NIST コンピュータ セキュリティ インシデント処理ガイド 1 によると、インシデントに対応する最初のステップの 1 つは、インシデントの範囲、性質、および発生源を特定することです。これには、証拠の収集、ログの分析、証人へのインタビュー、法医学的分析の実行が含まれます。目標は、侵害の範囲、攻撃の種類、攻撃者の身元や場所、組織とその関係者への潜在的な影響を特定することです。このステップは、インシデントを封じ込め、被害を軽減し、さらなる拡大や再発を防ぐために不可欠です。参考文献:
* NIST コンピュータ セキュリティ インシデント処理ガイド 1、セクション 3.2.2 識別
* シスコ IT 向けインシデント対応計画とは何ですか?2、セクション 2. 対応
* CrowdStrike インシデント対応 [初心者ガイド]3、セクション 3. インシデント対応手順

規制とは、上位または管轄当局によって規定され、その当局の管理下にある人々の行動に関連する法的強制力を持つ秩序の規則です。規制は、該当する管轄地域の立法府によって制定された法律の意図を実行するために、さまざまな政府部門や機関によって発行されます。規制は、法の統一的な適用を確保するためにも機能します。標準とは、民間団体によって一般に確立され、民間か政府かを問わず、あらゆる個人や組織が使用できるガイドラインです。この用語には、一般に「業界標準」と呼ばれるものだけでなく、
「コンセンサス基準」。規格は、メーカー、消費者、規制当局、専門家などの関係者間の協力と合意の自主的なプロセスを通じて開発されます。標準には、ベスト プラクティス、技術仕様、パフォーマンス基準、または品質要件が反映されている場合があります。規格は、規制で採用または参照されない限り、法的効力を持ちません。したがって、規制はその要件を満たすすべての企業によって遵守される必要がありますが、企業は自社の業務、製品、サービスに関連し有益な基準に従うことを自主的に選択できます。参考文献:
※規制と規格の違い
* 規制と標準: 混乱を解消する - AEM
* 規格と規制
* 認定サードパーティ リスク プロフェッショナル (CTPRP) スタディ ガイド

合併・買収 (M&A) によるアウトソーサーの変更は、既存のベンダーの再評価を引き起こす可能性が最も低い指標であるため、この答えは正解です。これは、アウトソーサーが組織の直接のベンダーではなく、ベンダーがサービスの一部を実行するために使用するサードパーティであるためです。したがって、アウトソーサーの変更がベンダーのパフォーマンスとリスク レベルに及ぼす影響は、重大ではない、または即時ではない可能性があります。ただし、他の指標 (A、B、C) は、ベンダーの業務、能力、コンプライアンス状況に直接影響するため、既存ベンダーの再評価を引き起こす可能性が高くなります。例えば：
* ベンダーの所在地の変更や新しい第三者の使用により、評価および軽減が必要な地政学的リスク、規制リスク、サイバーセキュリティ リスクなどの新たなリスクが導入される可能性があります。
* 既存の作業の範囲が変更されると、組織のデータまたはシステムへのベンダーのアクセスが変更される可能性があり、情報資産の機密性、完全性、可用性を保護するために追加のセキュリティ対策と管理が必要になる場合があります。
* サービス プロバイダーの要件に影響を与える規制の変更により、コンプライアンスを確保し、罰則や罰金を回避するために検証および監視する必要がある新しい義務や基準がベンダーに課される場合があります。参考文献:
* 9 ステップでベンダー リスク評価を成功させる方法、Case IQ
* ベンダー リスクを継続的に再評価する必要がある理由、ThirdPartyTrust
* ベンダーの評価および評価ガイド、Smartsheet

この回答は、会社のポリシー、契約上の義務、規制要件への準拠の確保など、サードパーティのリスク管理の原則と一致しているため、最良のアプローチです。ベンダーに下請け業者の交換を依頼することで、ベンダーが合意された基準を満たさない場合、または許容できないリスクを引き起こす場合、企業は関係を終了または変更する権利を行使することになります。これにより、ベンダーのコンプライアンス違反が企業の評判、運営、データ セキュリティに与える潜在的な影響も最小限に抑えられます。他のオプションは、問題を無視するか、会社のポリシーを侵害するか、検証せずにベンダーの自己評価に依存するかのいずれかであるため、あまり効果的ではありません。参考文献:
* サード パーティのリスク管理フレームワーク、モジュール 3: プログラム ガバナンス、セクション 3.2: ポリシーと手順、p. 13 14
* サードパーティのリスク管理フレームワーク、モジュール 4: プログラム コンポーネント、セクション 4.3: 契約、p. 24
* サードパーティのリスク管理フレームワーク、モジュール 5: プログラムの実施、セクション 5.2: 継続的なモニタリング、p. 5 32
* サードパーティのリスクに関するベスト プラクティス ガイダンス、セクション: 特権ユーザーのリスクに対する防御、p. 2
* サードパーティ リスクを管理および制御するための 5 つのベスト プラクティス、セクション: サードパーティ ベンダー リスクを制御するためのベスト プラクティス、p. 3

理由による終了は、評価結果の修正に失敗した後に発生する可能性が最も高いタイプの契約終了です。これは、理由による解雇は、不遵守、パフォーマンスの低下、詐欺、不正行為など、第三者による契約違反に基づいているためです。評価結果を修正しないことは、第三者が企業の契約上の義務または期待を満たしていないことを示し、したがって企業は増大したリスクと責任にさらされることになります。理由による終了により、企業は即時または通知期間後に契約を終了し、第三者に対して損害賠償または救済を求めることができます。理由による終了は、次のような他のタイプの契約終了とは異なります。
* 規制/監督上の終了。契約の合法性または実現可能性に影響を与える法律または規制の変更によって引き起こされます。
* 便宜上の終了。通常は戦略的または運営上の理由により、何らの過失も第三者による違反もなく、事業体によって行使されます。
* 正常終了。契約期間の自然終了または契約範囲の終了です。参考文献:
* 共有評価。（2020年）。認定サードパーティリスクプロフェッショナル (CTPRP) 学習ガイド1
* 融合リスク管理。（2021年）。サードパーティを終了するための出口戦略2
* ヴォルコフ、M. (2016)。サードパーティのリスク管理 - パート 2: 契約の終了3