ベンダーの分類またはリスク階層化は、ベンダーが組織にもたらすセキュリティリスクのレベルに基づいてベンダーを分類するプロセスです12。これは、ベンダーの評価、監視、および修復のリソースの優先順位付けと割り当てに役立つため、サードパーティリスク管理 (TPRM) プログラムの重要なコンポーネントです12。ステートメント D は、ベンダーの分類またはリスク階層化の最初のステップを反映しているため正しいです。この最初のステップでは、アウトソーシングされる製品またはサービスの性質、範囲、および複雑さに基づいて、各ベンダー関係の固有のリスクを判断します3。固有のリスクとは、制御または緩和要因が適用される前のリスクです3。固有のリスクを計算することにより、組織は各ベンダーを、ベンダーに関連するセキュリティ違反またはインシデントの潜在的な影響と発生可能性を反映したリスク階層に割り当てることができます3。
その他の記述は誤りです。ベンダー分類やリスク階層化のプロセスを正確に説明していないためです。記述 A は誤りです。ベンダー分類とリスク階層化は、残留リスクの計算ではなく、固有のリスクの計算に基づいています。残留リスクとは、コントロールや緩和要因を適用した後に残るリスクです3。残留リスクは、コントロールの有効性と追加措置の必要性を評価するために使用されますが、ベンダーを分類または階層化するために使用されません3。記述 B は誤りです。ベンダー分類とリスク階層化は、重要な関係だけでなく、すべてのサードパーティ関係に使用する必要があります。ベンダー分類とリスク階層化は、重要なベンダーを特定して優先順位を付けるのに役立つだけでなく、低リスクおよび中リスクのベンダーをそれぞれのリスクプロファイルに従って管理するのにも役立ちます12。記述 C は誤りです。ベンダー分類と対応するリスク階層化は、ポリシーに基づくコントロール評価に同じデューデリジェンス基準ではなく、異なる基準を使用しているためです。デューデリジェンス基準は、ベンダーのセキュリティ態勢とパフォーマンスを評価するために使用される基準と方法です。デューデリジェンスの基準はベンダーのリスク階層に応じて変える必要があります。リスクの高いベンダーは、リスクの低いベンダーよりも厳格かつ頻繁な評価を必要とするためです。
参考文献:
* 1: ベンダーティアリングとは？ベンダーリスク管理を最適化する | UpGuardブログ
* 2: ベンダー階層化のベストプラクティス：ベンダーリスクの分類 | UpGuardブログ
* 3: サードパーティリスクマネジメント（TPRM）：完全ガイド - BlueVoyant
* [4]: 第三者関係のリスク管理に関する補足検査手続
* [5]: サードパーティのリスク管理：なぜそれが重要なのか、そしてどのような機能に注目すべきか - 専門家の洞察

災害復旧シミュレーションテストにおける検証プロセスの主な目的は、すべての復旧プロセスと手順が設計どおりに正しく機能することを検証することです。これにより、実際の災害発生時にも、スムーズかつ効果的な復旧が確実に実行されます。

ネットワークアクセスポリシーとは、承認されたユーザーとデバイスが組織のネットワークリソースとサービスにアクセスする方法を定義する一連のルールと条件です。通常、以下の要素が含まれます12。
* ファイアウォール設定：パケットの送信元、宛先、プロトコル、ポートに基づいて、受信および送信ネットワークトラフィックを制御するルールです。ファイアウォール設定は、不正アクセスや悪意のあるアクセスからネットワークを保護し、組織のネットワークセキュリティポリシーを適用するのに役立ちます。
* 不正デバイスの検出：不正なデバイスを特定し、ネットワークへのアクセスを阻止するプロセスです。不正デバイスは、組織のセキュリティ基準やポリシーに準拠していない可能性があり、マルウェアやハッカーに侵入される可能性があるため、ネットワークにセキュリティリスクをもたらす可能性があります。不正デバイスの検出は、ネットワークアクセス制御（NAC）、ネットワークアドミッション制御（NAC）、802.1X認証など、さまざまな方法で行うことができます。
* リモートアクセス：これは、承認されたユーザーが自宅、ホテル、公共ホットスポットなどの遠隔地から組織のネットワークリソースやサービスにアクセスできる機能です。リモートアクセスは、仮想プライベートネットワーク（VPN）、リモートデスクトップサービス（RDS）、リモートアクセスサービス（RAS）など、さまざまなテクノロジーを使用して提供できます。リモートアクセスには、安全で信頼性の高い接続が必要であり、組織のネットワークアクセスポリシーに準拠している必要があります。
* ウェブサイトのプライバシー同意バナー: これらは、Cookie やその他の追跡技術の使用について訪問者に通知し、そのような使用に対する同意を得るためにウェブサイト上に表示されるメッセージです。
ウェブサイトのプライバシー同意バナーは、ウェブサイトのプライバシーポリシーの一部です。プライバシーポリシーは、ウェブサイトが訪問者の個人データを収集、使用、保護する方法を開示する法的文書です。ウェブサイトのプライバシー同意バナーは、ユーザーやデバイスが組織のネットワークリソースやサービスにアクセスする方法に影響を与えないため、組織のネットワークアクセスポリシーとは関係ありません。
したがって、正解はCです。ウェブサイトのプライバシー同意バナーは、通常、組織のネットワークアクセスポリシーの適用範囲には含まれないためです。参考資料：
* 1: ネットワーク ポリシー サーバー (NPS) | Microsoft Learn
* 2: ネットワークアクセスポリシー | 大学ポリシー

セキュリティ侵害の直接的な影響を伝えることは重要ですが、影響を受けていないサービスに関する詳細は、通常、最初の通知内容の焦点では​​なく、サービスの安全性が維持されていることをクライアントに安心させるためのさらなるコミュニケーションにおいてより重要です。

固有リスクとは、いかなる管理策や軽減策も存在しない場合に存在するリスクのレベルを指します。これは、リスク管理手法の有効性を考慮することなく、業務、取引、または活動において自然に発生するリスクを表します。サードパーティリスク管理（TPRM）の文脈では、固有リスクは、管理策やリスク対策を適用する前に、サードパーティとの関係に関連する損失または悪影響の可能性を評価します。固有リスクを理解することは、組織が管理が必要な領域を特定し、さまざまなリスクの潜在的な影響と発生可能性に基づいてリスク管理活動に優先順位を付ける上で不可欠です。この概念はリスク管理フレームワークの基礎であり、組織のリスク選好度とリスク許容度に沿って、リスクを許容レベルまで低減するための管理策の開発と実装を導くために使用されます。
参考文献:
* ISO 31000 (リスク管理 - ガイドライン) などのリスク管理規格は、固有のリスクを評価および管理するためのフレームワークを提供し、意思決定プロセスにおけるリスクのベースライン レベルを理解することの重要性を強調しています。
* ISACA の「サードパーティ リスク管理ガイド」では、サードパーティとの関係における固有のリスクを評価するためのベスト プラクティスが概説されており、ベースライン リスク エクスポージャーを決定するためにサードパーティとの関わりの性質と範囲を評価する必要性が強調されています。