明確に定義されたサードパーティリスク管理プログラムでは、すべてのサードパーティに対してオンサイトまたはバーチャルな評価を実施する必要はありません。これは非現実的で、コストがかかり、非効率的だからです。TPRMプログラムでは、リスクベースのアプローチを採用し、各サードパーティがもたらす固有リスクと残存リスクに基づいて、評価の頻度、範囲、および深度を決定する必要があります。つまり、サードパーティのサービスの性質、範囲、重要性、アクセスまたは処理するデータの機密性と量、遵守すべき規制および契約上の義務、過去の評価および監視活動の結果などの要因に応じて、一部のサードパーティは他のサードパーティよりも頻繁で包括的な評価を必要とする可能性があります。リスクベースのアプローチによる評価により、組織はリソースと労力をより効果的かつ効率的に配分できると同時に、最も重要なリスクに適切に対処し、軽減することができます。
参考文献:
* 共有評価、CTPRP ジョブ ガイド、9 ページ:「評価の頻度、範囲、および深さは、各第三者によってもたらされる固有のリスクと残存リスクによって決定される必要があります。」
* OneTrust、[サードパーティのリスク管理とは]：「サードパーティのリスク管理に対するリスクベースのアプローチとは、各ベンダーが組織にもたらすリスクのレベルに基づいて、取り組みとリソースに優先順位を付けることを意味します。」
* [デロイト]、[サードパーティリスク管理：リスク管理]：「サードパーティリスクに対するリスクベースのアプローチ
* 管理により、組織は各サードパーティが組織にもたらすリスクのレベルに基づいて、取り組みとリソースの優先順位付けを行うことができます。

TPRMプログラムにおける規制の優先順位付けに最適な方法は、サードパーティのサービスプロバイダーに義務を具体的に適用する規制を特定することです。このアプローチにより、最も重要かつ関連性の高い規制要件が満たされ、リスクエクスポージャーを効果的に管理できます。

災害復旧計画は、災害発生後のITサービスの復旧を導くために特別に策定されています。重大な混乱からの復旧方法に関する詳細な指示と手順が記載されており、こうした取り組みにおける主要な文書となります。

暗号化されたデータが侵害されたにもかかわらずアクセスされていない場合、組織は暗号化が実際に侵害されたかどうかを評価し、潜在的な影響を評価する必要があります。このステップは、規制要件に従って利害関係者への通知の必要性と範囲を決定するために不可欠です。

インシデントを速やかに報告することは、潜在的な損害を軽減するために不可欠であり、セキュリティ チームがデバイスとデータを保護するために必要な対策を講じることを可能にします。