Scytaleは、自社のVendorsモジュール内で最新のAI活用型サードパーティリスク管理(TPRM)機能をリリースしたと発表しました。今回の拡張により、ベンダーリスク管理は定期的なレビュー作業から、継続的に更新されるベンダーリスクインテリジェンスエンジンへと進化し、セキュリティ・GRCチームはエコシステム内のすべてのベンダーについて最新の状況を把握できるようになります。
ScytaleのAI GRCプラットフォームは、複数のコンプライアンスフレームワークにわたりベンダーの発見、リスクスコアリング、証跡収集を自動化します。(出典:Scytale)
今回の拡張は、サードパーティ経由の侵害リスクが主要な攻撃ベクトルになりつつある中での発表です。Verizonの「2026年版データ漏洩調査報告書」によると、すべての侵害のうち48%にサードパーティが関与しており、侵害におけるサードパーティの関与は前年比で60%増加しています。
同時に、ベンダーのエコシステムはセキュリティ・GRCチームが手作業でレビューできる速度を上回るペースで拡大しています。各部門が独自に新しいツールを導入する一方、既存ベンダーのセキュリティ体制・認証・リスクエクスポージャーは年次評価の合間に変化していくためです。時点評価型のアンケートや静的なスプレッドシートには抜け漏れが生じやすく、監査担当者や企業顧客、取締役会はこうしたギャップを証跡によって埋めることを組織にますます求めるようになっています。
Scytaleの新しいTPRM機能は、顧客がすでに利用しているVendorsモジュールの中でこのギャップを埋めることを目指しています。
Vendorsモジュールの主要機能
- ベンダーの自動発見: Scytaleは、顧客のSSOプロバイダーや連携済みの統合サービス、その他の接続システムからベンダーを発見し、環境の変化に応じて更新されるベンダーインベントリを構築します。該当するベンダーには正式なセキュリティレビューとリスクティアが割り当てられるため、ベンダーの裾野が広がっても監視体制が後手に回ることはありません。
- AIによるベンダー情報の拡充: これまでベンダープロファイルの構築には、トラストセンターやウェブサイト、ベンダー提供の文書などから企業情報、セキュリティ体制、認証、コンプライアンス状況を調べる作業が必要でした。ScytaleのAIデータチェーンはこれらの情報を自動的に収集・入力し、手作業でのリサーチサイクルを経ることなく、証跡に裏付けられたプロファイルを作成します。
- 動的なリスクスコアリング: すべてのベンダーには、拡充されたデータ、セキュリティ体制シグナル、認証、アンケート回答をもとに生成されたリスクスコアが付与されます。スコアは新しい情報が入るたびに更新されるため、リスクティアはオンボーディング時点ではなく、現時点でのベンダーの状況を反映します。
- 継続的なセキュリティ体制モニタリング: ScytaleはサードパーティのセキュリティインテリジェンスAPIを利用し、侵害、データ漏洩、脆弱性といったセキュリティインシデントについてベンダーを監視します。検知されたインシデントは深刻度、発生日、情報源とともにベンダープロファイル上に直接表示され、正式なレビューサイクルの合間にもチームに可視性をもたらします。
- プロアクティブな通知: 監視対象ベンダーでセキュリティインシデントが検知されると、Scytaleは顧客のチームにメールで通知し、エクスポージャーを評価してベンダーが事業全体にもたらすリスクを再評価するためのリードタイムを提供します。
- 自動生成されるセキュリティレポート: 監査、顧客によるデューデリジェンス、経営層への報告に向けて、Scytaleは任意のベンダーについてセキュリティレポートを生成できます。このレポートには拡充データ、リスクスコア、モニタリング履歴、レビュー結果が単一の説得力ある文書として統合されます。
- 一元化された監査対応可能なベンダーレビュー: セキュリティアンケートの送付、文書の収集、期限に対するレビュー状況の追跡は、引き続きScytaleがベンダーレビューを支援する中核機能です。今後は情報拡充、スコアリング、モニタリングのデータがこのレビュープロセスに直接反映されるため、手作業による証跡収集の手間が減り、レビュー担当者は判断の根拠となるより完全なリスク像を得られます。
今回のTPRM機能は、SOC 2、ISO 27001、GDPR、HIPAA、SOX ITGCをはじめとする各種セキュリティ・プライバシー・AIフレームワークにまたがるクロスフレームワークのコントロールマッピングや、企業が顧客・見込み客に対して自社のセキュリティ・コンプライアンス体制を示すために利用するカスタマイズ可能なTrust Centerなど、Scytaleプラットフォームの他の機能とも連携します。Vendorsモジュールを通じて収集されたベンダーの証跡は、これらのフレームワークにおけるコントロール要件をサポートするため、サードパーティに対する監視が監査対応とは別に並行して進むのではなく、監査対応そのものに貢献する形になります。
今回の追加機能は、コンプライアンスプログラムのあり方に生じているより大きな変化を反映しています。ベンダー監視はこれまで手作業に頼る、時間のかかる、断片化した業務であることが多く、監査や契約更新の時期に合わせて行う年次のチェックリスト作業として扱われがちでした。Scytaleはこれを、一元化・カスタマイズ・自動化・体系化された単一のプログラムへと転換します。
ベンダー数が数百単位に達し、AIツールがサプライチェーンに入り込みつつある中では、こうした従来型のモデルでは観測されないリスクが長期間にわたって放置されてしまいます。継続的な発見、情報拡充、モニタリングによって、サードパーティリスクへの対応は、組織がすでに自社の内部統制を管理しているのと同じように、証跡を伴いながら継続的に行われる体制へと近づいていきます。
翻訳元: https://www.helpnetsecurity.com/2026/09/10/scytale-ai-third-party-risk-management-capabilities/
