クラウド内のサイバーセキュリティ リスクを分析および評価する際に、サードパーティの監査と認証の結果を信頼する必要がある理由の 1 つは、制御の喪失によって生じるリスクと対比するためです。組織がデータとプロセスをクラウドに移行すると、適切なセキュリティ対策と制御の実装と維持をクラウド サービス プロバイダー (CSP) に依存することになるため、セキュリティとコンプライアンスの体制に対する制御がある程度失われることは避けられません。1 この制御の喪失により、データ侵害、不正アクセス、サービス拒否、マルウェア感染など、さまざまなサイバーセキュリティ リスクに対する組織の露出が増大する可能性があります。2 これらのリスクを軽減するには、組織は CSP のセキュリティとコンプライアンスのレベル、および両者の役割と責任を定義する責任共有モデルを明確に理解する必要があります。3 サードパーティの監査と認証は、CSP が ISO/IEC 27001、CSA STAR、SOC 2 など、セキュリティとコンプライアンスに関連する特定の標準と要件を満たしていることをある程度保証できます。これらの監査と認証は、組織が市場のさまざまな CSP のセキュリティ体制を比較対照し、対処または補償する必要があるギャップや弱点を特定するためにも役立ちます。
したがって、サードパーティの監査と認証の結果を頼りにすることで、組織はクラウドでの制御の喪失によって生じるリスクを比較し、クラウド サービスの選択と管理について情報に基づいた決定を下すことができます。

説明
経営者による説明とは、監査用語において、監査人が入手した監査証拠の一部として、経営者が特定の質問に応じて、または財務諸表を通じて行った陳述を指す。経営者による説明は口頭または書面による場合があるが、監査人は通常、監査人に提供された財務諸表およびその他の情報の正確性と完全性を証明する書簡の形で、経営者から書面による説明を取得する。経営者による説明書は、CEO や CFO などの上級経営陣によって署名され、監査作業完了日と同じ日付が記入される。経営者による説明書は、監査中に監査人に対して明示的または黙示的に行われた説明を確認または文書化し、そのような説明が引き続き適切であることを示し、説明の対象となっている事項に関する誤解の可能性を減らすものである12。
経営陣の代表とは、監査中に経営陣を代表する個人またはグループのことではありません (A)。これは、経営陣が監査プロセスに直接関与していない、または責任を負っていないことを意味するためです。
経営表現は、組織構造を表現する手段ではありません（B）。そう考えると、経営表現は組織内の階層構造や関係性を示すための図式的ツールであると解釈されてしまうからです。また、経営表現は、プロジェクトの主要段階における経営陣の関与を示すためのプロジェクトマネジメント手法でもありません。そう考えると、経営表現はプロジェクトの進捗状況や成果を監視または報告するための方法や実践であると解釈されてしまうからです。

クラウドに移行する欧州の製造企業にとって、最適な管理フレームワークは、クラウドセキュリティアライアンス（CSA）の一般データ保護規則行動規範（GDPR CoC）です。このフレームワークは、クラウドサービスプロバイダーとユーザーがEUのデータ保護要件を遵守できるよう特別に設計されています。GDPRは厳格なデータ保護規則を課す欧州の重要な規制であるため、EU内で事業を展開するあらゆる組織にとって、これらの規制に準拠したフレームワークを遵守することが不可欠です。
参考資料 = CSAのGDPR CoCは、GDPRへのコンプライアンスを確保するための堅牢なフレームワークとして認められており、これは欧州の組織がクラウドに移行する上で重要な考慮事項です。これは、クラウドセキュリティアライアンスとISACAがクラウド監査ナレッジ（CCAK）資料1で提供するリソースによって裏付けられています。