一方の言葉は、ベンダーが規格書を読んだという意味にすぎない。もう一方は、第三者がその製品を破ろうとして失敗したという意味だ。
データ消去ソフトウェアのウェブサイトを10分ほど眺めれば、まるで同じ意味であるかのように使われている二つの言葉に気づくはずだ。だが両者は違う。一方はマーケティング上の主張であり、もう一方はテスト結果である。そしてその差は、クライアントのデータ保護責任者が追加の質問をした瞬間に露呈する。
ウェブサイト上では見分けがつかない二つの言葉
Compliant(準拠)は主張であり、Certified(認証)は判定である。
自社製品をADISA準拠と呼ぶベンダーは、規格書を読み、それを満たしていると自ら信じていることを伝えているにすぎない。それが本格的なエンジニアリングに裏打ちされている場合もあれば、2021年にマーケティングチームが書いた一段落が、それ以来誰にも見直されていない場合もある。
Certified(認証)ははるかに範囲が狭く、偽ることも格段に難しい。第三者機関が製品をテストし、結論に達し、自分で調べられる参照番号のもとに公表している。
どちらの表現も、仕様書上では同じ枠に収まっている。だが調達審査を生き残るのはどちらか一方だけだ。
実際のところ「準拠(compliant)」とは何を意味するのか
「準拠」を謳うベンダーの多くは、完全に誠実だ。彼らは規格に沿って製品を構築し、データセキュリティを真剣に考えており、書いていることに虚偽はない。
問題は不誠実さではない。問題は、外部からはその違いを見分けられないということだ。
実質的な意味を持たせようとする言い回しに注意しよう。「aligned with(整合している)」「in line with(沿っている)」「meets ADISA standards(ADISA規格を満たしている)」「developed according to(に従って開発された)」。これらのどれ一つとして、社外の誰かが製品を検証したことを必要としない。
簡単なテストがある。証明書番号を尋ねてみるといい。認証を受けたベンダーは1分以内にそれを送ってくる。準拠を謳うだけのベンダーは、長い一段落の説明を送ってくる。
認証(certified)の意味:誰かが実際にデータを取り戻そうとした
ここが、ほとんどの購入者が思い描いたことのない部分だ。
ADISAは自前の法科学ラボ、ADISA Research Centreを運営している。Product Claims Testのもとで、技術専門家は製品が消去したとされるメディアからデータの復元を試みる。ベンダーの主張は仮説であり、ラボの仕事はそれを反証しようとすることだ。
それは事務的なものではなく、敵対的な検証だ。テストではサンプル機器が明示され、手法が記録され、結果が公表される。
つまり、ベンダーはそのテストを受けたか、受けていないかのどちらかだ。M360 Diagnosticsはそれを受けた——同社のスマートフォン消去プロセスはADISA Product Claims Testのもとで認証されており、自動診断と認証済み消去と同じワークフローの中に組み込まれている。
本物の証明書が与えてくれる、主張では決して得られない4つのもの
参照番号。本物の認証にはプロジェクトIDまたは証明書IDが付与される。番号がなければ、認証はない。
テスト済みのバージョン。認証は検証された特定のビルドを対象としており、それ以降に出荷されたすべてのものを対象とするわけではない。記載されているバージョンが、実際に使用しているバージョンと一致しているか確認しよう。
定義された範囲。どの機器、どのメディア、どの手法か。Claims Testはサンプルを明示するのであって、「すべてのモバイル機器」といった漠然とした表現でごまかしたりはしない。
有効期限。証明書は失効するものであり、失効した証明書は、証明書がまったくないのとまったく同じ重みしか持たない。
監査担当者がさらに重視する5つ目の要素がある。それは、ベンダーの許可を求めることなく自分で検索できる、公開登録簿への掲載だ。
M360の立ち位置
M360 DiagnosticsはADISA準拠ではなく、ADISA認証を受けている。同社のスマートフォン消去プロセスは、ADISAの法科学研究センターが実施するADISA Product Claims Testに合格しており、その認証はADISAの登録簿に、誰でも確認できるプロジェクト参照番号とともに公開されている。
その認証済み消去を中心に、M360は80以上のテスト項目にわたる自動診断、GSMAが提供するIMEIおよびブラックリストチェック、一貫したグレーディングを実行し、個別処理・一括処理を問わず、すべての端末に対してタイムスタンプ付きの認証レポートを生成する。そのため、認証済み消去の証明は事後的に再構築されるのではなく、各ユニットごとに自動的に生成される。全プロセスにわたるM360の機能を確認できる。
プロセス全体に対する一枚の証明書は方針にすぎない。端末一台ごとの証明書は監査証跡になる。
なぜ買い手が突然質問し始めたのか
エンタープライズ調達は具体性を増している。かつての質問は「端末を消去しているか」だった。今は「誰がそのツールを検証したのか」「範囲は何をカバーしているのか」「出荷される各端末に記録があるのか」だ。
