Software as a Service (SaaS) は、ユーザーが自分のデバイスにソフトウェアをインストール、保守、更新する必要なく、インターネット経由でソフトウェア アプリケーションへのアクセスを提供するクラウド展開モデルです。SaaS は、基盤となるインフラストラクチャ、プラットフォーム、ミドルウェア層を抽象化しながら、ソフトウェアの完全な機能をエンド ユーザーに提供するため、主にアプリケーション層に重点を置いています。SaaS プロバイダーは、ソフトウェアのサーバー、データベース、ネットワーク、セキュリティ、スケーラビリティを管理するとともに、可用性、パフォーマンス、コンプライアンスを確保する責任があります。SaaS ユーザーは、通常はサブスクリプションまたは従量課金制でソフトウェアの使用料金のみを支払い、インターネット接続がある限り、任意のデバイスと場所からソフトウェアにアクセスできます。SaaS アプリケーションの例としては、Gmail、Salesforce、Dropbox、Netflix などがあります。参考文献:
* 共有評価 CTPRP 研究ガイド、15 ページ、セクション 2.2.2
* クラウド コンピューティングの導入モデルとアーキテクチャ、クラウド コンピューティング モデルに関するセクション
* クラウドの階層化アーキテクチャ、アプリケーション層のセクション

アプリケーション セキュリティ設計標準は、アプリケーション セキュリティの最大のリスクと業界の Web 要件に対処するソフトウェア開発の一連の原則です。これらは、組織のセキュリティ目標と顧客や規制当局の期待を満たす安全なアプリケーションを設計、開発、展開する方法に関するガイダンスを提供します。アプリケーション セキュリティ設計標準には、安全な設計原則、脅威モデリング、暗号化、ID とアクセス管理、ロギングと監査、コーディング標準と規約、安全な機能、データ処理、エラー処理、サードパーティ コンポーネント、テストと検証などのトピックが含まれます。
アプリケーションのセキュリティ設計標準は、開発者が一般的なセキュリティの落とし穴を回避し、脆弱性を軽減し、ソフトウェアの品質と信頼性を向上させるのに役立ちます。また、アプリケーション セキュリティ設計標準は、開発プロセス全体を通じてセキュリティ要件が定義、実装、検証、維持されることを保証することで、ソフトウェア開発ライフサイクルとサードパーティのリスク管理フレームワークとの調整を促進します。参考文献:
* 安全なソフトウェア開発のための基本的な実践
* 安全なコーディングの実践
* 安全なソフトウェア開発のベスト プラクティス
* 認定サードパーティ リスク プロフェッショナル (CTPRP) スタディ ガイド

個人識別情報 (PII) とは、名前、住所、電子メール、電話番号、社会保障番号など、個人の特定、連絡、または位置特定に使用できるデータです。PII にはさまざまな法的および規制上の要件が適用されます。業界や管轄区域に応じて、GDPR、HIPAA、PCI DSS など。また、PII は、悪意のある攻撃者によって個人情報の盗難、詐欺、フィッシング、その他のサイバー攻撃に悪用される可能性があるため、重大なセキュリティとプライバシーのリスクをもたらします。したがって、PII を収集、保存、処理、または送信する組織は、PII を不正なアクセス、開示、変更、または損失から保護するための適切な保護措置を実装する必要があります。
PII 保護の主要な保護手段の 1 つは暗号化です。これは、秘密キーを使用してデータを読み取り不可能な形式に変換するプロセスです。暗号化により、キーを持っている許可された当事者のみが元のデータにアクセスできるようになります。暗号化は、保存中のデータ (デバイスまたはサーバーに保存されている) または転送中のデータ (ネットワークまたはインターネット上を移動している) に適用できます。暗号化は、対称 (暗号化と復号化に同じキーを使用) または非対称 (暗号化に公開キーを使用し、復号化に秘密キーを使用) にすることもできます。
PII 保護のもう 1 つの重要な保護手段は認証です。これは、データへのアクセスを要求するユーザーまたはシステムの身元を確認するプロセスです。認証により、正当で許可された当事者のみがデータにアクセスできることが保証されます。認証は、ユーザーが知っているもの (パスワードや PIN など)、ユーザーが持っているもの (トークンやスマート カードなど)、ユーザーが誰であるか (指紋や顔スキャンなど) に基づいて行うことができます。これらの要因の組み合わせ。ワンタイム パスワード、チャレンジと応答の質問、多要素認証などの追加の方法を使用して認証を強化することもできます。
PII を送信するためのサードパーティの要件を定義する場合、より強力な制御を提供する要素は、暗号化暗号の強度と認証方法です。これらの要素によって、データ送信の安全性と信頼性、および潜在的な攻撃や侵害に対する耐性が決まります。暗号化暗号の強度は、データの暗号化に使用されるアルゴリズムとキーのサイズを指します。暗号が強力であればあるほど、暗号を解読したり解読したりすることが難しくなります。認証方法の強度とは、ユーザーまたはシステムの身元を確認するために使用される要素の種類と数を指します。認証方法が強力であればあるほど、ユーザーまたはシステムになりすましたり侵害したりすることがより困難になります。
フルディスクの暗号化とバックアップ、利用可能な帯域幅と冗長性、ログと監視などの他の要素も PII 保護には重要ですが、データ送信プロセスには直接影響しません。フルディスク暗号化とバックアップは、転送中のデータではなく、保存中のデータに関係します。デバイスの盗難、紛失、損傷の場合は保護されますが、送信中のデータの傍受や改ざんは防止されません。利用可能な帯域幅と冗長性は、データのセキュリティとプライバシーではなく、データの可用性とパフォーマンスに関係します。これらはデータ伝送の高速性と信頼性を保証しますが、伝送中のデータ漏洩や破損を防ぐことはできません。ロギングとモニタリングは、データの暗号化や認証ではなく、データの監査とコンプライアンスに関連します。これらは、データ送信アクティビティの可視性と説明責任を提供しますが、送信中のデータ アクセスや悪用を防ぐことはできません。参考文献:
※：データ暗号化とは何ですか？| 定義と例 | インペルバ
※：認証とは何ですか？| 定義と例 | インペルバ
* : 個人識別情報 (PII) - Imperva
* : データ保護 - 共有評価

