バイオ大手Amgenで患者データが流出——第三者クラウド経由の侵害

S（代替）: 委託先クラウドを直営管理に

第三者クラウドの利用を自社管理のインフラや認定クラウドに置き換えることはできるか？

機密性の高い患者データや研究開発データについては、コンプライアンス認定（SOC2・ISO27001等）を取得したクラウドプロバイダーへの切り替えや、オンプレミス管理への回帰を検討する価値があります。委託先のセキュリティ水準が自社の基準を満たしているかを定量的に評価し、リスクの高い委託先から段階的に移行する「クラウド調達の格付け基準」を設けることが有効です。

C（結合）: ゼロトラストとサプライチェーン管理を統合

ゼロトラスト・アーキテクチャとサードパーティリスク管理（TPRM）プログラムを一体化できるか？

ゼロトラスト（「すべてのアクセスを常に検証する」という考え方）の原則をサプライチェーン全体に拡張し、委託先のクラウド環境へのアクセスも常に認証・認可を必要とする仕組みにすることで、侵害の横展開を防ぎます。TPRMツールとSIEM（セキュリティ情報・イベント管理）を連携させ、委託先起因のリスクをリアルタイムで可視化することが重要です。

E（排除）: 不要なデータ共有・保存を削除

委託先クラウドに保存・共有するデータを最小化・排除できるか？

データのライフサイクル管理を徹底し、委託先に渡す情報を業務上必要な最小限に絞り込む「データ最小化」の原則を実装します。不要になったデータは確実に削除し、仮名化・匿名化を積極的に活用することで、万一の侵害時の被害範囲を抑制できます。

フィードバックループ: 委託先リスクの連鎖構造

委託先のセキュリティ低下が自社リスクを増大させるループをどう断ち切るか？

委託先がコスト削減のためにセキュリティ投資を削ると脆弱性が増し、侵害が発生すると委託元（今回はAmgen）のデータが流出します。この連鎖を断ち切るには、契約によるセキュリティ最低基準の設定と定期的なサードパーティ監査（ペネトレーションテスト結果の共有要求など）が効果的です。委託先のセキュリティスコアを調達・継続取引の評価基準に組み込む仕組みが求められます。

創発特性: 「安全なシステム」が生む死角

自社のセキュリティが高いほど攻撃者が委託先に向かうという逆説をどう対策するか？

大企業が自社防御を強化すると、攻撃者は相対的に守りが薄い委託先や下請けに矛先を向けます。これは「安全なシステムが死角を生む」という創発的な問題です。業界全体でのセキュリティ底上げ（共通基準の策定・情報共有）や、重要委託先への支援（セキュリティ研修・ツール提供）といったエコシステム視点のアプローチが必要です。

レバレッジポイント: 契約段階での介入が最大効果

委託先のセキュリティをもっとも効率よく高められるのはどのタイミングか？

システムへの介入効果が最も高いのは「契約締結前の調達・選定段階」です。この時点でセキュリティ要件を契約条件に盛り込み、基準未達の委託先を排除することで、後からの是正コストを大幅に削減できます。日本では調達基準にISMS認証やサイバー保険の加入を条件とする企業も増えており、業界標準化が進みつつあります。

サードパーティクラウドリスクへの実践的対策

まず「どの委託先が、どのデータを、どのシステムで処理しているか」を可視化したサードパーティ台帳を整備することが出発点です。これがなければリスク評価も対策の優先順位付けも困難です。

次に、重要委託先に対しては年1回以上のセキュリティ評価（アンケート・第三者監査レポートの提出要求・現地確認など）を実施し、基準未達の場合は改善計画の提出と期限内の是正を求める仕組みを整えてください。

インシデントが発生した際の通知義務と対応手順を契約書に明記し、委託先から72時間以内に報告を受ける体制を構築することも重要です。EU一般データ保護規則（GDPR）や日本の個人情報保護法も委託先管理を義務付けており、法的要件の観点からも対応が不可欠です。