SPHIOR · Enterprise 機能
スキャン結果が コンプライアンス基盤に 自動で流れる。
SPHIOR は全てのスキャン結果を SOC 2 Trust Services Criteria に自動マッピングし、監査支援証跡を Vanta・Drata・Secureframe に直接プッシュします。手動アップロード不要。スプレッドシート不要。毎月、全自動で。
インフラを変更するたびに SOC 2 コンプライアンスが崩れる。
S3 バケットを追加。認証コードを変更。新しいポートを開放。その度に Vanta、Drata、Secureframe で「Failed」アラートが発生し、誰かが手動でスクリーンショットを撮り、アップロードし、証跡を再マッピングする必要があります。毎月。毎回。SPHIOR はそのワークフロー全体を自動化します。
スキャン
月次自動スキャン: Sentinel (CVE), Spectra (DAST), インフラ (AWS/GCP/Azure/Cloudflare)
マッピング
結果を 17 の SOC 2 TSC コントロールにマッピング。実際の検出結果に基づき PASS / FAIL を判定。
プッシュ
Vanta（カスタムチェック API）、Drata（PDF 添付の証跡 API）、Secureframe（Custom Integration JSON）へ自動プッシュ。
月次継続
毎月自動で継続。証跡は常に最新かつ監査対応済み。
17 の SOC 2 コントロールをマッピング
毎月のスキャンがこれらのコントロールを自動評価し、実際のスキャンデータに基づいて PASS / FAIL を判定します。自己評価ではありません。
Web セキュリティコントロール
12クラウドインフラコントロール
5対応インフラ
Vanta・Drata・Secureframe とのダイレクト連携
カスタム統合チェック
sphior.CC6.1 形式で TSC コントロールごとに識別証跡 API v2
カスタム連携
sphior.CC6.1.YYYY-MM 形式で月次冪等アップサート手動運用 vs. SPHIOR 自動化
| 手動 |  SPHIOR | |
|---|---|---|
| 証跡収集 | ツールごとに手動スクリーンショット & CSV エクスポート | スキャン後に自動収集 — PDF + 構造化データ |
| Vanta/Drata/Secureframe へのアップロード | ログイン → 画面操作 → ファイルアップロード → コントロール手動タグ付け | API 直接プッシュ — クリックゼロ、コントロール自動タグ付け |
| TSC コントロールカバレッジ | 担当者の記憶に依存 — 監査時にギャップ発覚 | 毎サイクル 17 コントロールをマッピング — ギャップゼロ |
| インフラ変更検知 | 監査人に指摘されるまで見落とされがち | AWS/GCP/Azure/Cloudflare をスキャン — ドリフト検出 & 自動プッシュ |
| 証跡フォーマット | 不統一 — スクリーンショット、PDF、スプレッドシートが混在 | CVSS スコア & 修正手順付き標準化された監査支援 PDF |
| 監査対応状態 | 監査前に慌てて準備 — 数週間のリードタイム | 常に監査対応済み — 証跡は最終スキャン時点で最新 |
| 月間工数 | 4〜8 時間の手作業 | 0 分 — 完全自動化パイプライン |
| 手動作業の年間コスト | $4,800〜$9,600/年（エンジニア時給 $100 換算） | SPHIOR プランに含まれます |
全てのプッシュが記録される
プッシュログ
プッシュの試行ごとに記録: プロバイダ、ステータスコード、リクエスト ID、所要時間、証跡数。
証跡カタログ
TSC コントロールごと、月ごとの PASS/FAIL 全履歴。監査人は任意の時点を検査可能。
イベントログ
SOC2_EVIDENCE_COLLECTED イベントとコントロール充足状況の内訳。改ざん検知可能な監査証跡。
月次の継続改善を、自動でプッシュ
Vanta、Drata、Secureframe は「現在の Pass/Fail 状態」しか表示しません。SPHIOR は加えて、不変な月次 snapshot (新規・解決・MTTR・posture 推移) を記録し、監査人に継続改善の証跡を提示します。SOC 2 Type II は時点監査ではなく、継続運用の証跡を要求します。
現在の状態のみ
GRC dashboard は「CC6.1: PASS」だけ。監査人は先月 Fail だったか、修正に何日かかったかが見えない。
SPHIOR あり12 ヶ月の不変な改善証跡
SPHIOR は毎月、完全な delta snapshot (新規・解決・MTTR・posture 推移) を push し、24 ヶ月以上不変に保持。
監査対応の改善証跡
監査人は毎月の改善を要求せずに確認可能 — SOC 2 Type II は継続運用の証跡を要求。
MTTR + 修正速度
Severity 別の平均解決日数を finding lifecycle から自動算出 — 手動追跡不要。
24 ヶ月以上の不変保持
DB trigger で UPDATE/DELETE を物理ブロック。システム変更後も audit trail が残る。
API キーは暗号化ストレージから出ることはありません
Vanta、Drata、Secureframe への接続には API 認証情報が必要です（Secureframe は API_KEY と API_SECRET の両方を使用）。これらはコンプライアンスプラットフォームへの書き込み権限を持ちます。SPHIOR は全ての認証情報を保存前に AES-256-GCM で暗号化し、プッシュの瞬間だけ分離されたワーカープロセス内で復号します。
保存時の暗号化
API キーは専用の暗号鍵を使い AES-256-GCM で暗号化された後にデータベースへ書き込まれます。平文のキーは一切保存されません。
{ iv, ciphertext, tag } → DBプッシュ時のみ復号
キーは証跡プッシュ実行の瞬間、分離された Cloudflare Worker 内で復号されます。メモリ上に存在するのはミリ秒単位で、即座に破棄されます。
Worker → decrypt → POST → discardゼロ露出設計
管理画面も、API エンドポイントも、ログにもキーは一切露出しません。SPHIOR のエンジニアでさえ読み取れません。暗号鍵は Cloudflare のシークレットに分離保存され、アプリケーションコードからアクセスできません。
ENC_KEY → CF Secret