Shared AssessmentsのCertified Third Party Risk Professional (CTPRP) 学習ガイドによると、リスクに基づく意思決定とは、リスク基準を適用し、サードパーティによるリスク評価で特定されたギャップに優先順位を付け、対処するプロセスです1。評価者は、リスクの影響度、発生可能性、緊急性に基づいてギャップを分析し、結果と推奨事項を報告書にまとめる必要があります。また、評価者は、リスクを軽減できる既存または提案されている代替統制をレビューし、リスク対応計画の承認を得るために事業主に報告書を提出する必要があります1。リスク対応計画には、組織のリスク選好度とリスク許容度に応じて、リスクの受け入れ、移転、回避、または軽減が含まれる可能性があります1。
その他の記述は、リスク分析と文書化のプロセスを無視しているか、ギャップの優先順位付けと対処に画一的または恣意的なアプローチを適用しているため、リスクに基づく意思決定の最適な活用を反映していません。評価者は、事業主に相談することなくリスク対応計画を決定または結論付けるべきではありません。なぜなら、事業主は第三者との関係およびリスク管理の意思決定の最終責任を負うからです1。また、評価者は、ギャップが直ちに修正された場合、報告書に含まれない旨を伝えるべきではありません。これは、評価プロセスと報告書の完全性と透明性を損なう可能性があるためです2。
参考文献:
* 1: Shared Assessments Certified Third Party Risk Professional (CTPRP) 学習ガイド、29～30ページ、
33-34
* 2: サードパーティリスク管理：最終省庁間ガイダンス、10ページ

アプリケーションホワイトリストは、実行可能なアプリケーションを制御することでセキュリティを強化しますが、リモートアクセスリスクの管理に不可欠なネットワーク接続自体の分析やセキュリティ保護まではカバーしていません。システムへのアクセス方法やネットワーク上でのデータのやり取りを監視するのではなく、実行可能なアプリケーションを制御することが目的です。

正解は、時代遅れのセキュリティ対策への即時対応として、暗号化プロトコルを更新する必要性に焦点を当てています。このステップにより、進化する脅威や脆弱性からデータが保護され続けることが保証されます。

緊急対応計画（ERP）とは、組織の事業、資産、評判、またはステークホルダーを脅かすような破壊的なインシデントが発生した場合に、組織が講じるべき手順と行動を概説した文書です1。ERPは、組織の事業継続計画および災害復旧計画と整合させる必要があり、さまざまな種類の緊急事態における役割と責任、コミュニケーションチャネル、エスカレーションプロセス、リソース、復旧戦略を網羅する必要があります2。
ERP構築の第一歩は、ERPを引き起こす可能性が最も高いイベントの種類を網羅した評価を実施することです3。この評価では、自然災害、サイバー攻撃、パンデミック、内乱、テロリズム、サプライチェーンの混乱など、様々なシナリオの発生確率と影響を考慮し、これらのイベントによって影響を受ける可能性のある重要な機能、プロセス、資産、依存関係を特定する必要があります4。また、組織の準備態勢と対応における既存の能力とギャップを評価し、改善または強化が必要な領域を優先順位付けする必要があります5。
評価は、包括的なリスク分析とビジネス影響分析に基づく必要があり、上級管理職、事業部門、IT、セキュリティ、法務、コンプライアンス、人事、第三者などの関連する利害関係者からの意見も取り入れる必要があります。
その他のオプションはERP構築の最初のステップではなく、初期評価後に実行すべき後続または補完的なステップです。在宅勤務のパラメータを考慮し、定期的な危機管理チームの机上演習を組み込み、継続的な監視ツールの結果を活用することはすべてERP構築の重要な側面ですが、ERP構築の出発点ではありません。これらのステップは、評価の調査結果と推奨事項に基づいて行う必要があり、ERPの有効性と妥当性を確保するために定期的に更新およびテストする必要があります。参考資料：1：緊急対応計画とは？ | IBM 2：緊急対応計画 | Ready.gov 3：サードパーティインシデント対応計画構築のための8つのステップ | Prevalent 4：効果的な事業継続計画の作成方法 | CIO 5：緊急対応計画：計画作成の4つのステップ：サードパーティリスク管理：最終政府機関間ガイダンス：サードパーティインシデント対応の改善 | Prevalent

データ主体のカテゴリーを特定することは、データの収集目的、処理方法、そしてGDPRに基づくデータ主体の具体的な権利に直接影響を与えるため、極めて重要です。これにより、データ処理の慣行が法的に正当であり、関係する個人の権利が尊重されることが保証されます。