TROCCOのセキュリティ｜暗号化・IP制限・監査ログのプラン別条件

TROCCOをセキュリティ審査に通せるかどうかは、暗号化方式の是非ではほぼ決まりません。TLSとAES256、認証情報はAWS KMSという構成はSaaS型ETLで一般的で、差がつきにくい部分だからです。判断を分けるのは、監査ログ・SSO・閉域接続といった統制系の機能が「どのプランを契約しないと使えないか」という条件のほうです。この記事では、TROCCOの公式ドキュメントに記載された実装仕様と、機能ごとに異なる必要プランを整理します。

まとめ：TROCCOのセキュリティを判断する5つの要点

• 認証・準拠：提供元の株式会社primeNumberがISO/IEC 27001:2022に準拠したISMSを取得し、TROCCOはSOC2 Type2報告書を受領している。
• 暗号化：通信はTLS、保存データはAES256、接続先の認証情報はAWS KMSで暗号化のうえインターネットから隔離したデータベースに保管される。
• データの所在と保持：稼働環境はAWS東京リージョン（ap-northeast-1）で、転送データはジョブ完了後に削除される（プレビューデータの削除を無効化した場合を除く）。
• アクセス制御：IPアドレス制限と2要素認証はプラン条件の記載なく使えるが、SAML SSOはEssentialプラン以上、監査ログはAdvancedプラン以上が条件になる。
• 閉域要件：インターネットを経由しない構成はAWS PrivateLink（Advancedプラン以上）とSelf-Hosted Runner（Professionalプラン前提）に分かれる。

特に注意が必要なのは監査ログで、契約していない期間の操作は記録そのものが存在しません。以降で各項目の仕様と、審査で詰まりやすい条件を順に見ていきます。

TROCCOとは：primeNumberが提供するデータ統合自動化サービス

TROCCOは株式会社primeNumberが提供するSaaS型のデータ統合自動化サービスです。基幹システムやSaaS、広告媒体などに散らばったデータを、BigQueryやSnowflakeといった分析基盤へ定期的に集約する処理を、GUIの設定で組み立てられます。公式サイトによれば国内外約200種のサービスと連携でき、2,500社以上が利用しています。

設計上おさえておきたいのは、TROCCOが転送処理を実行する場所です。通常構成ではTROCCO側のクラウド環境（AWS東京リージョン）でジョブが動き、そこから接続先のデータベースやSaaSへアクセスします。つまり自社ネットワークの外から接続元が来るため、接続先のファイアウォールやセキュリティグループでTROCCOの送信元IPを許可する設定が前提になります。ETL製品全般の位置づけはETLとELTの違いとツール選定の判断軸、業務システム間連携との違いはiPaaSとRPAの違いと主要ツールの選び方で整理しています。

TROCCOの機能一覧と基本的な使い方の流れ

データ処理に関わる主な機能

公式サイトが挙げる機能のうち、データ処理に直接関わるのは次の7つです。セキュリティ要件を検討する際は、どの機能が接続情報（認証情報）を保持し、どの機能が本番DBへ直接触れるかを意識して読むと整理しやすくなります。

• データ転送（ETL）／マネージドデータ転送：接続先からデータを抽出し、分析基盤へ書き込む中核機能。
• データマート生成（ELT）：DWH内でSQLを実行し、集計済みテーブルを作る。
• ワークフロー（ジョブ管理）：複数の転送・データマート処理を依存関係付きで実行する。
• CDC（変更データキャプチャ）：全件洗い替えではなく差分だけを反映する。
• カスタムコネクタ：標準コネクタにないAPIを自前定義で取り込む。
• データ品質管理：転送後のデータに対する検査。
• 運用支援・API連携：TROCCO API経由での外部システムからの実行制御。

このほかにSelf-Hosted Runner、Web行動ログ収集SDK、セキュリティ機能、サポートが機能一覧に並びます。転送・データマート生成・CDCは接続情報を保存して定期実行するため、権限設計の対象になります。

