ベンダー インベントリは、組織が取引しているすべてのサードパーティ ベンダーのリストと、その製品、サービス、契約、リスクに関する関連情報です。ベンダー インベントリは、組織がベンダーに関連する潜在的なリスクを特定、評価、監視、軽減するのに役立つため、ベンダー リスク管理にとって重要なツールです。ベンダー在庫は、組織がベンダー監視活動に優先順位を付け、リソースを効率的に割り当て、規制義務を遵守するのにも役立ちます12。
ベンダー インベントリの作成および維持における重要な手順の 1 つは、組織にもたらすリスクと重要度のレベルを反映するさまざまな属性に基づいて、各ベンダーにリスク評価とベンダー分類を割り当てることです。リスク評価とベンダー分類は、組織がベンダーのデューデリジェンス、レビュー、監査プロセスの頻度と深さ、および実装する適切な制御と修復アクションを決定するのに役立ちます3。
リスク評価とベンダー分類を割り当てるために使用される一般的な属性の一部は次のとおりです。
* アクセス、処理、または保持されるデータの種類: この属性は、個人を特定できる情報 (PII)、保護された医療情報 (PHI)、財務情報、組織に代わってベンダーが処理するデータの機密性と機密性を示します。データの機密性や機密性が高いほど、リスク評価とベンダー分類が高くなります。これは、ベンダーが厳格なセキュリティとプライバシーの基準と規制に準拠する必要があり、組織はデータ侵害、漏洩、損失から身を守る必要があるためです。 。
* アクセスされるシステムの種類: この属性は、ベンダーが組織のシステム (ネットワーク、サーバー、データベース、アプリケーションなど) に対して持つアクセス レベルと権限を示します。ベンダーが持つアクセス レベルと権限が多いほど、リスク評価が高く、ベンダーは組織のポリシーと手順に従う必要があり、組織はサイバー攻撃、妨害行為、スパイ行為などの不正または悪意のある活動から身を守る必要があるためです。
* ネットワーク接続のタイプ: この属性は、オンライン、オフライン、リアルタイム、バッチなど、ベンダーと組織間のデータ送信と通信のモードと頻度を示します。ベンダーのネットワーク接続が多いほど、その頻度は高くなります。リスク評価とベンダー分類。ベンダーはデータの可用性、完全性、信頼性を確保する必要があり、組織はデータの傍受、変更、中断を防止する必要があります。
契約補遺の種類は、ベンダーのリスクや重要性に直接関係しないため、リスク評価やベンダー分類を割り当てるために使用される属性ではありません。契約補遺の種類は、条件、条項、条項の追加または削除など、ベンダーと組織間の元の契約を変更または補足する法的文書です。契約追加条項の種類には、範囲、期間、価格、サービス レベルなど、ベンダーとの関係における変更や更新が反映される場合がありますが、ベンダーが組織に及ぼすリスクや影響のレベルを示すものではありません。したがって、契約追加条項の種類は、ベンダーのリスク評価と管理に関連する要素ではありません。参考文献:
*1: ベンダー在庫 - 共有評価
※2：ベンダー在庫管理：サードパーティリスク管理ガイド
* 3: ベンダーリスク評価 - 共有評価
* : [ベンダー リスク評価: ベンダーを評価する方法 | スマートシート]
* : [ベンダー分類 - 共通評価]
* : [ベンダーの階層化: ベンダーを分類する方法 | スマートシート]
* : 契約追加条項 - 共有評価
*: 契約追加条項とは何ですか? | 定義と例 | インペルバ

管理者アクセスの変更は、運用環境のインフラストラクチャやアプリケーションへの変更ではなく、ユーザー アクセス管理に関係することが多いため、通常、従来の変更管理プロセスの対象にはなりません。管理者アクセスの変更には、システムに対する管理特権の付与、変更、または取り消しが含まれます。これは、変更制御ではなく、アクセス制御ポリシーと手順によって管理されます。変更管理プロセスは主に、運用環境の安定性、セキュリティ、機能に影響を与える可能性のあるネットワーク、システム、アプリケーションの変更に関係します。
対照的に、管理アクセスの管理は ID およびアクセス管理 (IAM) の一部であり、許可された個人のみが特定レベルの情報およびシステム機能にアクセスできるようにすることに重点を置いています。
参考文献:
* NIST SP 800-53 (連邦情報システムおよび組織のセキュリティとプライバシーの管理) で概説されているようなアクセス制御と ID 管理のベスト プラクティスは、管理者のアクセス変更の管理をガイドする職務の分離と最小特権の原則を強調しています。 。
* ISC の CISSP Common Body of Knowledge の「Access Control Systems and Methodology」などのリソースは、不正アクセスを防止し、システム セキュリティを維持するための効果的なアクセス管理に関するガイドラインを提供します。

Shared Assessments CTPRP Study Guide によると、ビジネス ユニット関係の所有者がサード パーティの主な連絡窓口となり、サード パーティが契約上の義務とサービス レベル アグリーメントを確実に満たすようにする責任があります。ビジネス ユニットのリレーションシップ オーナーは、サードパーティのリスク評価プロセスと改善計画の承認にも関与します。したがって、第三者には計画を承認または拒否する権限と説明責任があるため、結果と改善計画を第三者と共有する前に、事業部門関係所有者との会議をスケジュールする必要があります。他のオプションは、サードパーティのリスク管理ライフサイクルにおいて他の役割を持つ場合がありますが、必ずしも改善計画の承認に関与するわけではありません。参考文献:
* 共有評価 CTPRP 研究ガイド、9 ページ、セクション 1.3.2
* サードパーティ ベンダーのリスク管理ライフサイクル、サプライヤーのオンボーディングとリスク モニタリングに関するセクション
* 修復と緩和、修復に関するセクション

