ご利用中のデジタル名刺はSOC 2に準拠していますか？

「SOC 2準拠のデジタル名刺」プラットフォームの選定は、もはや任意ではなく企業導入における必須要件です。チームが連絡先データの共有にSOC 2 Type II監査未取得のツールを利用している場合、セキュリティ基盤に管理不能なリスクを抱え込んでいる可能性があります。🔐

本ガイドでは、デジタル名刺におけるSOC 2 Type IIの重要性や導入先ベンダーの評価方法、そしてWave Connectのエンタープライズプラットフォームがどのようにエンタープライズレベルのセキュリティ審査をクリアするよう設計されているかを解説します。数多くのベンダーリスク評価を経験してきた知見から、IT部門が本当に重視するポイントに絞ってお伝えします。

ご利用中のデジタル名刺はSOC 2に準拠していますか？（なぜ重要なのか）

見落とされがちな事実として、従業員がデジタル名刺を共有するたびに、サードパーティ製プラットフォーム経由で連絡先データが送受信されています。氏名、メールアドレス、電話番号、役職、企業情報だけでなく、商談メモやCRMデータが含まれることもあります。

10人のスタートアップなら管理可能かもしれませんが、金融や医療分野の500人規模の企業となれば、重大なデータリスクになり得ます。デジタル名刺ベンダーがSOC 2 Type II認証を取得していない場合、監査を受けていないサードパーティに社内のコンタクトパイプラインへのアクセスを許しているのと同じです。

実際にこのような事例がありました。私が支援したある医療機関では、従業員が個人導入した消費者向け名刺アプリがコンプライアンス部門で問題視されました。SOC 2レポートもDPA（データ処理契約）もSSOもなく、データの送信先すら把握できないまま連絡先データが収集されていたのです。

SOC 2 Type II認証とは？（わかりやすく解説）

SOC 2とは「System and Organization Controls 2」の略称です。AICPA（米国公認会計士協会）が策定した、サービスプロバイダーによる顧客データの安全な取り扱いを定義するコンプライアンスフレームワークです。

このフレームワークは、5つのトラストサービス基準（Trust Services Criteria）で構成されています。

• セキュリティ： 不正アクセスからの保護（ファイアウォール、暗号化、侵入検知）
• 可用性： システムの稼働時間とディザスタリカバリ
• 処理の完全性： データの正確性と完全性
• 機密性： 機密情報へのアクセス制限
• プライバシー： 個人情報の収集・利用・保持に関する適切な管理

ここで重要な違いを把握しておきましょう。SOC 2 Type Iは特定時点のスナップショットであり、「特定の日付において統制が整備されていた」ことを示します。一方、SOC 2 Type IIは一定期間（通常6〜12か月）にわたり、それらの統制が継続的かつ有効に運用されていたことを証明します。エンタープライズ企業の調達部門が求めるのはType IIであり、デジタル名刺ベンダーを選ぶ際にも必ず確認すべき基準です。

たとえるなら、Type Iは1回の小テストで合格点を取ること、Type IIは1年を通じてオールAの最高成績を維持し続けることです。その信頼性には大きな差があります。

デジタル名刺のSOC 2準拠状況を評価する方法

私はWaveとしてセキュリティチェックシートに回答する側、そしてベンダーを評価する側の双方を経験してきました。IT部門の責任者がチーム向けにデジタル名刺プラットフォームを評価する際に役立つ8つのチェックリストをご紹介します：

Wave Connectの包括的なセキュリティ＆コンプライアンス構成

ここからは、Wave Connectのセキュリティ基盤に備わっている具体的な仕様をご紹介します：

2026年2月時点で確認されたWave Connectのセキュリティ機能です。エンタープライズ向けのセキュリティ資料については、Wave Enterpriseをご覧ください。

特筆すべきポイントがいくつかあります。SOC 2 Type II ＋ GDPR ＋ VPATの組み合わせは、企業の調達部門が重視する3大コンプライアンス要件（セキュリティ監査、データプライバシー、アクセシビリティ）をすべて網羅しています。

Waveが一般的なデジタル名刺プラットフォームと大きく差別化されている点が、ブラウザベースのアーキテクチャです。専用アプリが不要なため、従業員の端末でアプリ権限を求める必要がなく、アップデート管理の手間やシャドーITのリスクもありません。さらに、ホワイトラベルドメインに対応しているため、名刺URLを自社ドメイン上で運用し、自社のセキュリティ基盤のもとで管理できます。

