{
  "format": "agent-article-v0",
  "article_id": "EA-025",
  "canonical_url": "/tools/ea-025",
  "page_type": "reference",
  "claim_ids": [],
  "evidence_ids": [
    "EA-025-R11-RESEARCH",
    "EA-025-R11-WEB-READBACK"
  ],
  "unknown_ids": [
    "EA-025-UNKNOWN-01",
    "EA-025-UNKNOWN-CURRENTNESS"
  ],
  "operational_object_ids": [],
  "provider": [],
  "models": [],
  "plans": [],
  "surfaces": [],
  "regions": [],
  "current_status": "UNKNOWN",
  "observation_status": "SPEC_ONLY",
  "freshness": "UNKNOWN",
  "last_verified": null,
  "supersedes": [],
  "superseded_by": [],
  "provenance": [
    "COMM-027-EA0025",
    "WEBBODY-EA0025-R8-2B52D7D2"
  ],
  "article_sources": [
    {
      "id": "EA-025-R11-RESEARCH",
      "evidence_class": "RESEARCH",
      "title": "EA-025 監査済みresearch / canonical revision binding",
      "supports": [
        "小規模事業者版はEnterprise統制の省略版ではなく、専任管理者がいない環境でも維持できる少数の高価値controlへ圧縮する運用profileとして扱う。最低限の境界は、業務用identity/MFA、投入データ規則、vendor card、高影響操作のhuman checkpoint、cost ceiling、recovery kitの6つとする。"
      ],
      "limit": "canonical監査・revision bindingの存在を示す。外部ソースcurrentnessが本文またはcontrol-planeで確定していない場合は、currentnessをUNKNOWNのまま保持する。",
      "origin_class": "AUDITED_CANONICAL_RESEARCH_PACKET",
      "source_or_experiment_ids": [
        "COMM-027-EA0025"
      ],
      "supporting_locators": [
        "COMM-027-EA0025",
        "EA-025-R5-LEGACY-MIGRATION-20261008-R1",
        "content/staging/EA-025.md"
      ],
      "scope": "監査済みEA本文・canonical revision・既存Source Graph relationの範囲。欠損currentnessは推測で閉じない。",
      "provenance_status": "AUDIT_PASS_CANONICAL_BINDING"
    },
    {
      "id": "EA-025-R11-WEB-READBACK",
      "evidence_class": "IMPL",
      "title": "EA-025 Web body identity / canonical readback",
      "supports": [
        "canonical staging bodyのSHA-256一致とR9 canonical ledger readbackをProduction projectionの入力として検証する。"
      ],
      "limit": "body identity/readbackは本文claim自体の真偽や外部ソースの最新性を追加保証しない。",
      "checked_at": null,
      "origin_class": "IMPLEMENTATION_READBACK",
      "source_or_experiment_ids": [
        "WEBBODY-EA0025-R8-2B52D7D2"
      ],
      "supporting_locators": [
        "WEBBODY-EA0025-R8-2B52D7D2",
        "content/staging/EA-025.md",
        "EA-025-R5-LEGACY-MIGRATION-20261008-R1"
      ],
      "scope": "R9/R10 canonical readback後のProduction生成時body identity。",
      "provenance_status": "CANONICAL_READBACK_BODY_HASH_MATCH"
    }
  ],
  "research_sections": [
    {
      "heading": "Public claim",
      "text": "小規模事業者版はEnterprise統制の省略版ではなく、専任管理者がいない環境でも維持できる少数の高価値controlへ圧縮する運用profileとして扱う。最低限の境界は、業務用identity/MFA、投入データ規則、vendor card、高影響操作のhuman checkpoint、cost ceiling、recovery kitの6つとする。\n\nAIプランは一席あたりの価格だけで選ばず、最低席数、chat subscription / business workspace / API / productivity-suite bundleの違い、既存suiteとの重複、API別課金、必要なデータ保護・契約条件、tenant/region/plan availabilityを分離して確認する。small-business向けplan名そのものをsecurity/compliance保証として扱わない。"
