サードパーティベンダーのサイバーセキュリティリスク評価：必須の5つの質問

マーケティングコンサルタントやサプライチェーンパートナーから会計士、ITサービスプロバイダーまで、今日の組織はあらゆる想像可能なビジネス機能で、あらゆる種類のサードパーティに依存しています。

深刻なサードパーティリスクの実態

Ponemon Instituteの最近の調査によると、サードパーティ依存の意図しない帰結として、米国の組織の61%がサードパーティやベンダー起因のデータ漏洩を経験しています。57%の企業が、ベンダーのセキュリティポリシーと防御が侵害を適切に防げるかどうかを判断できず、半数未満しか、機密情報や機密情報の共有を必要とするビジネス契約締結前に、ベンダーのセキュリティとプライバシー慣行を評価していません。

したがって、同じ調査で、回答者のわずか16%しか自社を「高度に効果的」と評価していないのも不思議ではありません。実際、アウトソーシングリスクの管理を優先している組織は少数派です。

関係開始前がリスク低減の最適タイミング

サードパーティリスクを低減する最良のタイミングは、関係のまさに始まり、契約締結前です。そこで、あなたが負う可能性のあるエクスポージャーを特定し、侵害を最も効果的に回避する方法を決定するための重要な質問をする必要があります。強固なセキュリティ慣行を持つベンダーは通常、それについて話すことを厭いませんが、そうした議論を避けるベンダーは、隠し事がある可能性があります。それを踏まえ、サードパーティを検討する際に問うべき5つの質問（1つは社内向け、4つは有力候補向け）を紹介します：

1. 社内向け：サードパーティが保有・アクセスするデータとシステムは何か？

多くのサードパーティは機密データやシステムにアクセスしません。したがって、彼らが侵害を受けても、あなたへの脅威は最小限です。造園業者を例に取ると、データやシステムへのアクセスはほぼなく、施設内部へのアクセスもおそらくありません。アクセスする可能性のあるコンピュータネットワークといえば灌漑システムくらいで、それも社内システムから隔離されている可能性が高いです。したがって、この仮想的な造園業者の潜在的侵害は、ほぼ影響がないと予想されます。

対照的に、人事プロバイダー、財務システムやベンダーは全く異なります。例えば、マーケティングやビジネス戦略支援のための顧客分析開発コンサルタントを雇う場合、その主体は顧客のクレジットカード番号や自宅住所、企業財務データなど、社内データにアクセスする可能性があります。このタイプのコンサルタントは慎重に審査すべきです。

2. サードパーティはどの種類のログ記録と監視を行っているか？

ログ記録と監視は、組織が環境内のアクティビティを記録し、対応する主要な手段です。しかし、システムとネットワークのアクティビティログは冗長です。複数の多様なシステムと高帯域幅ネットワークで構成される今日のモダンなコンピューティング環境では、ログイベントの量が瞬く間に人間の管理能力を超えます。セキュリティイベントを適切に監視するには、これらのイベントを格納し、トリアージするツールの導入が必要です。ベンダーの人員とツールの選択を知ることで、セキュリティをどれだけ真剣に受け止めているかが分かります。結局、人員＋ツール＝資金＝リソース＝優先順位なのです。セキュリティを優先し、投資しているパートナーを探しましょう。

3. サードパーティは物理的・技術的アクセス制御をどう管理しているか？

アクセス制御は脆弱性を減らし、リスクを低減する一つの方法です。主に物理的と技術的の2形態があります。ハイパーコネクテッドな世界では、物理的制御の重要性を忘れがちです。サードパーティがデータを保存、処理、送信する物理的場所と、それらの場所の物理的セキュリティレベルを特定する必要があります。データがモバイルデバイスに保存される場合、それらデバイスに関連するセキュリティ制御を理解することが重要です。常に静的な物理的場所にあるとは限らないからです。

技術的アクセス制御も、システムとネットワークの評価で重要です。何人の個人があなたのデータにアクセスし、どの目的でアクセスするかを尋ねましょう。マルチファクタ認証の利用方法、管理者グループのユーザー見直し頻度、システム権限の見直し頻度、退職者のアクセス削除プロセスを理解しましょう。さらに、ネットワークセグメンテーションの慣行とツールの利用方法を学びます。例えば、本番システムをインターネットなどの他環境から隔離するためにどの制御が設けられているか？サードパーティは内部ネットワークをどうセグメント化しているか？

多くの場合、優れた物理的アクセス制御は弱い技術的制御を補完し、その逆も然りです。しかし、ベストプラクティスは、サービス提供に必要な個人のみに、データとシステムへの物理的・技術的アクセスを制限することです。緩いアクセス制御は攻撃対象領域を広げ、リスクを増大させます。

4. サードパーティはシステムのパッチ適用にどのアプローチを取っているか？

未知または未公開の脆弱性は劇的で注目を集めますが、稀です。組織がよりリスクを負うのは、既知の脆弱性です。したがって、サードパーティは既知の脆弱性を修正する堅牢なプログラムを備え、欠陥を更新し、脆弱なソフトウェアを取り除くセキュリティパッチを迅速に適用する必要があります。

主要ソフトウェアベンダーは定期的なサイクルでアップデートをリリースします。サードパーティのレビューでは、あなたのデータを処理、保存、送信するシステムが定期的かつタイムリーなアップデートを受けられ、即時対応が必要なクリティカルな脆弱性には迅速なプロセスが存在することを確信する必要があります。

5. サードパーティは独立した監査やテストを受けているか？ どのセキュリティ認証を取得しているか？

監査は組織を説明責任あるものにします。サードパーティは、SIG LiteやCSA CAIQなどの標準化されたセキュリティ質問票を完了し、最新の状態に保つことでセルフ監査を行うべきです。セルフアセスメントに加え、独立した監査により、サードパーティがポリシーと手順を遵守していることを安心できます。独立監査にはペネトレーションテストやSOC 2などがあります。業界固有の認証もあります：医療分野のHITRUST、決済処理のPCI、米国連邦政府のFedRAMPなど。すべてのケースで、独立監査は重要であり、検証された正式な情報セキュリティプログラムの維持へのコミットメントを示します。

総合的な判断でリスクをコントロール

これらの主要分野に関する議論を総合すると、ベンダーのセキュリティ姿勢を把握できます。ベンダーの回答が透明で、戦略的優先順位と積極的なデューデリジェンスを示していれば、より自信を持って前進できます。ベンダーのセキュリティ姿勢が未成熟であれば、リスクを受け入れるか、それをコントロールする他の緩和策を検討する必要があります。

データセキュリティを後回しにしないでください。製品とサービスの議論の不可欠な一部にしましょう。膨大で複雑な攻撃が蔓延する今日の環境では、サイバーセキュリティ「は」ビジネス上の問題です。あなたはリスクを理解するためにデューデリジェンスを行わなければなりません。

著者：Jeremy Haas氏は最高セキュリティ責任者、Ryan Bergquist氏はサイバーセキュリティアナリスト、LookingGlass Cyber Solutions所属。