香港企業がMSP、MSSP、HKMA／C-RAF支援を一つの契約にまとめている理由

要点： ここ数年、香港の調達実務で一つのパターンが一般化している。企業——特に自らがHKMA（香港金融管理局）の規制を受ける認可機関（AI）である企業、あるいはそうした機関に技術やサービスを販売する企業——が、マネージドIT（MSP）、マネージドセキュリティ（MSSP）、そしてHKMAのサイバーセキュリティ監督とサイバーレジリエンス評価フレームワーク（C-RAF）に関する支援を、3件の別個の調達ではなく、単一のRFPで一社のベンダーに求めるケースが増えている。これはマーケティング上の流行ではなく、香港金融管理局の監督政策マニュアルがアウトソーシング、テクノロジーリスク、サイバーレジリエンスを、規制対象機関が決して完全には委譲できない単一の説明責任の連鎖として扱っていることから直接生じている現象である。本レポートは、この転換を生み出している規制上の仕組み、C-RAFがその文書化された構造において実際に何を求めているか、3つの調達カテゴリーそれぞれが実務上具体的に何を意味するか、そして——同じくらい重要な点として——技術・セキュリティベンダーが顧客に対して誠実に提供できることと、顧客自身が委譲できない規制上の責任との境界線がどこにあるかを説明する。

主要な発見

• このバンドル化パターンは、ベンダー側の営業戦術ではなく、HKMAのアウトソーシング監督に対する合理的な対応である——監督政策マニュアルのアウトソーシングモジュールは、認可機関が活動を外部委託できても、説明責任は決して外部委託できないことを明確にしている。
• C-RAFは単一のテストではなく、3部構成の評価シーケンスである——固有リスク評価、定義された統制領域に対する成熟度評価、そして高リスク機関向けのサイバー攻撃シミュレーションテスト（CAST）。
• 「MSP」と「MSSP」は、2社のベンダーに分けて調達するという発想が示唆するようには分離できない——実務上、バックアップ／復旧、エンドポイント管理、インフラ運用は、エンドポイントセキュリティ、脅威検知、インシデント対応と不可分である。
• どのベンダーも、規制対象機関に代わってC-RAF評価を完了、証明、提出することはできない——それは当該機関の取締役会および上級管理職自身のレベルでの説明責任である。
• バンドル契約に責任を持って入札するための組織的なハードルは、MSPまたはMSSP単独の入札よりも高い。統合された運用体制、事後に取りまとめるのではなく日々の提供業務に組み込まれた証跡、そしてベンダーの責任がどこで終わるかについての契約上の明確な取り決めが必要となる。

このパターン：一つのRFP、歴史的に別個だった3つの専門領域

香港のある企業が最近発行した実際のRFP——公開向けではなく、域内のマネージドサービスプロバイダーの間で回覧されるような文書——は、単一のベンダーに対して、一つの契約の下で並行して以下をカバーするよう求めていた。

• MSPサービス：マネージドITサービス、オンサイトサポート、インフラ管理、クラウドサポート、バックアップおよび復旧サービス。
• MSSPサービス：SOC・アズ・ア・サービス、脅威検知と監視、脆弱性評価、ペネトレーションテスト、エンドポイントセキュリティ、メールセキュリティ、ネットワークセキュリティ、セキュリティ意識向上トレーニング。
• 規制対応およびサイバーレジリエンス支援：HKMAのサイバーセキュリティ関連規制対応支援、C-RAF評価支援、インシデント対応計画／プレイブック策定とテーブルトップ演習支援、文書化と証跡準備、ギャップ分析と是正提案、そしてHKMAからの照会・審査への対応支援。

5年前であれば、これはおそらく3件のRFPとなり、3社のベンダーに発注されていただろう——デスクトップとサーバー業務を担うITアウトソーサー、SOCとペネトレーションテストを担うセキュリティ専門ブティック、そして——しばしば——規制対応とC-RAFの部分を担う、マネージドサービス料金ではなくアドバイザリーの日額料金で請求するBig 4または専門アドバイザリーファームである。この3つが一つの調達にまとめられているのを目にするのは、真の変化であり、その理由を正確に理解する価値がある。なぜなら、その理由こそが、責任あるベンダーが応札に際して何を約束でき、何を約束できないかを規定するからである。

本レポートは、このパターンをBrocent自身がこの形のRFPへの回答を求められてきた経験に基づき、方向性として実在するものとして扱っており、公開調査に基づくものではない——この種の香港IT調達構造に関する公開調査は、現時点で存在が確認されていない。本レポートが統計として文書化されたものではなく傾向を記述している箇所では、その旨を明示している。

なぜ今なのか：HKMAの監督フレームワークが実際にこのインセンティブをどう生み出しているか

なぜ企業がこの3つのカテゴリーを一つの契約に束ねるのかを理解するには、RFPそのものから一歩離れて、この購買行動を生み出している監督上の仕組みに目を向ける必要がある。

