財務的実行可能性の変化に関するレポートは、ベンダーが事業運営を維持し、必要なセキュリティ対策に投資し、契約上の義務を果たせるかどうかを評価するために不可欠であり、安全で信頼性の高いサプライ チェーンを維持するために重要です。

周期的評価の頻度は、TPRMプログラムの有効性と効率性を決定する重要な要素の1つです。周期的評価とは、初期のオンボーディング評価後に実施される、ベンダーのパフォーマンス、コンプライアンス、およびリスク態勢に関する定期的なレビューです。周期的評価の頻度は、組織のリスク選好度とリスク許容度と整合させる必要があり、組織の業務におけるベンダーのリスクレベルと重要度を反映する必要があります。周期的評価の頻度を決定する一般的な方法は、ベンダーリスクスコアを使用することです。ベンダーリスクスコアは、提供されるサービスまたは製品の種類、範囲、複雑さ、ベンダーのセキュリティおよびプライバシー管理、関連する規制および標準へのベンダーのコンプライアンス、ベンダーの過去のパフォーマンスとインシデント履歴、ベンダーの事業継続および災害復旧能力など、さまざまな基準に基づいて、ベンダーの固有リスクと残存リスクを表す数値です。ベンダーリスクスコアは、ベンダーを高、中、低などの異なるリスクレベルに分類し、年次、半年ごと、四半期ごとなど、適切な周期的評価の頻度を割り当てるために使用できます。例えば、高リスクのベンダーには年次評価が必要であり、低リスクのベンダーには半年ごとまたは四半期ごとの評価が必要となる場合があります。ベンダーリスクスコアと周期的評価の頻度は、ベンダーのリスクプロファイルや組織のリスクアペタイトの変化を考慮して、定期的に見直し、更新する必要があります。
他の3つの記述は、周期的な評価の頻度を決定する上で重要な要素を適切に反映していません。なぜなら、それらは厳格すぎる、曖昧すぎる、あるいは事後対応的すぎるからです。記述Aは、ベンダー評価はオンボーディング時にのみ必要であり、その後は継続的なモニタリングで代替可能であることを示唆しています。
しかし、継続的なモニタリングだけでは、ベンダーのコンプライアンスとリスク管理を確保するには不十分です。契約上の義務、サービスレベル契約、監査結果、改善措置など、ベンダーのパフォーマンスとリスク管理のあらゆる側面を網羅できない可能性があるためです。したがって、ベンダー評価は、オンボーディング時およびその後定期的に実施し、継続的なモニタリングを補完する必要があります。ステートメントCは、ベンダー評価は、提供されるサービスまたは製品の種類に基づいてスケジュールされるべきであると示唆しており、ベンダーのセキュリティおよびプライバシー管理、関連規制および標準への準拠、ベンダーの過去の実績およびインシデント履歴、ベンダーの事業継続性および災害復旧能力など、ベンダーのリスクレベルと重要度に影響を与える可能性のある他の要因は考慮されていません。したがって、ステートメントCは曖昧すぎ、周期的評価の頻度を決定するための明確かつ一貫した根拠を提供していません。ステートメントDは、ベンダーがデータ侵害を公表した場合、ベンダー評価の頻度を変更する必要がある可能性があることを示しており、周期的評価の頻度は、否定的な事象に応じてのみ調整されることを示唆しています。しかし、このアプローチは事後対応的すぎるため、データ侵害が発生する前にベンダーのリスクレベルと重要度が既に上昇している可能性があり、データ侵害の影響を防止または軽減できない可能性があります。したがって、ステートメントDは、周期的な評価の頻度を決定するための、プロアクティブでリスクに基づいたアプローチを反映していません。参考文献：
* サードパーティリスク管理101：基本原則
* TPRMライフサイクルの習得
* サードパーティリスク管理成熟度評価