ブラウザベースのデジタル名刺がよりセキュアな理由

エンタープライズセキュリティの議論において、私が常に立ち返るのがこの点です。そして、これは意外と見落とされがちな重要なポイントでもあります。

デジタル名刺プラットフォームがネイティブアプリを必要とする場合、全従業員のデバイスにアプリをインストールしなければなりません。そして、アプリをインストールするたびに攻撃対象領域（アタックサーフェス）が広がってしまいます。

• アプリの権限： カメラ、連絡先、ストレージ、時には位置情報まで。その一つひとつがデータ漏洩のリスク要因になり得ます。
• アップデート管理： アプリベンダーが悪意のあるアップデートを配信してしまった場合、すべての従業員デバイスが影響を受けます。
• シャドーITのリスク： IT部門が審査する前に従業員が勝手にアプリをインストールしてしまい、セキュリティ部門が把握した頃には何百件もの連絡先が外部システムに保存されていた、という事態が起こります。
• オフボーディングの抜け漏れ： 退職者が出た際、SSOの無効化とは別にアプリのアクセス権限を手動で剥奪しなければならず、管理の漏れが生じやすくなります。

Waveのブラウザファーストなアプローチなら、デバイス上で実行可能コードが動くことも、アプリ権限を常時要求されることも、バックグラウンドでデータが収集されることもなく、MDMで管理する手間もありません。ITチームは管理ダッシュボードからSSOとRBACを通じてアクセスを制御するだけです。

さらに、ホワイトラベルドメインを利用すれば、サードパーティのURLではなく自社ドメイン（例：cards.yourcompany.com）からデジタル名刺を配信できます。つまり、名刺の共有も自社のDNSおよびセキュリティインフラの管理下にとどめることができます。

WaveのSOC 2 Type II準拠：エンタープライズにとっての真の価値

ここで、Waveのコンプライアンススタックが具体的に何を含んでおり、なぜ一般的なデジタル名刺プラットフォームを大きく凌駕しているのかを詳しく解説します。

SOC 2 Type II ＋ GDPR ＋ VPATアクセシビリティ対応。 これは単なる形式的なチェック項目ではありません。以下の領域を網羅した包括的なセキュリティ体制です：

• 保管データの保護： 保存されたすべての連絡先データ、名刺デザイン、分析データをAES-256で暗号化
• 転送データの保護： すべてのAPI呼び出し、名刺共有、管理者操作にTLS 1.3を採用
• アクセス制御： Okta、Azure AD、Google Workspace経由のSSO。管理者／マネージャー／ユーザーのきめ細かな権限設定（RBAC）
• 監査ログ： 誰が、いつ、どのデバイスから何にアクセスしたかを完全に追跡可能
• データの所有権： 連絡先はお客様の資産です。Waveが名刺を受け取った相手に対して営業活動を行ったり、マーケティングメールを送信したり、情報を再販したりすることは一切ありません。

この最後のポイントは、皆さんが想像する以上に重要です。一部のデジタル名刺プラットフォームは、名刺の受け取り手を自社のリードとみなし、「Powered by [Platform]」というブランディングを付与した上でプロモーションメールを送信することがあります。セキュリティやコンプライアンスの観点から言えば、これは法務チームが把握しておくべきデータ処理活動に他なりません。

Waveはそのような行為を一切行いません。お客様の連絡先に働きかけることはなく、データはお客様だけのものです。

エンタープライズ規模でのデジタル名刺の導入方法を検討しているチームにとって、コンプライアンススタックこそがIT部門に導入を承認されるか、それとも却下されるかの分かれ道となります。Waveは、その承認プロセスをスムーズにクリアできるように設計されています。

まとめ

率直に申し上げて、2026年においてSOC 2 Type IIはあくまで基準線にすぎず、それ単体では不十分です。エンタープライズセキュリティにおける真の差別化要因は、SOC 2の上に積み上げられた要素にあります。具体的には、GDPR準拠、VPATアクセシビリティ認証、アプリ起因の攻撃経路を排除するブラウザベースのアーキテクチャ、DNSレベルでの制御を可能にするホワイトラベルドメイン、そして受け取り手への営業ゼロの徹底です。

