掲載準備と審査
AWS Marketplace Vendor Insightsは2026年11月26日に終了｜SaaSのセキュリティ審査にどう備えるか
公開日:
この記事の要点
AWS Marketplace Vendor Insightsは、2026年10月27日からプロファイルの新規作成と更新ができず、2026年11月26日以降は利用できなくなります。SaaSの自己評価、監査レポート、AWS Audit Managerが自動収集する証跡を購入者に示す機能でしたが、後継の機能は名称も提供時期も公式に示されていません。掲載の技術審査と購入企業のセキュリティ審査は別のもので、後者に備える資料は自社で整えます。
AWS Marketplace Vendor Insightsは、2026年11月26日以降は利用できなくなります。AWSの公式ドキュメントによると、2026年10月27日からは、プロファイルの新規作成も更新もできません。Vendor Insightsは、販売者の自己評価、監査レポート、AWS Audit Managerが自動収集する証跡をまとめて、購入者に示す機能でした。
大企業の調達担当から、「AWS Marketplaceで購入するSaaSの、セキュリティの確認資料をいただけますか」と聞かれる場面は、この機能が終わっても変わりません。Vendor Insightsが束ねていた資料そのものは、購入企業が審査をするうえで、引き続き必要になるためです。そこで本記事では、Vendor Insightsが何だったのかと終了の日程を簡潔に整理します。そのうえで、掲載の技術審査と購入企業のセキュリティ審査が別のものであることを確かめ、商談で渡す資料のチェックリストを示します。
本記事の内容は、2026年10月28日に確認したAWSの公式ドキュメントにもとづきます。仕様は変わることがあるため、判断の前には各出典で最新の内容を確認してください。
Vendor Insightsの終了と、2026年10月28日時点の状況
AWSは、AWS Marketplace Vendor Insightsを、2026年11月26日以降は利用できなくなる機能として案内しています。AWSは、新しいコンプライアンス検証の機能を準備中としていますが、2026年10月28日に確認した公式ドキュメントには、その機能の内容や提供の時期の記載がありません。（AWS Marketplace Vendor Insights）公式ドキュメントが示す日程と、販売者と購入者のそれぞれに起きる変化は、次のとおりです。
| 日付 | 販売者の側 | 購入者の側 |
|---|---|---|
| 2026年10月27日から | プロファイルの新規作成と更新、資料のアップロードができない。既存のプロファイルは読み取り専用 | 閲覧権限のないプロファイルへのアクセスを依頼できない。処理中の依頼も処理されない |
| 2026年11月26日まで | 販売者と承認済みの購入者は、既存のプロファイルを閲覧し、資料をダウンロードできる | すでに権限のあるプロファイルを閲覧し、資料をダウンロードできる |
| 2026年11月26日以降 | プロファイルは誰にも表示されない。AWS Marketplaceが、プロファイルを無効にする | 承認済みのアクセスも、承認の期間にかかわらず終了する |
| 2026年11月26日から90日以内 | アップロードした資料と評価を含むすべてのデータが削除され、復元できない | 同左 |
この終了は、製品の掲載や購入そのものには影響しません。販売者向けFAQは、商品ページの成果や表示に影響しないと述べ、AWS Marketplaceが商品ページからVendor Insightsへの言及を削除するとしています。購入者向けFAQも、AWS Marketplaceの購読、購入、契約は影響を受けないと述べています。（販売者向けFAQ、購入者向けFAQ）
すでにプロファイルを持つ販売者は、2026年11月26日より前に、残したい資料をダウンロードします。11月26日以降に購入者が販売者の情報を得る方法は、商品ページにある連絡先への直接の問い合わせと案内されています。（販売者向けFAQ）今後も購入企業から資料を求められる状況は変わらないため、この記事の後半では、機能の有無に関わらず使える資料の整え方を扱います。
Vendor Insightsが支援していた購入者の評価
