サイバー攻撃の増加を受け、組織はサードパーティのベンダー・エコシステムの保護を優先しなければなりません。
サードパーティリスク管理は、IT上の問題にとどまらず、ビジネス上の問題でもあります。
総合的なアプローチにより、企業はサイバーレジリエンスを高め、それを競争上の優位性へと転換することができます。
最近のMOVEitへのハッキングを受け、組織がベンダー・エコシステムを保護するためにさらなる対策を講じる必要があることは明らかです。実際に、SecurityScorecardとCyentia Instituteによる調査では、次のことが判明しています。98%の組織がは、侵害を受けたサードパーティと取引しています。また、同報告書では、平均的な企業は11の取引先サードパーティと、数百に上る間接的な 第四者およびn番目の当事者との関係を有していることも明らかになりました。要するに、攻撃の範囲が拡大することで、企業はサイバー攻撃を受けやすくなっているのです。
世界経済フォーラムはサイバーセキュリティに関して何に取り組んでいますか。
サイバーセキュリティセンターは、進化し続けるサイバーリスクとその体系的な影響を理解するために、リーダーが集う信頼できるプラットフォームを提供しています。増大するデジタル相互接続社会において、理解と信頼の醸成に注力しています。
センターは、セクターを超えた協働と知見の共有を可能にすることで、パートナーのサイバーレジリエンスの強化や、集団的な対応を必要とする課題への対処を支援しています。
サードパーティリスク管理(TPRM)プログラムを導入している組織であっても、適切な関係者の理解と支持がなければ、ベンダーのコンプライアンスを定期的に監視することは困難であるため、依然として問題に直面する場合があります。多くの組織にはIT部門や情報セキュリティ(InfoSec)チームがありますが、これらの部門はTPRMの運用に必ずしも適しているとは限りません。技術面では熟練していても、コンプライアンス、契約管理、ベンダーとの協働といった点も考慮する必要があります。すでに人手が逼迫している部門にさらに業務を割り当てるのではなく、TPRMに対してより総合的なアプローチをとることが有効です。
サードパーティリスク管理:IT上の問題にとどまらない
サードパーティリスク管理においては、データの収集方法、回答の確認方法、問題の是正方法について、プロセスとガイドラインを確立することが極めて重要です。さらに、質問票および証拠収集のソリューションを選定することで、プロセスをより円滑に進め、絶え間ないメールや多数のデータポイントに追われる状況を最小限に抑えることができます。このテクノロジーを導入することで、組織はサイバーレジリエンスを高め、ベンダー・エコシステム全体のリスクを低減しやすくなります。
ベンダーリスク管理は、IT上の問題に聞こえるかもしれませんが、実際には、ビジネス上の問題です。企業が顧客からの信頼を得たいのであれば、まずは自社がベンダーを信頼しなければなりません。ベンダーリスクが問題になる前に、より多くの部門がTPRMのベストプラクティスを日常業務に組み込めば、ベンダーリスク管理は課題から強みへと変わるでしょう。
サードパーティのサイバーリスクを効果的に管理するための5つのベストプラクティス
サードパーティリスクを効果的に管理し、組織の安全性を確保するためには、以下のベストプラクティスを導入することが重要です。
1) サードパーティリスクの評価
第三者によってもたらされるリスクを評価する際には、自社事業にとって最も重要な領域に注力することが重要です。さらに、固有のリスクとベンダーデータに基づいて評価の範囲を定めることで、攻撃者に標的にされる可能性が最も高い領域にリソースを振り向けることができます。これは、評価にリスクベースのアプローチを採用し、サイバーリスクデータを活用して各ベンダーのセキュリティ態勢をより的確に把握することを意味します。
2) ワークフローにおける非効率性の特定
サードパーティベンダーによってもたらされるリスクを評価するだけでは不十分であり、自社のプロセスやワークフローにおける非効率性も特定する必要があります。そうすることで、これらの非効率性に対処し、全体的なセキュリティ態勢を改善するソリューションをロードマップに組み込むことができます。これには、ベンダーのオンボーディングプロセスからインシデント対応ワークフローまで、あらゆる要素を検討し、自動化や合理化が役立つ領域を特定することが含まれます。
3) 内部および外部の管理評価の整合
サードパーティリスクを効果的に管理するためには、内部および外部の管理評価を整合させることが重要です。これには、社内でリスクを管理するために用いる管理策が、サードパーティベンダーにおける類似のリスクと対応付けられていることを確保することが含まれます。そうすることで、リスク管理において全員が共通の言語で話し、取り組みに抜けや不整合がないことを確保できます。
4) 継続的なモニタリングの導入
サードパーティリスクを一度評価して終わりにするだけでは不十分です。継続的なセキュリティを確保するためには、プロセスに継続的なモニタリングを組み込む必要があります。自動化を活用してベンダーをリアルタイムで監視し、潜在的な問題が発生次第すぐにフラグを立て、サードパーティと協力してそれらの問題を是正することは、脅威への対応を能動的に行い、常に最新のリスクを把握するための方法です。
5) リアルタイムの可視化の優先
ベンダーとの取引が始まった時点から、取引終了に至るまで、そのサイバーの健全性を継続的に把握することが重要です。そうすることで、潜在的なリスクや問題が発生次第すぐに特定し、それらが深刻な問題になる前に対処することができます。これには、自動化とリアルタイムのモニタリングを活用し、ベンダーリスクの状況を常に明確に把握できるようにすることが含まれます。
