惰性で乗り切る第三者リスク管理はもう限界、運用の仕組み化を急げ

サイバーセキュリティの世界で、第三者リスク管理(サードパーティリスクマネジメント)は書類上では単純な作業に見えます。ベンダーを評価し、リスクを把握し、ギャップや弱点を報告し、契約に反映させて、業務を継続する――それだけのはずです。しかし現実には、そう都合よくは進みません。

私はこれまでCISOとして、エンドユーザーである購買担当者と、彼らが取引したいベンダーとの間に立つ、コンプライアンスとサイバーセキュリティの専門家という仲介的な立場を何度も経験してきました。ビジネス上の目標を阻む障害物として見られがちな、プレッシャーの大きいポジションです。

コンサルタントとしては、クライアントが正式な第三者リスク管理プログラムを、多くの場合初めて構築する支援をしています。あるいは、購買プロセスの中でかなり終盤に位置する特定の製品やサービスを評価するために、vCISOや信頼できるアドバイザーとしてのサービスを提供することもあります。この違いは重要です。セキュリティがどれだけ早く関与できるかによって、関係者全員が経験する摩擦の大きさが大きく変わってくるからです。

私が目にする最大の問題は何か。それは、セキュリティ部門が常に一番最後に知らされるという点です。

セキュリティの関与が遅すぎる問題

ビジネス部門がどのようなツールが必要かを決めます。オペレーション部門は効率化を求め、財務部門は予算を用意する構えです。そうして計画は勢いよく進んでいきます。そしてある時、誰かがこう言い出すのです。「ちょっと待ってください……サイバーセキュリティとコンプライアンスはどうなっていますか」と。この段階になって初めて、私たちの役割は本来もっと早く問うべきだった質問を投げかけることになります。このベンダーはどのようなデータに触れるのか。データはどこに保管されるのか。どのような管理策が存在し、また必要なのか。ベンダーのセキュリティ体制(および製品)は、クライアントの義務やリスク許容度と整合しているのか、といった具合です。

土壇場でブレーキをかける役回りを好んで引き受ける人はいません。しかし、正式な受付・審査プロセスが存在しない場合、第三者のサイバーリスク管理はしばしばそうした形にならざるを得ないのです。

これは私がクライアントとの間で何度も目の当たりにしてきた光景です。チームは新しいプラットフォームに期待を寄せ、当然のように迅速なゴー・ノーゴー判断を見込んでいます。ところが実際には、審査プロセスはベンダーとの何週間にもわたるやり取りに姿を変えてしまいます。質問票への回答、セキュリティ関連文書、確認のための電話会議、コンプライアンス証明の提出(あるいは未提出)、法律用語やデータフローをめぐる協議――こうしたやり取りが延々と続くのです。エンドユーザー企業側に成熟したプロセスがすでに整っていない場合、この遅延は関係者全員にとって痛みを伴うものになりかねません。ビジネス部門は摩擦を感じ、ベンダーはハードルを感じ、セキュリティ部門は未解決のリスクを見ることになります。

早期に関与するための鍵は、法務・財務、あるいは調達部門と連携し、できる限り早い段階で自分たちを巻き込んでもらうことです。これらの部門こそが、契約締結前に評価を確実に完了させるためのパートナーとなります。私の経験上、契約書に署名が済んでしまえば、第三者から行動を引き出すための交渉力は完全に失われてしまいます。成熟した評価であれば、ギャップや弱点に対処するための契約条項をあらかじめ組み込んでおくものです。望む結果を得るために機能するのは、結局のところこれしかありません。

再現可能な審査プロセスを構築する

根本的なところで私たちが目指しているのは、エンドユーザー企業がベンダー評価をめぐる仕組みを構築し、再現可能なプロセスを確立できるよう支援することです。それは、正当性を主張でき、かつ自社の事業運営と整合したプロセスでなければなりません。これは単純な製品レビューではありません。私たちは、セキュリティ、コンプライアンス、運用上の要件を、導入判断を下すための実用的なフレームワークへと落とし込む手助けをしているのです。

多くのエンドユーザー企業には、技術的な管理策、監査証跡、責任共有モデル、あるいは文書化の不備についてソリューションプロバイダーに詰め寄るだけの社内の時間、専門知識、あるいは交渉力が備わっていません。ベンダーとの間に立つ仲介者として、私たちはその地道な作業を代行します。何を尋ねるべきか、そしてその回答をどう解釈すべきかを心得ているからです。洗練されたセールストークに耳を傾けることと、コンプライアンス上持続可能な保証を得ることとは、まったく別の話です。