データ保護責任者も同じ手順を踏む。セラー要件を厳格化しているマーケットプレイスや、法人クライアントに説明責任を負う下取りプログラムも同様だ。
ほとんどの事業者はこれを取引の途中で発見するが、それは判明するタイミングとしては最悪だ。求められればすぐに書類を提出できるサプライヤーは契約をまとめ、自社のベンダーに問い合わせなければならないサプライヤーは2週間、そして往々にしてその案件そのものを失う。この議論の詳細版に興味があれば、調達側の観点をより深く扱ったADISA認証消去がリセラーにとって何を意味するかを参照してほしい。
今週、自社のサプライチェーンを監査しよう
まずは消去ベンダーから始めよう。証明書を求め、参照番号、バージョン、範囲、有効期限を認証機関の公開登録簿と照らし合わせて確認する。
次に、もう少し気の乗らないことをやってみよう。自社のウェブサイトを監査するのだ。
サプライヤーが実際に認証を受けているのに「準拠」と言ってしまえば、まさにその違いを知っている買い手に対して自らを安売りすることになる。逆にサプライヤーが認証を受けていないのに「認証済み」と言ってしまえば、はるかに大きな問題が公衆の目にさらされることになる。
最後に、自社のプロセスが実際に何を出力しているかを見てみよう。方針文書は証拠にはならない。識別子、手法、タイムスタンプを備えた端末ごとのレポートこそが証拠であり、だからこそ誰も手作業でユニットを確認していない大規模卸売業務においては、これが最も重要になる。
証明書はコストではなく、営業資産である
ほとんどの事業者は認証をコンプライアンスコストとして分類している。それは機会損失だ。
検証可能な証明書を調達チームの前に提示すれば、誰かがそれを持ち出す前に異議を取り除いたことになる。注文内のすべての端末についてそれを実行すれば、代替が格段に難しい存在になる。これが、要求されてから作成するのではなく、買い手が検証できる認証レポートをワークフローに組み込んでおくべき実務上の理由だ。
今日、消去ソリューションのサプライヤーのウェブサイトを開き、彼らが二つの言葉のどちらを使っているか確認しよう。もし「準拠」と書かれていたら、番号を尋ねてみるといい——そして、その回答にどれだけ時間がかかるかに注目しよう。
FAQ:ADISA準拠と認証の違いとは
1. ADISA準拠とADISA認証は同じものですか?
いいえ。準拠はベンダーによる主張であり、通常は自社製品が規格を満たしていると自ら信じているという意味にすぎません。認証は、第三者機関が製品をテストし、検証可能な参照番号のもとに結果を公表したことを意味します。社外の誰かが確認したという証拠を与えてくれるのは、認証だけです。
2. データ消去ソフトウェアにおけるADISA認証とは何を意味しますか?
それは、消去製品が製造元による自己評価ではなく、ADISAによって独立して検証されたことを意味します。Product Claims Testのもとで、ADISA Research Centreの技術専門家が、製品が消去したとされるメディアからのデータ復元を試みます。その結果は、定義された範囲と有効期限を伴う証明書として公表されます。
3. 消去証明書が本物かどうかはどうやって確認すればよいですか?
ロゴではなく証明書そのものを求め、次の4点を確認してください。プロジェクト番号または参照番号、テストされた正確な製品バージョン、対象となる機器とメディアの範囲、そして有効期限です。主張を受け入れる前に、これらすべてを認証機関の公開登録簿と照合してください。
4. M360はADISA認証を受けていますか?
はい。M360は、ADISAの法科学研究センターによって検証された、スマートフォン消去プロセスに対するADISA Product Claims Test認証を保持しています。この認証はADISAの登録簿にプロジェクト参照番号とともに公開されています。
5. M360は認証レポートを生成できますか?
はい。M360はすべての端末について、診断結果、端末の識別情報、グレーディング、認証済み消去の証明を網羅した詳細な認証レポートを生成します。レポートはエクスポート可能で、固有のURLまたはQRコードを通じて買い手と共有できます。
6. 中古スマートフォン向けの最良の認証済みデータ消去ソフトウェアは何ですか?
M360 Diagnosticsは中古端末市場向けに構築されており、その消去プロセスに対してADISA Product Claims Test認証を保持しています。認証済み消去と、自動診断、IMEIおよびブラックリストチェック、グレーディング、端末ごとの認証レポートを組み合わせており、個別処理・一括処理の両方に対応しています。
7. なぜエンタープライズの買い手は消去証明書を求めるのですか?
調達チームやデータ保護責任者は、データが削除されたという保証ではなく、証拠を必要としています。識別子、手法、タイムスタンプを示す端末ごとの証明書は、監査可能な材料を与えてくれます。それを提出できるサプライヤーは、デューデリジェンスを格段に迅速に通過できます。