アウトソーサーのベンダー リスク評価プロセスには、オプション A、B、および C で説明したすべての手順が含まれている必要があります。これらの手順は、ベンダーのパフォーマンス、コンプライアンス、およびリスク プロファイルの一貫した包括的かつ効果的な評価を確保するために不可欠であるためです。ただし、オプション D は、ベンダーによってもたらされる実際のリスク レベルを反映するのではなく、アウトソーサーの組織内のリソースの可用性を反映するため、ベンダー リスク評価プロセスの必須または推奨される部分ではありません。リソースのキャパシティに基づいて評価頻度を定義すると、アウトソーサーのワークロード、予算、スタッフに応じて、ベンダーを過小評価または過大評価する可能性があります。これにより、重要な問題が見逃されたり、時間とお金が無駄になったり、ベンダー監視プログラムにギャップが生じたりする可能性があります。したがって、ベンダー リスク評価プロセスに属さない唯一の選択肢 D が正解です。参考資料: 次のリソースは、検証済みの回答と説明をサポートしています。
* Shared Assessments の CTPRP ジョブ ガイド、10 ページ、セクション 2.1.1 には、「評価の頻度は、リソースの可用性ではなく、サード パーティのリスク層に基づく必要がある」と記載されています。
* ベンダー リスク評価ガイドの「ステップ 3: ベンダー リスク評価の頻度を決定する」セクションでは、「ベンダー リスク評価の頻度は、ベンダーの可用性ではなく、各ベンダーが組織にもたらすリスクのレベルに基づく必要がある」と説明されています。資源とか利便性とか。」
* 9 つのステップでベンダー リスク評価を成功させる方法のセクション「ステップ 8: ベンダー リスク評価の頻度を決定する」では、「ベンダー リスク評価の頻度は、各ベンダーが組織にもたらすリスクのレベルに基づいて決定する必要がある」とアドバイスされています。リソースの利用可能性や利便性ではありません。」

リスク レジスタは、第三者との関係のライフ サイクル全体を通じて、特定されたリスク、その確率、影響、ステータス、および軽減措置を記録および追跡するツールです1。リスク登録には通常、次のコンポーネントが含まれます2。
* 各リスクの一意の識別子
* リスクとその原因の説明
* リスク評価表または階層に基づくリスクの評価または等級付け
* リスクが発生する影響と可能性、および起こり得る深刻度の評価
* 提案されている緩和措置の概要とリスク所有者の割り当て
* リスクと緩和措置の進捗状況に関する最新情報
* リスクを解決するか、アクションを完了するための目標日 ベンダーインベントリは、銀行組織が関与するすべてのサードパーティのリストであり、提供されるサービスの種類、範囲、性質、契約などの関連情報も含まれます。契約条件、パフォーマンス指標、およびリスク評価3. ベンダー在庫はリスク登録のコンポーネントではなく、サードパーティとの関係ライフサイクルの計画段階とデューデリジェンス段階をサポートする別個の文書です。ベンダー在庫は、契約金額によって優先順位付けされる場合がありますが、サービスの重要性、ベンダーのリスクレベル、関係の戦略的重要性などの他の基準によっても優先順位が付けられます。
参考文献:
*1: サードパーティリスク管理 (TPRM): 最終省庁間ガイダンス、KPMG、2023 年 6 月
※2：サードパーティリスクマネジメント（TPRM）とは？2024 ガイド、UpGuard、2024 年 1 月
* 3: サードパーティのリスク管理ガイダンス、OCC Bulletin 2023-29、2023 年 10 月
* [4]: Certified Third Party Risk Professional (CTPRP) 研究ガイド、共有評価、2023 年
* [5]: サードパーティ リスクに関するベスト プラクティス ガイダンス、GARP、2023 年 2 月