監督政策マニュアルはテクノロジーリスクを単一の説明責任の連鎖として扱う

HKMAは、認可機関（銀行業条例の下で免許を受けた銀行および預金受入会社）を、主に監督政策マニュアル（SPM）——自己資本の十分性からコーポレートガバナンス、テクノロジーリスクまでをカバーするモジュール式の監督指針一式——を通じて監督している。ここで最も関連するのは2つのSPMモジュールであり、本レポートがそれらについてどこまで確信を持って述べられるかを正確にしておく価値がある。HKMAはモジュールの内容を定期的に改訂し、頻度は低いもののモジュールのコードやタイトルも改訂するため、以下の記述は一貫して公に文書化されてきた構造を反映したものであり、いずれのモジュールについても現行の具体的な改訂日を主張するものではない。

• 一般に「TM-G-1」（「テクノロジーリスク管理の一般原則」）と呼ばれるモジュールは、実際のテクノロジー運用のどれだけの部分を第三者が担っていようとも、認可機関の取締役会と上級管理職がテクノロジーリスクについて説明責任を負い続けるという基本的な期待を定めている——これが、HKMAのテクノロジーリスク指針全体で繰り返し登場する「業務は委譲できても、説明責任は委譲できない」という枠組みの出所である。
• 一般に「SA-2」（「アウトソーシング」）と呼ばれるモジュールは、認可機関が重要な機能を第三者に委ねる前、その最中、そしてその後に何をしなければならないかを規定している——ベンダーに対するデューデリジェンス、機関（および規制当局）の監査・記録閲覧権を保持する書面契約、ベンダーが機能不全に陥った場合の緊急時対応計画、そしてベンダーのパフォーマンスと統制環境の継続的なモニタリングである。重要なのは、SA-2の論理が機関自身のアウトソーシング判断で止まらない点である。機関はアウトソーシングされた機能のリスクについて引き続き説明責任を負うため、そのデューデリジェンスとモニタリングの義務は、ベンダーが契約上のサービスを期日通りに提供しているかどうかだけでなく、*その*ベンダー自身がどのようにセキュリティとレジリエンスを管理しているかを理解することにまで及ぶ。

これら2つのモジュールを合わせると、HKMAの視点からは、銀行のMSPとMSSPは単に並行して走る2つのサービス契約ではないことになる。両者はSA-2モジュールが規定する同じアウトソーシング関係のインスタンスであり、両者ともTM-G-1が記述する同じ取締役会レベルのテクノロジーリスク説明責任の範囲内にある。銀行内部のコンプライアンスおよびリスクチームはこのことをますます認識するようになっており、いずれにせよ業務上絡み合っている2社のベンダーに対して2つの別個のアウトソーシング・デューデリジェンス・プロセスを走らせるよりも、一つにまとめて走らせることを好むようになっている。

サイバーセキュリティ強靭化イニシアチブが、この説明責任の連鎖に具体的な評価ツールを与えた

2016年5月、HKMAはサイバーセキュリティ強靭化イニシアチブ（CFI）を立ち上げた。これは、地域的に銀行に対するサイバー攻撃活動が増加していた時期を受けて、香港の銀行セクターのサイバーレジリエンスを高めることを特に目的としたプログラムである。CFIは3本の柱を中心に構築されており、この3本柱の構造はHKMA自身の公開資料において一貫してよく文書化されている。

• サイバーレジリエンス評価フレームワーク（C-RAF）——銀行が自らのサイバーレジリエンスを評価するために用いる、構造化された自己評価ベースの方法論。詳細は以下で説明する。
• 専門能力開発プログラム（PDP）——香港銀行協会（Hong Kong Institute of Bankers）および香港応用科技研究院（ASTRI）と共同で開発された認定・研修トラックで、銀行セクターに従事する有資格のサイバーセキュリティ専門人材の層を拡大することを目的とする。
• サイバー情報共有プラットフォーム（CISP）——銀行同士、および銀行とHKMAの間でサイバー脅威インテリジェンスを共有するためのプラットフォームで、単一の機関だけでは脅威の全体像を把握できないという前提に立つ。

HKMAは2016年以降もCFIおよびC-RAFの改良を続けており、業界の論評では後続のバージョンを非公式に「C-RAF 2.0」などと呼ぶこともある。本レポートは特定の現行バージョン番号や改訂日を主張しない。その詳細は時間とともに変化するため、実際の提出のためにこれに依拠する読者は、HKMA自身が公表する資料に直接照らして現行の要件を確認すべきである。2016年以降、このフレームワークの公開上の説明を通じて一貫して変わっていないのは、次に述べるC-RAFそのものの3構成要素の構造である。

