TradingView のサイトをいちばん下までスクロールすると、「© 2026 TradingView, Inc.」の行のすぐ下で、いかめしい枠に囲まれた二つの大きなボタンが目に飛び込んできます。丸い印章のついた SOC 2 Compliant と、EU の小さな星に囲まれた GDPR Compliant です。堂々たる見た目で、プラットフォームの手堅いセキュリティ担当者たちへの敬意が一瞬で湧いてきます。この難攻不落の鎧がいったいどう鍛えられたのか、純粋な好奇心からバッジをクリックすると、trust.tradingview.com というページにたどり着きます。
そして掘り下げ始めると、笑えばいいのか泣けばいいのか分からないほどの不条理が姿を現します。
ショーウィンドウは SOC 2、PCI DSS 4.0.1、GDPR、DORA のバッジで飾られ、その横では緑のインジケーターが元気に時を刻んでいます。「4分前に更新」。まるで、4分前にすべての錠前を確認し、国境はしっかり閉ざされています、と言わんばかりです。その下には、もっともらしいインフラ保護の項目が二十個並んでいます。サーバーへのアクセスは暗号鍵のみ、ネットワークは分離済み、暗号化は有効、侵入検知システムは眠らない。
細部をよく見ていくと、チェックの実際の状況を示すはずの列が、ただ空っぽなのです。報告書そのものは「アクセスをリクエスト」ボタンの向こうに隠されていて、通りすがりの人間を中に入れるつもりは誰にもありません。しかし一番おかしいのはそこではありません。ページに並ぶ二十の恐るべき項目は、ひとつとして TradingView のエンジニアが書いたものではないのです。この「要塞」は丸ごと、Vanta というアメリカの外部業者の既製テンプレートから生成されたものでした。
家に泥棒がいないと証明するために、他人をすべての寝室に入れる
このビジネスはどう回っているのでしょうか。企業の世界では、サービスは監査人の書類、つまり例の SOC 2 の証明書を出すよう求められます。以前なら、生身の検査官に何か月もオフィスに居座られ、サーバーの設定を延々とつつき回されるのを我慢しなければなりませんでした。そこへ Vanta が現れ、業界に見事な裏技を提案しました。「手作業で何かを集める必要はありません。当社のソフトを会社につなげば、裏で監査人のチェックボックスを埋めて差し上げますし、ついでにサイトにバッジつきのきれいなショーウィンドウも描いて差し上げます」
ここからよく見ていてください。サイトのフッターに「お客様のデータには誰も近づけません」という誇らしげなボタンを掲げるために、企業は自ら進んで外部の会社をボンネットの下に入れるのです。クラウド基盤（AWS、Google Cloud）、GitHub 上のソースコード、社用メール、全社員の名簿が入った人事データベースへのアクセスを Vanta のサーバーに与えます。それだけではありません。プログラマーや管理者全員の業務用ノートパソコンに Vanta のスパイプログラムが強制的にインストールされ、パスワードは設定されているか、ウイルス対策ソフトは動いているか、アップデートはダウンロードされたかを24時間チェックし続けます。
Vanta は広告パンフレットで、システムは「読み取り専用」で動くので何も壊せないし盗めない、というおとぎ話で顧客をなだめています。OS の仕組みを分かっている人には、正気の沙汰とは思えない話です。妻を見知らぬ男と寝室に閉じ込めておいて、その男が母親の命にかけて「自分には読み取り専用のアクセスしかないし、何もしない、ただ布団の中に頭を突っ込んで、そこがすべて基準どおりか確かめるだけだ」と誓っているようなものです。たとえば macOS には、外部のプログラムにシステムの奥をあさらせて、パスワード、ディスク暗号化、ウイルス対策を確認させながら、何かを変更したり、他人のファイルを読んだり、データをインターネットに流したりすることを技術的に禁じる、などというモードはそもそも存在しません。入れるか、入れないか。それだけです。Vanta のエージェントが動くためには、エンジニアのパソコンに最大のスーパーユーザー権限（root）でインストールされる必要があります。つまり企業は、「何も触りません」という指切りの約束だけを頼りに、システムを完全に掌握し、常にネットにつながった、遠隔操作できる外部のトロイの木馬を、自らの手で全開発者のノートパソコンに仕込んでいるのです。その一方で、外部業者のサーバーには、脆弱性をすべて含んだ会社の完全なレントゲン写真が丁寧に組み上げられていきます。
