セキュリティ質問票だけでは不十分：DORAおよびNIS2時代におけるベンダーリスクの再考

ほぼすべてのサードパーティ製リスクプログラムに共通して組み込まれている要素があります。それは、ベンダー向けのセキュリティおよびプライバシーに関する質問票です。契約締結前、そして時には締結直後に、テクノロジーやサービスのベンダーは、データの保護、システムのセキュリティ確保、インシデントの管理、従業員の教育、サブプロセッサーの利用、および関連法令への遵守について説明を求められます。理論的には、これは理にかなっています。組織には、依存しているベンダーによってもたらされるリスクを把握する手段が必要です。調達、セキュリティ、プライバシー、法務の各チームにはドキュメントが必要です。規制対象組織には、デューデリジェンスを実施したという証拠が必要です。.

しかし現実には、それらのアンケートの多くは期待外れに終わっています.

間違った質問をする者もいれば、同じ質問を10通りの方法でする者もいる。文脈が不可欠な場面で、無理やり「はい／いいえ」の回答を迫る者もいる。特定のタイプのベンダー向けにしか設計されておらず、他のテクノロジーやサービスのベンダーが実際にどのように運営されているかを反映していないものもある。また、特定の認証や静的なデータ記述にこだわりすぎるあまり、最も重要な統制、保護策、リスクのシグナルを見落としてしまうものもある。.

これは双方にとって問題を引き起こします。ベンダーは、自社のサービスを正確に説明していない過度に単純化された回答を強制され、実際よりも安全または危険に見えてしまう可能性があります。顧客は、チェックリストを回収しただけでリスクを評価できたと誤認し、誤った安心感を持って立ち去るか、あるいは単にアンケートが回答に必要な文脈を許可しなかったという理由でベンダーをリスクありと判定してしまう可能性があります。.

DORA、NIS2、GDPR、その他の主要な規制によってサプライチェーンの監視が強化される中、ベンダーが単にチェックボックスにチェックを入れるだけでは、もはや十分ではありません。.

規制上のリスクが現在より一層高まっている

サードパーティ・リスクは目新しいものではないが、組織がそれをどのように評価し管理すべきかという期待は変化している。.

ドラ, 2025年1月17日から適用されるこの法律（規則）は、金融機関におけるICTサードパーティ・リスク管理に非常に重点を置いています。組織に対し、ICTサードパーティ・サービスプロバイダーの監督維持、契約上の取り決めの管理、およびICTサードパーティとの関係に関する情報の登録簿の保持を求めています。.

NIS2 さらに重点を置く サプライチェーンセキュリティ. 対象組織は、サプライヤーおよびサービスプロバイダーとの関係（当該プロバイダーのセキュリティ慣行を含む）全体にわたって、サイバーセキュリティリスクを評価し管理することが求められる。.

適用される規制にかかわらず、要件は明確である。組織は、オンボーディング時に書類を収集するだけでなく、ベンダーやサプライヤーによってもたらされるリスクを理解する必要がある。.

だからといって、質問票が無意味というわけではありません。実際、その逆です。質問票は、適切に設計され、リスクベースであり、証拠に裏付けられている場合には、依然として非常に価値のあるものとなり得ます。しかし、質問票が硬直的すぎたり、汎用的すぎたり、あるいは的外れなことに焦点を当てすぎたりしている場合、リスク管理を改善することなく、調達を遅らせ、ベンダーをイライラさせることになりかねません。.

さらに悪いことに、DORA、NIS2、GDPR、その他の規制フレームワークの下で重要な問題組織が見落とす原因となり、デューデリジェンスの欠落を生み出して、コンプライアンス違反、規制当局による調査、および罰則のリスクを高める可能性があります。.

ベンダーにアンケートが適合しない場合

多くの質問票は、汎用的なテクノロジーベンダーのモデルをベースに構築されているように見えます。そのモデルでは、ベンダーはユーザーから定義されたカテゴリーのデータを収集し、既知のシステムに保存し、予測可能なワークフローに従って処理します。一部のベンダーにとっては、その仮定が機能するかもしれません。しかし他のベンダーにとっては、それはすぐに破綻する可能性があります。.

