適性検査の選び方への指針
前提として、組織人事の選考は従来の前提が大きく変わった部分があり、近年の研究アップデートを採り入れることが重要1です。
- 学力テスト方式の能力検査が大きく引き下げられ、主力ではなくなった。むしろ差別的な可能性すら指摘されており、使わないことのデメリットはないとされた
- それぞれの仕事を前提とした質問を事前に決める構造化面接が主役になった
- 性格分野でビッグファイブに合意が得られ、職務との関連研究が進展した。構造化面接のバックボーンの位置づけとして、Big5性格検査が有力になった
- 個別の仕事との直接の関連性が重要になったため、従来注目の低かったワークサンプルも有望視されるようになった。一方、クイズ形式の知識問題はどの仕事にもフィットしない
- AIじたいの進歩はあるが、職務予測についてはむしろ否定的な合意がある。ブラックボックスが社会的に受容されておらず、面接官の判断に影響を与える機能ほど人権侵害の懸念が強まる。導入前に会社トップの倫理監査が必要になる
セキュリティチェック
主要なWebテストを比較すると、技術面ではDeciderの情報開示が大きくリードしています。
他のサービスは、ISO認証などで企業活動の規格化はうかがえますが、セキュリティレベルが高いことの裏づけ材料を得られません。
2025年に経産省が決済セキュリティに関する指導を実施した際の主な内容は、スクリプト言語のアプリケーションホストが高リスクであるということを集中的に説明したものでした。
2026年10月に世界的なPHPホストの脆弱性が表面化したことと背景は同一です。サーバーサイド言語として、PHP・Python・Ruby・Javascriptといったスクリプト言語を採用することは一般的です。しかし、これらには攻撃を注入し得る動的コード実行などの潜在脅威を持つ性質があります。
ISOなどのプロセス認証はこの点を守っていない点には注意が必要です。
eF-1G
ISO27001の継続認証を保持しており、企業活動プロセスのISMS整備度が高い。
技術面はセキュリティホワイトペーパーを開示し、一定の品質を確認できる。
- Amazon Web Servicesはインフラ層のセキュリティインシデントの観点で健全
- 2026年10月の全世界的なPHP脆弱性に際してサービス停止のうえ対策実装。システムの一部にスクリプトランタイムを採用しているが、予防的に防衛している。10/21(水)から計画停止、10/22(木)に復旧
Decider
採用技術・運用面の開示項目が豊富2。
- Passkeyサポート・多要素認証など、ユーザー認証をセキュアに保つ選択肢が提供されている
- Google Cloudはインフラ層のセキュリティインシデントの観点で健全。GDPRとの整合性を重視しており、単なる態度以上の配慮がある
- Rustアプリケーション部分はスクリプト注入の余地が少なく、攻撃耐性を期待できる
- コード化・コンテナ化・テストファシリテーションへの意識が高い。これらの自動化は人的漏洩のリスクも下げる期待
GAB・玉手箱
本社がグローバルにISO27001などの各種セキュリティ認証を取得しており、企業活動プロセスのISMS整備度が高い3。 ただし技術仕様の開示は低い。
TG-WEB
ISO27001・ISO20000・Pマーク認証を取得しており、企業活動プロセスのISMS整備度が高い。また、インシデント対応などの運用面にも標準的なプロセスを持っている。
ただし技術仕様の開示は低く、攻撃への耐性が高いことの保証は読みとれない。
- WAF(Web Application Firewall)導入だけを公開している。しかし、WAFのないSaaSは考えにくく、むしろ技術的にはほとんど何も主張していない
Compass・Cubic(GDL)
ISO27001の継続認証を保持しており、企業活動プロセスのISMS整備度が高い。
ただし技術仕様の開示は低く、攻撃への耐性が高いことの保証は読みとれない。
- 2026年10月の全世界的なPHP脆弱性に際してサービス停止のうえ対策実装。システムの一部にスクリプトランタイムを採用しているが、予防的に防衛している。10/22(木)から計画停止。10/23(金)に再開目標だったが、作業難航により10/26(月)に復旧。
- 本体と別に外部メール配信機能も別のスケジュールで緊急メンテナンスを実施。予防的に防衛している
そのほか開示度の低いサービス
開示が全般的に低いこともネックですが、わずかに公表している内容がIPアドレス制限という点にも懸念が残ります。 IPアドレス制限をしていないテナントからの攻撃面は全面的に残るため、過信するのは難しい面があります。
- SPI3: Pマーク取得。セキュリティ技術体系は開示なし。採用向け以外では、2026年10月の全世界的なPHP脆弱性に際してサービス停止のうえ対策実装
- ミキワメAI: Pマーク取得。技術面はIPアドレス制限の言及にとどまり、セキュリティ体系は開示なし、GDPR適合不明
- I-Dats Web-DBIT・DPI・DIST: セキュリティ情報開示はないが、受検データを一定期間で削除するルールを宣言。実際に消去されるなら一定の実効性を期待できる
- スカウター: セキュリティ情報開示なし