AWS Marketplace Vendor Insightsは、組織が行うソフトウェアのリスク評価を簡素にする機能です。（AWS Marketplace Vendor Insights）購入者は、製品のセキュリティプロファイルを、一つのコンソールでほぼリアルタイムに確認できます。公式ドキュメントは、これにより購入者の評価の手間が減り、調達の手続きが楽になり、販売者の売上が伸びる可能性もある、と説明しています。（AWS Marketplace Vendor Insights）
購入者が見るのは、次の情報です。
- 製品の概要。販売者が追加したデータソースで決まります。
- 10のカテゴリに分かれたセキュリティコントロール。カテゴリは、Access management、Application security、Audit, compliance, and security policy、Business resiliency、Data security and privacy、End user device and mobile security、Human resources、Infrastructure security、Risk management and incident response、Security and configuration policyです。（プロファイルの確認）
- 各コントロールの状態。たとえば、あるコントロールが「Compliant」の状態で、Amazon S3のバケットが公開されると、状態が「Undetermined」に変わる例が、公式ドキュメントで示されています。（AWS Marketplace Vendor Insights）
購入者がプロファイルを見るには、製品を購読し、プロファイルへのアクセスを認められている必要があります。（購入者ガイド）販売者側でも、プロファイルは、AWS Marketplace Vendor Insightsのサポートチームに公開の設定の更新を依頼するまで、購入者には見えません。更新後は、販売者と秘密保持契約（Non-Disclosure Agreement、NDA）を結んだ購入者が見られるようになります。（プロファイルの確認）
掲載の技術審査と、購入企業のリスク評価は別のもの
Vendor Insightsの話題では、この二つがしばしば混ざります。AWS Marketplaceへの掲載にあたっての審査と、購入企業が行うリスク評価は、実施する者も、見る内容も、結果の使われ方も異なります。
| 観点 | AWS Marketplaceの掲載の審査 | 購入企業のリスク評価 |
|---|---|---|
| 実施する者 | AWS Marketplace。製品とメタデータの審査と、連携機能の動作確認 | 購入企業のセキュリティ、調達、法務などの担当 |
| 見る対象 | 公式のSaaS製品ガイドラインへの適合と、連携機能の動作 | 自社が調達してよいSaaSかどうか。基準は購入企業ごとに異なる |
| 結果 | 掲載が可能になる、または修正を求められる | 調達の可否、追加の質問、追加の資料の要求 |
| 販売者が示すもの | 製品の情報、連携機能の実装、ガイドラインを満たすセキュリティ方針 | 自己評価、監査レポート、データの取り扱いの説明など |
| Vendor Insightsとの関係 | 関係しない。Vendor Insightsは審査の手段として説明されていない | 購入企業の評価を簡素にする情報源だった |
掲載の審査は、提出された製品とメタデータをガイドラインに照らして行われ、公開後も継続して確認されます。（SaaS製品のガイドライン）連携機能の動作確認は、AWS Marketplace Seller Operationsチームが行います。何を確認するかは、AWS MarketplaceのSaaS審査で確認することにまとめています。
掲載の審査の側にも、セキュリティに関するガイドラインはあります。たとえば、公開時点で既知の脆弱性がないこと、顧客データを保存時と通信時に暗号化すること、顧客ごとのデータと環境を分離すること、セキュリティインシデントを影響を受ける顧客に通知すること、セキュリティに関する監査ログを1年以上保持することです。データの収集、保管、利用、共有、保持、バックアップについての取り扱いは、顧客向けのドキュメントか、依頼に応じて開示することが求められています。（SaaS製品のガイドライン）2026年10月28日に確認したこのガイドラインには、ISO/IEC 27001やSOC 2の取得、Vendor Insightsの利用を要件とする記載は見当たりません。この点も、掲載の審査が購入企業の審査の代わりにならないことを示しています。
