あなたのベンダーの問題が自社の問題に：重要なサードパーティ指定がもたらす本当の変化

はじめに

欧州の規制当局が特定のICTプロバイダーをDORAの下でクリティカルと指定し始めた際、一部の組織は「ベンダーが直接監督される＝自社のコンプライアンス作業が減る」と好意的に受け止めました。しかし、実際は逆です。指定されることでベンダーは規制当局の厳しい監視下に置かれますが、金融機関自身の責任が移ることはありません。

この違いは、多くの組織が当初考える以上に重要です。クリティカルプロバイダーへの直接監督は、そのプロバイダーのリスク管理に対する規制当局の可視性を高めますが、そのプロバイダーのサービスに障害が発生し、金融機関が適切に関係を管理できていなかった場合の責任が誰にあるかは変わりません。本記事では、クリティカルサードパーティ指定によって何が変わり、何が変わらないのか、そして今後組織がベンダーリスクをどのように管理すべきかを解説します。

• ポイント1: クリティカルサードパーティ指定により、ベンダーは直接的な規制監督下に置かれますが、そのベンダーとの関係管理に関する金融機関自身の責任は移りません。
• ポイント2: クリティカルプロバイダーのリストは時間とともに変化します。プロバイダーの影響範囲が拡大すれば追加され、縮小すれば削除されるため、ベンダーリスクの静的な評価はすぐに陳腐化します。
• ポイント3: 集中リスクは、指定されていないベンダーにも同様に当てはまります。まだクリティカルリストに載っていないプロバイダーでも、組織の業務にとって単一障害点となる可能性があります。
• ポイント4: 規制当局は、継続的なサードパーティリスク管理の証拠を求めており、一度きりの評価では不十分です。契約内容の登録やモニタリング活動の記録は、継続的に維持する必要があります。
• ポイント5: 指定によって変わるのはベンダーの監督体制であり、組織自身が統制を証明する義務は変わりません。金融機関は、第三者がもたらすリスクを理解し管理していることを自らの証拠で示す必要があります。

要約

クリティカルICTサードパーティプロバイダーへの直接的な規制監督はDORAの下で最も目立つ動きの一つですが、多くの場合、これが金融機関のコンプライアンス負担を軽減するものと誤解されています。実際はそうではありません。この指定メカニズムは、規制当局と最大規模・最も相互接続されたプロバイダーとの継続的な連携を通じて、金融セクター全体のシステミックな集中リスクを管理するために存在します。個々の金融機関がそのプロバイダーの利用を十分に評価・記録・監視しているか、あるいはそもそもクリティカル指定に至らない多くのプロバイダーの利用をどう管理しているかについては、何も語っていません。リスクおよびコンプライアンスの責任者にとっての実務的な結論は、サードパーティリスク管理は、誰がベンダーを監督していようと、組織自身の責任であるということです。

クリティカルサードパーティ指定が実際に変えること

この指定メカニズムは、多くの金融機関に同時に影響を及ぼしうるプロバイダーについて、規制当局が可視性を持つことを目的としています。システミックな影響、当該プロバイダーへの依存度の集中、サービスの代替容易性などの要素が考慮されます。

指定はシステミックな集中リスクを対象とし、個別ベンダーリスクではない

プロバイダーがクリティカルに指定されるのは、多数の金融機関がそのサービスに依存しており、障害発生時に業界全体に混乱をもたらす可能性があるためです。個々の組織の契約が特にリスクが高いからではありません。この評価は金融システム全体のレベルで行われます。同じプロバイダーに対する個別組織の依存度や利用方法、代替手段の有無は、指定では答えが出ない別の問題です。

リストは変動するため、ベンダーリスク評価は静的ではいけない

指定プロバイダーは定期的に再評価され、リストも随時更新されます。影響範囲が拡大すれば追加され、状況が変われば削除されます。また、プロバイダー自身が自主的に指定を申請することも可能です。「自社のベンダーがクリティカルリストに載っているか」を一度だけ確認して終わりにすると、その答えはすぐに古くなり、誰も知らせてくれないまま変わってしまうこともあります。