例えば、データ処理を取り上げてみましょう。ソフトウェアベンダーは、SaaSプロバイダーとは異なる方法でデータを処理する場合があります。クラウドベースのプラットフォームは、標準的なビジネスアプリケーションとは異なるリスクを生み出す可能性があります。サイバーセキュリティサービスは、顧客から固定のデータセットを全く受け取らない代わりに、脅威インテリジェンス、侵害監視、攻撃対象領域の監視、またはデータ侵害の検出を通じて、動的にデータを検出することがあります。.

そのような場合、ベンダーは遭遇する可能性のある個人データのあらゆるカテゴリを事前に列挙できないことがあります。データは、何が発見されるか、どこで見つかるか、そしてサービスがどのように作動するかに依存します。プライバシーに関する質問は、依然として質問票に対して完全に妥当です。ただ、別の方法で尋ねる必要があるだけです。.

「どのような個人データを処理していますか？」と尋ねるだけでなく、

より有用なバージョンとしては、「御社のサービスではどのようなカテゴリのデータに遭遇する可能性があり、また潜在的に機密性の高いデータや個人データが検出された場合、どのような保護措置が適用されますか？」などが考えられます。

その転換は重要である。目的は、不完全であったり誤解を招いたりする可能性のある静的な回答をベンダーに無理やり出させることではない。目的は、ベンダーがデータに遭遇した際に、それをどのように識別し、保護し、アクセスを制限し、保持し、削除し、報告するかを理解することである。.

チェックボックス式保証の問題点

もう一つのよくある問題は、ほとんど洞察をもたらさない「はい／いいえ」の質問への依存である。.

アンケートでは「保存データを暗号化していますか？」と尋ねられることがあります。ベンダーは「はい」と答えます。.

その回答は正確かもしれませんが、顧客にはあまり多くのことを伝えていません。どのような暗号化メカニズムが使用されているか、鍵がどのように管理されているか、バックアップやログが対象に含まれているか、誰がデータにアクセスできるか、あるいは統制がどのようにテストされているかについては説明されていません。.

チェックボックスは質問に対するコンプライアンス（適合性）を示すものであり、必ずしも統制の強さを示すものではありません。.

これは、アンケートがベンダーのデューデリジェンスの主要な証拠として使用される場合に特に危険となります。サプライヤーがコントロールの仕組みを説明せずに「はい」にチェックを入れることができる場合、顧客は成熟したコントロール環境と表面的なコントロール環境を区別するのに十分な情報を得られない可能性があります。.

すべての質問に長い説明的な回答が必要なわけではありません。しかし、重要統制、特に機密データ、重要サービス、または規制上の義務に関連するものに関しては、ベンダーがその統制がどのように実装されているかを説明し、必要に応じて裏付けとなる証拠を提供するための十分な余地が与えられるべきです。.

「該当なし」が最も正確な答えである場合

一部のケースでは、質問票の内容が購入されるサービスと一致しない場合に、質問票に関する問題が発生します。質問票は、ベンダーが顧客の本番システムにアクセスすること、顧客の環境内にソフトウェアをデプロイすること、顧客のデータを直接ホストすること、または顧客が提供したデータセットを処理することを前提としている場合があります。一部のサービスではそれが当てはまることもありますが、別のサービスでは当てはまりません。.

クラウド事業者、ホスト型のSaaSプラットフォーム、ダウンロード可能なソフトウェアのベンダー、マネージドサービスプロバイダー（MSP）、およびサイバーセキュリティ監視サービスは、それぞれ異なるリスクプロファイルを生み出す可能性があります。顧客のデータを直接処理する場合もあれば、限定的なアカウント情報しか受け取らない場合もあります。また、顧客の環境外で完全に稼働するものもあれば、顧客の内部システムに接続することなく、外部への露出状況を可視化するものもあります。.

その区別は重要です。.

ベンダーが質問に「いいえ」と答えるのは、統制（コントロール）が欠けているからではなく、そのシナリオが当てはまらないからという場合がある。「いいえ」という回答は、より適切な答えが「該当なし」である場合にリスクのように映ることがある。しかし、多くの質問票には「該当なし」の選択肢が用意されていなかったり、その理由を説明する十分なスペースがなかったりする。これが不要な追加確認を引き起こしたり、調達を遅らせたり、審査員にサービスを誤解させたりする原因になり得る。その逆もまた然りである。審査員がサービスの実態を理解していなければ、評価されるべきリスクを見落としたり、実際には存在しないリスクを指摘したりしてしまうことがある。.

