Glaido は ISO 27001 の認証を取得しました

Glaido は今、ISO/IEC 27001:2022 の認証を取得しています。会社の運営の仕方を独立した監査で見たあと、Johanson Group が情報セキュリティマネジメントシステムを認証しました。Glaido は GDPRに準拠してもいます。

小さなチームにとって、これは大きな節目です。なぜこれを目指したかを書きます。

ほとんど何も残さないために、Glaido を作った

プライバシーは、最初の版から Glaido の一部でした。音声入力の文章は、データベースに保存しません。短い履歴は端末にあり、そこだけです。音声は文字になり、それから残しません。文字起こしと書式を行うサービスも、それを保持しません。

では、これほど少なくしか残さない会社が、なぜ完全なセキュリティ監査を受けるのか、と聞くかもしれません。

扱うものが大事だからです。話すその瞬間の、言葉です。書くメール、AIエージェントに渡すプロンプト、メモ。ほとんど何も残さないことは、良い出発点です。しかし「データは残しません」は、会社の外の誰かが確かめるまでは、約束でしかありません。

必要だったこと

ISO 27001 は、単純な質問をします。言っているとおりに、会社を運営していますか。

何か月もかけて、Glaido が実際にどう動くかを書き、それからそれを証明しました。誰が何にアクセスできるか、すべての変更が出る前にどうレビューされるか、頼っている供給者をどう選ぶか、何かがうまくいかないときに何が起きるか、です。

ほかの誰より先に、自分たちを試しました。独立したセキュリティ研究者がウェブアプリにペネトレーションテストを行い、見つかったものに取り組みました。災害復旧の演習を行い、セキュリティインシデントへの対応をリハーサルしました。本当の監査人が来る前に、内部で監査しました。

それから Johanson Group が、2段階で監査しました。まず紙の上でシステムをレビューし、それから4日間、それが実務で成り立つことを確認しました。

証明書は Glaido の全体をカバーします。1つの製品や1つのチームではありません。デスクトップアプリ、ウェブアプリ、その背後のサービス、それらを作り運用する人です。

同じ考えを、GDPR にも

ISO 27001 は情報を守ることです。GDPR は、その情報が属する人を尊重することです。両方を同じように扱います。

処理するのは、必要な個人データだけで、理由を説明できます。それ以上は、Glaido でコンプライアンスを担当する Jannis が本気で困ります。本当に、誰もそれを望みません。

データが国境を越える必要があるときは、守られたままです。代理で個人データに触れるすべての提供者は、それを守ることに拘束されます。そして代表者を任命しているので、近くに連絡できる人がいつもいます。全体像は プライバシーポリシー にあります。

会社の準備はできています

多くの会社では、新しいツールは、誰かが使う前にセキュリティチームを通る必要があります。そうあるべきです。データと一緒に誰を信頼するのかを知りたいのです。

今は、明確な答えがあります。Glaido は、企業がベンダーを判断するために使う規格に対して監査されています。レビューする人に必要なものはすべて、Glaido Trust Center にあります。

チーム全体に Glaido を入れたかったなら、これはずっと容易にします。Enterprise プラン は、まさにそのためです。

一度きりのことではない

証明書は一時点のもので、セキュリティはそうではありません。Johanson Group は毎年戻ってきて、仕事を再び確認し、証明書全体は3年後に更新されます。監査と監査のあいだも、仕事は続きます。

Glaido の使い方は何も変わりません。ショートカットを押したまま話し、カーソルのある場所に言葉が現れます。変わったのは、Glaido の外の誰かがその背後の仕事を確認し、確認し続けることです。