世界のセキュリティの舵を握る書類仕事屋たち
では、世界中の何千もの企業が楽屋裏の鍵を預けている、手堅い暗号の天才やサイバー戦の古強者とは、いったい誰なのでしょうか。
Vanta の経営陣の経歴を開き、ポップコーンを用意しましょう。
創業者でずっと会社のトップにいるのは、クリスティーナ・カチョッポです。伝説的な情報セキュリティの経験を、彼女はどこで積んだのでしょうか。国防総省の秘密研究所でしょうか。基幹銀行システムのセキュリティ構築でしょうか。違います。この若い女性はプログラミングを学びに行き、芽の出なかった小さなプロジェクトを二、三年いじった後、Dropbox のプロダクトマネージャーとして職を得ました。しかもそこで担当していたのは、ファイルストレージでもディスク暗号化でもありません。キャリアの頂点は Dropbox Paper。ファイル共有サービスの中で一緒にメモを書くための、二次的な小さなオンラインメモ帳で、Dropbox のユーザーの十人に九人はその存在すら知りませんでした。そのメモ帳を作っている間に、監査人向けの退屈なスプレッドシートを埋めさせられ、彼女はまさにそのスプレッドシートを自動で集める小さなウェブフォームを他社に売るほうがはるかに儲かると考えたのです。
さらに見ていきましょう。この船のもう一人の主演女優は誰でしょうか。最高マーケティング責任者のサラ・シャーフです。この方は Google から来ました。そこで七年間、「プライバシー、セキュリティ、Android のプロダクトマーケティング」をしていたそうです。仕事の中身を考えてみてください。この人はコードを書いたわけでも、ハッカーを捕まえたわけでもありません。七年間、Google が地球上のすべての住人の調書を作っている間に、Google がいかにあなたのプライバシーを大切にしているかという広告のおとぎ話を書いていたのです。
残りのチームもお似合いです。最高プロダクト・技術責任者は以前 GitHub で二次的なアドオンやストアを担当し、最高財務責任者は Calendly から来ました。カレンダーで通話を予約するための小さなフォームを作るサイトです。
クラウドのメモ帳の作り手、Google の「プライバシー」広報担当、オンラインカレンダーの経理担当。このドリームチームが今、世界のフィンテックにセキュリティ基準を配っているのです。
スリッパ履きの警備員と、オフィスの営業担当のパラドックス
しかし本当の喜劇は、「検査官」自身の楽屋裏がどうなっているかを見たときに始まります。何千もの他社の脆弱性のスナップショットを保管しているこの会社は、公式に「リモートファースト」で働いています。2022年春の時点で、彼らはサイトに明るくこう書いていました。「今では、私たちはどこからでもうまく働いています」
いま彼らの求人ページを見ると、83件の募集のうち52件が、米国、カナダ、英国、アイルランドにまたがる完全リモートです。しかもソファから働いているのは、アイコンのデザイナーなどではまったくありません。
- Sr. Manager, Security Operations（リモート）。Vanta 自身の防御を組み立て、ハッカーの攻撃への対応を指揮する人です。求人広告は親切にも「Remote workspace, internet, and cellphone stipend」を約束しています。サイバー攻撃を撃退する責任者が、会社持ちの家庭用ルーター越しに防衛を指揮するわけです。
- GovCloud 政府向けクラウドのエンジニア（リモート、インシデント当番あり）。公共部門と仕事をするためのセキュリティ要件は、「物理的に米国内から」ログインすることだけです。道端のダイナーなのか、借りたアパートなのか、誰も気にしません。
- Senior Engineer, Enterprise Resilience と Senior Security Engineer（リモート）。本番環境を生かしておく責任を負い、求人広告で Vanta を「機密データの信頼できる管理者」に保つと誓っている人たちも、自宅に座っています。
- Staff Engineer, Program Structure & Trust（リモート）。このポジションは特に覚えておいてください。このリモートの専門家は、顧客ごとの秘密のデータが混ざらないようにする責任を負っています。
