サードパーティ・リスク管理とは、サプライヤー、ベンダー、サービスプロバイダー、請負業者などの外部ビジネスパートナーから組織にもたらされるリスクを特定し、軽減するための取り組みのことです。 このプロセスでは、組織は自らがどの企業と取引を行っているか、ひいてはそれらの企業がどの企業と取引を行っているかを把握し、リスクを軽減するための安全対策を講じることが求められます。
規模を問わず、現代の組織は重要なサービスや業務を外部委託しており、クラウドホスティング、給与計算、施設管理などのサービスについては、外部の企業に依存しています。 サードパーティのパートナーが製品やサービスの提供に失敗した場合、甚大な影響を及ぼす可能性があります。 Amazon Web Services（AWS）を利用してウェブサイトをホストしているEコマース事業を例に考えてみましょう。 もしAWSでサービス障害が発生した場合、ウェブサイトは利用できなくなり、その結果、企業にとっては取引の機会を逃すことになり、また、ウェブサイトの停止が長期間続けば、顧客からの信頼を損なうことにもつながります。
組織の物理的施設やITシステムへの第三者によるアクセスは、 より高いレベルのリスクをもたらします。 例えば、第三者のセキュリティ上の脆弱性が原因で組織の顧客データが漏洩した場合でも、その組織は依然としてその攻撃に対する責任を負うことになります。 これは今日の企業にとってますます懸念が高まっている問題であり、 によると、 の調査で、企業の93％がサプライチェーンやサードパーティベンダーの脆弱性を原因としてサイバーセキュリティ侵害の被害を受けたことが明らかになっています。
また、第三者も自社の事業の一部を他の企業に委託しています。 これらの事業体は、組織にとって「次の段階」の契約当事者となり、それぞれのセキュリティ態勢は、ひいては、その第三者と契約を結んでいる組織にも最終的に影響を及ぼすことになります。 端的に言えば、サードパーティとの取引関係が1つ増えるごとに、組織が抱えるリスクは増大します。
サードパーティ・リスクの典型的な例として、 2013 ターゲット社のクレジットカード情報漏洩事件が挙げられます。。 攻撃者たちは、 の外部委託冷凍設備業者であるを標的とし、フィッシングメールを用いて従業員を騙し、マルウェアをインストールさせました。これにより、攻撃者たちはTargetのベンダーポータルへのログイン認証情報にアクセスできるようになりました。 （一部の情報源によると、その請負業者は、リアルタイム保護機能を備えていない無料のセキュリティソフトウェアを使用していたとされています。） Attackers installed malware on Target’s point-of-sale system and stole 40 million credit card numbers and compromised 70 million customers’ personal details. Even though the attack originated with a contractor, Target was held responsible and had to pay an $18.5 million settlement.
組織にとって、提携するすべての企業を精査することは不可欠です。 サードパーティ・リスク管理は、組織がサードパーティによって生じるリスクを特定・評価し、その後、当該サードパーティと連携して、そのリスクを管理するか、あるいはより安全な代替先を見つけることを支援するものです。
[関連記事：リスク管理とは何でしょうか？ 【概要（簡略版）】 （新しいタブで開きます）
第三者の役割とは何でしょうか？
サードパーティとは、ソフトウェア、有形商品、消耗品など、事業に不可欠な構成要素やサービスを提供する業者を指します。 一般的なサードパーティパートナーには、次のようなものがあります：
- ソフトウェアベンダー
- クラウドサービスプロバイダー
- IT管理サービス
- 人材派遣会社
- 給与計算サービス事業者
- フィデリティ・マネジメント・サービス
- 税務専門家
- サプライヤーおよび請負業者
サードパーティの事業者は組織のデータにアクセスし、処理を行う可能性があるため、それらの事業者が
の適切なセキュリティ基準を満たしていることを確認することが極めて重要です。
サードパーティ・リスクにはどのようなものが含まれるのでしょうか？
サードパーティ関連のリスクのほとんどは、以下のいずれかのカテゴリーに分類されます：
- サイバーセキュリティ。 サイバー攻撃の標的として、サードパーティがますます注目を集めています。 ハッカーは、組織の サプライチェーン 内の1つまたは複数のリンクを侵害し、そのアクセス権を利用して、より価値の高い標的に対して大規模な攻撃を仕掛けます。
- 規制への準拠。 サードパーティによるセキュリティ対策が不十分な場合、データの損失につながり、その結果として の規制違反
や罰則が生じる可能性があります。 - 稼働中。 サードパーティ側の不具合により、組織の業務が停止する可能性があります。 例えば、ソフトウェアベンダーの Geographic Solutions（ ）に対するサイバー攻撃により、同社のソフトウェア（
）を利用していた各州において、失業手当の支給や求職支援に支障が生じました。
“Even though the attack originated with a contractor, Target was held responsible and had to pay an $18.5 million settlement.”
