フランチャイズがテックベンダーに求めるセキュリティチェックリスト

フランチャイズがソフトウェアを選ぶということは、すべてのオフィスのお客様をベンダーに託すということです。セキュリティ審査は、何千人ものエージェントがログインする前に、その信頼を確かめる方法です。

フランチャイズや大手ブローカレッジは、たいてい長い質問票の形で、テックベンダーに同じ質問を何度も投げかけます。これは形だけの作業ではありません。フランチャイズのブランドはすべてのオフィスに掲げられており、たったひとつの弱いログインから、お客様のファイル、契約書、資金の動きが漏れる可能性があります。NARの報道によると、FBIは2025年の不動産詐欺による損失が2億7,500万ドルを超えたと集計しています。

以下に、何を聞くべきか、なぜ重要なのか、良い回答とはどんなものかを、わかりやすくまとめたチェックリストをご紹介します。最後に、私たち自身のセキュリティページに書かれている内容だけを使って、RealtyMindとしての回答を示します。

1. サインインとアクセス

• シングルサインオン。エージェントは、すでに使っている会社のアカウントで、御社のIDプロバイダー経由でログインできますか?どちらの方向で機能するのかを確認しましょう。ベンダーが御社のログインを受け入れるのか、それともベンダー自身がログインの窓口になろうとするのか。
• 多要素サインイン。CISAによると、多要素認証を使うとハッキングされる可能性が99%低くなります。利用できるかどうか、そして必須に設定できるかどうかを確認しましょう。
• スマートフォンアプリ。Face IDや指紋でサインインできれば、エージェントが内見中にパスワードを入力する必要はありません。
• 退職日当日のアクセス停止。エージェントが辞めるとき、管理者がすべての場所のアクセスを即座に止められますか?

2. ロールとデータの壁

• ロール。エージェント、チームリーダー、オフィス管理者、ブローカーは、それぞれ何を見られますか?
• オフィス間の壁。各オフィスのデータは他のオフィスと分けて管理されていますか?地域や全国チームは、すべての顧客リストを見ることなく集計データを確認できますか?
• ブローカレッジ間の壁。各顧客企業のデータは、他のすべての顧客企業のデータと分離されていますか?
• AIも同じルールに従う。AIアシスタントが情報を検索できる場合、最初に誰が尋ねているかを確認しますか?

3. データの所有権とエクスポート

• 何を誰が所有するか。連絡先、取引、ファイルは、エージェント、オフィス、フランチャイズのどれに属しますか?最初の退職者が出てからではなく、導入前に書面で取り決めておきましょう。
• いつでもエクスポート。どの形式で、誰が何をエクスポートできますか?
• 同意情報も一緒に移る。オプトアウトは連絡先と一緒にエクスポートされ、次のシステムでも引き続き守られますか?
• データは売らない。ベンダーは御社のデータを誰かに販売したり貸したりしますか?

4. 暗号化とバックアップ

• 通信中も保存時も暗号化。端末とサーバー間でやり取りされるデータ、そしてファイルやバックアップを含めサーバーに保存されたデータが対象です。
• 自動バックアップ。頻度はどのくらいで、復元のテストは行われていますか?

5. アクティビティログ

サインイン、エクスポート、機密レコードの変更が記録されているか、そしてブローカーが誰がいつ何をしたかを確認できるかを質問しましょう。問題が起きたとき、何があったのかを知る手段はログです。

6. 監査と認証

多くのフランチャイズは、独立した監査報告書を求めます。よく求められるのがSOC 2です。AICPAは、SOCレポートを、サービス組織のシステム統制について公認会計士が提供できる一連のサービスと説明しています。ベンダーがそれを持っているか、対象期間はいつか、秘密保持契約のもとで閲覧できるかを確認しましょう。外部のセキュリティテストについても質問してください。同じくらい大切なのは、見せることのできない認証をほのめかすベンダーに注意することです。

7. AIに関する質問

• AIは人と同じロールとデータの壁を守りますか?
• 通話は録音されていますか?また、AIは最初にそのことを伝えますか?
• AIはオプトインした人にだけ電話やテキストを送りますか?
• AIはお客様のデータをどのように使いますか?その回答を書面でもらえますか?

8. 問題が起きたとき

セキュリティ上の問題が起きたとき、ベンダーがどのように、どのくらいの速さで知らせてくれるのか、窓口は誰なのかを確認しましょう。外部の人がセキュリティの問題をどう報告できるのかも聞いてください。ここで明確に答えられるかどうかで、他の部分もかなりわかります。

RealtyMindの現在の回答

以下は、私たちのセキュリティページ、フランチャイズページ、ヘルプ記事の内容だけをもとに答えた、私たち自身のチェックリストです。

認証に関する最後の行は重要です。どのベンダーも、何を取得していて何をまだ取得していないのかをはっきり伝えるべきです。そうすれば、導入に何が必要かを御社が判断できます。

エージェントから聞かれること

セキュリティ審査はフランチャイズのITチームだけのものではありません。エージェントも、たいていはもっと平易な言葉で、同じ質問を自分なりに投げかけてきます。その答え次第で、実際にツールを使うかどうかが決まります。

• 「ブローカーに私のお客様が見えますか?」ロールを一文で説明し、実際に見せましょう。
• 「辞めたら連絡先は持っていけますか?」所有権についての回答を、導入前に書面で用意しておきましょう。
• 「勝手に私のお客様にテキストを送りませんか?」誰が何を承認するのか、そしてオプトインした人にしかテキストが届かないことを示しましょう。
• 「また別のパスワードが必要ですか?」GoogleまたはMicrosoftでのサインインなら、エージェントはすでに持っている仕事用のログインを使えます。

これらの回答を、すべてのオフィス向けの導入キットに入れておきましょう。初日に明確に答えておけば、2日目にうわさが広がるのを防げます。

審査を進めるシンプルな方法

1. 質問票はデモの前に早めに送りましょう。回答をもとに、デモで何を見るべきかが決まります。
2. 書面での回答と、ベンダー自身のページへのリンクを求めましょう。
3. 最初のオフィスで試しましょう。会社のログインでサインインし、各ロールを試して、エクスポートを実行します。
4. テスト用のエージェントを削除し、アクセスが止まることを確かめて、退職時の手続きを確認しましょう。
5. 地域ごとに判断しましょう。その先については、フランチャイズ全体へのテクノロジー導入のガイドで解説しています。

ご質問