ネットワーク アクセス ポリシーは、承認されたユーザーとデバイスが組織のネットワーク リソースとサービスにアクセスする方法を定義する一連のルールと条件です。通常、次の要素が含まれます12:
* ファイアウォール設定: これらは、パケットの送信元、宛先、プロトコル、ポートに基づいて受信および送信ネットワーク トラフィックを制御するルールです。ファイアウォール設定は、不正または悪意のあるアクセスからネットワークを保護し、組織のネットワーク セキュリティ ポリシーを強制するのに役立ちます。
* 不正なデバイスの検出: これは、不正なデバイスがネットワークにアクセスすることを特定し、阻止するプロセスです。未承認のデバイスは、組織のセキュリティ標準やポリシーに準拠していないか、マルウェアやハッカーによって侵害される可能性があるため、ネットワークにセキュリティ リスクを引き起こす可能性があります。不正なデバイスの検出は、ネットワーク アクセス コントロール (NAC)、ネットワーク アドミッション コントロール (NAC)、802.1X 認証などのさまざまな方法を使用して実行できます。
* リモート アクセス: これは、承認されたユーザーがホーム オフィス、ホテル、公共ホットスポットなどの遠隔地から組織のネットワーク リソースやサービスにアクセスできる機能です。リモート アクセスは、仮想プライベート ネットワーク (VPN)、リモート デスクトップ サービス (RDS)、リモート アクセス サービス (RAS) などのさまざまなテクノロジを使用して提供できます。リモート アクセスには安全で信頼性の高い接続が必要であり、組織のネットワーク アクセス ポリシーに準拠する必要があります。
* Web サイトのプライバシー同意バナー: Cookie やその他の追跡技術の使用について訪問者に通知し、その使用に対する同意を得るために Web サイトに表示されるメッセージです。
Web サイトのプライバシー同意バナーは、Web サイトのプライバシー ポリシーの一部であり、Web サイトが訪問者の個人データをどのように収集、使用、保護するかを開示する法的文書です。Web サイトのプライバシー同意バナーは、ユーザーやデバイスが組織のネットワーク リソースやサービスにアクセスする方法には影響しないため、組織のネットワーク アクセス ポリシーとは無関係です。
したがって、正解は C. Web サイトのプライバシー同意バナーです。これらは通常、組織のネットワーク アクセス ポリシーの範囲内に含まれないためです。参考文献:
*1: ネットワーク ポリシー サーバー (NPS) | Microsoft Learn
※2：ネットワークアクセスポリシー | 大学の方針

BCP または IT DR 計画は、中断が発生した場合に重要なビジネス機能と IT システムの継続と回復を確保するために組織が実行する一連の手順とアクションです。BCP または IT DR 計画は通常、次の側面をカバーします12:
* 重要なビジネス機能と IT システムの特定と優先順位付け
* 組織に対するリスクと脅威の評価と軽減
* リソースと人材の割り当てと動員
* 社内外のステークホルダーとのコミュニケーションと調整
* 計画のテストと更新
外部環境要因への対応の 4 つの例の中で、ソーシャル メディア チャネルと PR コミュニケーションのプロトコルは、BCP または IT DR 計画内で直接管理される可能性が最も低いです。これは、ソーシャル メディアや PR コミュニケーションは、中断中に復元または維持する必要がある重要なビジネス機能や IT システムではないためです。これらはむしろ、組織の状況や行動について一般の人々、顧客、パートナー、メディアに情報を提供し、関与するために使用できる補助的なツールです3。
したがって、ソーシャルメディアと PR コミュニケーションのプロトコルは、危機コミュニケーション計画の一部となる可能性が高くなります。危機コミュニケーション計画は、危機時にさまざまな対象者とコミュニケーションするための戦略と戦術を概説する、別個ではあるものの関連する文書です。
他の 3 つの例は、重要なビジネス機能と IT システムを実行する組織の能力に直接影響を与えるため、BCP または IT DR 計画内で直接管理される可能性が高くなります。たとえば、自然または人為的な混乱への対応には、BCP または IT DR 計画のアクティブ化、被害の影響と範囲の評価、バックアップおよび復旧ソリューションの展開、およびできるだけ早く通常の運用を復元することが含まれます。従業員やサプライヤーの主要な問題への依存への対応には、単一障害点の特定と管理、緊急時対応計画の実施、重要なスキルとリソースの可用性と冗長性の確保が含まれます。大規模な病気や健康の発生への対応には、健康と安全対策の実施、リモートワークの手配の有効化、労働力の回復力と継続性の確保が含まれます。参考文献:
* 事業継続性と災害復旧: どちらの計画が正しいか... - IBM
* ビジネス継続性と災害復旧: 違いは何ですか?
* 災害復旧計画と事業継続計画: 違いはありますか?
* [危機コミュニケーション計画: PR ブループリント by Sandra K. Clawson Freeo]
* [災害復旧計画 (DRP) | 事業継続計画(BCP) | 災害復旧ジャーナル]
* [混乱した世界におけるサードパーティのリスクの管理]
* [パンデミックに備えた事業継続計画]