ここで一番の不条理が何か分かりますか。Vanta の上層部は、ロンドンとダブリンの普通の営業担当には週3日の出社を求めています。顧客に電話をかけてスライドを見せるだけの人たちは、ビジネスセンターで監督を受けながら座っていなければならないのです。その一方で、本番環境の鍵と何千もの企業のインフラの地図を握るエンジニアたちは、家族、隣人、配達員、配管工に囲まれた自宅の台所に、スリッパ履きで座っています。しかも、アメリカの IT 企業が偽のリモートワーカーを何十人単位で摘発している時代にです。雇われた替え玉がビデオ面接を受け、業務用ノートパソコンはそのまま北朝鮮のハッカー集団のもとへ郵送される、そんな時代に。
社会の窓が全開だった四日間
メモ帳の作り手と家庭の Wi-Fi につながったリモートワーカーによるセキュリティがどこへ行き着くのか、答えが出るのに時間はかかりませんでした。
会社ごとのデータベースが混ざらないようにするはずの、リモートのエンジニアの求人を覚えていますか。2025年5月、Vanta の書類仕事屋たちは出来損ないのアップデートを配信し、一部の顧客の秘密のデータが、そのまま別の顧客のダッシュボードに書き込まれました（インシデント報告 INC-868）。
数百社の秘密が、見知らぬ人の画面にこぼれ出たのです。部外者の手に渡ったのは、他社の社員の一覧、その役職、そして極めつけに、二要素認証（MFA）の設定でした。つまり、侵入のための既製のカンニングペーパーです。誰が何をしていて、誰のアカウント保護がオンになっていないのか。
しかし、この道化芝居の全貌は二つの細部で明らかになります。
- 穴は四日間開いたままでした。顧客のサイトに4分ごとに緑のチェックマークを描いている、Vanta ご自慢の自動監視は、自分の目の前で他人のデータベースを適当なお隣さんに配っていることに、四日間気づきませんでした。バグが見つかったのは、唖然とした顧客の一人が自分のダッシュボードに他社の楽屋裏を見つけ、サポートに連絡したときでした。
- 教科書どおりの厚顔無恥。恥が明るみに出ると、Vanta のマーケターたちは報告書を公開し、数百社のデータが見知らぬ人の手に渡ったことを、真顔で「non-security related」なインシデントと呼びました。データベースが混ざったからといって何だというのでしょう。大事なのは、報告書のチェックマークが緑であることです！
紙の盾
サイトのフッターにある恐るべき SOC 2 Compliant と GDPR Compliant のボタンの価値は、結局それだけです。
普通の人はこうしたバッジを見て、このサービスは核のボタン並みに守られていると思います。実際には、官僚的な一枚の紙のために、企業は自ら自分の壁に穴を開け、防御の設計図をまるごと、元メモ帳と元広告のマネージャーたちのための共同の餌箱に放り込み、その餌箱の番を家庭用ルーターにつながった人々に任せているのです。四日間続けて他人の秘密を右へ左へ配っていても、そのソフトウェアは気づきもしません。
セキュリティ抜きのセキュリティの授業は、完璧に身につきました。サイトのバッジは輝いています。ドアの向こうに何があるのかは、誰も知らないほうがいいでしょう。
エピローグに代えて：現実の「リモートのセキュリティエンジニア」とは
企業がプレゼン資料に Remote Security Engineer という言葉を入れると、顧客は、日当たりのいいオフィスで安全な衛星回線越しに他人の秘密を守る、集中したプロの姿を思い浮かべます。
現実には、リモートワーカーとは、中身を雇い主がまったく管理できないブラックボックスです。朝の15分の通話が終われば、ウェブカメラの向こうで何が起きているのか、企業には見当もつきません。そしてそこで起きているのは、ありのままの現実の生活なのです。
1. 霧のかかった頭、SSRI、キノコのマイクロドーズ オフィスなら、少なくとも本人を生身で見られます。手が震えていないか、目つきは正気か、今週シャワーを浴びたか、壁に話しかけていないか。リモートでは、何千もの企業のサーバーに root アクセスを持つ人物との接点は、背景をぼかした Zoom の小さな四角だけになります。
