合同会社SecuROIは、IT統制整備の最初の90日で着手すべき20タスクを順番と根拠付きでまとめた資料「実行地図」を無償公開しました。あわせて、運営するIT統制・セキュリティ診断SaaS「SecuROI（セキュロイ）」において、診断終了時に今四半期で取り組むべき優先タスクが回答を根拠に提示される新機能の提供を開始しています。IPO準備や監査、取引先対応、認証取得などを控える企業の利用を想定しています。

各種制度の重複を整理した「実行地図」

J-SOX（IT統制）、ISMS（ISO 27001）、Pマーク、NISTといった制度やフレームワークでは、求められる作業内容に重複が存在します。例えば「プログラム変更の承認制（記録の残る承認フロー）」は、J-SOXでは「変更の承認・記録」、ISO 27001では「A.8.32」、Pマークでは「組織的安全管理措置」、NIST CSF 2.0では「PR.PS-04」とそれぞれ異なる名称で規定されています。

今回公開された資料は、こうした重複を整理し、取り組むべき20タスクを着手順に並べたものです。資料はPDF形式とExcel形式で提供されており、登録不要で閲覧・ダウンロードできます。

• 『最初の90日の実行地図』（PDF）：https://www.securoi.com/whitepapers/execution-map-90days.pdf
• 同（Excel）：https://www.securoi.com/whitepapers/execution-map-90days.xlsx

投資判断が必要なタスクを4件に限定

提示されている20タスクのうち、16件は契約済みツールの設定変更や運用ルールの整備で対応できる内容となっており、新たな投資判断が必要となるタスクは4件にとどまります（※対応可否は各社の契約内容により異なります）。

この実行地図は診断を受けずに単体で閲覧できるほか、SecuROIの診断を受けることで、自社が20タスクのどの段階に位置しているかを把握できます。

生成AIを使わない診断設計と新機能

SecuROIの診断（22問・4択／IPO準備プランは補問2問を加えた24問）は固定ルールに基づいて採点が行われ、スコア算出や優先タスクの選定に生成AIを使用しない設計となっています。監査対応においてスコアの根拠を説明できるようにすることを重視しており、各設問はNIST CSF 2.0のサブカテゴリに紐づけて管理されています。

新機能では、診断完了時に「今四半期、まず何をやるべきか」が回答内容を根拠として提示されます。優先タスクの根拠となった回答設問が明示されるほか、測定対象外の領域は「診断では測っていない領域」として開示されます。

監査や取引先からの要求が発生しやすい規模のモデルケースとして、従業員90名のBtoB SaaS企業を想定した4四半期推移の診断レポート実物が公開されています。

• 診断レポートの実物（標準例）＜経営サマリー＞：https://www.securoi.com/samples/executive-summary-sample.pdf
• 同 ＜四半期トレンド＞：https://www.securoi.com/samples/quarterly-trend-sample.pdf

サービス料金（税込）は以下の通りです。

• 単発診断ライト：¥33,000
• 単発診断スタンダード（読み合わせ60分付き）：¥55,000
• スタンダードプラン（継続測定）：月額¥22,000（年払い¥220,000）

単発診断には専門家レビューが含まれ、スタンダードプランでは四半期ごとの推移を測定します。

会社概要

• 会社名：合同会社SecuROI（法人番号：5011203005053）
• 代表者：代表社員 小山 幸輝（Yoshiki Koyama）
• 所在地：東京都中野区上鷺宮一丁目1番6-903号
• サービス：SecuROI（セキュロイ） https://www.securoi.com
• お問い合わせ：support@securoi.com

本記事は合同会社SecuROIの発表をもとに作成しました。