概要
サードパーティリスク管理（TPRM：Third-Party Risk Management）とは、自社が業務委託やサービス利用を行う外部の取引先・ベンダー・パートナーに起因するセキュリティリスクを体系的に特定・評価・管理するプロセスです。クラウドサービスやSaaSの普及により、企業のITサプライチェーンは複雑化しており、サードパーティ経由のセキュリティインシデントは年々増加しています。
TPRMでは、ベンダー選定段階でのデューデリジェンス（Due Diligence）から、契約期間中の継続的モニタリング、契約終了時のオフボーディングまで、ベンダーライフサイクル全体を通じたリスク管理を実施します。標準的な評価手法として、SIG（Standardized Information Gathering）やCAIQ（Consensus Assessments Initiative Questionnaire）などのセキュリティ質問票が広く活用されています。
効果的なTPRMプログラムを構築するには、リスクベースのアプローチが不可欠です。すべてのベンダーに同一レベルの評価を実施するのではなく、アクセスするデータの機密性やビジネスへの影響度に応じてベンダーをティア分類し、高リスクベンダーにはより詳細な評価と頻繁なモニタリングを実施します。これにより、限られたリソースを効率的に配分しつつ、重要なリスクを確実に管理できます。
詳細解説
ベンダーデューデリジェンス（Vendor Due Diligence）
ベンダーデューデリジェンスは、新規ベンダーとの契約前に実施する包括的なセキュリティ評価プロセスです。財務状況の確認、セキュリティ認証（ISO 27001、SOC 2等）の取得状況、過去のインシデント履歴、事業継続計画の整備状況などを多角的に評価します。
評価の深度はベンダーのリスクティアに応じて調整します。Tier 1（最高リスク）のベンダーには、オンサイト監査やペネトレーションテスト結果の確認を含む詳細な評価を実施し、Tier 3（低リスク）のベンダーには、自己評価アンケートによる簡易評価で対応します。
SIG/CAIQセキュリティ質問票
SIG（Standardized Information Gathering）は、Shared Assessmentsが策定した業界標準のベンダーリスク評価質問票です。情報セキュリティ、プライバシー、事業継続性、コンプライアンスなど18のリスクドメインを網羅し、SIG Liteとして簡易版も提供されています。
CAIQ（Consensus Assessments Initiative Questionnaire）は、CSA（Cloud Security Alliance）が策定したクラウドサービス向けの評価質問票です。クラウド特有のリスク領域を重点的にカバーしており、CSAのSTAR（Security, Trust, Assurance, and Risk）プログラムと連動してクラウドベンダーの透明性を向上させます。
継続的モニタリング（Continuous Monitoring）
初回のデューデリジェンスだけでは、時間の経過とともに変化するベンダーのリスクプロファイルを把握できません。継続的モニタリングでは、セキュリティレーティングサービス（BitSight、SecurityScorecard等）を活用して、ベンダーの外部公開資産のセキュリティ状態をリアルタイムに監視します。
また、ベンダーが公開するセキュリティインシデント情報、規制当局からの制裁情報、財務状況の変化なども監視対象とし、リスクレベルの変化に応じて評価の見直しや契約条件の再交渉を行います。
契約におけるセキュリティ要件
TPRMにおいて、契約書へのセキュリティ要件の明記は極めて重要です。データ保護要件、インシデント通知義務（発見から何時間以内に通知するか）、監査権（Right to Audit）、下請け先の管理義務、契約終了時のデータ返却・削除要件などを具体的に規定します。
特にクラウドサービスの契約では、データの保管場所（データレジデンシー）、暗号化要件、アクセス制御、ログの保持期間、SLAに基づく可用性保証など、技術的要件を明確にすることが重要です。
集中リスクとフォースパーティリスク
集中リスク（Concentration Risk）とは、重要な業務が少数のベンダーに依存することで生じるリスクです。特定のクラウドプロバイダーに過度に依存する場合、そのプロバイダーの障害が自社の事業全体に波及する可能性があります。