転送設定を作るまでの4ステップ

実際の操作は、接続情報の登録から始まる4段階で進みます。まず転送元・転送先ごとに接続情報（ホスト名や認証キー）を登録し、次に転送設定で対象テーブルやカラム、変換内容を定義します。単発の転送が動いたらワークフローで依存関係を組み、最後にスケジュールを設定して定期実行に乗せる流れです。SQLやコードを書かずに進められる代わりに、接続情報がアカウント内に蓄積されていくため、この段階で誰がどの接続情報を編集できるかを決めておく必要があります。

データの暗号化と保管：TLS・AES256・AWS KMS

通信と保存時の暗号化

TROCCOと接続先、およびブラウザとTROCCO間の通信はTLSで保護されます。保存データについては公式のセキュリティポリシーで「AES256による暗号化が有効化されている」と明記されています。暗号鍵の管理はAWS Key Management Service（KMS）を用いる構成です。顧客管理鍵（CMEK／BYOK）の提供有無については公式ドキュメントに記載がないため、鍵の持ち込みが要件に含まれる場合は個別に確認してください。第三者機関による脆弱性診断を定期的に実施している点も同ドキュメントに記載があります。

認証情報の保管とジョブ実行環境の分離

接続先のパスワードやアクセスキーは、AWS KMSで暗号化したうえでインターネットから隔離されたネットワーク内のデータベースに保管されます。転送ジョブの実行環境は、ジョブごとに新しいコンテナを生成し、完了後に破棄する方式です。同一環境が別のジョブに再利用されない構造になっているため、実行環境の残留データを問われる審査項目には、この仕様をそのまま回答に使えます。

転送データの保持とリージョン

TROCCOは転送したデータ本体を保持しません。処理中の一時データはジョブ完了後に削除されます。例外はプレビュー機能で、プレビューデータの削除を無効化した場合のみ残ります。個人情報を含むテーブルを扱うなら、プレビューデータの削除は無効化せず既定のまま運用するのが安全です。稼働環境はAWS東京リージョン（ap-northeast-1）で、国内にデータを留める要件がある場合の説明材料になります。転送前にカラム削除・マスキング・ハッシュ化を行う変換機能もあるため、分析基盤側に個人情報を持ち込まない設計も取れます。

アカウント保護とアクセス制御：IP制限・2要素認証・SAML SSO

IPアドレス制限の適用範囲と設定時の注意

アカウントメニューのセキュリティ設定から、アクセスを許可するIPアドレスをCIDR表記（例：192.0.2.0/24）で登録できます。適用先はブラウザからの管理画面アクセスとAPIアクセスを個別に選択できます。ブラウザ側だけを制限してAPIを素通しにすると、TROCCO APIから転送ジョブを起動できる経路が残り、制限が意味を持ちません。仕様上の制約は次の4点です。

• 対応はIPv4のみで、IPv6は指定できない。
• 設定できるのはアカウント特権管理者のみで、設定はアカウント全体のユーザーに適用される。
• ブラウザ用の許可リストについては、現在の接続元IPが含まれない設定は保存できない（ロックアウト防止）。
• VPNやプロキシ経由の場合、TROCCOが認識するのは実際の端末IPではなくVPN・プロキシ側のIPになる。

在宅勤務者がいる組織では4番目が効いてきます。全社VPNを必須にしていないなら、IP制限だけでアクセス経路を絞る運用は現実的ではないため、SSO側で統制する前提に切り替えたほうが早いです。

2要素認証とSAML SSO：SSOはEssential以上が条件

ログイン時の保護として2要素認証（多要素認証／MFA）を有効化できます。SAMLによるシングルサインオンにも対応していますが、こちらはEssentialプラン以上の契約が条件です。IdP側で入退社に応じたアカウント停止を一元管理したい場合、Starterプランやフリープランでは、TROCCOのアカウントを個別に無効化する運用が残ります。

チーム機能によるロール分離：標準搭載はProfessionalのみ

部署やプロジェクト単位でリソースをグループ化し、管理・編集・使用・閲覧といった権限をロールとして割り当てられるのがチーム機能です。ただし標準搭載はProfessionalプランで、EssentialとAdvancedでは有料オプションの扱いになります。全ユーザーが全接続情報を触れる状態を避けたい場合、この機能の要否と費用を見積もり段階から織り込んでおく必要があります。

