第三者のリスクとパートナー監査

1）なぜ、誰のために

目標：外部サプライヤーやパートナーを通じて発生する障害、漏洩、規制違反の可能性を低減する。
カバレッジ：PSP/決済ゲートウェイ、CCM/制裁/RAP、不正防止、ゲームプロバイダーとスタジオ、アフィリエイトネットワークとトラッキング、クラウド/CDN/ホスティング、 BI/分析、保持ツール/マーケティングSDK、コールセンター、およびベンダーのサブプロセッサー。

2）リスクカテゴリ（ドメインマップ）

情報セキュリティとプライバシー：PII/KYC/決済トークンの漏洩、弱いTOM、 WORM/監査の欠如。
コンプライアンス：GDPR/UK GDPR/ePrivacy、 AML/KYC、 PCIゾーン、管轄区域の広告/ゲーム要件。
運用：可用性/SLA、濃度、弱いBCP/DRR。
金融：サプライヤーの安定性、信用リスク、チャージバック・ショック。
制裁/地政学：輸出/輸入制限、データセンターの位置、所有構造におけるREP/制裁。
評判と法的：広告/責任あるプレーの違反、知的財産権。
テクニカル：SDK/APIの脆弱性、バージョン管理およびテスト環境の欠如。

3）サプライチェーンマッピング

1.インベントリ：所有者（ビジネスオーナー）を持つすべてのベンダー/パートナー/サブプロセッサの単一のレジスタ。
2.データマップ：どのデータ/管轄/ボリュームが誰を通過するか；PIIフラグ/ファイナンス/特別カテゴリ。
3.Criticality： money/PII/uptimeへの影響によって分類される。

4）ベンダーの疲れ（例の基準）

5）リスクスクリーニングとスコアリング

要因：セキュリティ（ポリシー、認証）、プライバシー（DPA/SCCs/DTIA）、コンプライアンス（AML/PCI/ISO）、オペレーショナルレジリエンス（SLA/BCP/DR）、ファイナンス（監査/報告）、管轄/制裁、事件履歴、技術的成熟度（So DLC/DevSec Ops）。
スコアリング（例）：各ファクターの0-5→重み付け合計（W）→ゾーン：緑/黄/赤。

• グリーン：標準的な契約。
• Amber： Go-Liveへのコントロール/修復。
• 赤：エラーまたは追加の対策（セグメンテーション、スロットリング、読み取り専用、エスクロー、制限の削減）を備えたパイロット。

6）デューデリジェンス（入り口で必要なもの）

• セキュリティ/プライバシーポリシー、RoPA、サブプロセッサレジストリ。
• 監査レポート/認証（ISO 27001/SOC 2 タイプII/PCI該当する場合）、最新の浸透試験。
• BCP/DRおよびテスト結果、RPO/RTO。
• インシデントプロシージャ（72時間通知）、12-24ヶ月のインシデントログ。
• DPA/クロスボーダーメカニズム （SCCs/IDTA）+DTIA、データ/キーのローカライズ。
• 統合の保証：mTLS/OIDC、署名されたwebhook、主回転、allow-list IP。
• アクセス/エクスポートログ、WORMコピー、ハッシュチェーン。
• 保持および削除ポリシー、オフボーディング中のバックアップの破壊の確認。
• 財務の安定性（公的報告/証明書）、所有構造（制裁/POPチェック）。

層2-3のための軽いアンケート：sSIG/CAIQレベル（20-60の質問）。

7）契約上の要件（キーポイント）

SLA/SLO：稼働時間（例：99.9％）、 P95遅延、インシデント応答時間、サービスクレジット。
セキュリティ/プライバシー補足：安静時/通過時の暗号化、鍵/地理、ロギング、マスキング、データリサイクル禁止。
DPA+サブプロセッサ：チェーン拡張を通知する義務；異議申立・監査の権利。
インシデントと通知：通知ウィンドウ≤ 72時間；ログ/アーティファクトへのアクセス;ジョイント・ウォー・ルーム。
BCP/DR：必須テストN年に一度、RPO/RTO。
ペンテスト/監査の権利：少なくとも年に1回（リモート/オンサイト）、レポートへのアクセス。
変更制御：大きな変更（SDK/API/アーキテクチャ/地理）の通知。
終了と終了：データのエクスポート（フォーマット）、削除/返却、重要な統合のためのエスクロー、X-day移行サポート。
責任/賠償：cap/cublimits、 IP保証、SLA違反/漏洩に対する罰則。

8）オンボーディング→モニタリング→オフボーディング

8.1オンボーディング

1.ビジネスケースとオーナー→引き裂く→アンケート/アーティファクト。
2.リスクレビュー（セキュリティ/プライバシー/コンプライアンス/リーガル/ファイナンス）。
3.Go-Live前のコントロール：セグメンテーション（VPC/テナント）、ロード/リミット、マスキング/トークン化、フィーチャーフラグ、テストサンドボックス。
4.契約/統合→パイロット→Go/No-Go。

8.2継続的なモニタリング

技術的な監視：稼働時間、エラー、レイテンシ、リスク予算。
セキュリティ：SIEMアラート（「目的」のない異常なエクスポート/アクセス）、ベンダーのレポート、SDKの脆弱性。
プライバシー/コンプライアンス：サブプロセッサの変更、場所、保持；DSARの互換性。
ファイナンス：コンバージョン/払い戻し/チャージバック、SLAペナルティによるKPI。
Tier 1-2および年次再デューデリジェンスの四半期レビュー。

