病院にとって、新しいサービス プロバイダーの IT インフラストラクチャを評価することは、パフォーマンス リスクを管理するために不可欠です。この包括的な評価は、プロバイダーが運用の整合性やデータ セキュリティを危険にさらすことなく重要な医療サービスをサポートできるかどうかを理解するのに役立ちます。

Shared Assessments の Certified Third Party Risk Professional (CTPRP) 学習ガイドによると、物理的セキュリティ コンプライアンスとは、組織の物理的資産と人員が不正アクセス、盗難、損傷、危害から保護されるようにするプロセスです1。物理的セキュリティ コンプライアンスは、ロック、アラーム、カメラ、警備員、フェンス、バッジなどのさまざまな対策を実装することで実現できます。ただし、これらの対策は、その有効性と定義された標準およびポリシーとの整合性を確保するために、定期的に監視、テスト、検証する必要があります2。したがって、定義された標準に対する制御を確認するための標準化されたスケジュールを維持することは、物理的セキュリティ コンプライアンスの成熟度が高いことを示しています。これは、組織の物理的セキュリティ体制を評価および改善するための積極的かつ一貫したアプローチを示しているためです3。
その他のオプションは、リアクティブまたはアドホックな方法に依存しているか、十分な検証および検証メカニズムがないため、物理セキュリティ コンプライアンスの成熟度が高くありません。定期的なレポートを活用して、報告されたイベントに基づいて施設の検査をスケジュールすることは、予防および予測対策が不足していること、および検査をトリガーするために外部または内部のインシデントに依存していることを示している可能性があります。
自己評価用のチェックリストを提供すると、独立した客観的な評価が不足していることが示唆されるだけでなく、自己評価プロセスに偏りやエラーが生じる可能性もあります。予告なしにアドホックにチェックを実施すると、計画と調整が不足していることが示唆されるだけでなく、チェックに混乱や矛盾が生じる可能性もあります。
参考文献:
* 1: Shared Assessments 認定サードパーティリスク専門家 (CTPRP) 学習ガイド、24 ページ
* 2: 物理的セキュリティ: 計画、対策、例 + PDF - Avigilon
* 3: セキュリティ成熟度モデル: レベル、評価、メリット
* [4]: 物理的セキュリティリソースの計画と管理に関するベストプラクティス - CISA、10ページ
* [5]: 自己評価と独立評価の違いは何ですか? | Linford & Company LLP
* [6]: 抜き打ち監査の長所と短所 | NQA

問題解決の時間を効果的に管理する TPRM プログラムは、通常、リスク軽減の改善と運用パフォーマンスの強化につながります。問題を迅速かつ効果的に解決することで、脆弱性にさらされる時間が短縮されるだけでなく、ビジネスの継続性と安定性がサポートされ、組織のリスク管理活動の全体的な健全性にプラスの影響を与えます。

BIA 自体ではベンダーの参加は必須ではありません。BIA は、ビジネス プロセスへの中断の影響を分析することに重点を置いている一方で、その後のビジネス継続性と災害復旧の計画およびテスト フェーズではベンダーの関与が重要だからです。

パフォーマンス リスクは、契約上の義務で規定された合意済みのパフォーマンス レベルをサード パーティが達成できるかどうかに焦点を置きます。これは、サービス提供が中断なく組織の期待と要件を満たすことを保証するために重要です。