この男は毎日15分のスタンドアップで、義務的な笑顔をしぼり出し、てきぱきと報告します。「ブロッカーなし、アップデートを本番に出します」。それからカメラを切ります。そして本社の誰も、彼がどんな状態なのか見当もつきません。三か月前から強い抗うつ薬（SSRI）を馬並みの量で飲み続けていて、危険を感じる感覚がすっかり萎縮し、どのデータベースをどこに漏らそうがどうでもよくなっているのかもしれません。シリコンバレー流に、朝をシロシビンのキノコのマイクロドーズで始めたのかもしれませんし、離婚後のうつから抜け出そうとアデロールとケタミン療法を組み合わせているのかもしれません。会社にとって彼は Slack の緑の点です。実際には、原子炉の制御盤の前に、深い認知的な焦点ぼけに陥った人間が座っているのです。
2. カフェでの強盗と、開いたままの MacBook サンフランシスコ、シアトル、オースティンといったアメリカのテックの拠点は、とうの昔に犯罪のテーマパークになりました。サンフランシスコには laptop snatching という、ひとつの路上稼業まであります。強盗がおしゃれなカフェに押し入り、VPN セッションがすでに張られ、ターミナルが開いたままの、ロックされていない MacBook をテック系の人の手からひったくり、入口で待つ車に運び去るのです。
もっと単純な話もあります。仕事を終えた夕方、この「機密データの管理者」は、業務用のスマートフォンとノートパソコンをリュックに入れたまま、ブリトーを買いに出かけます。家から二、三ブロックのところで、銃を持った二人組が近づいてきて、頭を殴り、いまから機材を全部渡すだけでなく、Touch ID に指を当てて PIN も読み上げてもらう、とはっきり説明します。暗い路地の鉄パイプから誰かを救ったクラウドのファイアウォールも SOC 2 Compliant のバッジも、これまでひとつもありません。
3. 妻、恋人、そして枕元から盗まれるアクセス エンジニアが一歩も家を出なくても、彼の部屋は回転ドアです。背後を行き来するのは、妻、元と今の恋人、シェアハウスの同居人、清掃員、配達員、金曜のパーティーの客たちです。
米国では、これはもはや理論ではなく裁判記録です。2024年、証券取引委員会（SEC）は微笑ましい家族ぐるみの手口を摘発しました。石油大手 BP のリモート社員の夫は、妻が自宅で合併案件の機密業務をしている間、ただ家の中を歩き回り、出張先ではホテルの部屋を共にしていました。彼は妻の通話を盗み聞きし、妻が台所へ立った隙に業務用ノートパソコンの開いた画面をのぞき見し、しかるべき会社の株を買い集め、インサイダー情報で200万ドル近くを稼いだのです。
もっと身近なシナリオを想像してください。泥沼の離婚の最中か、パートナーとけんか中のリモートのセキュリティエンジニア。傷ついた妻や抜け目のない同居人は、「インフラの守護者」がシャワーに入るか眠りにつくのを待つだけです。そしてアクセスキー、トークン、Slack のチャットが表示された開いたままの画面をスマートフォンで撮影するか、とっくに肩越しにパスワードを見ておいた持ち主のノートパソコンに、USB メモリを差し込むだけです。
4. 午前3時の疲労 そして最後に、ここ数年で Uber から認証サービスの Okta まで、大手を次々と焼いてきた定番です。攻撃者がリモート社員の盗まれたパスワードを買えば、残るは二要素認証（MFA）を突破することだけです。どうするか。リモートワーカーが自宅で寝るのを待ち、午前3時に彼のスマートフォンを何十件ものプッシュ通知で攻め立てます。「サインインを確認してください」。それから「会社の技術サポート」を名乗って個人のメッセンジャーで連絡します。システムの不具合なので、通知が鳴りやむように「確認」を押してください、と。そして下着姿の寝ぼけた男は、スマートフォンがやっと黙って眠らせてくれるならと、自分の指でハッカーを聖域の奥へ招き入れるのです。
薬、家族のドラマ、路上犯罪、夜中の怠惰。この人間的な混沌こそが、現代の「クラウドの信頼」業界全体が実際に乗っている土台なのです。次に美しい金融サイトの下のほうで、いかめしい SOC 2 Compliant と GDPR Compliant のバッジを見かけたら、思い出してください。海の向こうのどこかで、まさに今、抗うつ薬を飲んでいる疲れた人が、開いたままのノートパソコンから離れてコーヒーを注ぎに行き、その間に彼の恋人がモニターに映る他人のサーバーの一覧を物思いにふけりながらスクロールしていることを。