オープンソース アプリケーションの使用に関する承認を得る文書化されたプロセスは、パッチ適用プロセスに直接関係しないため、通常、ベンダーのパッチ管理コントロールの評価には含まれません。パッチ管理コントロールは、組織がソフトウェアの脆弱性に対するパッチを特定、取得、インストール、検証できるようにするポリシー、手順、およびツールです。パッチ管理制御は、既知のソフトウェアの欠陥が悪用されるリスクを軽減し、パッチが適用されたシステムの機能と互換性を確保することを目的としています。オープンソース アプリケーションの使用に関する承認を取得するための文書化されたプロセスは、ベンダーの製品またはサービスでオープンソース ソフトウェア コンポーネントを使用する場合の法的、セキュリティ、および運用上の影響の評価が含まれるため、ソフトウェア開発および調達のプロセスにより関連性が高くなります。オープンソース ソフトウェアは、プロプライエタリ ソフトウェアとはライセンス条件、品質基準、サポート レベルが異なる場合があり、管理が必要な追加の脆弱性や依存関係が発生する場合があります。したがって、オープン ソース アプリケーションの使用に関する承認を得るプロセスを文書化することはベンダーにとって良い習慣ですが、それ自体はパッチ管理制御ではありません。参考文献:
* エンタープライズ パッチ管理計画ガイド
* システムパッチ管理の主要な側面のガバナンス
* 認定サードパーティ リスク プロフェッショナル (CTPRP) スタディ ガイド

HVAC、煙、火災、水道、または電力システムのリモート監視は、環境制御テスト プログラムのコンポーネントを最もよく反映します。これらのシステムは、データセンターと IT 施設の物理的なセキュリティと運用の完全性を確保するために重要です。環境制御テスト プログラムは、これらのシステムが正しく機能し、環境の脅威に効果的に対応できることを検証するように設計されています。これには、温度と湿度 (HVAC) の監視、煙や火災の検出、水害の防止、無停電電源の確保などが含まれます。これらのシステムの定期的なテストと監視は、環境要因による機器の損傷、データ損失、ダウンタイムを防ぐのに役立ちます。
参考文献:
* ISO/IEC 27001 (情報セキュリティ管理) などの環境管理規格には、物理​​的および環境的セキュリティ管理のテストと監視の要件が含まれています。
* Uptime Institute の「データセンター運用マニュアル」には、データセンター運用の回復力と信頼性を確保するための環境制御システムのテストとメンテナンスに関する詳細なガイドラインが記載されています。

リスク レジスタは、組織がサードパーティ リスクを文書化、監視、管理するのに役立つツールです。通常、リスクの説明、カテゴリ、ソース、影響、可能性、評価、所有者、ステータス、アクション プランなどの情報が含まれます。リスク登録により、組織はリスクに優先順位を付け、責任を割り当て、進捗状況を追跡し、リスク態勢を報告することができます。CTPRP Study Guide によると、「リスク レジスタは、サードパーティのライフサイクル全体を通じてリスクを把握し、管理するためのツールです。組織のサードパーティ リスク プロファイルの包括的なビューを提供し、リスクの報告とコミュニケーションを容易にします。」1 同様に、サードパーティ リスクに関する GARP ベスト プラクティス ガイダンスでは、「リスク レジスタは、サードパーティに関連するリスクを記録および追跡するツールです。これは、リスクを特定、評価し、優先順位を付けるだけでなく、所有権や軽減措置を割り当てるのに役立ちます」と述べています。 、および目標日付。」2 参考文献:
* CTPRP 学習ガイド
* 第三者リスクに関する GARP ベスト プラクティス ガイダンス

緊急対応計画 (ERP) は、組織の業務、資産、評判、または利害関係者を脅かす破壊的なインシデントが発生した場合に、組織がとるべき手順と行動を概説した文書です1。ERP は組織の事業継続計画および災害復旧計画と整合している必要があり、役割と責任、コミュニケーション チャネル、エスカレーション プロセス、リソース、およびさまざまな種類の緊急事態に対する復旧戦略をカバーする必要があります2。
ERP 開発の最初のステップは、ERP3 をトリガーする可能性が最も高いイベントの種類の一覧表を含む評価を実行することです。この評価では、自然災害、サイバー攻撃、パンデミック、社会不安、テロ、サプライチェーンの混乱などのさまざまなシナリオの可能性と影響を考慮し、これらのイベントによって影響を受ける可能性のある重要な機能、プロセス、資産、依存関係を特定する必要があります4 。評価では、組織の準備と対応における既存の能力とギャップも評価し、改善または強化が必要な領域に優先順位を付ける必要があります5。
評価は、包括的なリスク分析とビジネスへの影響分析に基づく必要があり、上級管理職、事業部門、IT、セキュリティ、法務、コンプライアンス、人事、サードパーティなどの関連する利害関係者からの意見を含める必要があります。
他のオプションは ERP 開発の最初のステップではなく、最初の評価後に実行する必要がある後続のステップまたは補完的なステップです。在宅勤務のパラメーターを考慮すること、危機管理チームの定期的な机上演習を組み込むこと、継続的な監視ツールの結果を使用することはすべて ERP の重要な側面ですが、これらは ERP 作成の出発点ではありません。これらの手順は、評価の結果と推奨事項に基づいている必要があり、ERP の有効性と関連性を確保するために定期的に更新およびテストする必要があります。参考資料： 1：緊急時対応計画とは何ですか？| IBM 2: 緊急時対応計画 | Ready.gov 3: サードパーティのインシデント対応計画を構築するための 8 つのステップ | 普及 4: 効果的な事業継続計画を作成する方法 | CIO 5: 緊急時対応計画: 計画作成の 4 つのステップ : サードパーティのリスク管理: 省庁間の最終ガイダンス : サードパーティのインシデント対応の改善 | 蔓延している