フォースパーティリスク（Fourth-Party Risk）は、自社のベンダー（サードパーティ）がさらに利用する外部サービス（フォースパーティ）に起因するリスクです。サプライチェーンの深層に存在するリスクを可視化し、管理することはTPRMの高度な課題の一つです。
セキュリティ対策
- 01リスクベースのベンダーティア分類を実施：すべてのベンダーをデータアクセス範囲・業務重要度・データ機密性に基づきTier 1〜3に分類し、各ティアに応じた評価の深度・頻度・モニタリング要件を定義してください。高リスクベンダーには年次のオンサイト監査を含む詳細評価を実施しましょう。
- 02標準化されたセキュリティ質問票の活用：SIG、CAIQ、またはVSAQ（Vendor Security Assessment Questionnaire）などの業界標準の質問票を採用し、ベンダー評価の一貫性と網羅性を確保してください。独自の質問票を使用する場合も、業界標準をベースにカスタマイズすることを推奨します。
- 03継続的モニタリングの自動化：SecurityScorecardやBitSight等のセキュリティレーティングサービスを導入し、主要ベンダーのセキュリティ態勢をリアルタイムに監視してください。スコアの急激な低下やインシデント発生時には自動アラートを設定し、速やかに対応できる体制を整備しましょう。
- 04契約にセキュリティ条項を必須化：ベンダー契約にデータ保護、インシデント通知（72時間以内等）、監査権、サブプロセッサーの管理義務、契約終了時のデータ処理を明記してください。SLA違反時のペナルティ条項も規定することで、ベンダーの履行を担保しましょう。
- 05集中リスクの評価と軽減策の策定：重要な業務が特定のベンダーに過度に依存していないかを定期的に評価し、代替ベンダーの確保やマルチクラウド戦略の採用など、集中リスクの軽減策を講じてください。フォースパーティのリスクも可視化し、サプライチェーン全体のレジリエンスを高めましょう。
- 06ベンダーオフボーディングプロセスの整備：契約終了・解除時のデータ返却・削除、アクセス権の即時無効化、物理的資産の回収、機密情報の取扱いに関する確認手順を標準化してください。オフボーディング完了後は、データ削除証明書の取得やアクセスログの確認を行い、残存リスクがないことを検証しましょう。
事故事例
📋 SolarWinds サプライチェーン攻撃（2020年）
2020年、IT管理ソフトウェアベンダーSolarWindsのOrion製品がサプライチェーン攻撃の被害を受けました。攻撃者はSolarWindsのビルドシステムに侵入し、正規のソフトウェアアップデートにバックドア（SUNBURST）を埋め込みました。
このマルウェアを含むアップデートは約18,000の組織にインストールされ、米国政府機関やMicrosoft、FireEye等の大手企業が影響を受けました。サードパーティ製ソフトウェアの信頼性検証とサプライチェーン全体のセキュリティ管理の重要性を世界に示した事件です。
📋 Target社 空調ベンダー経由の大規模情報漏洩（2013年）
2013年、米国小売大手Target社において、空調管理ベンダーのFazio Mechanical Servicesの認証情報が窃取され、同社のネットワークへの侵入経路として悪用されました。攻撃者はベンダーアクセス経由でPOSシステムにマルウェアを展開しました。
結果として約4,000万件のクレジットカード情報と約7,000万件の個人情報が漏洩し、Target社は約2億9,200万ドルの損害を被りました。サードパーティのアクセス管理とネットワークセグメンテーションの不備が根本原因として指摘されています。
📋 Kaseya VSAランサムウェア攻撃（2021年）
2021年、IT管理ソフトウェアベンダーKaseyaのVSA製品の脆弱性がREvilランサムウェアグループに悪用されました。攻撃者はKaseyaのサーバーを介してMSP（マネージドサービスプロバイダー）が管理する顧客環境にランサムウェアを配布しました。
この攻撃により、世界中で約1,500の組織がランサムウェアの被害を受けました。MSPという信頼されたサードパーティを攻撃の踏み台にすることで、一度の攻撃で大量の組織に被害を及ぼすサプライチェーン攻撃の典型的な事例となりました。