認証とコンプライアンス

SOC 2 Type 2、クラウド拡張を含むISO/IEC 27001、iBeta Level 1 PAD、ドイツの青少年保護認証、スペイン規制当局の証明、EBA/MiCAの法的意見書について、日付とともに説明します。

執筆: Didit サポート · 更新日: 2026年9月15日

Diditのセキュリティおよびコンプライアンス体制は、自己申告ではなく、独立した監査人、認定試験機関、金融規制当局によって検証されています。

#一覧

#それぞれが実際に証明していること

SOC 2 Type 2は、多くのセキュリティレビューが求めるものです。監査当日に管理策が存在していたかどうかではなく、2026年3月から7月までの一定期間にわたって管理策が有効に機能していたかを検証するためです。このレポートはNDAのもとで入手できます。

SOC 2 Type 1は、Type 2の観察期間に先立って行われた、管理策の設計に関するある時点の監査です。

ISO/IEC 27001:2022は、設計・開発・運用まで含む検証プラットフォーム全体をカバーする情報セキュリティマネジメントシステムを認証するものです。27017はクラウド固有の管理策を追加し、27018はクラウド環境における個人データの保護を追加します。

iBeta Level 1 PADは、ラボでテストされた生体認証のなりすまし対策です。6つのカテゴリーにわたる360件の提示攻撃のうち、成功したものは1件もありません。詳細はなりすまし対策のテストと認証をご覧ください。

FSM Jugendschutz geprüftは、Diditの年齢確認がJMStV第4条第2項に基づく閉鎖的ユーザーグループ（ドイツの青少年保護の枠組み）を確実に確立できることを証明しており、これにより年齢確認済みの成人のみが年齢制限コンテンツに到達できます。

スペイン規制当局の証明は特異なものです。2024年11月から2025年7月にかけて実施された監督下でのテストの結果、スペインのTesoro Público、Banco de España、SEPBLAC、CNMVは、DiditのNFC＋ライブネス認証がマネーロンダリング防止規則の下で対面での本人確認と同等以上に安全であると結論づけました。この検証を得ているプロバイダーはDiditのみです。

EBA / MiCAの意見書は、Diditのリモートオンボーディングが EBA Remote Customer Onboarding Guidelines（EBA/GL/2022/15）を満たし、EUのAML単一ルールブックおよびMiCAと整合していることを示す独立した法的意見書です。メモは依頼に応じて提供します。

GDPR - Diditは第32条の措置を伴う貴社のプロセッサーとして運用します。保管時のAES-256暗号化、転送時のTLS 1.3暗号化、デフォルトでのEUリージョン、設定可能な保持期間、APIによる削除が含まれます。

同じ体制はスイスのFADPもカバーし、プラットフォームは金融セクターの顧客向けにすべてのプラン階層でDORAに整合しています。

#契約相手の会社

調達フォームで必ず聞かれるので、はっきり書いておきます。EU、EEA、スイス、ラテンアメリカの顧客の契約主体は、スペインの事業会社であるDidit Identity Spain, S.L.です。その親会社は米国（デラウェア州）の法人で、米国の顧客とはこちらが署名します。NDAや契約書を送る前にサポートが「スペインか米国か」と尋ねるのは、この選択のことです。分からない場合は自社の設立地を伝えれば、適切な方を選びます。

#レポートの入手方法

セキュリティ＆コンプライアンスセンターから、またはDiditの担当者から入手できます。ISO/IEC 27001認証書、iBeta報告書、技術的・組織的措置（TOMs）文書は依頼に応じてそのまま共有できます。SOC 2報告書とペネトレーションテスト報告書は公開ではなくNDAの下で提供されます。依頼する際は次の3点を用意してください。署名リンクを送る前にサポートが必ずこれらを尋ねます。

#認証が示さないこと

認証について、思い込みで扱うと実際に問題を引き起こす2つの限界を明確にしておきます。

認証は自社のユースケースのライセンスではありません。 FSM認証は年齢確認の手法が機能することを証明しますが、それを使うことが米国・英国・ブラジルの年齢確認規制を満たすことを保証するものではありません。ある手法が特定の市場の義務を満たすかどうかは、コンプライアンスチームが判断すべき法的な問題であり、業種やライセンスにも大きく依存します。

認証は自社の設定が堅牢であることを意味しません。 上記の資格・証明はプラットフォームについて説明するものです。実際のリスクは、どのライブネス方式を使うか、どのしきい値を設定するか、NFCを必須にするか、リスクシグナルを審査に回すかなど、構築したワークフローによって決まります。詳細は判定ルールとしきい値をご覧ください。

#一覧にないものが必要な場合

お問い合わせください。新しい認証は随時追加されており、Didit担当者は現時点で存在するものとロードマップ上にあるものを案内できます。これは、このページからの推測よりもコンプライアンス判断の根拠として適切です。デモを予約するか、必要な具体的な枠組みをアカウントマネージャーにお伝えください。