Atlassian Cloud Roadmap
Atlassian will provide Cloud Computing Compliance Criteria Catalog (C5) Type 2 attestation. C5 is a German Government-backed attestation standard introduced by the Federal Office for Information Security (BSI). Our Type 1 audit and report will be provided Q2 2025.
Atlassianは、ドイツ連邦情報セキュリティ局（BSI）が策定したクラウドセキュリティ基準「C5（Cloud Computing Compliance Criteria Catalogue）」に準拠した監査を受け、2025年Q2にType 1アテステーションの取得を予定しています。また、実運用の有効性を評価するType 2監査報告書は2026年Q1に提供予定です。
C5は、ドイツおよび欧州におけるクラウドサービスの信頼性確保を目的とした政府主導の監査基準で、ISO 27001やSOC 2、GDPRなどの国際的なセキュリティ基準とも整合性があります。AtlassianがC5を取得することで、特に公共機関や規制産業における採用が加速し、欧州市場での競争力や顧客への信頼性が大きく高まります。
さらに、C5監査により情報セキュリティ、リスク管理、インシデント対応などの内部統制が第三者により評価・証明され、クラウドサービスにおける透明性と説明責任が向上します。これは、セキュリティ意識の高い企業にとっても重要な意思決定材料となり、導入障壁の低減にもつながります。
C5（Cloud Computing Compliance Criteria Catalogue）
ドイツ連邦情報セキュリティ局（BSI: Bundesamt für Sicherheit in der Informationstechnik）によって策定された、クラウドサービスのセキュリティに関する監査フレームワークです。
🛡️ C5とは？
C5:2020（C5 Catalog 2020）は、クラウドプロバイダーが顧客に対してセキュリティとコンプライアンスの透明性を提供するための監査・報告基準です。
主な目的：
クラウドサービスのセキュリティ要件を明確化
ユーザーが信頼できるクラウドサービスを選択できるように支援
BSI（ドイツ政府機関）による公式支援付きで、欧州のセキュリティ基準に準拠
📘 監査の種類：Type 1とType 2
種類 | 内容 | 目的 |
Type 1 | 特定時点でのコントロールの設計と導入が適切かどうかを評価 | 一時点での「形だけ」ではなく、設計面の準拠状況を確認 |
Type 2 | 一定期間（例：6か月〜1年）にわたるコントロールの運用効果も評価 | 実際にコントロールが継続的に機能しているかの証明 |
Atlassianは、Q2 2025にType 1のアテステーションを取得し、Q1 2026にType 2の監査報告書を発行予定とのことです。
🔐 C5の基準項目（一部）
情報セキュリティポリシー
リスク管理
ユーザーアクセス制御
インシデント対応
ログの記録と監視
データの保護と削除
サービス可用性 など
これらの基準は、ISO/IEC 27001などの国際標準と整合性が取れており、GDPRなどの欧州規制にも関係があります。
🌍 なぜC5が重要か？
欧州市場向けクラウド提供者にとって、信頼性を証明する手段
ドイツの公共機関や企業では、C5準拠が事実上の要件になることもある
透明性と信頼性を担保する「第三者監査証明」としての意義
C5（Cloud Computing Compliance Criteria Catalogue）を取得することには、以下のような多面的な意義があります。特に欧州市場やドイツ国内の顧客とのビジネスにおいては、その価値が非常に大きくなります。
✅ 1. ドイツおよびEU市場での信頼獲得
BSI（ドイツ連邦情報セキュリティ局）による認定であるため、ドイツ政府機関や金融・医療・公共インフラ企業など高セキュリティを求める業界との取引がしやすくなります。
欧州ではGDPRなどの厳しいデータ保護要件があり、C5はこれらの規制との整合性も考慮されています。
🛡️ 2. セキュリティ対策の透明性向上
C5は監査報告書の開示を前提とした基準です。報告書を通じて、クラウドサービスのセキュリティ対策やガバナンス構造を顧客に提示できるようになります。
顧客は自社のリスクアセスメントやコンプライアンス評価にこの報告書を活用できます。
🔄 3. 他のセキュリティ基準との互換性
C5の要件は、ISO/IEC 27001、SOC 2、GDPRといった国際的なセキュリティ規格と整合性を持っており、既存の認証取得企業にとって追加的コストが少なく導入可能です。
C5取得により、他の監査要件との相互補完が図られ、セキュリティ管理の標準化が進みます。
🌍 4. グローバルな競争力の強化
米国やアジアのクラウドベンダーとの差別化において、「欧州準拠」「BSI認定」は大きなアピールポイントになります。
政府や大企業がC5準拠を要件とするケースもあり、入札や調達での優位性が高まります。
🧭 5. クラウドサービスの信頼性と説明責任の証明
C5 Type 2報告では、一定期間の運用の有効性まで確認されるため、単なる「セキュリティ設計」だけでなく、実運用での信頼性も証明できます。
これは顧客にとっての安心材料であり、ベンダー側にとってはサービスの差別化要素となります。