ExpressVPNの監査について知っておきたいこと

最終更新： 2026/06/22

この記事では、ExpressVPNのセキュリティが第三者機関によってどのように検証されているのか、監査の対象範囲、そして公開レポートの読み方について解説します。

ExpressVPNの独立監査の仕組み

ExpressVPNは2018年から独立監査を実施しており、製品やサービスの進化に合わせて定期的に第三者評価を受けています。監査は外部のセキュリティ専門機関が担当し、評価対象に応じてソースコード、社内インフラ、関連ドキュメントへのアクセスが提供されます。監査機関は、ExpressVPNのシステムやソフトウェアが公表内容どおりに機能しているかを検証し、潜在的な脆弱性や問題点を特定します。

各監査機関は、それぞれ独自の手法と基準に基づいて評価を実施します。ExpressVPNが監査結果や結論に影響を及ぼすことはありません。

問題が発見された場合、その内容は公開レポートに記載されます。また、監査機関が再テストを実施し、問題が適切に修正されたことを確認する場合もあります。セキュリティ監査で課題が見つかることは異常ではなく、むしろ第三者による検証が果たすべき重要な役割です。

監査結果は、テスト実施時点におけるExpressVPNのシステム状況を反映したものです。そのため、監査は一度きりではなく、継続的かつ定期的に実施されています。

サポートが必要ですか？すぐにサポートを受けるには、ExpressVPNサポートチームまでお問い合わせください。

トップへ戻る

ExpressVPNの監査対象

ExpressVPNでは、製品やインフラのさまざまな領域に対して監査を実施しています。これまでの主な監査対象は以下のとおりです。

Lightwayプロトコル：ExpressVPNが独自開発し、オープンソースとして公開しているVPNプロトコル。デバイスとVPNサーバー間の接続方式を担います。
TrustedServer：サーバーを完全にRAM上で稼働させるExpressVPN独自の技術。サーバーを再起動するたびに、保存されていたデータが自動的に消去されます。
デスクトップおよびモバイルVPNアプリ：Windows、macOS、Linux、iOS、Android向けのExpressVPNアプリ。
ブラウザー拡張機能：ChromeおよびFirefox向けのExpressVPN拡張機能、ならびにExpressKeysパスワードマネージャー拡張機能。
追加サービス：プライバシーを最優先に設計されたAIプラットフォームのExpressAI、安全なメール転送サービスのExpressMailGuard、そしてID保護サービス群であるIdentity Defender（米国限定）。また、ExpressKeys（パスワードマネージャー）についても現在監査が進められています。
Aircoveルーター：デバイスごとではなく、ネットワーク全体にVPNを適用できるExpressVPN独自のルーター製品。
ノーログポリシーとプライバシーへの取り組み：ExpressVPNの技術基盤や内部運用プロセスが、プライバシーポリシーで説明されている内容と整合しているかを検証します。ExpressVPNのノーログポリシーについては、こちらをご覧ください。
ビルド検証システム：ユーザーに配布されるソフトウェアが公開されたソースコードと一致していることを確認し、配布過程での改ざんを防ぐ仕組みです。

サポートが必要ですか？すぐにサポートを受けるには、ExpressVPNサポートチームまでお問い合わせください。

トップへ戻る

ExpressVPNの監査を実施する機関

ExpressVPNは、監査プログラムの一環として、実績豊富な独立系サイバーセキュリティ企業や専門サービス企業と連携しています。主な監査実施機関は以下のとおりです。

Cure53：ペネトレーションテストやセキュリティ監査を専門とするドイツのサイバーセキュリティ企業。
KPMG：世界有数のプロフェッショナルサービス企業。国際的な基準に基づく監査および保証サービスを提供しています。
PwC Switzerland：世界有数のプロフェッショナルサービス企業であるPwCのスイス法人。監査および保証サービスを提供しています。
F-Secure：脆弱性調査やセキュリティテストの分野で豊富な実績を持つフィンランドのサイバーセキュリティ企業。
Praetorian：攻撃者の視点から行うセキュリティ評価（オフェンシブセキュリティ）や技術的リスク評価を専門とする米国のサイバーセキュリティ企業。

サポートが必要ですか？すぐにサポートを受けるには、ExpressVPNサポートチームまでお問い合わせください。

トップへ戻る

ExpressVPN監査レポートの読み方

監査レポートの構成はすべて同じではありません。ExpressVPNの監査プログラムでは主に2種類の監査が実施されており、レポートの形式も評価対象によって異なります。

ペネトレーションテストおよびソースコード監査

この種の監査レポートには、通常以下の項目が含まれます。

監査範囲（Scope）：監査対象となったソフトウェアのバージョンやコードコミットを含め、何が検証対象で何が対象外だったのかを明確に示します。この項目を確認することで、監査結果がどこまでをカバーしているのかを把握できます。
テスト手法（Methodology）：監査で採用された検証方法や技術的アプローチを説明します。問題が見つからなかった領域も含め、どの部分がどのように評価されたかが記載されます。
重要度区分（Severity Glossary）：発見された問題の深刻度を分類する評価基準を説明します。各ランクには明確な定義があり、監査機関はすべての指摘事項に同じ基準を適用します。
発見された脆弱性（Identified Vulnerabilities）：検出された各セキュリティ問題について、識別番号、深刻度、技術的な説明、必要に応じた検証結果（PoC）、さらに修正状況や再確認結果が記載されます。
その他の指摘事項（Miscellaneous Issues）：直接悪用可能な脆弱性ではないものの、攻撃の手助けとなる可能性がある弱点や、改善が望ましい項目をまとめています。
監査機関の総評（Auditor Conclusion）：監査全体を通じた評価をまとめた結論です。この内容はExpressVPNではなく監査機関自身が作成しており、独立した見解を反映しています。

保証業務（Assurance Engagements）

このタイプのレポートでは、脆弱性の一覧や深刻度評価は行われません。代わりに、監査機関がExpressVPNの技術的統制や内部プロセスを定められた基準に照らして評価し、それらが説明どおりに機能しているかについて正式な意見を示します。確認すべきポイントは、監査機関が保証意見を付与しているか、また例外事項が指摘されていないかです。

サポートが必要ですか？すぐにサポートを受けるには、ExpressVPNサポートチームまでお問い合わせください。

トップへ戻る