1. 実環境での評価とテスト
2. 監査の自動化
3. リスク管理の重要性の周知

1．実環境での評価とテスト

　第一に、第三者のリスク管理では、現場に関わる重要なリスク評価を増やす必要がある。Nemertes Researchの報告書「Nemertes 2019-2020 Cloud and Cybersecurity Research Study: Cybersecurity」（2019～2020年のクラウドとサイバーセキュリティに関する調査）によれば、現場のリスク評価を実施している組織は14％しかない。この状況は、少なくとも組織が重要だと考えるサービスについては、変える必要がある。

　その実例として、報道機関Bloombergは2018年10月、Amazon.comがSuper Micro Computer（Supermicro）のサーバボードにあるマイクロチップで問題を検出したと伝えた。このマイクロチップはサーバにマルウェアを仕込む目的で、中国の攻撃者が不正に挿入したとBloombergは推測している。Amazon.comはこのハッキングを、米軍の主要情報機関と契約していた動画圧縮ソフトウェアの新興ベンダーElemental Technologiesを買収する過程で、実環境での検証中に発見したという。

　大きな利害関係が絡む場面では、書類監査におけるベンダーの言葉をそのまま信じてはいけない。ハードウェアは物理的な、ソフトウェアは実践的なテストを実環境において実施する必要がある。

2．監査の自動化

　第二に、そうした監査およびそれにまつわる業務を自動化する必要がある。Nemertes Researchの調査によれば、調査対象の組織の半数以上（58％）は第三者のベンダーに対して1回限り、または年に1度しか、チェックリストによる書類監査を実施していなかった。それでは十分とはいえない。

　市場には自動リスク管理やリスク評価のツールが幾つも存在していて、新興ツールも日々登場している。UpGuard、Optiv Security、NAVEX Global、Capterraといったセキュリティベンダーは、このプロセスの自動化を支援する。理想的には、第三者が技術、プロセス、ポリシーに重要な変更を加える際は、あらかじめリスク管理の専門家に連絡するとともに、その変更を自動でリスク評価に反映する必要がある。こうしたツールは、その作業を支援する。

3．リスク管理の重要性の周知

　第三に、最も重要なこととして、リスク管理そのものを重要だと位置付けることだ。組織にこの認識がない限り、上述の対策はいずれも実現できない。Nemertes Researchの調査では、調査対象の組織の23％が、ワークロードをオンプレミスあるいはクラウド環境のどちらで処理するかの判断材料として、リスクを重要な要素と位置付け、10段階中の「10」と評価した。ただし第三者のリスク管理に照準を絞った技術ノウハウや、経営陣の支持を受け十分な予算を持つ専門チームを保有する組織は、決して多くない。

結論

　リスク管理は重要だ。もしもまだ第三者のリスク評価に、チェックリスト方式を中心とする手作業の書類監査を使っているのであれば、自動化と実地評価を組み合わせたアプローチを検討する必要がある。手作業を伴う第三者のリスク管理に不安がある組織は、現場でのリスク評価と自動化を取り入れた戦略について再考しなければならない。