プロキシベンダーはトラフィックの経路上に位置する。スクレイパー、監視ジョブ、テストスイートは認証情報を添えてそのネットワーク経由でリクエストを送るため、residential proxy planを承認する前に、セキュリティチームは書面での回答を求めるだろう。
多くの企業はShared Assessments SIGやCloud Security AllianceのCAIQ(Cloud Controls Matrixに対応したイエス・ノー形式の質問集)のような標準的な質問票から始める。これらはどのベンダーにも共通する基本事項をカバーする。プロキシネットワークはそれらが問わないいくつかの質問、主にIPの出所とベンダーが何を見ることができるかという点を提起する。このチェックリストはその両方を、セクションごとに、良い回答がどのようなものかとともに扱う。
これは一般的な情報であり、法務や監査の助言ではない。
プロキシベンダーが独自の審査を受ける理由
プロキシベンダーを一般的なSaaSサプライヤーと区別する要素が3つある。
- 彼らはあなたのトラフィックを見ている。 HTTPSリクエストの場合、ベンダーは接続先のホスト、タイミング、量を見ることができる。平文のHTTPの場合は内容そのものを見ることができる。
- 彼らは支出を伴う認証情報を保持している。 流出したプロキシのパスワードがあれば、他人があなたのアカウントでトラフィックを実行できてしまう。
- 出口IPは他人のものである。 レジデンシャルIPとモバイルIPは実在の人々のデバイスに由来する。それらのデバイスがどのようにネットワークに加わったかは、ベンダーだけでなくあなたにとっても法的・評判上の問題となる。
最後の点は机上の話ではない。2024年5月、米司法省は911 S5ボットネット(1900万を超えるユニークIPアドレスに関連するレジデンシャルプロキシサービスで、VPNプログラムやバンドルインストーラーを通じてマルウェアを拡散することで構築されていた)を解体したと発表した。2025年5月、FBIは犯罪目的のプロキシサービスがサポート終了済みの家庭用ルーターにプロキシをインストールしていると警告した。2026年1月、GoogleのThreat Intelligence GroupはIPIDEAネットワークの妨害について説明し、その出口ノードが550を超える脅威グループによって使用されているのを観測したとし、倫理的な調達であるという主張は「ユーザーの同意に関する透明で監査可能な証拠によって裏付けられなければならない」と結論づけた。
セクション1: IPの調達と同意
- レジデンシャルIPとモバイルIPはどのように取得しているか。パートナーアプリ内のSDK、帯域共有アプリ、ISPとの契約か。
- デバイス所有者が目にする同意画面を見せられるか、またそれをどう撤回できるか。
- あなたのSDKを搭載するパートナーアプリを監査しているか、規則違反があった場合どうなるか。
- 他のネットワークからIPを購入または再販しているか。
良い回答: 明示された調達モデル、確認可能な同意フロー、監査プロセス。危険信号: 何の裏付けもない「当社のIPは倫理的に調達されています」という回答。how providers source residential IPsについてのガイドでは、そのモデルと期待すべき証拠について説明している。
セクション2: ベンダーが何を見てログに残すか
- どのリクエストデータをログに記録しているか。送信元IP、宛先ホスト、タイムスタンプ、バイト数、完全なURLなど。
- 各ログはどれくらいの期間保持され、社内の誰がアクセスできるか。
- トラフィックを検査または改変しているか、例えばTLSを傍受しているか。
- どのような法的手続きのもとで、ログを第三者に開示するか。
良い回答: 保持期間付きのフィールドごとのリスト、TLS傍受は行わない。危険信号: 帯域と宛先に基づいて課金しているベンダーが「何もログに残していません」と言う場合。何かをカウントする必要があるはずだからだ。whether residential proxies are safeについての記事では、プロキシが何を見ることができ、何を見ることができないかを扱っている。
セクション3: アクセス制御と認証情報
- どの認証方式をサポートしているか。ユーザー名とパスワード、IPアローリスト、あるいはその両方か。
- チーム、プロジェクト、環境ごとに別々の認証情報を作成し、他に影響を与えずに1つだけ無効化できるか。
- ダッシュボードはシングルサインオンと多要素認証をロールとともにサポートしているか。
- アカウントの変更や認証情報のリセットに関する監査ログはあるか。
良い回答: プロジェクトごとに独自の上限を持つ認証情報と、ダッシュボードへのMFA。チームやクライアントごとのsub-users per team or clientを分けることでも、どのジョブが何を使ったかを把握できるようになる。
セクション4: 通信中の暗号化
- ダッシュボード、API、プロキシのエンドポイントはどのTLSバージョンを受け付けるか。
- クライアントからプロキシ自体への接続を暗号化できるか。
良い回答: TLS 1.2以上で、TLS 1.3もサポートしている。米国の連邦システム向けNISTガイダンス(SP 800-52 Rev. 2)がこの基準を定めており、どのベンダーにとっても妥当な水準と言える。