ここで最も重要なのは、評価のタイムラインを明確かつ一貫したものにし、購買担当者がそれを把握している状態にすることです。さらに、評価がどの段階にあるのか、それが社内チームの手元にあるのか、それとも顧客側にあるのかを、エンドユーザーが把握していることも同様に重要です。社内の予算保有者は、ベンダーから行動を引き出すための鍵を常に握っている存在です。ベンダー側は往々にして、セキュリティチームを取引の障害と見なしているからです。

適切に行えば、第三者のサイバーリスク管理はビジネスを妨げるものではありません。むしろ、クライアントが不意打ちを受けることなく、事業上のリスクも抑えながら、より速くプロジェクトを前進させるためのものなのです。

セキュリティの枠を超え、事業価値を高める

今日、予算を持つ従業員であれば誰でも、非常にタイトなスケジュールで新しいテクノロジーを導入できると考えています。しかし、これが数々の問題を引き起こしているのを私は目にしてきました。中でも最大の問題は、そもそもの事業課題を解決できていないという点です。購買担当者はインターフェース、特定の一機能、価格、あるいは営業担当者の人柄など――挙げればきりがありませんが――そうした要素に惹かれてしまいがちです。何を解決しようとしているのかを購入前にきちんと定義していないケースすら珍しくありません。

事業課題と成功基準は、購入に先立って定義しておくべきものです。そして、ベンダーが一定のセキュリティ基準を満たしている限りにおいて、セキュリティを評価基準の一つに組み込むことができます。

AIによって課題はより切迫したものに

AIは第三者リスクの世界を二つの側面から同時に揺さぶっています。一つは、ベンダー各社が自社のソリューションに猛烈な勢いでAIを組み込んでいることです。もう一つは、AIツールがIT部門の許可を得ないまま職場に持ち込まれている[シャドーAI]という状況で、こちらもセキュリティやコンプライアンスのチームに知らされる前に事が進んでしまうケースが少なくありません。要するに、セキュリティチームが最後に知らされるという昔ながらの第三者リスクの問題が、より速く、より大規模に進行しているのです。

組織が懸念を抱く理由は、AIツールが目新しいからというだけではありません。人々が一斉に使い始めてしまうこと、しかもプライバシー保護や保存期間、そのデータで学習したモデルが他のユーザーからもアクセス可能になるかどうかといった点について何ら検証されていないシステムに、機密性の高い事業データを平然と入力してしまうことが問題なのです。だからこそ、先手を打ったベンダーガバナンスがこれまで以上に重要になります。受付・評価のための事前プロセスが存在しなければ、組織は常に後手に回って対応することになります。

ここが、多くの企業が期待値をリセットすべきポイントです。第三者のサイバーリスク管理は継続的なプロセスであり、調達部門の片手間仕事として機能するものではなく、かといってセキュリティ部門だけで完結させられるものでもありません。事業全体を通じて運用の仕組みとして組み込む必要があります。これを最もうまくやっている組織は、新規ベンダーを迎え入れるためのワークフローを整え、データ露出のリスクを早期に特定し、審査の責任範囲を明確にし、契約締結前に例外事項を洗い出しています。

後手に回っている企業は、その場しのぎの奮闘に頼りがちです。誰かがリスクに遅れて気づき、異なるタイムゾーンにいる二者から大慌てで資料をかき集め、限られた情報の中で妥当な判断を下そうとしながらベンダーに回答を迫る――そんな具合です。一度や二度ならそれでうまくいくかもしれませんが、それはプログラムとは呼べません。

取るべき対策はシンプルです。緊急事態が発生する前にプロセスを構築しておくこと。受付業務を誰が担うのかを把握しておくこと。セキュリティがどの段階で関与するのかを把握しておくこと。どのような証跡が必要とされるのかを把握しておくこと。そして、AIツールが職場に入り込む前に、それらをどう評価するのかを理解しておくことです。

コンプライアンス上の要請、業務上の現実、そしてテクノロジー導入のスピードという三つの要素をバランスよく両立させることで、企業は自信を持って、依存するベンダーについての意思決定を下せるようになります。

現実には、データ保護に長けたベンダーもいれば、そもそもそのことをまともに考えたことすらないベンダーもおり、その中間にあたるあらゆるタイプのベンダーが存在します。優れたプロセスの目的は、自分たちが相手にしているのがどのタイプのベンダーなのかを見極め、いかなるリスクについても責任を取らせることにあります。

成熟した第三者リスクプログラムが備える最も重要な特徴の一つでありながら、最も見過ごされがちなのが、契約を活用してベンダーに責任を取らせるという点です。この工程を欠いた第三者プログラムが期待通りの成果を生むことはめったにありません。要求事項に金銭的な裏付け、いわば「牙」が備わっていないからです。

第三者リスク管理とは、摩擦をなくすことではなく、それを実質的な効果を生む適切な場所へと移し、管理可能な形に整理することにほかなりません。

本記事はFoundry Expert Contributor Networkの一環として掲載されています。
参加をご希望ですか?