緊急の連絡の場合、会社のウェブサイトでの簡単なお知らせは、メールやテキストメッセージといったより直接的な方法ほど効果的ではない可能性があります。このオプションは、顧客がウェブサイトを積極的に訪問する必要があり、重要なセキュリティ情報の伝達が遅れる可能性があるため、効果が低くなります。

「規制コンプライアンスへの影響」は、ベンダーのサービス中断が、企業が必要な法律、規制、義務を遵守する能力にどのような影響を与えるかを具体的に測定し、これらが維持されない場合の潜在的な法的リスクと運用上のリスクに重点を置きます。

デューデリジェンスとは、潜在的または既存のサードパーティベンダーに関連するリスクと機会を評価するプロセスです。デューデリジェンスの範囲と深さは、ベンダーが組織にもたらすリスクのレベルによって異なります。低リスクベンダーとは、組織の業務、評判、コンプライアンスへの影響が最小限で、機密性の高いデータやシステムを扱わないベンダーです。低リスクベンダーの場合、デューデリジェンスの実施には、サービスプロバイダーの自己評価アンケートへの回答を、その能力、パフォーマンス、コンプライアンスの十分な証拠として受け入れることが含まれる場合があります。自己評価アンケートは、ベンダーが組織、サービス、プロセス、管理、ポリシーに関する情報を提供できるツールです。組織は、このアンケートを使用して、ベンダーの身元、資格、推薦状、認定資格を確認し、ベンダーが組織の基準や期待に適合しているかどうかを評価できます。ベンダーの自己評価アンケートへの回答をデューデリジェンスの主要な情報源として受け入れることで、組織の時間とリソースを節約できるだけでなく、ベンダーへの信頼と信用を示すことにもつながります。ただし、組織は、アンケートが包括的で、関連性があり、最新のものであること、またベンダーの回答が正確で、完全かつ一貫していることも確認する必要があります。
また、組織は、必要に応じてベンダーに追加情報やドキュメントを要求し、ベンダーのパフォーマンスとコンプライアンスの定期的なレビューや監査を実施する権利を留保する必要があります。
その他のオプションは、より広範または厳格なデューデリジェンスの手法を必要とするか、デューデリジェンスに直接関連していないため、リスクの低いベンダーのデューデリジェンスの実施を最も適切に説明するものではありません。
サードパーティのリスク管理および是正活動の状況に関する経営陣向け報告書の作成は、ベンダーとの関係を監視・管理する上で重要な部分ですが、それ自体はデューデリジェンス活動ではありません。サービスプロバイダーの自己評価質問票と外部監査報告書を確認することは、デューデリジェンスをより徹底的に実施する方法ですが、特に外部監査報告書が容易に入手できない、または関連性がない場合、リスクの低いベンダーにとっては不要または実行不可能な場合があります。将来の参照のためにサービスプロバイダーの外部監査報告書を要求し、提出することは、デューデリジェンスの文書と証拠を保管するための良い方法ですが、それ自体はデューデリジェンス活動ではありません。
参考文献:
* サードパーティリスク管理（TPRM）| 共有評価
* ベンダーデューデリジェンス戦略ガイドとチェックリスト | Prevalent
* ベンダーデューデリジェンス：実践ガイドとチェックリスト

リモートアクセスとは、デバイスまたはホストを介して外部ソースから組織の内部ネットワークおよびシステムに接続することです。リモートアクセスは従業員の柔軟性と生産性を向上させる一方で、不正アクセス、データ漏洩、マルウェア感染、ネットワーク侵害など、重大なセキュリティリスクも伴います。したがって、情報セキュリティポリシーにおいて、リモートアクセスの役割、責任、基準、手順を定義し、第三者によるリモートアクセスの利用を評価することが重要です。
情報セキュリティポリシーにおけるサードパーティのリモートアクセスの使用を評価する重要な要素の1つは、多要素認証の使用を特定することです。多要素認証とは、ユーザーが知っている情報（パスワード、PINなど）、ユーザーが所有している情報（トークン、スマートカードなど）、ユーザーの特性（指紋、顔など）など、2つ以上の要素を要求することでリモートユーザーの身元を確認する方法です。多要素認証は、攻撃者が正当なユーザーになりすましたり、不正アクセスしたりすることを困難にすることで、リモートアクセスのセキュリティを強化します。NISTの「エンタープライズテレワーク、リモートアクセス、BYOD（個人所有デバイス持ち込み）セキュリティガイド」1によると、多要素認証はすべてのリモートアクセス、特に機密データや特権アカウントへのアクセスなど、リスクの高い状況で使用する必要があります。
その他の選択肢は、第三者の情報セキュリティポリシーにおけるリモートアクセスの利用状況を評価する要素ではありません。ブロックされたIPアドレス範囲の維持、ネットワークコンポーネントのテストおよび導入手順の確認、ルーターのポート設定に関するガイドラインの提供などは、いずれもネットワークセキュリティ管理策の例ですが、リモートアクセスに特有のものではありません。これらは情報セキュリティポリシー全体の一部である場合もありますが、リモートアクセスのセキュリティを評価するには不十分です。
参考文献:
* 企業のテレワーク、リモート アクセス、BYOD (個人所有デバイス持ち込み) セキュリティに関する NIST ガイド
* 効果的なリモートアクセスポリシーを実装する方法
* サードパーティのアクセス管理に優れたアプローチが必要な理由

個人データにアクセス、処理、および保持するクラウドベースのサードパーティの評価範囲を定める上で最も重要な要素は、クラウドホスティングの展開またはサービスモデルの種類を特定することです。これは、クラウドモデルが異なると、サードパーティとクラウドホスティングプロバイダー間のセキュリティ責任の分担が異なるためです。例えば、Software as a Service (SaaS) モデルでは、クラウドプロバイダーがセキュリティ管理の大部分を担当しますが、Infrastructure as a Service (IaaS) モデルでは、サードパーティが自社のデータとアプリケーションのセキュリティ保護に責任を負います。したがって、評価を実施する前に、クラウドモデルの種類と、それに対応するセキュリティの役割と責任を理解することが不可欠です。これにより、セキュリティ管理と期待値のギャップ、重複、または矛盾を回避することができます。
参考文献:
* クラウドセキュリティ評価および認可に関するガイダンス - ITSP.50.105、カナダサイバーセキュリティセンター、2020年5月、セクション2.1.1
* クラウド環境の適切なスコープ設定の重要性、PCIセキュリティ標準協議会およびクラウドセキュリティアライアンス、2021年8月
* サードパーティとクラウド：規制上の課題、KPMG、2022年、セクション2.1
* 認定サードパーティリスク専門家（CTPRP）学習ガイド、共有評価、2021年、セクション4.2.2