    },
    {
      "heading": "Six-control boundary",
      "text": "A. BUSINESS IDENTITY — 業務用account/emailを個人生活accountから分離し、MFAを有効化する。一人法人ではowner/admin/userを同一人物が兼務し得るため、role separationを人数だけで表現しない。\nB. DATA RULE — PUBLIC / INTERNAL / CUSTOMER-CONFIDENTIAL / REGULATED程度の簡易分類を用意し、AIへ投入できるデータを事前に定める。training defaultだけでなくretention/delete/connected-app data flowも確認する。\nC. VENDOR CARD — provider/plan、training default、retention/delete、export、admin/security、region、contract gateを一枚で管理する。public product docsは特定tenantの実効availabilityを証明しない。\nD. HUMAN CHECKPOINT — 外部送信、契約・会計・法務・顧客影響、正本更新はAI単独確定にしない。一人法人では全操作に別人承認を要求する代わりにaction classを分け、高影響操作だけを二段階確認または外部専門家確認へ上げる。\nE. COST CEILING — seat + suite + API + credits/add-onsを月額上限として管理する。chat subscriptionとAPI billingを分離し、minimum seat、suite重複、annual commitmentも総額へ含める。\nF. RECOVERY KIT — 正本をAI chat/memoryだけに置かず、export/backup、credential recovery、代替provider入口、incident memoを保持する。復旧可能性を高度機能より優先する場合がある。"
    },
    {
      "heading": "Evidence / provenance",
      "text": "AUTHORITY COMM-027-EA0025。NIST AI RMF 1.0、NIST AI 600-1、FTC small-business cybersecurity/privacy guidanceを設計根拠とし、OpenAI Business、Google Workspace Business/Gemini、Microsoft 365 Business/Copilotの公開資料をcurrent product examplesとして扱う。provider優劣評価には使用しない。pricing、seat、entitlement、plan名、quotaは PRODUCT_VOLATILE。"
    },
    {
      "heading": "Failure envelope",
      "text": "small-business向けplan名はsecurity/compliance保証ではない。BAA/ZDR/custom retention/data residency/SCIM等が上位または契約planに限定される可能性を残す。bundle AIが安価でも機能quota・edition差がある。個人planが安価でもbusiness data policy/admin/audit requirementを満たすとは限らない。一人法人でも顧客・従業員・医療・金融・機密等ではsector/legal requirementが優先される。NIST/FTCは米国資料であり、日本法人の法令適合性そのものを確定しない。public product docsから特定tenantの実効availabilityを推測しない。"
    },
    {
      "heading": "TEST_PROFILE",
      "text": "UNEXECUTED。非機密fixtureで confidential customer email draft / invoice-table transformation / research with citations / external-send boundary / account loss-export-recovery をscenario replayする。品質だけでなくdata boundary、manual steps、monthly cost、recovery timeを測る。external send/writeはdry-runのみ。未実施結果や閾値を推測しない。"
    },
    {
      "heading": "OPEN_UNKNOWN",
      "text": "日本の個人事業主／一人法人に対するprivacy・個人情報・業法crosswalk、主要providerのcurrent commercial minimum-seat/contract conditions、日本円実効税・契約条件、one-person tenantでのadmin/audit実挙動、tenant固有entitlement/region/contractual controls。UNKNOWNを推測で閉じない。"
    },
    {
      "heading": "Cross-reference boundary",
      "text": "EA-001 plan crosswalk、EA-022 migration、EA-023 lock-in、EA-024 procurementへ接続する。ただし本packetで各EAを再編集・再解釈しない。"
    }
  ],
  "human_url": "/tools/ea-025",
  "markdown_url": "/agent/article.md?path=%2Ftools%2Fea-025",
  "json_url": "/agent/article.json?path=%2Ftools%2Fea-025"
}