これが、ベンダーのデューデリジェンスを孤立した状態で行うべきではない理由である。プライバシー、セキュリティ、調達、法務の各チームは、購入されるサービスについて少なくとも基本的な理解を持っている必要がある。また、ベンダーを選定した事業責任者からの意見も必要である。そうした文脈がなければ、どれほど善意による質問票であっても、間違った結果を生み出す可能性がある。.

同じことを10通りの異なる方法で尋ねても、リスク評価の精度は向上しない

多くの質問票も反復的です。ベンダーは、保存データの暗号化、転送中の暗号化、バックアップの暗号化、ログの暗号化、一時ファイルの暗号化、およびアーカイブデータの暗号化について、それぞれ個別の質問を受けることがあります。.

そのレベルの詳細が必要な場合もある。しかし多くの場合、すべての答えは同じアーキテクチャ、ポリシー、または管理フレームワークから導き出されている。.

同じ問題はプライバシー質問票にも表れます。ある質問では、従業員が年次プライバシー研修を受けているかどうかを尋ねる場合があります。次の質問では、データ主体からの請求を処理する従業員が、プライバシー法および対応要件に関する特定の研修を受けているかどうかを尋ねるかもしれません。サービスやベンダーの役割によっては、それらは関連しているものの、同等に関連性があるとは限らない場合があります。.

繰り返しによって自動的に保証の質が向上するわけではありません。多くの場合、より長大な質問票、一貫性のない回答、そして遅延したレビューを生み出すだけです。.

より良いアプローチは、より広範な管理体制（コントロール）に関する質問をし、必要に応じてベンダーが説明を行えるようにすることです。例えば：

当社のプライバシーおよびセキュリティ研修プログラムについてご説明いたします。これには、専門的なプライバシーまたはセキュリティの責任を持つ従業員に対する役割別の研修が含まれているかどうかも含まれます。.

その質問は、関連性のないはい／いいえのプロンプトの連続よりも、査読者により有用な情報を提供する。.

アンケートは、すでに両者の関係を規定している文書を無視すべきではない

もう一つのよくある問題として、質問票がDPA、契約書、セキュリティ補足文書、その他の法的拘束力のある文書ですでに言及されている質問をすることが挙げられます。例えば、質問票には次のような質問が含まれることがあります。「GDPR第13条および第14条に基づき、データ主体に対する透明性をどのように確保していますか？」

多くのベンダーにとって、その答えは、彼らが果たす役割、サービスの性質、そしてDPA（データ処理契約）にすでに定められている確約事項によって異なる場合があります。公開されているプライバシーポリシーはウェブサイトでのデータ処理慣行を説明している一方で、DPAはサービスの一部として行われる処理を規律します。これら2つの文書を混同して使用すると、混乱が生じる可能性があります。これはベンダー側にとって厄介なだけでなく、顧客にとっても一貫性の問題を引き起こす原因となります。.

DPAや契約書は、通常、質問票の回答よりも法的拘束力が高い。もし法的拘束力のある文書ですでにサブプロセッサー、データ主体からの請求、国際転送、セキュリティ対策、監査権、インシデント通知について言及されている場合、質問票はその文書を参照するか、必要な場合にのみ説明を求めるべきである。.

優れたデューデリジェンスは、質問票を契約上のコミットメントに結びつけるべきであり、精度が低く執行力も劣る可能性のある、非公式な回答の並行セットを作成するべきではありません。.

認証バイアスはリスクの全体像を歪める可能性がある

認定は有用です。SOC 2、ISO 27001、およびその他の独立した評価は、意味のある保証を提供し、すべての統制をゼロから見直す負担を軽減することができます。しかし、認定がリスク分析の代わりになってはなりません。.

一部のスコアリングモデルでは、ある認定資格には満点を与え、別の資格には部分的な点数を与え、推奨される資格がない場合は無得点とします。これにより、ベンダーリスクが歪めて見られる可能性があります。ベンダーがISO 27001、内部監査プログラム、ペネトレーションテスト、独立したセキュリティレビュー、強力な契約上のコミットメント、および成熟した運用管理を備えていたとしても、質問票が期待する特定の認定資格を持たないという理由だけで、低いスコアになることがあります。.

より良いアプローチは、根拠となる統制を評価し、適切な場合には同等の証拠を受け入れることです。認証は評価を補完するものであり、評価のすべてであるべきではありません。.