- 戦略的。 組織と第三者の事業戦略が一致しない場合、規制やその他のセキュリティ基準を満たせない可能性があります。
- 評判に関するものです。 第三者のセキュリティ侵害、コンプライアンス違反、その他の問題によるネガティブな報道は、その製品やサービスを利用している組織の評判を損なう恐れがあります。
- 財務。 契約上のサービスを提供できない場合、欠陥のある製品を供給した場合、あるいは第三者が行う業務の品質が低下した場合、金銭的な損害が生じる可能性があります。 第三者が負担することになる罰金や弁護士費用も、組織の財務リスクを高める要因となり得ます。
実際には、サードパーティの障害は、通常、組織に複数の側面から影響を及ぼします。 例えば、ターゲット社のデータ漏洩事件は、同社の業務に支障をきたし、規制上のリスクをもたらし、同社に金銭的および評判上の損害をもたらしました。
なぜ第三者によってリスクが生じるのでしょうか？
ある組織は、自社のスタッフ、ネットワーク、情報技術、および業務慣行に対して持っているのと同じ程度の可視性や管理権限を、他社のそれらに対して持っていない場合があります。 その結果、組織は、業務面、財務面、評判面、規制面、およびセキュリティ面において、さまざまな潜在的な問題にさらされることになります。 組織は、自社の事業を支える第三者の行動に対して最終的な責任を負うため、いかなるインシデントも、
当該企業にとって深刻な結果をもたらす可能性があります。
サードパーティ・リスクの具体例にはどのようなものがありますか？
一般的なサードパーティ関連のリスクには、次のようなものがあります：
- セキュリティ対策が不十分です。 攻撃者は、サードパーティのセキュリティ上の脆弱性を狙い、それを悪用して顧客データ、財務情報、知的財産を盗み出す可能性があります。 2014 年に、ボストン・メディカル・センターの患者15,000 名 のデータが、同センターの転写サービスのウェブサイトを通じて流出したのは、そのベンダーのサイトが患者記録に対してパスワード保護を施していなかったためです。
- 従業員。 攻撃者は、サードパーティ企業の従業員を標的とする際、 といったソーシャルエンジニアリングの手法 をよく用います。 従業員は通常、信頼できる送信元からのもののように見えるメールやテキストメッセージを受け取り、ログイン情報を明かさせようとしたり、ログイン情報を盗み出すマルウェアをインストールさせようとしたりする攻撃に遭います。 ターゲット社のデータ漏洩事件は、従業員の不正行為が、いかにして壊滅的な連鎖反応を引き起こしうるかを示す一例です。
- 戦略的な不整合。 第三者とその支援対象組織との間で事業戦略の整合性が図られない場合、さまざまなリスクが生じる可能性があります。 これが、 2020 Health Share of Oregon のデータ漏洩の原因でした。。 医療搬送サービス業者GridWorksからノートパソコンが盗まれた際、攻撃者によって 650,000 名以上の会員の個人情報が流出しました。 当該ベンダーは、
に対し、
の患者情報が保存されているすべての携帯端末について、ビジネスパートナーが暗号化を行うことを義務付けるHealth Shareのポリシーを遵守していませんでした。
サードパーティ・リスクは、内部リスクとどのように異なるのでしょうか？