購入企業が何を求めるかは、AWSの公式ドキュメントに定めがありません。企業ごとに、質問票の様式、必要な監査レポート、審査にかかる期間が違うため、商談の早い段階で購入企業に確認します。なお、Vendor Insightsが扱うのはセキュリティとコンプライアンスの情報です。利用規約や返金の条件といった契約の話は含まれないため、EULAと標準契約の準備はAWS MarketplaceのEULAと標準契約で別に整理しています。
自己評価、監査資料、自動収集の役割
Vendor Insightsのダッシュボードは、三つの情報源にもとづいていました。（仕組み）
| 情報源 | 内容 | 設定手順での扱い |
|---|---|---|
| 自己評価 | Vendor Insightsのセキュリティ自己評価と、Consensus Assessment Initiative Questionnaire（CAIQ）。販売者が自ら回答する | 手順に「任意」の表記なし。手順の中にある |
| 監査レポートなどの認証資料 | 6種類が対象。FedRAMP、GDPR、HIPAA、ISO/IEC 27001、PCI DSS、SOC 2 Type 2 | 「任意」 |
| AWS Audit Managerの自動評価 | 販売者の本番環境から、AWS ConfigのルールとAWS Audit Managerが証跡を自動で収集する | 「任意」。AWS Audit Managerが2026年4月30日にメンテナンスモードに入り、新規のアカウント設定に対応しないため、新規の販売者には提供されていなかった |
表の出典は、設定手順です。略称の正式名称は、FedRAMPがFederal Risk and Authorization Management Program、GDPRがGeneral Data Protection Regulation、HIPAAがHealth Insurance Portability and Accountability Act、ISO/IEC 27001がInternational Organization for Standardization（ISO）/International Electrotechnical Commission（IEC）27001、PCI DSSがPayment Card Industry Data Security Standard、SOC 2がSystem and Organization Controls 2です。
自己評価
自己評価は、販売者が回答する質問票です。Vendor Insightsのセキュリティ自己評価では、テンプレートをダウンロードし、各質問に「Yes」「No」「N/A」で答えて、アップロードします。CAIQは、Cloud Security Allianceが公開している質問票で、Vendor Insightsでは別の種類の自己評価として受け付けられていました。（設定手順）購入企業から自社の様式の質問票を渡される場合も、この自己評価の回答が下書きになります。
監査資料
監査レポートなどの認証資料は、プロファイルのデータソースとして追加できました。公式の設定手順は、対応する資料を、FedRAMPの認証、GDPRのコンプライアンスレポート、HIPAAのコンプライアンスレポート、ISO/IEC 27001の監査レポート、PCI DSSの監査レポート、SOC 2 Type 2の監査レポートの6種類としています。仕組みのページは、ISO/IEC 27001とSOC 2 Type 2のレポートについて、コントロールのカテゴリとの対応づけと、関連する証跡の抽出を説明しています。（仕組み）資料をアップロードすると、状態は「ValidationPending」から、検証の結果に応じて「Available」「ValidationFailed」などに変わります。（設定手順）
自動収集
自動収集は、販売者のAWSアカウントで動いている本番環境の設定を、AWS Configのルールで評価し、AWS Audit Managerが証跡として整える仕組みです。公式ドキュメントは、25のコントロールが、この方法による証跡の収集に対応していると説明しています。（仕組み）設定には、AWS CloudFormationのテンプレートで、AWS Config、AWS Audit Manager、Amazon S3、AWS IAMのロールを用意する必要がありました。（設定手順）いっぽう、コントロールの一部には、「Requires manual attestation」と付くものがあり、書面による確認や文書が求められます。（購入者ガイド）自動収集だけでは、すべての項目は埋まりません。
