サプライヤーとサプライチェーンのリスク：誰が何を求めているか

サプライヤーは、侵害されたソフトウェアアップデートから、侵害されたマネージドサービスプロバイダーに至るまで、組織への侵入経路として最も一般的なものの一つになっています。フレームワークもこれに対応してきていますが、その度合いはさまざまです。当サイトでは、これを2つのトピックで扱っています。ベンダーリスク管理（個々のサプライヤーの評価と管理）と、サプライチェーンリスク（それを取り巻くプログラム）です。

ベンダーリスク管理

フレームワーク	ベンダーリスク管理	リンク
NIST CSF 2.0	GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06	トピックの定義
ISO 27001	A.5.19A.5.20A.5.22	対応表
CIS v8.1	CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7	対応表
SOC 2	CC9.2	編集
PCI DSS	12.8.112.8.212.8.312.8.412.8.5	対応表
CMMC	—	緩やかに関連
800-53	SA-4SA-9SR-6	対応表
HIPAA	§164.308(b)(1)§164.314(a)	対応表
GDPR	Art.28(1)Art.28(3)	編集
NIS2	5.15.26.1	対応表
Essential Eight	—	当サイトのデータにはマッピングがありません

各リンクの詳細と根拠： ベンダーリスク管理 のフレームワーク横断 →

プログラムとしてのサプライチェーンリスク

フレームワーク	サプライチェーンリスク	リンク
NIST CSF 2.0	GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09	トピックの定義
ISO 27001	A.5.19A.5.21	対応表
CIS v8.1	CIS 15.2	対応表
SOC 2	CC9.2	編集
PCI DSS	6.3.212.8.1	対応表
CMMC	—	緩やかに関連
800-53	PM-30SR-2SR-3SR-11	対応表
HIPAA	—	緩やかに関連
GDPR	Art.28(1)	編集
NIS2	5.16.1	対応表
Essential Eight	—	当サイトのデータにはマッピングがありません

各リンクの詳細と根拠： サプライチェーンリスク のフレームワーク横断 →

共通点

ほとんどのフレームワークは同じライフサイクルを求めています。すなわち、サプライヤーを把握し、取引前に評価し、契約にセキュリティ要件を盛り込み、継続的に監視し、関係を安全に終了させることです。ISO 27001 では A.5.19 から A.5.22 でこれを扱っています。PCI DSS は、サービスプロバイダーの一覧、書面による合意、デューデリジェンス、年次監視、責任分界の文書化を求めています（12.8.1 から 12.8.5）。SOC 2 はベンダーリスクの評価と管理を求めており（CC9.2）、CIS Controls は、棚卸し、分類、契約上の要件、評価、監視、安全な廃棄（Control 15）を求めています。このライフサイクルを一度構築すれば、これらのフレームワークの大半に同じプロセスで対応できます。

相違点

• GDPR（EU一般データ保護規則）は処理者に焦点を当てており、第28条の条項を含む書面による契約と、十分な保証を提供する処理者のみの利用を求めています。対象は個人データであり、サプライヤー全般ではありません。
• HIPAA は、お客様に代わって ePHI を取り扱う相手先とのビジネスアソシエイト契約（§164.308(b)(1)、§164.314(a)）を求めています。
• NIS2 はサプライチェーンセキュリティを独立した対策として扱っており（第21条(2)(d)）、実施規則は、サプライチェーンセキュリティポリシー、サプライヤー選定基準、契約上のセキュリティ要件を求めています（ポイント5.1および5.2）。その際、サプライヤー自身のセキュリティ対策と脆弱性を考慮することとされています。
• NIST CSF 2.0 が最も踏み込んでおり、「統治する」機能の下に、サイバーセキュリティサプライチェーンリスク管理に関する10のサブカテゴリを定めています。プログラムの確立から、ライフサイクル全体を通じたサプライヤー管理までを対象としています。
• CMMC Level 2 にはサプライヤーに関する実践項目はありません。サブ契約者への要件の伝達（フローダウン）は契約条項から生じます。Essential Eight はサプライヤーを扱っていません。

効果的なプログラムの姿

1. サプライヤーの一元的な棚卸し（各サプライヤーがアクセスできる対象と、その重要度を含む）。
2. 段階的なデューデリジェンス：機密データやシステムにアクセスできるサプライヤーにはより多くを、それ以外には少なく実施します。サービスの範囲をカバーしている場合は SOC 2 レポートや ISO 認証を受け入れてもよいですが、その範囲は必ず確認してください。
3. 契約上の要件：セキュリティ上の義務、お客様への侵害通知、監査権、契約終了時のデータ返却または削除（個人データが関係する場合は GDPR 第28条の条項）。
4. 監視は階層に応じて行います。重要なサプライヤーには年次レビューを実施します（PCI DSS がサービスプロバイダーに求めているとおりです）。
5. オフボーディング：アクセス権を取り消し、データを回収または削除し、その完了を確認します。

ベンダーリスク と サプライチェーンリスク のトピックページでは、各要件とその出典をすべて掲載しています。SOC 2 レポートだけではベンダーの問いに答えられない理由 に関する記事では、サプライヤーの保証の読み解き方を扱っています。

よくある質問

NIS2はサプライチェーンセキュリティについて何を求めていますか？

第21条(2)(d)は、直接のサプライヤーおよびサービスプロバイダーとの関係におけるセキュリティ面を含め、サプライチェーンセキュリティを求めています。実施規則は、サプライチェーンセキュリティポリシー、サプライヤー選定基準、契約要件を定めています（ポイント5.1および5.2）。

CMMC Level 2ではベンダーリスク管理が必要ですか？

プログラムとしては求められていません。CMMC Level 2 は SP 800-171 Rev 2 を取り込んでおり、これは自社システム内のCUIの保護に焦点を当てています。サブ契約者への要件の伝達は、代わりに契約条項によって行われます。