検証可能な信頼性: FigmaはISO 42001認証を取得しました

AIベンダーを評価するセキュリティチームは、おなじみの問題に直面しています。それは、ガバナンスが実際に整備されているかどうかに関わらず、どのベンダーのドキュメントも皆同じように見えるということです。

FigmaのAI機能は、銀行、医療、保険、公共部門などのワークフローに組み込まれています。これらの分野では、ソフトウェア開発において厳格な規制、セキュリティ、プライバシーの要件が絶対条件となっています。セキュリティチームがベンダーのリスク評価を実施したり、取締役会がAIガバナンスについて質問したり、顧客がAI支援デザイン機能を有効にするかどうかを検討したりする場合、単にAIを真剣に受け止めるだけでは不十分です。

FigmaはISO/IEC 42001:2023認証を取得しました。認定された独立認証機関であるSchellmanが、プラットフォーム全体でのAIガバナンスポリシー、リスク管理プロセス、開発プラクティスを監査し、Figmaが基準を満たしていることを確認しました。これにより、Figmaは既存のISO/IEC 27001およびSOC 2 Type IIの認証に加え、新たな認証を取得することとなりました。

独立した検証が重要である理由

AIガバナンスに関する顧客からの質問に答える方法は2つあります。自社の取り組みをドキュメント化したり、ホワイトペーパーを公開したり、アンケートに回答したりして、自社の管理体制に関する説明を顧客に信頼してもらう方法。または、認定された第三者にマネジメントシステムを公開し、国際規格に照らして検証してもらい、その結果を顧客に提示する方法です。私たちはどちらも行っています。しかし、検証可能なのはそのうちの1つだけです。

ISO 42001認証の取得は、Schellmanによって当社のガバナンスポリシー、データ慣行、リスク管理プロセス、技術的な安全対策が審査され、同規格に準拠していることが確認されたことを意味します。

認証の対象範囲

本認証は、Figmaがプラットフォーム全体(Figma Design、Figma Make、FigJam、Dev Mode、Figma Sites、Figma Slides、Figma Draw、Figma Buzz、Figma Weave)においてAI機能を設計、開発、運用する方法を規定するAI管理システムを対象としています。

実際に監査された内容

当社のISO 42001認証は、ANABの認定を受けた認証機関によって発行されました。これは重要な点です。なぜなら、認定を受けた認証と受けていない認証では、その性質が異なるからです。認定を受けるには、認証機関自体が正式な監査を受け、その要件を満たしていることが確認されて初めて、誰に対しても適合証明書を発行できるようになるからです。

監査は2段階に分けて実施されました。第1段階では、FigmaのAIMSの設計を評価し、ドキュメント化、ポリシー、およびリスク評価手法を検討しました。第2段階では、実際にそれが機能しているかどうかを検証するため、監査人がスタッフへのインタビューを行い、プロセスを観察し、附属書Aの9つの管理目標に分類された38の管理項目にわたる運用上の有効性を評価しました。

• AI影響評価
• ガバナンスと説明責任
• AI特有のリスク管理
• AIシステムのライフサイクル管理
• データガバナンス
• サードパーティのAIリスク
• モニタリングとパフォーマンス評価
• 人的監督
• AIシステムの責任ある使用

これらは新しい概念ではありません。この認証が証明しているのは、単にドキュメント化しただけでなく、実際にこれらを実践しているということです。

Figmaユーザーにとっての意味

Figmaでは、この問題の双方に関与しています。私たちは、お客様から寄せられるセキュリティに関する質問に回答するプログラムを作り、自社のサプライヤーを評価するベンダーリスクプログラムも運営しています。徹底したドキュメント化がどのようなものかを熟知しています。

ISO 42001認証は、AIガバナンスを証明する独立した証拠となります。単に質問票の回答を分析するのではなく、認定機関によって検証された、ベンダーリスク評価、取締役会報告、規制当局への提出書類に引用できる、国際的に認められた基準を手に入れることができます。

これは、約束ではなく証拠を要求するEU AI法や新たに策定されつつあるAI調達基準の下で特に重要です。金融サービス、医療、保険、公共部門などの規制対象業界の組織にとって、独自のベンダーリスク管理プログラムは監査の対象となります。外部によって検証されたAIガバナンス体制は、ベンダーによる自己評価とは次元の異なる証拠となります。

ISO 42001は、まさにその証拠を提供するために策定された規格です。

今後の取り組み

FigmaのAI機能が拡大するにつれ、それらを責任を持って管理するという当社の取り組みも強化されています。お客様に対し、単に当社の言葉を信じるよう求めるのではなく、引き続きそのガバナンス体制を第三者機関による検証に委ねてまいります。FigmaのISO 42001認証書およびセキュリティコンプライアンスに関するドキュメントはすべて、compliance.figma.comで公開されており、Schellmanの認証ディレクトリを通じて確認することができます。

この認証は始まりに過ぎず、終わりではありません。ベンダーとの関係において、お客様がいつでも当社の取り組みを確認できるように、compliance.Figma.comを最新の状態に保ちます。また、お客様のリスク評価に影響を与えるようなAIガバナンスの実践に変更が生じた場合は、透明性を確保してその旨をお知らせします。

FigmaのAIガバナンスやセキュリティ対策について質問がある場合は、お客様のアカウントチームにお問い合わせください。