共有インフラを利用する機関もリスクの責任は自ら負う

DORAの重要なサードパーティ監督体制は、金融機関およびその分野で重要と指定されたICTプロバイダーに特化して適用されます。政府機関は直接の対象外です。しかし、この仕組みが示すパターンは、政府機関が共有クラウドインフラに依存する場合にも同様に当てはまります。ベンダーに対する規制当局の監督がどこに存在していても、その関係に対する機関自身の責任が移転することはありません。

この動向を注視している一部の政府機関は、自分たちは異なる規制下にあるため、根本的な教訓は自分たちには当てはまらないと考えています。しかし、その前提は本質を見失っています。少数の重要なベンダーへの集中リスクは、それらのベンダーに依存する構造的な特性であり、特定の規制の結果ではありません。DORAの適用範囲外であっても、同じ障害リスクに危険にさらされる可能性があるのです。

要約

DORAのようなフレームワークが金融サービス分野で発展するのを見ている政府機関は、たとえ自分たちが対象外であっても、自らのベンダーリスクに直接的な教訓を得ることができます。少数の重要なベンダーへの集中と、それによって生じる説明責任は、外部の規制当局がそのベンダーを監督していないからといって消えるものではありません。ITや調達の責任者にとって、現実的な対応策は、ベンダーの集中を他業界だけに当てはまるコンプライアンス項目ではなく、継続的に管理すべきリスクとして扱うことです。

主なポイント

1. ベンダーが外部監督の対象であっても、その関係に対する機関自身の説明責任が移転することはありません。リスクを理解し管理する義務は、常に機関側にあります。
2. 少数の重要なクラウドベンダーに依存する機関は、外部組織がそのベンダーを監督しているかどうかに関係なく、集中リスクを抱えています。
3. 市民や監督機関は、契約締結時の一度きりのデューデリジェンスではなく、ベンダー監督の継続的な証拠をますます求めています。
4. ベンダー関係とその重要度の登録簿は、業界特有の義務がなくても維持する価値があります。根本的なリスクは規制とは独立して存在するからです。
5. ベンダー関係の管理を証明する義務は、誰が監督していようとも機関自身から移ることはありません。

金融サービス分野における重要サードパーティ指定の実際の意味

DORAの仕組みがなぜ存在するのかを理解することで、規制が適用されない場合でも根本的な教訓が当てはまる理由が明確になります。この指定の仕組みは、システム全体への影響や依存の集中度に基づき、多くの金融機関に同時に影響を及ぼす可能性のあるプロバイダーを規制当局が可視化できるようにするものです。

指定は個別ベンダーリスクではなく、システム全体の集中に関するもの

多くの規制対象組織が、そのプロバイダーに依存することで業界全体に混乱をもたらす可能性がある場合、そのプロバイダーが重要と指定されます。機関自身がどれほどそのベンダーに依存しているかという個別のリスクは、どの分野でも指定の仕組みが代わりに答えてくれるものではありません。

なぜ自らの説明責任は移らないのか

規制当局がベンダーを直接監督しているかどうかに関わらず、そのベンダーに依存する機関は、障害発生時に何が起こるかを理解する全責任を負い続けます。これは、機関がどの業界で活動しているかに関係なく当てはまります。

ベンダーへの外部監督は自社契約の監督ではない

たとえベンダーが全く異なる分野で厳しい規制監督を受けていても、その監督はベンダーの一般的なリスク管理を対象としており、個別の顧客の契約やエグジットプラン、依存関係を精査するものではありません。機関は、自らのデューデリジェンスを、そのベンダーとの実際の関係を確認したことのない規制当局に委ねることはできません。

集中リスクは規制の範囲とは無関係に存在する

市民向けシステムやストレージ、通信を少数のベンダーに依存している機関は、規制で明示されていなくても、金融機関が重要なICTプロバイダーに対して抱えるのと同じ構造的な集中リスクを抱えています。

規制の有無を問わず有効なベンダーリスク管理とは

DORAのサードパーティリスク体制を金融機関にとって有効にしている実践は、少数の重要なベンダーに依存するあらゆる組織を守るためにも有効です。

ベンダー関係の登録簿は「生きた記録」

どのベンダーがどの政府機能を支えているか、またその重要度を正確に把握し続けることは、業界特有の義務がなくても実施する価値があります。この作業自体が、危機に発展する前に集中リスクを顕在化させるからです。

モニタリングは一度きりではなく継続的に行う必要がある

契約締結時に一度だけデューデリジェンスを行っても、数年後のベンダーのリスク状況は把握できません。たとえ非公式であっても継続的なモニタリングこそが、ベンダー関係を「仮定」から「実際に管理されているもの」へと変えるのです。

規制当局に求められる前にベンダーリスク管理を構築する

政府機関が取るべき現実的な対応は、規制対象の金融機関が求められているのと同じ内部能力を構築することです。つまり、どのベンダーが本当に重要なのか、その依存がどれほど集中しているのか、継続的な監督の証拠がどれだけ存在するのかを常に最新の状態で把握し、それを規制のためではなく自機関を守るために実施することです。

データコントロールプレーンが継続的なベンダーリスク証跡を支援

ベンダーリスクを管理していることを証明するには、どのデータがどのベンダーやチャネルを通じて移動し、誰がどの条件でアクセスしたかを継続的に可視化できることが不可欠です。ベンダー自身の説明だけに頼るのでは不十分です。

Kiteworksのデータコントロールプレーンは、あらゆるチャネルのすべてのアクションにデータ認識型のゼロトラスト・セキュリティ制御を適用し、改ざん不可能かつ無制限の監査ログを継続的に記録してセキュリティ情報イベント管理（SIEM）ツールに直接連携します。これにより、外部の指定体制に依存せず、機関自身でベンダー監督の証拠を確保できます。シングルテナントアーキテクチャと顧客所有の暗号鍵により、最も機密性の高いやり取りの管理も第三者の監督状況に左右されません。

継続的な証拠が自機関のベンダーリスク管理をどのように支えるかを知りたい方は、カスタムデモを予約できます。