デジタル名刺ベンダーを評価しているIT責任者やCISOの方は、ぜひ上記の8項目のチェックリストを活用して各社を精査してください。単に「SOC 2に準拠していますか？」と尋ねるだけでなく、セキュリティスタック全体について確認することが不可欠です。

そして、エンタープライズの厳格なセキュリティ審査を最初からクリアできるプラットフォームをお求めなら、Waveのエンタープライズプラットフォームが最適です。コンプライアンスに一切の妥協が許されない組織のために専用設計されています。

よくある質問

デジタル名刺におけるSOC 2 Type II認証とは何ですか？

SOC 2 Type IIは、プラットフォームのセキュリティ統制が6〜12か月にわたり一貫して運用されていることを検証する独立した監査です。 データのセキュリティ、可用性、処理の完全性、機密性、プライバシーを対象としています。

Wave ConnectはSOC 2に準拠していますか？

はい、Wave ConnectはSOC 2 Type II認証の維持に加え、GDPR準拠およびVPATアクセシビリティ認証を取得しています。 また、保管時におけるAES-256暗号化、転送時におけるTLS 1.3暗号化を採用し、エンタープライズ向けのアクセス制御としてSSO/MFAにも対応しています。

Wave Connectはどのような認証を取得していますか？

Wave ConnectはSOC 2 Type II認証、GDPR準拠、VPATアクセシビリティ認証を取得しています。 さらに、ブラウザベースのアーキテクチャ（アプリ不要）、ホワイトラベルドメイン、SSO連携、名刺受け取り手への営業ゼロといった特長を備えています。

なぜアプリ型よりもブラウザ型のデジタル名刺の方が安全なのですか？

ブラウザ型のプラットフォームはネイティブアプリのインストールが不要なため、アプリ権限の付与をなくし、攻撃対象領域を最小限に抑え、シャドーITのリスクを排除できます。 従業員のデバイス上に実行可能コードが残ることもありません。

SOC 2 Type IとType IIの違いは何ですか？

Type Iが特定時点での評価であるのに対し、Type IIは一定期間（6〜12か月）にわたる統制の運用状況を監査します。 継続的なセキュリティ運用の実態が証明されるため、企業の調達部門では通常Type IIが求められます。

Wave ConnectはSSOとMFAに対応していますか？

はい、WaveはOkta、Azure AD、Google Workspace経由のSSOに対応しており、全ユーザーアカウントで多要素認証（MFA）を利用できます。

デジタル名刺のホワイトラベルドメインとは何ですか？

ホワイトラベルドメインを使用すると、サードパーティのドメインではなく、自社のURL（例：cards.yourcompany.com）からデジタル名刺を配信できます。 これにより、名刺共有を自社のDNSおよびセキュリティ管理下に維持できます。

Wave Connectは名刺の受け取り手に営業やマーケティングを行いますか？

いいえ。Wave Connectが、名刺を共有した相手に連絡を取ったり、営業やマーケティングを行ったりすることは一切ありません。 お客様の連絡先はお客様だけの資産です。

VPATアクセシビリティ認証とは何ですか？

VPAT（米国リハビリテーション法第508条に基づく製品アクセシビリティ評価報告書）は、製品がアクセシビリティ基準にどのように適合しているかを文書化したものです。 Wave ConnectのVPAT認証は、障がいを持つユーザーでもデジタル名刺を利用できることを示しており、企業のコンプライアンスにおいて重要性がますます高まっています。

現在利用しているデジタル名刺がSOC 2に準拠しているか確認するにはどうすればよいですか？

ベンダーにSOC 2 Type IIレポートの提示を直接求め、暗号化基準（AES-256、TLS 1.3）を検証し、SSO/MFAへの対応を確認した上で、アプリの権限設定を見直してください。 本ガイドの8項目のチェックリストをご活用ください。

著者について： George El-Hageは、世界10,000以上のチームから信頼されるデジタル名刺プラットフォーム「Wave Connect」の創業者です。医療、金融、法務、テクノロジー業界の大企業へのデジタル名刺導入で6年以上の実績を持ち、エンタープライズ導入において真に重視すべきセキュリティおよびコンプライアンス要件に精通しています。Wave ConnectはSOC 2 Type II認証、GDPR準拠、VPATアクセシビリティ認証を取得しており、Okta、Azure AD、Salesforce、HubSpot、Pipedriveと連携します。