Definition
デジタル製品パスポートのベンダーはどう見極めるべきですか。
証明書ではなく適合性を検証してください。パスポートを1件発行し、その出力を GS1 Digital Link、EPCIS 2.0、W3C Verifiable Credentials の各仕様と直接突き合わせてください。この根拠はベンダーや監査人を信頼することを必要とせず、貴社のデータが可搬であり続けるかどうかを実際に決める部分を検証できます。
Certificates still matter for a security review, but ask for the scope statement before the certificate. A boundary that excludes the platform holding your data is the most common way a genuine certificate turns out to be irrelevant.
証跡
何についてどのような証拠が用意できるか
| What you want to establish | How to get it | Needs us? |
|---|---|---|
| GS1 Digital Link conformance | Issue a passport and check the identifier resolves per the specification | A sandbox key only |
| EPCIS 2.0 conformance | Append an event and validate the JSON-LD against the standard | A sandbox key only |
| Credential verifiability | Verify a signed credential with any conforming W3C library | No — that is the point |
| Data portability on exit | Export and confirm the documents are standards-conformant | A sandbox key only |
| Security controls | Send your vendor questionnaire; we complete it against your controls | Yes |
| Formal certification status | Ask during procurement — we will tell you exactly where it stands | Yes |
適合性
当社が実装している仕様
GS1 Digital Link
データキャリア上の解決可能な製品識別子。スキャンが仕様どおりに解決するかを確認してください。
GS1 EPCIS 2.0
標準のJSON-LDシリアライズによるサプライチェーンのイベント。当社の出力をスキーマで検証してください。
W3C Verifiable Credentials 2.0
適合するどのライブラリでも検証できる署名済みの主張。当社を呼び出す必要はありません。
W3C Decentralized Identifiers
このプラットフォームとは独立に解決される発行者の識別子。
CIRPASS · CEN-CENELEC JTC 24
委任法令が収束しつつあるパスポートデータモデル。
ISO 14040・14067・59020
フットプリントと循環性の数値が紐づく方法論。
回答
よくある質問
SOC 2やISO 27001を取得していますか。
ウェブページ上で主張するつもりのないことです。形式的な保証はロードマップに入っており、取得のたびに、認証機関、適用範囲の記述、有効期間を添えてここに掲載します。それまでは調達の場で直接お尋ねください。現状について率直にお答えします。
証明書より適用範囲のほうが重要なのはなぜですか。
認証書は、定義された範囲に対して監査が行われたことを示すものであり、その範囲こそが要点だからです。全社IT機能を対象とする認証書は、貴社のパスポートデータを保持するプラットフォームについてほとんど何も語りません。誰を評価する場合でも、適用範囲の記述が実際にどのシステムを名指ししているかを確認してください。
GDPRは認証制度ですか。
いいえ。これは法的義務であって監査制度ではないため、「GDPR認証取得」は誰が言っても意味のある主張になりません。実際に示せるのは、データ処理条件、再委託先一覧、移転の仕組み、そしてそれらを支えるセキュリティ対策です。これらはすべてご提供します。
まったく問い合わせをせずに、何を検証できますか。
標準への適合性です。サンドボックスのキーでパスポートを発行し、その出力をGS1 Digital Link、EPCIS 2.0、W3C Verifiable Credentialsの各仕様に直接照らしてください。当社を信頼する必要も、監査人を信頼する必要もないため、バッジよりも強い証拠になります。
その間、当社は貴社をどう評価すればよいですか。
Send your vendor questionnaire to ceo@fistasolutions.com. We will complete it against your specific controls, and where the honest answer is that something is not yet in place we will say so rather than answering around it. That is more useful to a security reviewer than a badge would be.