サードパーティ リスク管理 (TPRM) は、事業活動や機能を外部団体にアウトソーシングすることに関連するリスクを特定、評価、軽減するプロセスです。TPRM は、サードパーティの失敗や不正行為によって引き起こされる潜在的な損害から顧客、利害関係者、規制当局の利益を保護することを目的としたさまざまな規制の影響を受けます。これらの規制は、業界、管轄区域、およびサードパーティ関係の性質によって異なる場合があります。したがって、組織にとっては、年次リスク評価中に TPRM プログラムに影響を与える規制の目録を更新し、ビジネス目標とリスク選好にとって最も関連性が高く重要な規制を優先することが重要です。
規制に優先順位を付けるための最適なアプローチは、サービス プロバイダーに対する特定の義務の拡張を必要とする該当する規制を特定することです。これは、組織が、データ保護、セキュリティ、コンプライアンス、レポート、監査、パフォーマンス基準など、組織とそのサードパーティ パートナーに特定の要件や期待を課す規制に重点を置く必要があることを意味します。これらの規制には、組織とサービスプロバイダーの役割と責任、デューデリジェンスと監視活動の範囲と頻度、契約条項と条件、是正と終了の手順も指定される場合があります。これらの規制を特定することで、組織は TPRM プログラムが規制上の期待および義務と整合していることを確認し、サードパーティとの関係に関連するリスクを効果的に管理および軽減できるようになります。
サービスプロバイダーに対する特定の義務の拡大を要求する規制の例は次のとおりです。
* 一般データ保護規則 (GDPR): これは、EU 内の個人の個人データの収集、処理、転送を管理する欧州連合の規則です。GDPR では、組織に対し、個人データを保護するために適切な技術的および組織的措置を導入すること、およびデータ保護の十分な保証を提供できるサービス プロバイダーのみと連携することを求めています。
また、GDPR では、組織がサービス プロバイダーと、データ処理の主題、期間、性質、目的、および両当事者の権利と義務を明記した書面による契約を結ぶことも求められています。GDPR では、データ侵害や違反が発生した場合の厳格な通知と報告の要件も課しています。
* 医療保険の相互運用性と責任に関する法律 (HIPAA): これは、個人の健康情報のプライバシーとセキュリティを規制する米国の連邦法です。HIPAA は、医療提供者、医療保険プラン、医療情報交換所などの対象事業体に対し、患者の健康情報を保護し、許可された関係者とのみ情報を開示または共有することを義務付けています。HIPAA はまた、対象となる事業体に対し、健康情報を代理で処理またはアクセスするサービスプロバイダーと業務提携契約を結ぶことを義務付けています。これらの契約では、許可され必要とされる健康情報の使用と開示、健康情報を保護するための安全措置と措置、違反または事件が発生した場合の報告と通知の義務を指定する必要があります。
※サーベンス・オクスリー法（SOX）：企業の財務報告と開示の正確性と信頼性の向上を目的とした米国連邦法。SOX は公開企業に対し、財務報告プロセスに対する内部統制を確立および維持し、これらの統制の有効性を評価および報告することを義務付けています。SOX はまた、公開企業に対し、外部監査人が独立性と資格を持っていることを確認し、内部統制の重大な弱点や欠陥を開示することを求めています。SOX は、会計事務所、IT ベンダー、コンサルタントなど、上場企業の財務報告機能を実行またはサポートするサービス プロバイダーにも適用されます。SOX は公開企業に対し、サービスプロバイダーの内部統制を評価および監視し、監査および報告の範囲に含めることを義務付けています。
参考文献:
* サードパーティのリスク管理と軽減 | ガートナー
* サードパーティのリスク管理プログラムを活性化するためのベスト プラクティス
* サードパーティのリスク管理のベスト プラクティスとそれが重要な理由
* GDPR とサードパーティのリスク管理
* 取引先およびサードパーティ サービス プロバイダー向けの HIPAA コンプライアンス
* サードパーティ サービス プロバイダーの SOX コンプライアンス要件