なぜ自社の責任は移らないのか

規制当局によるクリティカルプロバイダーの監督と、組織自身がそのプロバイダーとの関係を管理する義務は、同じベンダーを対象にしていても全く別の義務です。

ベンダーへの直接監督は自社契約の監督ではない

規制当局がクリティカルプロバイダーと直接やり取りする際、評価しているのはそのプロバイダー自身のリスク管理やガバナンス、レジリエンスの全般的な実践です。個々の金融機関の具体的な契約内容や、プロバイダーの障害時の退出計画、そのサービス低下時に何が起こるかの把握状況などは見ていません。それらは金融機関自身が行うべき作業であり、規制当局が金融機関を直接調査する際には、その証拠を求められることになります。

指定されていないプロバイダーにも集中リスクは残る

指定は金融セクター全体のレベルで行われるため、指定の基準にわずかに届かないプロバイダーでも、特定の組織にとっては深刻な単一障害点となり得ます。「クリティカルリストに載っていない＝低リスク」と考えるのは、業界全体の評価と組織固有の評価を混同しています。個々の金融機関にとって重要なのは、自社が何に依存しているかであり、業界全体が何に依存しているかではありません。

規制当局が組織に実際に求める証拠とは

特定のベンダーがクリティカルに指定されているかどうかに関わらず、金融機関は自社が依存するICTサードパーティについて、継続的かつ証拠に基づいた理解を維持することが求められます。

情報登録簿は「生きた記録」であり、スナップショットではない

ICTプロバイダーとの契約内容や、それぞれが担う機能、その重要度などを正確に記録した登録簿を維持することは、一度だけ監査用に作成すればよい文書ではなく、継続的な義務です。ベンダーとの関係が変化したり、下請けが追加されたり、新たなサービスが始まった場合は、登録簿も常に最新に保つ必要があります。これは、規制当局が組織に対して自社のサードパーティ状況を説明する際に最も重視する証拠となります。

モニタリングは継続的でなければ証拠にならない

契約締結時に一度だけ実施したデューデリジェンスでは、継続的なリスク管理を示すことはできません。規制当局は、サードパーティとの関係に対する継続的なモニタリングを求めており、組織はベンダーのパフォーマンスやセキュリティ体制について、実際に観察した内容を時系列で記録しておく必要があります。単なる一時的な評価を保管しておくだけでは不十分です。

規制監査に耐えるサードパーティリスク管理の構築

クリティカルサードパーティ指定への実務的な対応は、指定されていないベンダーの監督を緩めたり、指定されたベンダーを「他人事」と考えたりすることではありません。重要なのは、どのプロバイダーがどの機能を支えているか、その依存度がどれほど集中しているか、継続的なモニタリングの証拠がどれだけあるかを常に把握できる社内体制を構築することです。これにより、規制当局から特定のベンダー関係について問われた際にも、慌てて証拠を集める必要がなく、すぐに説明できる状態を維持できます。

データ制御プレーンによる継続的なサードパーティリスク証拠の支援

サードパーティICTリスクの統制を証明するには、どのデータがどのベンダーやチャネルを通じて、誰がどの条件でアクセスしたかを継続的に示せることが重要です。ベンダー自身の説明や定期的な手動レビューに頼るのではなく、メール、ファイル共有、API、AIエージェントなど、機密データが通過するすべてのチャネルを横断するガバナンスレイヤーが、組織独自のサードパーティ監督の証拠基盤となります。これは、その年にどのプロバイダーがクリティカル指定されているかに関係なく、有効です。

Kiteworksのデータ制御プレーンは、すべての送信・共有・アクセスアクションにデータ認識型のゼロトラスト・コントロールを適用し、改ざん不可能かつ制限のない監査ログとしてすべてを記録し、セキュリティ情報イベント管理（SIEM）ツールに直接連携します。DORAの下でICTサードパーティリスクを管理する組織にとって、これは実際に利用しているベンダーやチャネルを通じて機密データがどのように流れているかを正確に記録し、どのベンダーの指定状況にも左右されない独立した証拠を継続的に提供することを意味します。シングルテナントアーキテクチャと顧客所有の暗号鍵により、最も機密性の高いやり取りに対する組織自身の統制も、第三者の監督状況に依存しません。

自社のICTサードパーティリスク義務に対し、継続的かつチャネル横断的な証拠がどのように役立つかを確認したい組織は、カスタムデモを予約し、現状のベンダー環境にどのように適用できるかをご覧いただけます。