追加の情報や文書を要求する権利を留保することは賢明な慣行であり、自己評価アンケートによる初期のデューデリジェンスでギャップが明らかになったり懸念が生じたりした場合に、組織がさらなる説明や保証を求めることを可能にします。

管理者権限の取り消しは、組織で確立されたアクセス制御ポリシーに従って管理し、そのようなアクションが安全かつ適切に実行され、IT 環境の整合性とセキュリティが維持されるようにする必要があります。

許可されていない侵入テストでは、同意なしにシステムにアクセスしたりシステムを変更したりすることになるため、法的および倫理的な結果が生じ、契約違反となり、法的措置につながる可能性があります。

個人情報がセキュリティ インシデントに関係する場合、データ所有者と規制当局に通知してプライバシー法を遵守し、侵害が法的影響を及ぼす可能性がある場合や調査が必要な場合は法執行機関を関与させることが重要です。

補償とは、特定のイベントまたは状況から生じる可能性のある損失または損害について、一方の当事者が他方の当事者に補償することに同意する契約上の義務です。相互補償とは、契約違反、過失、または法律違反などによって生じた特定の損失または損害について、両当事者が相互に補償することに同意することを意味します。相互補償により、いずれかの当事者またはその顧客に影響を与える可能性のあるセキュリティ インシデントまたは侵害に対する責任と賠償責任を割り当てるメカニズムを提供できるため、各当事者が情報セキュリティ リスクの量を共有できるようになります。相互補償により、各当事者が適切なセキュリティ管理とプラクティスを維持し、セキュリティ インシデントまたは侵害が発生した場合に効果的に協力してコミュニケーションをとるように促すこともできます。
その他のオプションは、以下の理由により、各当事者が情報セキュリティリスクの量を共有できるようにする契約条項ではありません。
* A. 責任の制限とは、契約違反やその他の法的措置の際に、一方の当事者が他方の当事者に請求できる損害賠償の額または種類を制限する契約条項です。責任の制限により、一方の当事者の責任を軽減または制限することはできますが、必ずしも両当事者間でリスクを分散または均衡させることはできないため、各当事者が情報セキュリティリスクの額を共有することはできません。
* B. サイバー保険は、サイバー攻撃、データ漏洩、その他のサイバーインシデントに起因する費用と損失をカバーする保険の一種です。サイバー保険では、各当事者が
* 情報セキュリティリスクの量を共有します。リスクを第三者の保険会社に移転または軽減することはできますが、必ずしも両者間でリスクを割り当てたり共有したりするわけではありません。
* C. 不可抗力とは、自然災害、戦争、パンデミックなど、予期せぬまたは避けられない事態や、当事者の制御が及ばない状況が発生した場合に、一方または両方の当事者が契約上の義務を履行することを免除する契約条項です。不可抗力では、不可抗力事象が発生した場合に契約を一時停止または解除することはできますが、必ずしも両当事者間でリスクを分散または均衡させることはできないため、各当事者が情報セキュリティリスクの量を共有することはできません。
参考文献:
* 共有評価 CTPRP 学習ガイド、62 ページ、セクション 5.2.2: 契約条件
* サードパーティリスク管理: ベンダー契約条件、セクション: 補償
* サードパーティベンダーによるサイバーセキュリティリスク: PwC、セクション: 契約条件
* [サードパーティリスク管理: サードパーティエコシステム: 利益を維持しながらリスクを管理する方法]、セクション: 契約条件