監査人が次に行うべきことは、クラウドサービスプロバイダの契約とDR能力を確認することです。契約には、災害復旧に関する両当事者の役割と責任、そして重要なアプリケーションのサービスレベル契約（SLA）と目標復旧時間（RTO）が明記されている必要があります。DR能力は、クラウドサービスプロバイダが組織の要件と期待に沿った計画を策定し、毎年テストと独立監査人による検証を受けていることを示すものでなければなりません。また、監査人は、組織がクラウドサービスプロバイダのパフォーマンスと契約およびSLAの遵守状況を監視および確認するプロセスを備えていることも確認する必要があります。
監査人がプロバイダーの環境やデータにアクセスできない場合や、そのような監査を実施する権限や専門知識がない場合、プロバイダー（B）の監査を計画することは現実的ではない、あるいは必要ではない可能性があります。監査人は、プロバイダーの監査報告書と認証書に基づいて、関連する基準や規制への準拠状況を評価するべきです。
プロバイダ©のセキュリティホワイトペーパーを確認するだけでは不十分、あるいは適切ではない場合があります。セキュリティホワイトペーパーは、重要なアプリケーションの災害復旧に関する具体的な側面を網羅していない場合や、プロバイダのセキュリティ管理やセキュリティ対策の現状を反映していない場合があるからです。また、セキュリティホワイトペーパーはプロバイダ自身が作成しているため、偏りがあったり、情報が古くなっている可能性もあります。
プロバイダーの監査報告書（D）を確認することは有益ではありますが、十分ではありません。監査報告書は、組織の災害復旧に関する具体的な要件や期待に対応していない場合や、プロバイダーの災害復旧能力に影響を与える可能性のある最新の変更やインシデントを網羅していない場合があるためです。また、監査報告書には、信頼性や妥当性に影響を与える可能性のある制限事項や制約事項が含まれている場合もあります。参考：災害復旧計画の監査 | AlertFind ISACA、事業継続性/災害復旧のための新たな監査プログラムを導入…
事業継続性と災害復旧計画の維持とテスト方法

クラウド内のサイバーセキュリティ リスクを分析および評価する際に、サードパーティの監査と認証の結果を信頼する必要がある理由の 1 つは、制御の喪失によって生じるリスクと対比するためです。組織がデータとプロセスをクラウドに移行すると、適切なセキュリティ対策と制御の実装と維持をクラウド サービス プロバイダー (CSP) に依存することになるため、セキュリティとコンプライアンスの体制に対する制御がある程度失われることは避けられません。1 この制御の喪失により、データ侵害、不正アクセス、サービス拒否、マルウェア感染など、さまざまなサイバーセキュリティ リスクに対する組織の露出が増大する可能性があります。2 これらのリスクを軽減するには、組織は CSP のセキュリティとコンプライアンスのレベル、および両者の役割と責任を定義する責任共有モデルを明確に理解する必要があります。3 サードパーティの監査と認証は、CSP が ISO/IEC 27001、CSA STAR、SOC 2 など、セキュリティとコンプライアンスに関連する特定の標準と要件を満たしていることをある程度保証できます。これらの監査と認証は、組織が市場のさまざまな CSP のセキュリティ体制を比較対照し、対処または補償する必要があるギャップや弱点を特定するためにも役立ちます。
したがって、サードパーティの監査と認証の結果を頼りにすることで、組織はクラウドでの制御の喪失によって生じるリスクを比較し、クラウド サービスの選択と管理について情報に基づいた決定を下すことができます。
参考資料: 1: クラウドのセキュリティ: 監査と認証だけで十分か?3 2: サイバーセキュリティリスクに対するサードパーティの影響を理解する - Forbes2 3: オープン認証フレームワーク | CSA - クラウドセキュリティアライアンス: サードパーティからのサイバーセキュリティリスクの軽減 - ISACA1: クラウドサービスにCSA STARレジストリへの登録が必要な理由

オープン認証フレームワーク（OCF）の3つのレイヤーは、主にクラウドサービスプロバイダーとクラウドクライアントの透明性と保証レベルの向上に役立ちます。OCFは、柔軟で段階的かつ多層的な認証プロセスを通じて、クラウドプロバイダーの信頼性と独立性を備えた評価を提供するように設計されています。このフレームワークは、利用者がプロバイダーのセキュリティとコンプライアンス能力を理解し比較しやすくすることで、透明性を高めます。さらに、サードパーティの評価および認証ステートメントと統合することで保証を提供し、すべての参加者のセキュリティ基準を向上させます。
参考資料 = 透明性と保証の向上における OCF の利点については、Cloud Security Alliance の Open Certification Framework1 に関するドキュメントで詳しく説明されています。

説明
「本規約に該当するサービスを利用またはログインすることにより、お客様は自動的に本規約に同意したものとみなされます」という文言を含む契約は、強制契約を締結するものです。強制契約とは、一方の当事者が契約条件を設定し、相手方は交渉なしにそれを承諾または拒否する以外に選択肢がない法的合意の一種です。このような契約は、オンラインサービス、保険、リース、消費者金融など、一方の当事者が他方の当事者よりも多くの権力や資源を有する状況でよく用いられます。これらの契約は、弱い立場の当事者にとって不公平または不明瞭となる可能性があり、不当性または曖昧性として裁判で争われる可能性があります12。
参考文献:
強制契約 | Wex | 米国法 | LII / 法律情報研究所
強制契約とは何か？完全ガイド - PandaDoc