ネットワークを守る企業のために。対象外となる事業も明示します。
セキュリティ事業者の審査資料は、その事業内容も踏まえて読まれます。 顧客はネットワークセキュリティ上の義務を契約条項として供給者にも求めます。輸出管理ではツールの機能や製造者が知る事実によって扱いが変わり、投資家は企業がどの事業を行うかを示す記録を求めます。ソブリン導入では、業務の進行とともに、その記録を事業者自身の管理領域内で作成できます。
検討は相互NDAの下、事業者のセキュリティ責任者と技術責任者を交えて行います。資料のアップロードや試用はありません。
技術資料をすべて開示せずに、デューデリジェンスに対応。
顧客の質問票でセキュリティ資料を求められたとき、審査担当者ごとに必要な情報は異なります。
業務上の経緯を再利用しつつ、開示は意識して決められます。
業務の流れを示す例です。構成と機能の提供状況は、契約ごとに確認します。
顧客への保証に関する回答
- 依頼
- 質問票の版と、指名された顧客側の審査担当者。
- 回答
- 承認された回答と、開示を許可された裏付け資料。
- 管理
- 合意した送付先と、未回答の質問。
下流にも及ぶ義務と、把握している事実によって変わる管理。
各項目には公表された規則と一次資料を示します。特定の製品、移転、顧客にいずれかが適用されるかを判断するのは事業者と法律顧問であり、プラットフォームではありません。
表示中の法域: 欧州連合
このページの主張は選択した法域によって変わりません。引用する根拠は変わります。
すべての法域を以下にグループ分けして表示します。
欧州連合
- Export control
Europe reaches unlisted cyber-surveillance items on end-use grounds. Exporting a cyber-surveillance item on no list still requires authorisation where the competent authority so informs the exporter, and an exporter aware through its own due diligence that such an item is intended for internal repression or serious violations of human rights or international humanitarian law must notify the authority. A due-diligence duty is a documentation duty: findings, dates, decisions.
- Export control
The Commission published guidelines for exporters on exactly this duty. The Commission published guidelines for exporters on exactly that duty, on 11 October 2024.
- Network security
Security providers are themselves in the network rules. Managed service providers and managed security service providers are themselves among the sectors of high criticality of the network-security directive. The obligations of every regulated customer arrive at the vendor as flow-down questionnaires, contract terms and evidence requests, answered from the vendor’s own records, repeatedly.
米国
- Export control
The export exception is written for defenders and withdrawn at knowledge. The United States authorises exports of cybersecurity items under a dedicated licence exception whose availability ends where the exporter knows, or has reason to know, that the item will be used to affect the confidentiality, integrity or availability of information or information systems without authorisation from the system’s owner, operator or administrator. The regime draws the defensive line at what the maker knows; what a vendor knew and documented becomes the operative fact.
法令資料の項目は英語のみで公開し、各法令をその正式名称で引用します。
事業者の行動記録を、事業者自身の条件で管理。
セキュリティ企業は、自社の管理領域に厳しい基準を設けます。コンプライアンスの記録もその基準に沿うべきです。ソブリン導入では、資金調達、顧客の審査、輸出に関するデューデリジェンス資料を、事業者が管理するインフラで扱います。製品文書と研究資料には営業資料より厳しいアクセス制限を設け、管轄区域ごとの制限と、人ごと・文書ごとの権限を事業者自身の規則で管理します。権限付与、アクセス、所見への対応はその都度、日付と署名のある記録になります。顧客や移転について、事業者が何をいつ知り、確認し、決めたかを当時の記録から確認できます。これは、把握していた事実が重要になる制度で特に意味を持ちます。
データが管理領域内にとどまるという説明は、構成ごとに確認します。本人確認、スクリーニング、メールを事業者側で運用する構成なら、通常運用時に文書、鍵、イベントが領域外に出ることはありません。外部タイムスタンプを利用する構成では、独立した時刻証明のためにSHA-256のハッシュ値のみを送信します。更新は反映前に事業者のセキュリティ担当者が承認します。
対象範囲を、このページで明確にします。
このページは、情報システムの防御を事業とする企業を対象としています。検知・対応、マネージドセキュリティ、適切な開示手続きに沿った脆弱性研究、これらを支える製品の供給者です。ゼロデイ攻撃手法の売買、攻撃型サイバーサービス、請負型の監視、監督の緩い場所での活動を前提とする諜報サービスの事業者は対象外であり、Exedra Gateはそのような事業者にソブリン導入を提供しません。本製品の前提は検証可能な証拠です。不透明さを求める需要には応じません。
質問される前に明記します。
- 許可を判定しない
輸出管理上の結論は出しません。 プラットフォームは品目を分類せず、許可や届出の要否を判断しません。アクセス記録は行動の証拠であり、許認可ではありません。移転に例外が適用されるかは、輸出者が法律顧問や所管当局とともに判断します。
- セキュリティ保証ではない
製品のセキュリティ上の成果は保証しません。 プラットフォームは事業者のコンプライアンスとデューデリジェンスの記録を保管します。製品の防御力を高めたり、業務を認証したり、事業者や顧客の安全を保証したりはしません。自社製品についての主張とその立証は事業者自身が担います。
- 免責の手段ではない
記録があるだけで、判断の正しさは証明できません。 日付付きのデューデリジェンス記録は、何を知り、どう判断したかを示します。その価値は、記録された行動の適切さにかかっています。不適切な判断を正当化したり、その結果から守ったりするものではありません。
質問票は毎年届きます。回答を毎回作り直す必要はありません。
事業者のセキュリティ責任者と技術責任者を交え、相互NDAの下で導入構成、設定の選択とその影響、資金調達や顧客・輸出のデューデリジェンス資料の対象範囲を確認します。開始に必要なのは、事業と関係する管轄区域についての簡単な説明です。
Exedra Gateは技術プラットフォームであり、ブローカー、ディーラー、カストディアン、エスクロー事業者、投資顧問ではありません。投資家資金の保管、送金経路の提供、決済は行わず、投資家への募集案件の推奨も、成功報酬型の手数料の請求も行いません。輸出管理リストの品目分類、許可・例外・届出の要否の判断、製品のセキュリティ保証も行いません。ソブリン導入の対象は前述の防御型セキュリティ事業であり、攻撃手法の売買、攻撃型サイバーサービス、監視サービスの事業者には提供しません。導入は顧客ごとに範囲を定める実装契約です。記録とタイムスタンプが示すのは特定の日付時点での完全性と存在であり、輸出や取引の適法性ではありません。その判断は事業者と法律顧問が担います。
このページの規制に関する参照は概要であり、法律上の助言ではありません。詳しくは 出典と検証.