Harvey、連邦政府の法務業務向けにFedRAMP Class D認証を取得

Harveyは2026年10月28日、同社の法務AIプラットフォームがFedRAMP Class D認証を取得したと発表しました。同社によると、この認証により、米国の連邦政府機関、連邦政府の請負業者とパートナー、各国政府、そして最高水準のセキュリティを必要とする民間組織が、法務業務にHarveyを利用できるようになります。Harveyは、FedRAMP Class D認証を取得したKnox Systemsのクラウド環境上で運用されています。

連邦政府の法務チームは、機微な情報を扱うことの多い助言、訴訟、法執行に関する業務を担っています。Harveyによると、こうした機関やそのパートナー企業は、調達・契約業務、文書の初期審査、機関間の連携に同プラットフォームを利用できるようになりました。同社は、この変更により、弁護士が日常業務に費やす時間を減らし、法的分析や助言により多くの時間を充てられるようにすることを目指しています。

「連邦政府の法務チームは、私たち全員に恩恵をもたらす重要なサービスの提供を支えています」と、HarveyのCEO、Winston Weinberg氏は発表の中で述べました。「これらのチームは、Am Law 100の80％、そしてFortune 10のうち5社が利用しているものと同じ法務AIを利用できるようになりました。公共サービスに携わる弁護士の皆様に、当社のテクノロジーをさらに広く提供できることを誇りに思います。」

Harveyの公共部門責任者であるPat Manion氏によると、認証済みの環境では、各機関の弁護士が複雑な事件記録を精査し、訴訟上の主張を組み立て、規制を解釈し、契約書や調達関連文書を確認できます。同氏はまた、FedRAMP認証済みプラットフォームを通じて、連邦政府の法務チームとそのパートナーを支援していると付け加えました。

FedRAMP Marketplaceの登録情報

Knox SystemsのFedRAMP High Managed Platformに関するFedRAMP Marketplaceの登録情報には、Package ID FR2528033654が付され、認証済みサービスとしてHarvey AIが記載されています。登録情報によると、Knoxのプラットフォームは2026年3月30日時点でFedRAMP認証済みであり、認証後の継続的な監視と報告を行う段階としてマーケットプレイスが定義する「継続認証」フェーズにあります。認証情報には、承認が2件と記録されています。マーケットプレイスの定義では、この件数は「運用許可」と「使用許可」の書簡の合計であり、新規および再利用の承認を含みます。プラットフォームの認証プロファイルには、Type Rev5、Path Agency、Class D（High）と記載されています。Class AからDは、サービスの文書化要件と継続的な報告要件を示します。

登録情報に記載されたサービスの説明はベンダーが提出したものであり、FedRAMPはベンダー提出の内容を審査または推奨しないとマーケットプレイスは明記しています。その説明によると、アプリケーションプロバイダーはKnoxのFedRAMP High認可境界内に導入され、単独でFedRAMP認可を取得するのではなく、必要なセキュリティ管理策のかなりの部分を引き継ぎます。KnoxのコンプライアンスチームとKnoxAIプラットフォームが、各プロバイダーの準備、評価、稼働開始を支援します。またKnoxAIは、NIST 800-53および追加のフレームワークに照らして、プロバイダーのセキュリティ態勢と管理策の実装状況を評価し、FedRAMPが求める証跡を作成します。

各アプリケーションはKnoxの境界内にある専用のシングルテナントアカウントで稼働し、顧客間でコンピューティングリソース、データプレーン、ストレージを共有しません。また、それぞれ個別に評価され、マーケットプレイスに登録されるほか、初日から継続的な監視の対象となります。説明によると、すべてのワークロードはAWS、Azure、Google Cloud Platformの米国内リージョンのみで稼働します。通信中および保存中のデータはFIPS検証済みの暗号化で保護され、すべての監査ログを記録するゼロトラストアクセスを採用しています。また、セキュリティオペレーションセンターとネットワークオペレーションセンターが24時間365日体制で対応します。

説明によると、Knoxは継続的な監視を管理し、認可機関への月次報告、行動計画とマイルストーンの追跡、年次の独立した第三者評価と侵入テストを実施します。また、すべての顧客とともに、緊急時対応計画およびインシデント対応の演習を行います。Knox、アプリケーションプロバイダー、各機関のそれぞれが担う責任は、共有責任マトリクスに記載されます。

マーケットプレイスによると、Harvey for Governmentは、連邦政府機関の弁護士や法務担当者が、法的な質問の検討、機関の文書の確認、メモ・準備書面・書簡の作成と改訂、複数段階にわたる法務ワークフローの実行、共有ワークスペースでの共同作業を行えるサービスです。回答には情報源が明記されます。登録情報では、同プラットフォームのサービスモデルはSaaS、導入モデルはGovernment Community Cloudとされています。

既存のセキュリティおよびコンプライアンス体制

Harveyによると、FedRAMP Class D認証は、SOC 2 Type II、ISO 27001、ISO 27701、ISO 42001、AIUC-1、IRAP、TX-RAMP Level 2、GDPR、CCPAを含む既存のセキュリティおよびコンプライアンス体制を基盤としています。また、顧客は同社のトラストセンターで認証を確認できます。

セキュリティページでHarveyは、顧客からの入力、出力、アップロードされた文書を基盤モデルのトレーニングに使用しないことをプラットフォーム契約で契約上保証し、モデルプロバイダーにゼロデータ保持を義務付けていると説明しています。同社によると、保存中および転送中のすべてのデータを暗号化し、顧客間でデータが混在しないよう各顧客のデータを論理的に分離し、最小権限のアクセス制御を適用するとともに、契約上のセキュリティ義務を再委託先や外部モデルプロバイダーにも引き継いでいます。HarveyはMicrosoft Azure上でクラウド環境を運用しており、データのローカライゼーション要件がある顧客向けに、EUおよびスイス、またはオーストラリアでのデータ処理を提供しています。

セキュリティページには、Harveyの社内セキュリティチームがインフラ、製品、運用の各分野を担当し、24時間365日監視を行っていること、また、同社の管理策にはSAMLシングルサインオン、監査ログ、IP許可リスト、データライフサイクル管理が含まれることも記載されています。Harveyによると、同社はSOC 2 Type IIおよびISO 27001の年次監査、第三者による年次侵入テスト、自動化された脆弱性スキャン、継続的なセキュリティ監視を受けており、詳細な監査ではSchellman、NCC Group、Bishop Foxと連携しています。