閉域ネットワーク要件への対応：AWS PrivateLinkとSelf-Hosted Runner

AWS PrivateLink接続：Advancedプラン以上

インターネットを経由せず、プライベートネットワーク内でデータ連携を完結させる構成です。提供はAdvancedプラン以上で、対応するコネクタの範囲は個別の問い合わせで確認する形になっています。接続先がAWS上にあり、かつ「インターネットに出さない」ことが審査要件になっている場合の第一候補です。

Self-Hosted Runner：Professionalプラン前提と引き換えの機能制限

自社のオンプレミス環境やプライベートネットワーク内のサーバーでジョブを実行する仕組みです。Runner側が一定間隔でTROCCOへリクエストを送る方式のため、TROCCO側からのインバウンド通信は不要で、外部から自社ネットワークへ穴を開けずに済みます。動作環境はlinux/amd64またはlinux/arm64で、推奨メモリは2GB以上、S3など一部の転送元ファイル・ストレージ系コネクタでは4GB以上が必要になるケースがあります。

導入前に把握しておくべき制約もあります。利用にはProfessionalプランの契約が前提で、対応するコネクタの組み合わせが限定されます。加えてリトライ機能が無効（最大リトライ回数の設定が無視される）、スキーマ変更検知やカラム再読込が使えない、Programming ETLが非対応、リソース増強オプションも利用できません。運用の自動復旧をTROCCO任せにしていた場合、閉域化と引き換えに失敗ジョブの手動対応が増える点は先に見積もっておくべきです。

セキュリティ審査で落ちる原因は暗号化ではなくプラン条件

統制系の機能はプランごとに可用性が異なります。公式の料金プランとドキュメントの記載を突き合わせると、次の対応関係になります（2026年7月時点。月額の実額と最新条件は公式の料金プランページで確認してください）。

IPアドレス制限と2要素認証は公式ドキュメントにプラン条件の記載がないため、全プランで設定できる扱いとして表に入れています。最も事故になりやすいのは監査ログです。この機能はAdvancedプラン以上でのみ利用でき、記録が始まるのは機能を契約した日以降に限られます。公式ドキュメントも「監査ログ機能をご契約されていない間に行われたユーザーの監査ログは、記録されていないため、確認できません」と明記しています。保持期間は過去1年で、それより古い記録は自動的に削除されます。出力はCSVをZIPでダウンロードする形式で、生成から24時間以内という制限もあります。

ここから導かれる判断ははっきりしています。内部統制やISMS審査で操作ログの提出が求められる可能性があるなら、EssentialプランでTROCCOを契約してはいけません。監査は多くの場合、事後に「過去1年分を出してください」と言われる形で来ます。そのタイミングでAdvancedへ上げても、遡って記録は出てきません。同様に、閉域接続を最終的な要件として持っている組織がStarterで小さく始めると、PrivateLinkにはAdvancedへの移行、Self-Hosted RunnerにはProfessionalへの移行が必要になり、契約の作り直しが発生します。統制要件は「使い始めてから足す」ができない領域だと考えて、初期契約のプランを決めるべきです。

障害時の切り分けとサポート体制

ジョブが失敗したときの確認順序

転送ジョブの失敗は、TROCCO側の障害よりも接続先の状態やネットワーク経路が原因であることのほうが多くなります。切り分けは次の順で進めると早いです。

1. ジョブ詳細のエラーメッセージを確認する。ヘルプセンターにエラーのカテゴリがあり、症状ごとに原因と対処がまとまっている。
2. 接続先のファイアウォールやセキュリティグループで、TROCCOの送信元IPが許可されたままかを確認する。
3. 接続情報の認証キーやパスワードの有効期限切れを確認する。
4. スキーマ変更の有無を確認する。カラムの追加・型変更は転送設定側の再読込が必要になる。

TROCCO側の仕様変更や不具合が疑われる場合は、公式ドキュメントのリリースノートとヘルプセンターの記載を確認します。ここまでで原因が特定できなければサポートへ渡すと、やり取りの往復が減ります。なお、Self-Hosted Runnerを使う構成ではリトライが効かないため、失敗の検知と再実行を自社のワークフロー側で設計しておく必要があります。

