![[アップデート] Kiro が AWS の ISO/IEC 27001 認証スコープに含まれるようになりました](https://images.ctfassets.net/ct0aopd36mqt/4uTbTE9O9jUJCOs80dZ0Ao/e2da592b5eaaad0f5993d6ff64a12467/aws-kiro.png?w=3840&fm=webp)
[アップデート] Kiro が AWS の ISO/IEC 27001 認証スコープに含まれるようになりました
いわさです。
先日のアップデートで、Kiro が AWS の ISO/IEC 27001:2022 認証でカバーされるサービスに含まれるようになりました。
ISO/IEC 27001 という規格自体はみなさんよく聞く言葉で知っていると思いますが、認証がどういう単位で適用されるのかなど中身の細かいところを正確には把握できていなかったので、そのあたりも含めて確認してみます。
何が嬉しいのか
新しいツールを業務で使おうとすると、多くの組織では情報セキュリティ部門や購買部門のレビューが入ります。
このとき「提供元のセキュリティ管理は信頼できるのか」をどう示すかが課題になる場合があります。
今回 Kiro が第三者機関の検証した ISO/IEC 27001:2022 認証の対象になったことで、自己申告ではなく認証を評価材料として出せるようになりました。
アナウンスでも、セキュリティ・購買・ベンダーリスクのチームが Kiro を評価する際の基準点になる、と書かれています。
Kiro is now included among the AWS services covered by ISO/IEC 27001:2022 certification. This gives security, procurement, and vendor-risk teams a recognized, independently verified reference point when evaluating Kiro as part of their reviews.
ISO 27001 は「会社が対応しているか」ではなくスコープで見る
ISO/IEC 27001 は、情報セキュリティマネジメントシステム（ISMS）の要求事項を定めた国際規格です。
ISO（国際標準化機構）と IEC（国際電気標準会議）が共同で策定しています。
ここでいう ISMS は、組織が情報資産を洗い出し、機密性・完全性・可用性を維持・改善していくための、方針・プロセス・責任・管理策の仕組み全体を指します[1]。
今回のアップデートに関連するポイントとしては、認証が「その会社が ISO 27001 に対応しているか」という単純なものではない点です。
認証は組織の ISMS に対して出ますが、その組織が「どの範囲を ISMS に含めるか」を認証範囲（スコープ）として定め、証明書に明記します。
なので実務では「認証を持っているか」ではなく「証明書のスコープに何が含まれているか」を見ることになります[2]。
AWS のようにサービスが多い組織は、この認証範囲を「対象サービスの一覧」という形で公開しています。
今回のアップデートは、この AWS の対象サービス一覧に Kiro が加わった、ということです。
上記の一覧には「Kiro (excludes Fable)」と、Fable を除外する形で記載されています。
アナウンスと一覧のどちらも Fable が何を指すかまでは触れていないので、自組織のレビューにカバー範囲を書くときは、この一覧のその時点の表記をそのまま参照するのが確実です。
今まで Kiro が使えなかったわけではない
スコープに入っていなかったからといって、ISO 27001 認証を持つ企業が Kiro を使えなかったわけではありません。
AWS も、対象一覧に載っていないサービスがあっても、それはそのサービスを使えないという意味ではない、と明記しています。
If a service is not currently listed as in scope of the most recent assessment, it does not mean that you cannot use the service. It is part of the shared responsibility for your organization to determine the nature of the data.
自社が ISO 27001 認証を取るときの認証範囲は、AWS ではなく自社で決めます。
そのうえで、AWS の認証スコープに入っているサービスを使っていれば、自社の認証範囲に組み込むときの説明や監査対応がしやすくなります。
今回変わったのは Kiro を使えるかどうかではなく、この裏付けが使えるようになった点です。
今回あらためて ISO 27001 の対象にはなりましたが、そもそも実は Kiro（IDE と CLI）は以前から HIPAA の対象にもなっています。
HIPAA は医療情報（患者の健康情報）の扱いを定めた米国の規制なので、医療情報を扱う用途でも Kiro を検討できるようなレベルだと認定を受けていました。
競合の対応状況
主要な AI コーディングツールの ISO/IEC 27001 の状況も公式情報で軽く確認してみました。
どの会社も認証範囲に含める製品と含めない製品を分けていました。
OpenAI は、OpenAI API・ChatGPT Enterprise・ChatGPT Edu について ISO 27001:2022 と 27701 の認証を取得していると明記しています[3]。
名指しされているのは法人向けの製品と API で、無料版の ChatGPT や Codex 単体が対象と書かれているわけではありません。
Anthropic は、認証は Claude for Work や API といった商用製品が対象で、Claude Free・Pro・Max などのコンシューマ向けや、それらのプランから Claude Code を使う場合は別扱いだと明記しています。
取得しているのは ISO 27001:2022、AI マネジメントシステムの ISO/IEC 42001:2023、SOC 2 などです。
This article is about our commercial products such as Claude for Work and the Anthropic API. For our consumer products such as Claude Free, Pro, Max and when accounts from those plans use Claude Code, see here.
GitHub Copilot は、Business と Enterprise が GitHub の ISMS スコープに含まれる形で ISO 27001 認証に反映されています[4]。
Copilot には個人向けのプラン（Free や Pro など）もありますが、スコープに含まれているのは法人向けの Business と Enterprise です。
GitHub が「Copilot をスコープに含めた」のと AWS が「Kiro を対象サービス一覧に加えた」のは同じ考え方で、Kiro の場合はその母体が AWS の ISO 27001 認証だったということですね。
さいごに
本日は Kiro が ISO/IEC 27001:2022 のスコープに入ったことを紹介しました。
Kiro を組織に導入したいときに、審査へ出せる材料が増えたのが今回のポイントです。
認証は「会社が対応しているか」ではなくスコープで見る、という前提を押さえておくと、競合も含めて各ツールの状況を正しく比べられそうですね。
