デュー デリジェンスは、潜在的または既存のサードパーティ ベンダーに関連するリスクと機会を評価するプロセスです。デューデリジェンスの範囲と深さは、ベンダーが組織にもたらすリスクのレベルに応じて異なります。リスクの低いベンダーとは、組織の運営、評判、コンプライアンスへの影響が最小限であり、機密または機密のデータやシステムを扱わないベンダーです。リスクの低いベンダーの場合、デュー デリジェンスの実施には、サービス プロバイダーの自己評価アンケートの回答を、その能力、パフォーマンス、およびコンプライアンスの十分な証拠として受け入れることが含まれる場合があります。自己評価アンケートは、ベンダーが組織、サービス、プロセス、制御、およびポリシーに関する情報を提供できるようにするツールです。組織はアンケートを使用して、ベンダーの身元、資格、参照、認定を確認し、ベンダーが組織の基準や期待と一致しているかどうかを評価できます。ベンダーの自己評価アンケートの回答をデュー デリジェンスの主な情報源として受け入れると、組織の時間とリソースが節約され、ベンダーに対する信頼と信頼を示すこともできます。ただし、組織は、アンケートが包括的で、関連性があり、最新のものであること、およびベンダーの回答が正確で完全かつ一貫していることも保証する必要があります。
また、組織は、必要に応じてベンダーに追加の情報または文書を要求し、ベンダーのパフォーマンスとコンプライアンスの定期的なレビューまたは監査を実施する権利を留保する必要があります。
他のオプションは、より広範または厳格なデュー デリジェンス方法を必要とするか、デュー デリジェンスに直接関連していないため、リスクの低いベンダーのデュー デリジェンスを実施することについてはあまり適切ではありません。
サードパーティのリスク管理および修復活動の状況に関する経営陣へのレポートの作成は、ベンダーとの関係を監視および管理する重要な部分ですが、それ自体はデューデリジェンス活動ではありません。サービスプロバイダーの自己評価アンケートと外部監査レポートをレビューすることは、デューデリジェンスを実施するためのより徹底的な方法ですが、特に外部監査レポートがすぐに入手できない場合、リスクの低いベンダーにとっては必要または実行不可能である可能性があります。利用可能または関連性があります。将来の参照のためにサービスプロバイダーの外部監査レポートを要求して提出することは、デューデリジェンスの文書と証拠を維持するための良い習慣ですが、それ自体がデューデリジェンス活動ではありません。
参考文献:
* サードパーティリスク管理 (TPRM) | 共有評価
* ベンダー デュー デリジェンス戦略ガイドとチェックリスト | 蔓延している
* ベンダー デュー デリジェンス: 実践的なガイドとチェックリスト

シャドウ IT とは、正式な IT 部門によって認可、承認、またはサポートされていない IT システム、サービス、またはデバイスの使用を指します。シャドー IT は、組織のデータ セキュリティ、コンプライアンス、パフォーマンス、評判に重大なリスクをもたらす可能性があります。シャドー IT の主なリスクの 1 つは、ガバナンスとセキュリティの監視が欠如していることが多いことです。これは、シャドウ IT 機能が、データ保護、アクセス制御、暗号化、バックアップ、パッチ適用、監査、レポート作成などの IT 管理に関して確立されたポリシー、標準、ベスト プラクティスに従っていない可能性があることを意味します。これにより、組織はデータ侵害、サイバー攻撃、マルウェア感染、法的責任、規制上の罰金、風評被害などのさまざまな脅威にさらされる可能性があります。さらに、シャドー IT は、運用の非効率性、互換性の問題、作業の重複、組織のコスト増加を引き起こす可能性があります。
search_web ツールの Web 検索結果によると、シャドウ IT は多くの組織で一般的であり、特にクラウドベースのサービスやアプリケーションの急増に伴い増加している現象です。一部の記事では、シャドー IT リスクを管理および軽減するための次のベスト プラクティスを提案しています123。
* SaaS 評価を実行してシャドー IT をプロアクティブに検出
※ユーザーエクスペリエンス（UX）を重視し、ツール連携をサポート
* ユーザーアカウントとアイデンティティ管理の合理化
* 従業員が使いやすいオペレーティング システムとデバイスを使用する
* シャドウ IT リスクを最小限に抑えるためにユーザーと妥協し、協力する
* セキュリティ リスクとシャドウ IT の影響についてユーザーを教育およびトレーニングする
* ITの調達と利用に関する明確なポリシーとガイドラインの確立
* IT 部門とビジネス部門の間に信頼性と透明性の文化を構築する したがって、質問に対する検証済みの答えは B です。「シャドー IT」機能は、多くの場合、ガバナンスとセキュリティの監視を欠いています。
参考文献:
* シャドー IT の説明: リスクと機会 - BMC ソフトウェア
* 3 つのステップで組織のシャドー IT リスクの軽減を始めましょう
※シャドーITとは何ですか？- 記事 | セイルポイント

