プライム請負業者にとってクリティカルなサードパーティステータスでも変わらないこと

DORAによる重要なサードパーティ監督体制は、主に金融機関およびその分野で重要と指定されたICTプロバイダーに適用されます。防衛大手やその請負業者は直接の対象ではありません。しかし、DORAが示すパターンは、請負業者がクラウドやITベンダーに依存する場合にも同様に当てはまります。つまり、ベンダーに対する規制当局の監督が存在しても、その関係に対する請負業者自身の責任が移転することはありません。

この動向を注視している一部の請負業者は、自分たちはCMMCや輸出管理フレームワークなど、異なる規制の下にあるため、この根本的な教訓は自分たちには当てはまらないと考えがちです。しかし、その考え方は本質を見誤っています。少数の重要なベンダーへの集中リスクは、特定の規制によるものではなく、それらのベンダーに依存する構造的な特性です。請負業者がDORAの適用範囲外であっても、DORAが管理しようとしたのと同じリスクにさらされる可能性は十分にあります。

要約

DORAのようなフレームワークの進展を金融サービス分野で見ている請負業者は、自身の金融サービスやベンダーリスク管理に直接的な教訓を得ることができます。適用範囲外であっても、少数の重要ベンダーへの集中と、それによって生じる説明責任は、特定のベンダーに外部規制当局が監督していないからといって消えるものではありません。プログラムのセキュリティ責任者にとって、現実的な対応は、ベンダー集中を継続的に管理すべきリスクとして捉えることであり、他分野だけに適用されるコンプライアンス項目とみなすべきではありません。

主なポイント

1. ベンダーが外部監督の対象であっても、その関係に対する請負業者自身の説明責任は移転しません。リスクを理解し管理する義務は、常に請負業者側にあります。
2. 少数の重要なITベンダーに依存する請負業者は、外部機関による監督の有無にかかわらず、集中リスクを抱えています。
3. 規制当局や大手企業は、契約締結時の一度きりのデューデリジェンスではなく、継続的なベンダー監督の証拠を求める傾向が強まっています。
4. ベンダー関係とその重要度を記録した台帳は、分野固有の義務がなくても維持する価値があります。なぜなら、根本的なリスクは規制とは無関係に存在するためです。
5. ベンダー関係の管理を証明する義務は、誰が監督していようと請負業者自身に常に残ります。

金融サービスにおける重要サードパーティ指定の本質

DORAの仕組みがなぜ存在するのかを理解することで、規制が適用されない場合でも根本的な教訓がなぜ当てはまるのかが明確になります。この指定メカニズムは、多くの金融機関に同時に影響を及ぼし得るプロバイダーを、システミックな影響や依存の集中度に基づいて規制当局が把握できるようにするものです。

指定は個別ベンダーリスクではなく、システミックな集中度に関するもの

多くの規制対象企業が依存しているために、セクター全体に混乱をもたらし得る場合、そのプロバイダーは「重要」と指定されます。一方で、請負業者が特定ベンダーにどれだけ依存しているかという自社固有のリスクは、どの分野の指定メカニズムでも代わりに判断してくれるものではありません。

なぜ自社の説明責任は移転しないのか

規制当局がベンダーを直接監督しているかどうかにかかわらず、そのベンダーに依存する請負業者は、ベンダーが失敗した場合に何が起こるかを自ら理解する責任を全面的に負い続けます。これは、請負業者がどの分野で活動しているかを問わず当てはまります。

ベンダーへの外部監督は自社契約の監督ではない

たとえベンダーが全く別の分野で厳しい規制監督を受けていても、その監督はベンダーの一般的なリスク管理を対象としており、個々の顧客の契約やエグジットプラン、依存度までは見ていません。請負業者は、自社のデューデリジェンスを、実際の関係性を審査したことのない規制当局に丸投げすることはできません。

集中リスクは規制範囲とは無関係に存在する

プログラムシステムやストレージ、通信を少数のベンダーに依存している請負業者は、金融機関が重要なICTプロバイダーに対して抱えるのと同じ構造的な集中リスクを負っています。これは、どの規制で明示されているかどうかに関係ありません。

規制の有無を問わず有効なベンダーリスク管理の姿

DORAのサードパーティリスク管理体制を金融機関で有効にしている実務は、少数の重要ベンダーに依存するあらゆる組織を守るためにも有効です。

ベンダー関係台帳は「生きた記録」

どのベンダーがどのプログラム機能を支えているか、そしてその重要度を正確に把握しておくことは、分野固有の義務がなくても行う価値があります。この作業自体が、危機に陥る前に集中リスクを顕在化させるからです。

モニタリングは一度きりでなく継続的に行う必要がある

契約締結時に一度だけデューデリジェンスを行っても、数年後のベンダーのリスク状況は把握できません。たとえ非公式でも継続的なモニタリングこそが、ベンダー関係を「想定」から「実際に管理されているもの」へと変えるのです。

規制当局に求められる前にベンダーリスク管理を構築するには

請負業者が取るべき現実的な対応は、規制対象の金融機関が求められるのと同じ内部能力を構築することです。つまり、どのベンダーが本当に重要か、その依存度がどれほど集中しているか、継続的な監督の証拠がどのように存在するかを常に最新化し、規制要件ではなくプログラム保護のために実践することです。

データコントロールプレーンが継続的なベンダーリスク証跡を支える方法

ベンダーリスクの管理を証明するには、どのデータがどのベンダーやチャネルを通じて流れ、誰がどの条件でアクセスしたかを継続的に示せることが重要です。ベンダー自身の説明だけに頼るのではなく、これを実証できる必要があります。

Kiteworks Data Control Planeは、あらゆるチャネルの全アクションにデータ認識型のゼロトラスト・コントロールを適用し、改ざん不可能かつ制限のない継続的な監査ログを記録します。これが直接SIEMツールに連携され、外部の指定体制とは無関係に、請負業者自身によるベンダー監督の証拠となります。シングルテナントアーキテクチャと顧客所有の暗号鍵により、最も機密性の高いやり取りのコントロールも第三者の監督状況に依存しません。

継続的な証跡が自社のベンダーリスク管理にどう役立つかを知りたい請負業者は、カスタムデモを予約できます。