Published: 06 July 2023
経営層のサイバー攻撃への懸念が高まっている。特にベンダーを踏み台にした攻撃のリスクが高いが、有効な対策を見いだせない企業が少なくない。ソーシング／調達／ベンダー管理のリーダーは、ビジネスがサイバー攻撃にさらされないよう、セキュリティ／リスク・マネジメントのリーダーと協働して自社に妥当なリスク評価基準を定義し、体系的かつ合理的にリスク低減策を実行すべきである。
Gartnerが2022年に、日本を含むグローバルで実施した「取締役の視点」調査では、取締役の88%がサイバーリスクをビジネス上深刻な問題として捉えている。一般的に、ベンダーを踏み台にしたサイバー攻撃によるセキュリティ事故では、自社が直接攻撃を受ける場合に比べ復旧コストが40%増加する。
サイバーリスクへの対処を検討する上でCIOや最高情報セキュリティ責任者 (CISO) を悩ませているのは、いかなる施策を講じてもリスクを抑止する完璧な保証がないことである。このため、どこまで備えるのが妥当かの判断に悩んでいる。
経営層の高い期待に応えるため、多くの企業が、すべてのベンダーに対して高レベルで画一的な施策を講じようとする。その結果、膨大な作業量となってしまい、かえって対策の品質の低下を招きがちになる。
これに加え、リスク評価の頻度にも課題がある。一般的に、企業が行うのは、取引開始時や年次といった定点評価が多い。しかしこの方法では、刻一刻と変化するベンダーのリスクを適時に把握できず、深刻なセキュリティ面での脆弱性が長期間放置される可能性がある。
ソーシング／調達／ベンダー管理 (SPVM) のリーダーはセキュリティ／リスク・マネジメントのリーダーと協働して、以下を行う。
社内のステークホルダー部門と共に、サイバーリスク対策の対象とするベンダーの範囲を特定する。同時に、ベンダーに要求する最低限のセキュリティ水準を定義する。定義した内容は文書化し、自社のサイバーリスク対策ポリシーとしてまとめる。
最小限の労力で効果的にサイバーリスクを評価するため、リスク対策の対象となったベンダーを、取り扱うデータや委託業務の重要性によりレベル分けする「トリアージ・アプローチ」を採用する。このレベルに応じてリスク評価密度の重み付けを行う。
リスク評価で発覚したベンダーの不備に対し、有効な対策を即時に講じられるよう事前に準備する。自社で想定される、ベンダーがもたらす典型的なサイバーリスクのパターンおよび、対策の選択肢をあらかじめ洗い出しておく。
刻一刻と変化するベンダーのリスクを適時に検知するため、ベンダーのデータ取扱場所の変更や再委託先の追加といった「状態変化」について、ベンダーに事前報告を徹底させる。
Analysts:
Gartner research, which includes in-depth proprietary studies, peer and industry best practices, trend analysis and quantitative modeling, enables us to offer innovative approaches that can help you drive stronger, more sustainable business performance.
Our independence as a research firm enables our experts to provide unbiased advice you can trust.
Not only is Gartner research unbiased, it also contains key take-aways and recommendations for impactful next steps.
Our research practices and procedures distill large volumes of data into clear, precise recommendations.
We provide actionable, objective insight to help organizations make smarter, faster decisions to stay ahead of disruption and accelerate growth.
We offer one-on-one guidance tailored to your mission-critical priorities.
We work with you to select the best-fit providers and tools, so you avoid the costly repercussions of a poor decision.
Connect directly with peers to discuss common issues and initiatives and accelerate, validate and solidify your strategy.
Gartner clients can log in to access the full library.
Join your peers for the unveiling of the latest insights at Gartner conferences.
©2022 Gartner, Inc. and/or its affiliates. All rights reserved. Gartner is a registered trademark of Gartner, Inc. and its affiliates. This publication may not be reproduced or distributed in any form without Gartner’s prior written permission. It consists of the opinions of Gartner’s research organization, which should not be construed as statements of fact. While the information contained in this publication has been obtained from sources believed to be reliable, Gartner disclaims all warranties as to the accuracy, completeness or adequacy of such information. Although Gartner research may address legal and financial issues, Gartner does not provide legal or investment advice and its research should not be construed or used as such. Your access and use of this publication are governed by Gartner’s Usage Policy. Gartner prides itself on its reputation for independence and objectivity. Its research is produced independently by its research organization without input or influence from any third party. For further information, see Guiding Principles on Independence and Objectivity.