セキュリティプロファイルの設定手順と、資料の更新の考え方（終了前の仕様）
ここからは、Vendor Insightsでプロファイルを作って運用する場合に何が必要だったかを、終了前の手順として整理します。2026年10月27日からは新規作成も更新もできないため、手順をなぞる目的ではありません。どれが必須とされ、どれが任意とされていたかを確かめ、購入企業に示す資料を自社で整えるときの参考にします。
公式の設定手順は、次の順でした。（設定手順）
- セキュリティプロファイルを作成する
- （任意）認証資料をアップロードする
- 自己評価をアップロードする
- （任意）AWS Audit Managerの自動評価を有効にする
プロファイルの作成は、販売者が画面で完結できる作業ではありませんでした。AWS Marketplace管理ポータルのSaaS製品のページで、Vendor Insightsタブから、サポートへの依頼フォームを送ります。プロファイルは、AWS Marketplace Seller Operationsチームが作成し、完成するとフォームに書いた宛先にメールで知らせる、という流れでした。（設定手順）作成したあとも、購入者に見せるには、サポートチームへの公開の設定の更新の依頼が別に必要でした。（プロファイルの確認）
資料の更新は、スナップショットという単位で扱われました。スナップショットは、ある時点のプロファイルの状態です。IAMの権限の説明によると、既定では、作成が週に1回、公開が週に1回で、公開の前に2日間の確認の期間が置かれていました。販売者は、手動でスナップショットを作成することも、公開を延期することもできました。（スナップショットの管理、アクセス制御）この仕組みから分かるのは、購入者に見せる情報には、鮮度と出どころを示す必要があるということです。自社で資料を渡す場合も、監査レポートの対象期間、自己評価の回答日、最終更新日を明記しておくと、購入企業が資料の鮮度を判断できます。
準備の観点で整理すると、次のとおりです。
- 自己評価は、一度書いて終わりにせず、回答日と更新の担当者を決めておく。
- 監査レポートは、対象期間と有効期限を一覧にして、更新の時期を管理する。
- 本番環境の設定が変わったときに、資料の記述との食い違いが出ていないかを確かめる。
- 購入企業に渡す前に、秘密保持契約を結ぶ。Vendor Insightsも、NDAを結んだ購入者に限って見せる運用でした。
営業で渡すセキュリティ資料のチェックリスト
購入企業の審査に備える資料を、種類ごとに整理します。「Vendor Insightsでの扱い」の列は、公式ドキュメントの記述にもとづきます。「入手元」の列は、資料を用意する際の起点を示すもので、購入企業の要求によって必要な資料は変わります。
| 確認 | 資料の種類 | Vendor Insightsでの扱い | 入手元 | 渡す前に確かめること |
|---|---|---|---|---|
| □ | Vendor Insightsのセキュリティ自己評価 | 自己評価として扱えた | 既存のプロファイルから2026年11月26日までにダウンロードする。以後は自社で保管する | 回答日。回答内容が現在の運用と合っているか |
| □ | CAIQ | 自己評価として扱えた | 自社で回答する。質問票の説明は、Cloud Security Allianceのページを公式ドキュメントが案内している | 回答日と、版 |
| □ | SOC 2 Type 2の監査レポート | 認証資料として扱えた | 監査を行った監査法人などから受け取る | 対象期間。例外事項の有無 |
| □ | ISO/IEC 27001の認証と監査関連の資料 | 認証資料として扱えた | 認証機関と審査の資料から受け取る | 認証の範囲に、対象のSaaSが含まれているか |
| □ | PCI DSS、HIPAA、GDPR、FedRAMPの資料 | 認証資料として扱えた | 該当する認証や報告の発行元から受け取る | 購入企業の業種と要求に合うか。自社が取得している範囲のみ渡す |
| □ | AWS Audit Managerによる自動評価の証跡 | 任意。新規の販売者は利用できなかった | 自社のAWSアカウントのAWS Audit ManagerとAWS Config | 新規には使えないため、別の方法で、設定の状況を説明できるようにする |