ベンダー分類またはリスク階層化は、ベンダーが組織にもたらすセキュリティ リスクのレベルに基づいてベンダーを分類するプロセスです12。これは、ベンダーの評価、監視、修復のためのリソースの優先順位付けと割り当てに役立つため、サードパーティ リスク管理 (TPRM) プログラムの重要なコンポーネントです12。ステートメント D は、ベンダー分類またはリスク階層化の最初のステップを反映しているため、真実です。これは、アウトソーシングされる製品またはサービスの性質、範囲、および複雑さに基づいて、各ベンダーとの関係に固有のリスクを決定することです3。固有のリスクとは、管理や緩和要因が適用される前に存在するリスクです3。固有のリスクを計算することで、組織は各ベンダーを、そのベンダーが関与するセキュリティ侵害やインシデントの潜在的な影響と可能性を反映するリスク階層に割り当てることができます3。
他の記述は、ベンダーの分類またはリスク階層化プロセスを正確に説明していないため、誤りです。ベンダーの分類とリスク層は残留リスクの計算ではなく、固有のリスクの計算に基づいているため、ステートメント A は誤りです。残留リスクとは、管理または緩和要因が適用された後に残るリスクです3。残留リスクは、管理の有効性とさらなる措置の必要性を評価するために使用されますが、ベンダーを分類したり階層化するために使用されるものではありません3。ベンダーの分類とリスク階層化は、重要な関係だけでなく、すべてのサードパーティ関係に対して使用されるべきであるため、記述 B は誤りです。ベンダーの分類とリスクの階層化は、重要なベンダーを特定して優先順位を付けるだけでなく、それぞれのリスク プロファイルに従って低リスクおよび中リスクのベンダーを管理するのにも役立ちます12。ベンダー分類と対応するリスク階層は、ポリシーに基づく統制評価に同じデューデリジェンス基準を利用しておらず、異なる基準を利用しているため、ステートメント C は誤りです。デューデリジェンス基準は、ベンダーのセキュリティ体制とパフォーマンスを評価するために使用される基準と方法です。リスクの高いベンダーはリスクの低いベンダーよりも厳密かつ頻繁な評価を必要とするため、デューデリジェンスの基準はベンダーのリスク層に応じて変える必要があります。
参考文献:
※1：ベンダー階層化とは？ベンダーのリスク管理を最適化する | アップガードのブログ
* 2: ベンダー階層化のベスト プラクティス: ベンダー リスクの分類 | アップガードのブログ
* 3: サードパーティ リスク管理 (TPRM): 完全ガイド - BlueVoyant
※[4]：第三者関係のリスク管理に関する追加審査手順
* [5]: サードパーティのリスク管理: 重要な理由と注目すべき機能 - 専門家の洞察

第 4 者リスクとは、組織の直接のサードパーティ パートナーの下請け業者、ベンダー、またはサービス プロバイダーに関連する潜在的な脅威と脆弱性を指します。これにより、依存関係と危険性の複雑なネットワークが形成され、組織のセキュリティ、データ保護、ビジネスの回復力に影響を与える可能性があります。このリスクを効果的に管理するには、組織は拡張されたベンダーおよびサプライヤーのネットワークに対して包括的なデューデリジェンスを実施し、下請け活動の通知と承認を必要とする契約規定を含める必要があります。このようにして、組織は、下請け業者が直接のサードパーティ パートナーと同じ基準と期待を満たしていること、および組織のデータとシステムを保護するための適切な管理と安全対策が講じられていることを確認できます。さらに、組織は下請け業者のパフォーマンスとコンプライアンスを定期的に監視および評価し、リスク環境の変化を反映するために必要に応じて契約条項を更新する必要があります。参考文献:
* 4 番目および N 番目のパーティのリスクを理解する: 何を知っておく必要がありますか?
* 4 番目および N 番目のパーティ管理のベスト プラクティス
* 第三者のリスク管理: ベスト プラクティス

CTPRP Job Guide によると、TPRM プログラムは、企業のリスク許容度とリスク選好に基づいて、第三者のデューデリジェンスのための最小限のリスク評価基準を確立する必要があります。これは、TPRM プログラムが、さまざまなリスクの潜在的な影響と可能性を考慮して、さまざまなカテゴリーの第三者に対するリスク評価プロセスの範囲、深さ、頻度、および方法論を定義する必要があることを意味します。
リスク評価基準は一貫性があり、透明性があり、企業の戦略目標および規制上の義務と整合している必要があります。TPRM プログラムはまた、ビジネス環境、リスク プロファイル、ベスト プラクティスの変化を反映するために、必要に応じてリスク評価基準を監視および更新する必要があります。他の選択肢は、第三者によるデューデリジェンスに対する総合的かつリスクベースのアプローチを反映していないため、不正解です。ビジネスユニットごとに基準を設定すると、リスク評価プロセスに不整合、重複、またはギャップが生じる可能性があります。契約書や作業明細書で基準を定義すると、状況の変化に対するリスク評価プロセスの柔軟性と適応性が制限される可能性があります。調達によって基準を特定すると、リスク評価プロセスにおける他の利害関係者や部門の意見や関与が見落とされる可能性があります。参考文献:
* CTPRP ジョブ ガイド、17 ページ
* 2022 年のサードパーティのリスク管理と ISO 要件、セクション「リスク管理を導入する利点」
* 効果的なデューデリジェンスによるサードパーティリスクの管理、セクション「規制当局の要求への準拠」
* サードパーティのデューデリジェンスチェックリスト: 3 つの必須ステップ、セクション「ステップ 2:リスク評価の実施」