内部リスクは、組織内部の問題――セキュリティ対策の不備、老朽化したITシステム、不十分な 従業員研修――に起因し、セキュリティ上の脆弱性やデータ漏洩につながる可能性があります。 サードパーティ・リスクは、多くの点で同様の問題に起因していますが、その発生源はビジネスパートナーのシステム、プロセス、および人材にあります。
「組織は、自社の事業を支える第三者の行動について、最終的な責任を負います。」
内部リスクとサードパーティ・リスクの決定的な違いは、リスク軽減に対して組織がどの程度の管理権限を持っているかという点にあります。 組織は自社のセキュリティ対策については管理・監督を行っていますが、サードパーティのパートナーや外部委託先のサービスプロバイダーの対策については、ほとんど把握できていません。 これにより、組織の攻撃対象領域が拡大する一方で、リスクの発生源が不明確になってしまいます。
サードパーティによるデューデリジェンスとは何ですか？
組織は、ビジネスパートナーと関係を築く前に、デューデリジェンスを実施します。 この不可欠なベンダー・リスク管理プロセスでは、提携候補となる第三者のリストを作成し、それらが提携関係にもたらすリスクのレベルを評価します。 その過程において、当該組織は、当該第三者の所有構造、組織体制、財務状況、事業運営、および評判に関する情報を収集します。
この情報は、当該組織が、第三者が自社の製品やサービスに関連するリスクを軽減できるかどうかを判断するのに役立ちます。 デューデリジェンスは取締役会および経営陣の責任であり、契約締結前および取引関係が続く間を通じて実施され、新たなリスクが発生した際に速やかに対処できるよう確保されるべきです。
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
サードパーティ・リスク管理にはどのようなメリットがありますか？
サードパーティ・リスク管理には、以下のような多くのメリットがあります：
- サードパーティ環境に対する可視性の向上。 サプライヤー、サービスプロバイダー、その他の第三者企業との関係についてきめ細かな可視性を確保することで、企業は各当事者間の相互関連性や潜在的なリスクの所在をより深く理解できるようになります。
- リスクの低減。 デューデリジェンスを行うことで、経営幹部は取引先企業について、より十分な情報に基づいた意思決定を行うことができます。 取引関係の開始当初から、リスクを特定・管理することが可能であり、サードパーティのライフサイクル全体を通じて、定期的なデューデリジェンスによる審査と迅速な是正措置を実施します。
- 規制遵守の徹底。 サードパーティ・リスク管理は、FISMA、HIPAA、HITECH、SOX、GLBA、およびNISTサイバーセキュリティ・フレームワークなど、多くの業界標準や規制において必須要件とされています。 第三者との関係性を定期的に評価することで、組織は規制当局の要件を確実に遵守し、多額の罰金や制裁を回避することができます。
- コスト削減。 While third-party risk management remains an upfront investment, it saves money by reducing the risk of data breaches, which cost organizations $4.2 million on average
per incident.