サポートの範囲と問い合わせ窓口

問い合わせはTROCCOヘルプセンターから作成でき、ログインしていない状態でもFAQの閲覧と問い合わせの作成が可能です。導入後はCS担当者によるオンボーディングミーティング、仕様に関する問い合わせ対応、エラー要因の分析といった伴走型サポートが提供され、Slackとメールでのやりとりが平日日中帯（年末年始を除く）で受けられます。サポート範囲やSLAは契約プランによって変わるため、24時間対応や障害時の応答時間を要件にしている場合は、契約前に個別条件を確認してください。

導入判断：TROCCOが向くケースと向かないケース

評判として語られるのは、コネクタの多さとGUIによる設定の速さ、そして日本語のサポートが受けられる点です。これらは仕様の裏付けがあります。約200種のコネクタ、SQLやコードを書かずに転送設定を組める操作性、平日日中帯のSlack・メールサポートがそれにあたります。一方で「処理時間枠を超えると費用が読みにくい」という指摘は、プラン別の処理時間枠（フリー2時間、Starter30時間、Essential250時間、Advanced600時間）という設計に由来するもので、転送本数と実行頻度から必要枠を見積もらないまま契約すると起きる問題です。

向くのは、SaaSや基幹DBからDWHへの定期転送が主体で、データエンジニアの人数が限られている組織です。転送処理の実装と運用をアプリケーション開発から切り離せます。分析基盤そのものの設計から検討する段階なら、データ分析基盤の5層アーキテクチャとBigQueryでの実装手順で全体像を、生成AIに投入する前提のデータ整備の要件はAI-readyデータの定義と既存基盤のAI-ready化手順で確認できます。

逆に向かないのは、次の条件に当てはまるケースです。第一に、すべてのデータ処理をオンプレミス閉域で完結させることが譲れない要件で、かつProfessionalプランの予算が取れない組織。Self-Hosted Runnerの利用条件と機能制限を許容できないなら、自前のワークフローエンジンを組んだほうが結果的に安く済みます。第二に、転送処理が数本しかなく処理時間枠を大きく余らせる規模。この場合はコネクタの豊富さという最大の価値を使い切れません。第三に、複雑なストリーミング処理や低レイテンシ要件がある用途で、TROCCOはバッチ転送とCDCが中心の設計です。

よくある質問

TROCCOはどのセキュリティ認証を取得していますか

提供元のprimeNumberがISO/IEC 27001:2022に準拠した情報セキュリティマネジメントシステム（ISMS）を取得しており、TROCCOはSOC2 Type2報告書を受領しています。加えてAWS Foundational Technical Reviewをクリアしていることが公式ドキュメントに記載されています。

転送したデータはTROCCO側に残りますか

残りません。処理中の一時データはジョブ完了後に削除されます。例外はプレビュー機能で、プレビューデータの削除を無効化した場合のみ保持されます。接続先の認証情報については、AWS KMSで暗号化したうえでインターネットから隔離されたデータベースに保管する構成です。

監査ログは過去にさかのぼって取得できますか

できません。監査ログはAdvancedプラン以上の機能で、記録されるのは機能を契約した日以降の操作だけです。保持期間は過去1年で、それより古いものは自動的に削除されます。出力はCSVをZIPでダウンロードする形式です。

接続先のファイアウォールで許可すべきIPアドレスはありますか

あります。TROCCOからの接続元となる固定IPアドレスが/32単位で公式ドキュメントに公開されており、接続先のファイアウォールやセキュリティグループで許可する必要があります。あわせてエフェメラルポート1024-65535の通過も前提になります。アドレスは変更される可能性があるため、設定時は公式ドキュメントの最新版を参照してください。

インターネットを経由しない構成は取れますか

2通りあります。AWS PrivateLinkによる閉域接続（Advancedプラン以上、対応コネクタは要問い合わせ）と、自社ネットワーク内のサーバーでジョブを実行するSelf-Hosted Runner（Professionalプラン前提）です。後者はRunner側からの発信のみで動作するため、インバウンド通信の許可は不要です。

関連記事

• ETLとは？仕組み・ELTとの違い・ツール選定から導入判断まで解説
• データ分析基盤の構築とは？5層アーキテクチャとBigQuery実装手順を技術視点で解説
• iPaaSとは？仕組み・RPAとの違い・主要ツールと導入判断をわかりやすく解説
• AI Ready Data（AI-readyデータ）とは？定義・5つの要件と既存基盤のAI-ready化手順