| □ | データの取り扱いの説明（収集、保管、利用、共有、保持、バックアップ） | 資料の種類としては、公式の手順に挙がっていない | 自社で作成する。掲載基準が開示を求めている項目 | 顧客向けのドキュメントに載せるか、依頼に応じて渡せるか |
| □ | セキュリティインシデントの報告手順と、顧客への通知の方針 | 資料の種類としては、公式の手順に挙がっていない | 自社で作成する。掲載基準が、報告の手順の文書化と通知を求めている | 連絡先と手順が最新か |
| □ | アーキテクチャ図 | 資料の種類としては、公式の手順に挙がっていない | AWSに提出する図は公開されない。購入企業向けには、公開してよい範囲の図を別に用意する | 内部の構成や識別子など、公開できない情報を含んでいないか |
| □ | 問い合わせの窓口 | 2026年11月26日以降、購入者の問い合わせ先は商品ページの連絡先と案内されている | 商品ページのサポート情報 | 商品ページの連絡先が、実際に対応できる窓口になっているか |
表の出典は、設定手順、SaaS製品のガイドライン、販売者向けFAQです。商品ページのサポート情報の入力は、AWS Marketplaceの商品ページ作成チェックリストで扱っています。
資料を渡す前の共通の確認も、あわせて挙げます。
- □ 秘密保持契約を結んだ相手にだけ渡している。
- □ 資料ごとに、作成日、対象期間、有効期限が分かる。
- □ 取得していない認証を、取得したかのように示していない。
- □ 資料の内容が、現在の本番環境の運用と食い違っていない。
- □ 購入企業の質問票の様式を、商談の早い段階で確認している。
次に取る行動
読者の立場によって、次に取る行動は異なります。
- すでにVendor Insightsのプロファイルを持つ販売者：2026年11月26日より前に、プロファイルの資料をすべてダウンロードして保管します。承認済みの購入者には、11月26日以降の資料の依頼先を知らせます。（販売者向けFAQ）
- まだプロファイルを持たない販売者：新規には作れません。上のチェックリストの資料を、自社で用意します。
- これから出品を検討する販売者：掲載の審査と購入企業の審査を、別の工程として計画します。出品の判断全体は、AWS Marketplaceに出品するメリットと注意点で整理しています。
- 新しい機能を待つ販売者：AWSが予告する新しいコンプライアンス検証の機能は、2026年10月28日に確認した公式ドキュメントに内容の記載がありません。AWSの発表と公式ドキュメントで、継続して確認します。
Deshimaの対応範囲
私たち株式会社アンチパターンは、AWS Marketplaceへの掲載を支援するDeshimaを提供しています。掲載と技術連携を進めるのと並行して、企業の調達に必要な情報を準備しておくと、商談が購入企業の審査に入ったときに、資料の提出で止まらずに済みます。その準備のうち、商品ページのサポート情報や説明の入力は、AWS Marketplaceの商品ページ作成チェックリストを起点に進められます。
Deshimaは、購入者と契約の情報の取得と同期、利用申請フォーム、Amazon EventBridgeへのイベント発行を担います。自社SaaSでは、そのイベントを既存のユーザーやテナントに結び付け、契約に応じた機能、数量、利用可否を反映する処理を実装します。具体的な分担は、導入する構成に応じてご確認ください。
セキュリティの自己評価、監査レポート、証跡の収集と更新は、自社で用意する資料と運用です。DeshimaがVendor Insightsに対応するか、またセキュリティに関する資料の管理をどこまで支援できるかについては、個別にご相談ください。
Deshimaの利用料は、初期費用と月額費用がどちらも0円で、費用が発生するのは製品が売れたときの販売手数料のみです。料率は個別にご提案しています。2026年10月28日時点の対応範囲は、SaaS Contract型のみで、従量課金（メータリング）とChannel Partner Private Offer（CPPO）は対象外、Concurrent Agreementsには対応済みです。SaaS Contract（SaaS契約）は、契約期間と購入する権利をあらかじめ定め、前払いまたは支払スケジュールで請求する料金モデルです。対応範囲はトップページのFAQに、料金の考え方は料金のセクションに記載しています。
Deshimaは更新が多いため、最新の機能と対応範囲は、無料のアカウントを作成したうえで、プロダクト内のドキュメントでご確認ください。