ベンダーのデューデリジェンス：複数フレームワークに一つのプロセスで対応

主要なフレームワークはいずれも、サプライヤーのリスク管理を求めています。これはベンダーおよびサプライチェーンのリスク要件の比較でも示したとおりです。要件の重なりは大きく、一つのプロセスを一度設計すれば、そのすべてを満たせます。以下がその構成例です。

ステップ1：インベントリを一つにまとめる

システム、データ、施設にアクセスできるサプライヤーをすべて洗い出し、それぞれについて、提供している業務、扱うデータ、そして関係するフレームワークを記録してください（PCI DSSではカード会員データ、HIPAAではePHI、GDPRでは個人データ、NIS2の規制対象サービスを支えるサービスなど）。PCI DSS（12.8.1）、ISO 27001（A.5.19）、CIS Controls（15.1）はいずれもここから始まります。

ステップ2：階層化する

• Tier 1：機密データや本番システムへのアクセス権があるか、サービスにとって重要なサプライヤー。
• Tier 2：アクセスが限定的、または重要度が中程度。
• Tier 3：機密データへのアクセスがなく、障害時の影響が小さい。

階層化によって、プロセスを負荷に見合ったものに保てます。CISはこれをサービスプロバイダーの分類（15.3）と呼んでいます。

ステップ3：階層ごとに評価する

• Tier 1：利用しているサービスを対象とする独立した保証報告書（適切な範囲のSOC 2 Type IIレポートまたはISO 27001認証書）に加え、報告書が対象としていない事項について簡単なアンケートを実施します。報告書は、範囲、対象期間、例外事項、除外（carve-out）、そして自社が運用すべき統制を確認してください。
• Tier 2：標準的なアンケート。サプライヤーが報告書を保有していればそれを使用します。
• Tier 3：導入時の基本的なチェック。

ステップ4：契約は一度に、すべてを網羅する

すべてのフレームワークを同時にカバーするセキュリティ条項を作成します。

• サービスに見合ったセキュリティ上の義務。
• 侵害通知は、自社の義務を果たせる短い期限で当社に通知すること（NIS2の24時間、GDPRの72時間）。
• 個人データを委託先として処理する場合はGDPR第28条の条項、HIPAAが適用される場合はビジネスアソシエイト契約。
• 監査または評価の権利、および契約終了時のデータ返還または削除。
• PCI DSSについては、カード会員データに関する責任の承認（12.8.2）と、責任分担の文書化（12.8.5）。

ステップ5：モニタリングと契約終了

Tier 1のサプライヤーは年次で再評価し（PCI DSSはサービスプロバイダーのコンプライアンスの年次モニタリングを要求しています（12.8.4））、Tier 2は1〜2年ごとに再評価します。インシデントや変更があった際にも対応してください。契約終了時には、アクセス権を取り消し、データを回収または削除して、その内容を記録します（CIS 15.7）。

効果的な簡易アンケート

独立した保証報告書を持たないサプライヤーには、長いアンケートより短いアンケートの方が適しています。短いものは回答者がきちんと答えてくれるためです。以下の10問で、どのフレームワークが求める内容の大半をカバーできます。

1. 当社のどの情報にアクセスし、保存し、または処理しますか。また、それはどこですか。
2. このサービスを対象とする、有効なSOC 2報告書またはISO 27001認証書をお持ちですか。
3. 当社データを保持するシステムへのすべてのアクセスで、MFAが強制されていますか。
4. 重大な脆弱性はどの程度迅速にパッチが適用されますか。
5. 当社データは保存時および転送時に暗号化されていますか。
6. バックアップは取得され、保護され、テストされていますか。
7. 当社データに影響するインシデントを、どのような方法で、どれだけ迅速に当社へ通知しますか。
8. どのサブコントラクターが当社データを取り扱いますか。
9. 契約終了時に当社データはどのように返還または削除されますか。
10. セキュリティ担当の連絡先はどなたですか。

各回答を自社の要件に一度対応付け、その対応表をすべてのサプライヤーで再利用してください。ギャップ分析とサプライチェーンリスクのトピックでは、各フレームワークがこれらの要件をどのように表現しているかを示しています。

重要なポイント

• サプライヤーのインベントリを一つにまとめ、リスクで階層化すれば、すべてのフレームワークに対応できます。
• 適用範囲が合う場合は独立した報告書を受け入れ、その内容を読み込んでください。
• 契約条項は一度にまとめて作成し、すべての義務をカバーしてください。

サプライヤーごとに一つの記録

サプライヤーごとに、階層、評価、確認した報告書、契約条項、レビューなどすべてを一つの場所にまとめて保管してください。各フレームワークの監査人は、同じ記録の中から必要な証跡を見つけられます。

ベンダーリスクのトピックページでは、すべての要件とその出典を掲載しています。また、「SOC 2 certified」が誤った問いである理由の記事では、サプライヤーの報告書の読み方を解説しています。

よくある質問

アンケートの代わりに、ベンダーのSOC 2報告書を受け入れてもよいですか。

多くの場合は可能です。ただし、報告書がType IIであり、最新のもので、自社が利用するサービスを対象としており、さらに例外事項と補完的ユーザー組織側統制（CUEC）を確認している場合に限ります。自社のサービスを対象としていない報告書からは、ほとんど何もわかりません。

どのフレームワークが、ベンダー契約へのセキュリティ条項の盛り込みを要求していますか。

ISO 27001（A.5.20）、PCI DSS（12.8.2）、GDPRの処理者に関する規定（第28条）、HIPAAのビジネスアソシエイト契約、そしてNIS2のサプライチェーンに関する措置は、いずれもサプライヤーとの契約にセキュリティ条項を求めています。

サプライヤーはどの程度の頻度で再評価すべきですか。

重要なサプライヤーは少なくとも年1回（PCI DSSはサービスプロバイダーのコンプライアンスの年次モニタリングを要求しています）、その他は1〜2年ごとに再評価してください。また、重大なインシデントやサービスの変更があった場合は、どのサプライヤーも再評価が必要です。