より良い質問票は、より良い質問を生み出す

ベンダー向け質問票の改善とは、必ずしもそれをより長く、またはより複雑にすることを意味するわけではありません。優れた質問票は、顧客がベンダーおよび購入するサービスによってもたらされる実際の理解を深めるのに役立つべきです。.

それは明確さから始まります。ベンダーは、どのような種類の回答が求められているか、関連文書を添付すべきか、質問票の記入に誰が関与すべきか、そしてサービスに該当しない質問にどのように対処すべきかを理解している必要があります。.

実際には、より良い質問票は以下の条件を満たすべきです：

• 購入するサービスに適した質問を投げかけてください。;
• ベンダーが「はい／いいえ」の回答が誤解を招く理由を説明できるようにする;
• 「いいえ」と「該当なし」を区別する;
• 静的なデータカテゴリだけでなく、セーフガードと統制の実装を評価する。;
• 適切な場合は同等の資格や証拠を受け入れること。;
• アンケートの回答を、DPA、契約書、およびセキュリティ文書に紐付ける;
• 有意义な洞察を加えない、重複した質問を減らす。;
• 誰がアンケートに回答すべきか、およびどのような裏付け資料が必要とされるかについて、明確な指示を提供してください。.

質問が良ければ、回答も良くなる。そして、回答が良ければ、組織はサードパーティリスクをより良く理解し、管理できる強固な立場に立つことができる。.

アンケートは全体像のほんの一部分にすぎません

どれほどよく設計された質問票にも限界があります。それは、ベンダーの管理態勢、プロセス、および実践に関してベンダーが主張する内容を、ある一時点で切り取った表現にすぎません。しかし、サードパーティリスクは時間の経過とともに変化します。.

ベンダーは、オンボーディング時には安全であっても、半年後には脆弱になっている可能性があります。認証情報が漏洩するかもしれません。クラウド資産が誤設定される可能性があります。サプライヤーがリスクを持ち込む可能性があります。脆弱性が積極的に悪用されるようになるかもしれません。下請け業者との関係が変わる可能性があります。次のレビューサイクルまで質問票に現れないインシデントが発生する可能性があります。.

これが、組織がアンケートベースのデューデリジェンスを、外部からの可視性と継続的なモニタリングで補完する必要がある所以である。.

CybelAngelは、組織が外部の露出、漏洩した認証情報、脆弱な資産、サプライヤー、ベンダー、および拡張エコシステムのその他の部分に影響を与える可能性のあるサードパーティのリスクシグナルを特定するのを支援することで、その取り組みをサポートできます。これは、ベンダーのデューデリジェンス、契約、DPA（データ処理契約）、認証、または規制分析の代替となるものではありません。しかし、オンボーディング後にリスクの状況が変化したかどうかを組織が把握するのに役立つ、追加の証拠を提供することができます。.

それは、サードパーティリスクの管理と監視が鍵となるDORA、NIS2、その他のフレームワークの対象となる組織にとって重要です。.

ペーパーワークからリスクの理解へ

ベンダーの質問状がなくなることはありませんし、そうあるべきでもありません。それらはサードパーティリスク管理において重要な目的を果たしています。しかし、それらは進化する必要があります。.

間違った質問をし、過度に単純化された回答を強制し、文脈を無視し、あるいは認証をすべてであるかのように扱うアンケートは、安心感を生み出すことなく摩擦を生み出す可能性があります。それはプロセスの要件を満たしつつも、重要なリスクの特定には失敗するかもしれません。.

DORAおよびNIS2の時代において、組織には記入済みのフォーム以上のものが求められています。すなわち、意味のある回答、裏付けとなる証拠、そして依存するベンダーやサプライヤーに対する継続的な可視性が必要なのです。.

なぜなら、質問票がベンダーに適合しない場合、リスク評価もリスクに適合しない可能性があるからです。.

その場限りのベンダー評価からの脱却

アンケートはオンボーディング時にベンダーが何と言ったかを捉えるものですが、今日何が露呈しているかまではわかりません。CybelAngelは、拡張されたサプライチェーン全体にわたる漏洩認証情報、保護されていない資産、サードパーティのリスクシグナルに対する継続的な外部可視性を提供します。これは、あなたのリスクの全体像が、保管されているアンケートの回答と依然として一致していることを示す証拠となります。.