングは統制の状態を常に確認し、ずれを検知した時点で担当者に知らせます。
目的はシステムを守ることで、記録は結果として残ります。

年1回の審査のみ

ずれが発生次の審査で発覚

継続的モニタリング

ずれを検知・是正状態を保ったまま次の審査へ

審査期中次の審査

想定した状態ずれに気づけない期間検知と是正

SCS評価制度の★3の有効期間は1年です。Vantaの自動テストは1時間ごとに実行されます。

委託先とSaaSの安全を、確かめ続ける。

新しいSaaSやAIツールは、開発や業務の現場から使われ始めます。
VantaのTPRMは、利用中のベンダーの把握から評価、継続的な監視までを一つの流れで扱い、結果をリスク台帳とコンプライアンスの状態に集約します。

Step 1

把握する

新たに使われ始めたベンダーを見つけ、調達の申請と連携して、管理の外にあるITやAIツールを減らします。

Step 2

評価する

ベンダーのSOC 2レポート、DPA、質問票から所見を取り出し、自社で決めた基準でリスクを区分します。

Step 3

監視し続ける

評価の後も、侵害や重要な変更を監視し、是正計画の下書きを作ります。

TPRMは単体製品として、または既存プランへの追加として提供されます。

導入前によくいただくご質問

お問い合わせ後は、どのように進みますか。

まずはお打ち合わせで、いまの取得したい認証や対象範囲をお伺いします。そのうえでデモをご覧いただけます。導入を決める前に、7日間の無料トライアルでお試しいただくことも可能です。

Vantaを導入すれば、認証や報告書は取れますか。

認証の取得には、対策の実装と審査が必要です。Vantaは証跡の収集と状態の監視を自動化し、その準備を大きく支えます。審査は監査人・認証機関が行います。進め方は、お打ち合わせで具体的にご案内します。

ISMS（ISO/IEC 27001）の取得に使えますか。

使えます。ISO 27001はVantaの対応フレームワークに含まれており、取得に向けた準備や運用の効率化に活用できます。ただし、認証の取得には認証機関による審査が別途必要です。

SCS評価制度に対応していますか。

お打ち合わせで、対応範囲を具体的にご説明します。ご希望の内容をお聞かせください。

日本語で使えますか。

製品画面の日本語対応状況は、導入前に確認してご案内します。お問い合わせや導入支援は日本語で対応します。

費用はどのくらいかかりますか。

対象とするフレームワーク、組織の規模、取引先（委託先）リスク管理機能の有無などによって変わるため、個別にお見積りします。まずはお問い合わせください。

まずは、お気軽にご相談ください。

取引先からの要求や、いまの対策状況に合わせて、Vantaの導入・運用をご説明します。
認証取得の進め方や費用感の確認だけでも問題ありません。

セキュリティは、審査のためにあるのではありません。

証明する側と、確かめる側。Vantaは、その両方を一つの基盤で支えます。