8.3オフボーディング

キー/アクセスの取り消し、データとバックアップの破壊/リターン、行為、チケットの閉鎖、レジスタとデータマップの更新。

9）パートナー監査手順

9.1プランとエリア

焦点：アクセス管理、暗号化/キー、ログ、インシデント、BCP/DR、 DSARプロセス、サブプロセッサ。

9.2メソッド

インタビュー、ドキュメント/ログレビュー、スポットチェック、技術テスト（api-rate-limit/mTLS/signatures）、卓上演習。

9.3レポートとCAPA

知見の分類（クリティカル/ハイ/ミディアム/ロー）、修復タイミング、閉鎖制御および再テスト。

10）ベンダーでのインシデント： Playbook

1.検出：ベンダー/当社の監視/コミュニティ信号。
2.War-room：オーナー+セキュリティ+DPO+Legal+Product。
3.封じ込め：トラフィックの制限/SDK/キーの無効化、時間制限/カナリアプール。
4.フォレンジック：コールログ、Webhook署名、WORM確認、影響を受けるレコードの範囲。
5.通知：規制当局/ユーザー/銀行（必要に応じて）、共同テキスト。
6.CAPAs：修正、締め切り、有効性チェック；スコアと契約条件の改訂。

11） RACI（拡大）

12）指標（KPI/KRI）

適用範囲：100％の最新スコアを持つレジストリ内のアクティブなベンダー≥％。
評価TTM：デューデリジェンスの中央値Tier 1 ≤ 15営業日。
修復SLA：重要な発見は30日≤閉じました（≥ 95％）。
インシデント通知：ウィンドウ内の通知の割合72 h-100％。

DPA/SCC/DTIAカバレッジ： Tier 1-2-関連する100％

集中リスク：1 PSP/プロバイダあたりのトラフィック/収益のシェア≤ X％（しきい値）。
BCP/DR証拠：％Tier 1と12ヶ月の確認テスト-100％。
輸出ログ：輸出の100％は署名され、記録されます。

13）テンプレートとフラグメント

13.1ミニアンケート（ティア1-2、露出）

認証/監査（ISO/SOC2/PCI）、有効期限。
データアーキテクチャ：地理、サブプロセッサ、キー/KMS、暗号化。
24ヶ月以内のインシデント（タイプ/日付/対策）。
アクセスおよびジャーナル（RBAC/ABAC、壊れ目ガラス、JIT、 WORM）。
BCP/DR（テスト日、RPO/RTO）。
DSAR/Retention、 RoPA、 CMP/SDK。
APIテクニカルコントロール：mTLS/OIDC、 Webhookの署名、キー回転、レート制限。

13.2 SLA（フラグメント）

13.3セキュリティとプライバシーの追加

"データのリサイクルの禁止。知る必要性によって厳しくアクセスして下さい；承認されたレジスタへのエクスポートのみ"

"ハッシュ署名付きの固定ログ（WORM）；年に一度の要求に応じて監査"

「サブプロセッサの交換-30 ≥日の通知、異議の権利、代替計画。」

"十分な管轄外の国境を越えた伝送におけるDTIA；キー-EC/UK（契約ごとに）"

14）チェックリスト

ベンダーとのGo-Liveの前に

• 所有者が割り当てられ、撮影範囲が定義されている
• アンケート・アーティファクトの受領・確認
• DPA/SLA/edits signed、 sub-processors宣言
• セグメンテーション/制限/マスキングを有効にし、キーを分離
• サンドボックス/テーブルトップテストに合格
• 終了/移行計画とエスクローが正式化

四半期（Tier 1-2）

• SLA/インシデント/SDKの脆弱性モニタリング
• 証明書/レポート、サブプロセッサレジストリの更新
• DR/BCP検証済み
• ひれスクリーニング（抵抗）、制裁チェック
• 濃度リスクと代替案の見直し

オフボーディング

• キー/アクセスが取り消された
• データのエクスポート完了、削除/バックアップの確認
• Data Mar/registersによって更新されたクロージャ証明書

15）典型的なシナリオと対策

A）マーケティングSDKの脆弱性

即時シャットダウン、PIIコレクションブロック、必要に応じてDPO/レギュレータ通知、ベンダーCAPA、再テスト。

B） PSPがSLAより劣化

バックアップPSPへのトラフィックの自動ルーティング、制限の削減、サービスクレジットの有効化、契約/終了プランの改訂。

C） KYCプロバイダからのリーク

統合の分離、トークンの失効、影響を受けるレコードのマッピング、通知、手動KYCハイリスク、ベンダー監査、交換可能。

16） TPRM導入ロードマップ

週間1-2：ベンダーの在庫、データマップ、引き裂き、基本的なアンケートとレジストリ。
週3-4： SLA/DPA/additiveテンプレート、オンボーディング/監視/オフボーディングプロセス、SIEM/CMDB/IDP統合。
月2：ティア1-2パイロット、四半期ごとのレビューの開始、証明書/期限チェックの自動化。
月3+：スケーリング、スコアリング/ダッシュボード、BCP/DRストレステスト、集中リスク最適化および代替ルート。

TL；DR（ドクター）

強力なTPRM=フルベンダーマップ→階層化とスコアリング→ハードコントラクト（SLA/DPA/BCP/DTIA）→セグメンテーションと安全な統合→継続的な監視と監査→迅速な終了/修復。これにより、お金、データ、ライセンスを保護し、パートナーがクラッシュしてもビジネスの弾力性を維持します。