セクション5: 監査と認証
- SOC 2レポートを保有しているか。Type 1かType 2か、対象期間はいつか、どのTrust Servicesカテゴリ(セキュリティ、可用性、処理の完全性、機密性、プライバシー)が含まれるか。
- ISO/IEC 27001:2022の認証を取得しているか、その範囲はどこまでか。
- 直近の独立したペネトレーションテストはいつ実施され、その要約を見せられるか。
良い回答: 課金用のウェブサイトだけでなく、プロキシのインフラそのものを範囲に含む、最近のType 2レポート。Type 1レポートは、ある時点において管理策が適切に設計されていたことだけを述べるものであり、Type 2はそれが一定期間にわたって有効に機能していたかについての意見を加えるものである。危険信号: あなたが使用するシステムが範囲から除外されている証明書。
セクション6: データ保護とサブプロセッサー
- データ処理契約に署名してもらえるか。GDPR第28条のもとでは、処理者は文書化された指示にのみ基づいて行動し、別の処理者を関与させる前に管理者の事前の書面による許可を必要とする。
- どのサブプロセッサー(ホスティング、ロギング、決済)を使用しているか、それらはどの国にあるか。
- 第30条が処理者に求める処理活動の記録を保持しているか。
良い回答: 標準的なDPA、公開されたサブプロセッサーのリスト、変更に関する事前通知期間。より広いGDPRの全体像については、residential proxies and GDPR complianceについてのガイドを参照のこと。
セクション7: インシデントと悪用
- あなたのアカウントやデータに影響するセキュリティインシデントについて、どのように、どれくらい早く知らせてもらえるか。GDPR第33条は、処理者に対し「不当な遅滞なく」管理者に通知することを義務づけ、管理者には可能な場合72時間以内に監督当局に通知することを求めている。
- そのネットワークからのトラフィックに関する悪用報告をどのように扱っているか。
- どのようなターゲットや用途をブロックしているか、また顧客の身元確認を行っているか。
良い回答: 指名された連絡窓口、契約上の通知義務、そして実際に運用されている書面での許容利用ポリシー。悪用対策はあなた自身も守る。すべての顧客は同じIPの評判を共有しているからだ。
セクション8: 継続性と撤退
- どの稼働率をコミットしているか、どのように測定されるか、達成できなかった場合の救済措置は何か。
- サービス提供を停止する場合、どのようにデータを取得し、認証情報を閉じられるか。
1ページにまとめた質問票
| セクション | 求めるもの | 危険信号 |
|---|---|---|
| 調達 | 同意フロー、調達モデル、パートナー監査 | 証拠のない「倫理的に調達」 |
| ロギング | ログごとのフィールドリストと保持期間 | 「何もログに残していません」 |
| アクセス | プロジェクトごとの認証情報、MFA、監査ログ | 会社全体で共有する1つのパスワード |
| 暗号化 | TLS 1.2以上、1.3対応 | 平文のダッシュボードやAPI |
| 監査 | プロキシを範囲に含むSOC 2 Type 2またはISO 27001 | ネットワークを除外した範囲 |
| データ保護 | DPA、サブプロセッサーリスト | EU顧客向けのDPAがない |
| インシデント | 契約上の通知義務、悪用ポリシー | 指名されたセキュリティ担当者がいない |
結論
プロキシベンダーは、トラフィックに触れるあらゆるサプライヤーと同じ審査に加え、プロキシネットワーク特有のいくつかの質問にも値する。標準的な質問票を送り、上記の調達、ロギング、悪用に関するセクションを追加し、言葉ではなく証拠を求めること。その回答は、価格表よりも多くのことをそのネットワークについて教えてくれるだろう。
出典と参考文献
- US Department of Justice, 911 S5 botnet dismantled (29 May 2024): justice.gov
- Google Threat Intelligence Group, disrupting the largest residential proxy network (January 2026): cloud.google.com
- FBI, Cyber Criminal Proxy Services Exploiting End of Life Routers (May 2025): ic3.gov
- Cloud Security Alliance, Cloud Controls Matrix and CAIQ: cloudsecurityalliance.org
- Shared Assessments, SIG questionnaire: sharedassessments.org
- AICPA, SOC 2 reporting: aicpa-cima.com
- ISO/IEC 27001:2022: iso.org
- GDPR, Articles 28, 30 and 33: eur-lex.europa.eu
- NIST SP 800-52 Rev. 2: csrc.nist.gov