セキュリティの脆弱性とセキュリティ上の欠陥は同義ではなく、ソフトウェア製品またはサービスのセキュリティに関連する異なる概念です。セキュリティの脆弱性とは、攻撃者がシステムまたはデータの機密性、整合性、または可用性を侵害するために悪用できるソフトウェアの弱点または欠陥です12。セキュリティ上の欠陥とは、ソフトウェア コードの間違いまたはエラーで、ソフトウェアが予期しないまたは誤った方法で動作するものです34。セキュリティ上の欠陥は、欠陥の状況と影響に応じて、セキュリティの脆弱性につながる場合とつながらない場合があります。たとえば、バッファ オーバーフローを引き起こすセキュリティ上の欠陥は、攻撃者がシステム上で任意のコードを実行できるセキュリティ上の脆弱性につながる可能性があります。ただし、ユーザー インターフェイスのスペル エラーを引き起こすセキュリティ上の欠陥は、セキュリティ リスクをまったくもたらさない可能性があります。
セキュリティ脆弱性とセキュリティ欠陥は、原因、結果、解決策が異なります。セキュリティ脆弱性は、多くの場合、ソフトウェアの設計上の欠陥、論理エラー、または不十分なセキュリティ管理によって発生します12。セキュリティ欠陥は、多くの場合、不適切なコーディング方法、テスト不足、またはソフトウェア開発プロセスにおける人為的ミスによって発生します34。セキュリティ脆弱性は、データ漏洩、個人情報の盗難、詐欺、妨害行為など、ソフトウェアのユーザー、プロバイダー、および利害関係者に深刻な影響を及ぼす可能性があります12。セキュリティ欠陥は、クラッシュ、グリッチ、バグなど、ソフトウェアの機能、パフォーマンス、またはユーザビリティにさまざまな影響を及ぼす可能性があります34。セキュリティ脆弱性には、潜在的な攻撃を防止、検出、および軽減するための、セキュリティテスト、パッチ適用、監視、インシデント対応などの予防的および事後的な対策が必要です12。セキュリティ欠陥には、コードレビュー、デバッグ、リファクタリング、品質保証などの、エラーを特定、解決、および回避するための是正および予防対策が必要です34。
したがって、セキュリティ脆弱性とセキュリティ欠陥は同義であるという主張は誤りです。これらはソフトウェアセキュリティにおいて異なる側面でありながら関連性があり、対処には異なるアプローチと手法が必要です。参考文献：1: ソフトウェア脆弱性とは？ | Veracode 2: ソフトウェアセキュリティ：脆弱性と欠陥の違い 3: ソフトウェア欠陥とは？ - Techopediaの定義 4: 脆弱性は他の欠陥と同様に発見され、解決されますか？ - Springer

内部脅威への対応を目的とした効果的なセキュリティおよびプライバシー意識向上研修には、機密データの安全な取り扱いと潜在的な内部脅威の認識に関するモジュールを含める必要があります。この研修により、従業員は内部リスクの兆候や、そのような脅威を報告・軽減するための手順について、常に警戒を怠らず、知識を習得できるようになります。

継続的監視とは、サードパーティベンダーのパフォーマンスとセキュリティに関するデータを継続的に収集・分析するプロセスです。継続的監視は、データ侵害、認証情報の漏洩、内部不正／盗難、その他のサイバーインシデントなど、組織とその顧客に影響を及ぼす可能性のある潜在的なリスクを特定し、軽減するのに役立ちます。継続的監視では、監視対象領域、脆弱性、受動的および能動的な侵害指標、ビジネスインテリジェンスなど、さまざまな手法を活用できます。
パッシブおよびアクティブの侵害指標は、サードパーティベンダーのシステムまたはネットワークにおける悪意のあるアクティビティや侵害の兆候を追跡する継続的な監視手法の例です。パッシブ侵害指標は、脅威インテリジェンスフィード、ダークウェブ監視、外部スキャンなど、ターゲットとの直接的なやり取りを必要としないデータソースです。アクティブ侵害指標は、侵入テスト、マルウェア分析、インシデント対応など、ターゲットとの直接的なやり取りを必要とするデータソースです。
パッシブおよびアクティブの両方の侵害指標は、サードパーティベンダーの環境の現在の状態と潜在的な脅威に関する貴重な情報を提供できます。
その他のオプションは、侵害、認証情報の漏洩、内部不正/盗難のアラートを追跡する継続的な監視手法の例ではありません。監視サーフェスとは、インターネットに接続された資産、ドメイン、サービスの数や種類など、サードパーティベンダーの攻撃サーフェスの規模と複雑さを測定する手法です。脆弱性とは、古いソフトウェア、不適切な設定、未修正のバグなど、攻撃者に悪用される可能性のあるサードパーティベンダーのシステムまたはアプリケーションの弱点や欠陥を特定する手法です。ビジネスインテリジェンスは、財務の安定性、顧客満足度、規制遵守など、サードパーティベンダーのビジネスパフォーマンスと評判を分析する手法です。参考資料：
* ガイド: サードパーティリスクの継続的な監視
* 継続的な監視 - サードパーティのリスク管理
* サードパーティリスク管理のための継続的な監視のベストプラクティス12