サードパーティ・リスク管理におけるベストプラクティスとはどのようなものでしょうか？
経営陣は、以下のアドバイスを心に留めておくことで、サードパーティ・リスクを最小限に抑えることができます：
- 現状を把握しましょう。 サードパーティ・リスクがどこから生じているのかを理解するためには、誰と取引を行っているのかを知っておく必要があります。 委託している第三者業者について、徹底的な棚卸しを行ってください。 その対象には、大規模な組織から個人の請負業者まで、あらゆるものが含まれるほか、それらの事業者が業務を委託している企業も含まれます。 また、各当事者がアクセスできるシステム、アプリケーション、およびデータを特定し、記録しておくようにしてください。
- リスクを分類してください。 各サードパーティを個別に検討し、ハッキングが発生する可能性や想定される結果を判断した上で、それらがもたらすリスクのレベルに応じて分類してください。 リスク軽減の取り組みについては、まずリスクが最も高い当事者に重点を置くべきです。
- あらゆる種類のリスクを考慮してください。 リスクはハッキングだけにとどまりません。 顧客とのやり取りにおける不適切な対応の履歴、低い信用格付け、納期の遅延、およびこれらに類する懸念材料は、その第三者がどのように事業を行っているか、またどのようなリスクを孕んでいるかを示しています。
- 第三者から情報を収集します。 各当事者にアンケートを送付し、その組織構造やガバナンス、
で実施されているサイバーセキュリティ対策、アクセスが必要なネットワークやデジタル資産、
、および御社のリソースにアクセスする際に講じるセキュリティ対策に関する情報を収集してください。 - リスクを軽減しましょう。 すべての取引先とそのリスクを特定したら、それらのリスクを軽減または管理するための取り組みを進めることができます。 リスクに応じて、リスク軽減策として、 のようなセキュリティ対策を実施し、特定の資産へのアクセスを制限する必要がある場合があります。。 また、当該第三者には、脆弱性への対応や、より強力なセキュリティ対策の実施が必要となる場合もあります。 リスクを合理的に低減できない状況では、その関係を終わらせることを決断されるかもしれません。
- モニター。 サードパーティの行動は時間の経過とともに変化し、新たなリスクが生じる可能性があるため、定期的な評価を行うことが重要です。 ベンダー・リスク管理プラットフォームを活用することで、リアルタイムで継続的なモニタリングを行うことができます。
- 新しいサードパーティごとに、この手順を繰り返してください。 新しいサプライヤー、ベンダー、サービスプロバイダー、または請負業者と取引関係を結ぶ際は、その都度、上記の慣行を採用すべきです。 常に注意を払うことで、第三者が貴社との取引を行うために必要な範囲のネットワークおよびデータへのアクセス権のみを付与できるようになります。
サードパーティ・リスク管理にはどのような課題がありますか？
多くの組織は、第三者との関係によって自社がさらされているリスクについて、ほとんど把握していません。 その理由としては、以下の点が挙げられます：
- 複雑なベンダーネットワーク。 現代の企業は、何百ものベンダー、サプライヤー、サービスプロバイダーと取引を行っており、それらの各社は、それぞれ独自の第三者ネットワークに業務を委託したり下請けに出したりしています。 このネットワークのどこででも、いつでもリスクが発生する可能性があります。 多くの組織では、リスクを把握し管理するために必要な、関係性の全体構造に関する詳細な可視性が十分に確保されていません。
- 手作業によるプロセス。 組織では、サードパーティ・リスクを管理するために、スプレッドシートやアンケート、その他手作業によるプロセスをよく利用しています。 非効率的なアプローチをとると、問題の発見や是正にかかる時間が長くなる可能性があります。
[関連記事：堅牢なインシデント対応計画を策定するための 5 のステップ
- 拡張性の欠如。 サードパーティのネットワークが拡大するにつれ、手動によるプロセスを拡張することは極めて困難であり、それがさらなるリスクを招く可能性があります。
- 組織内の縦割り。 社内の各部門、各機能、各事業部門間の分断があると、組織全体にわたる包括的なリスク情報を収集することが困難になる場合があります。
- 規制の強化。 多くの連邦および州の規制では、リスク管理方針を組織の第三者ビジネスパートナーにも適用することが求められています。 しかし、これらの主体は組織の直接的な管理範囲外にあるため、導入は困難です。
サードパーティ・リスク管理のライフサイクルとは何でしょうか？
企業は、第三者との関係において、契約の締結から終了に至るまで、一連の手順を踏みます。 ライフサイクルの明確な図解は存在せず、組織ごとにそのプロセスは異なります。 しかし、ライフサイクルは、管理が必要なリスクの段階として、大きく分けて3つに分類できます：
- 契約締結前の段階です。 第三者との契約を締結する前に、当組織は当該第三者のリスクを評価し、アクセスが必要な機密情報（ ） を特定するとともに、相手企業が提供するサービスのうち、下請けに出すものがあるかどうかを確認します。
- 契約段階です。 本組織では、両当事者が負うリスクや、双方が協力してリスクを軽減する方法、およびその他の提携条件について概説しています。
- 契約締結後の段階。 第三者との関係の継続的な管理は、モニタリング、報告、およびレビューを通じて行われます。 雇用関係が終了した場合も、離職手続きが適用されます。