規制対象事業体でないベンダーがなぜスコープに引き込まれるのか

本レポートの基となったRFPと同様の形をしたRFPを発行している企業のうち、かなりの割合は銀行自身ではない——それらはサービス、ソフトウェア、インフラを銀行に販売する企業や、隣接する規制領域で事業を行い、照会してくる取引先に対して同等の統制態勢を示したいと考えている企業である。SA-2のフロー・ダウン・ロジックがその理由を説明している。銀行自身のアウトソーシング・デューデリジェンスが日常的にベンダーに対して「自社のセキュリティ運用と証跡を示せるか」と尋ねるのであれば、香港の銀行セクターに販売するあらゆる企業には、その問いに信頼性を持って答える商業上の理由がある——そしてそれは、銀行顧客のデューデリジェンス質問票が手元に届いてから事後的に取りまとめるのではなく、初日からC-RAF流の証跡を念頭に置いたMSP／MSSP体制を構築したいと考える、その企業自身の理由にもなる。

C-RAFとは実際には何か：一つのテストではなく3つの構成要素

C-RAFは非公式に「HKMAのサイバーセキュリティ評価」と呼ばれることが多いが、この呼び方は実態を過小評価している。HKMA自身の公開説明によれば、それは3つの異なる構成要素から成り、順序立てて適用され、それぞれが異なる種類の成果物を生み出す。

構成要素その1：固有リスク評価

固有リスク評価は、既存の統制を考慮する前の段階で、ある機関が本質的にどれだけのサイバーリスクを抱えているかを確立する。これは、機関のテクノロジーフットプリント（接続の数と種類、提供チャネル、使用技術）、提供する製品・サービス（特に決済や第三者接続に関わるもの）、組織特性（人員配置、過去のインシデント履歴、M&A活動）、そして事業を行う外部脅威環境といった要因を検討する。成果物はリスク階層——一般に低・中・高の固有リスク分類として公に説明される——であり、これが機関が次の2つの構成要素をどれだけ厳格に完了する必要があるかを決定する。

構成要素その2：成熟度評価

成熟度評価は、機関の実際のサイバーセキュリティ統制を定義された統制領域の一式に照らして評価し、各領域の成熟度を定義された成熟度レベルに従って格付けする（HKMAの資料や業界の論評では、一般にベースラインレベルから中間、そして高度な成熟度へと進む段階として説明される）。これは従来型のセキュリティ統制評価に最も近い構成要素であり、構造的には業界の他所で使われている統制領域の成熟度モデル、例えば米国FFIECのサイバーセキュリティ評価ツールと精神的に類似しており、HKMA自身のフレームワークもそこから概念的な着想を得たと公に説明されている。各領域で機関に求められる成熟度レベルは、構成要素その1で確立された固有リスク階層に対して較正される——固有リスクが高い機関は、低リスクの機関よりも高い成熟度を示すことが求められる。

構成要素その3：サイバー攻撃シミュレーションテスト（CAST）

固有リスクと成熟度のプロファイルが該当範囲に入る機関について、C-RAFの第3の構成要素はサイバー攻撃シミュレーションテストである——資格を持つ、通常は独立したテストチームによって機関の実際の本番環境に対して実施される、脅威インテリジェンス主導のライブなシミュレーション攻撃であり、一般的なペネトレーションテストではなく、現実的な攻撃者の手口を再現するよう設計されている。これは概念的に、他の規制当局が国際的に用いている脅威インテリジェンスベースのレッドチーミングフレームワーク（英国のCBESTとEU全域のTIBER-EUフレームワークが最もよく引用される類似例である）に関連しており、HKMA自身の資料も同様の言葉でこれを説明している——インテリジェンス主導で、シナリオベースであり、脆弱性を単に列挙するのではなく、実際の検知・対応能力を試すことを意図している。すべての機関がCASTの実施を求められるわけではない。一般に、構成要素その1と2に基づくリスクプロファイルによって該当することになった機関に限られ、機関、その内部チーム、そして持ち込む外部のテスト・対応支援との間の緊密な連携が必要と理解されている。

この3部構成がサポート側のベンダーにとって何を意味するか

各構成要素は、そのプロセスを支援するベンダーに対して異なることを求めており、それらを混同することは、RFP回答がベンダーの実際の提供能力を過大に主張してしまう、よくある形の一つである。

• 固有リスク評価は、主に機関自身の事業とテクノロジーフットプリントに関する内部的な取り組みである。ここでのベンダーの誠実な貢献は、自らが運用または支援するテクノロジー環境についての事実面での情報提供であり、機関のリスク階層を決定することではない——それは機関自身が下すべき判断である。
• 成熟度評価は、機関の実際の技術環境に対して深い可視性を持つベンダーが最も貢献できる領域である——統制の実装状況の証拠を提供し、既存のツールやプロセスを評価対象の統制領域にマッピングする支援を行い、ギャップを特定する。評価そのものはあくまで機関のものであり、ベンダーはその下敷きとなる証跡と技術的な基礎作業を提供する。
• CASTは、該当する場合、通常は専門の、多くは独立したテストプロバイダーによって実施される。これは、日々の運用からの独立性がこの演習の信頼性にとって重要だからである——環境を日々運用しているMSP／MSSPは、一般にそれを同時に模擬攻撃する適切な当事者ではないが、シミュレーションされた攻撃を検知し対応する当事者としては非常に適している。まさにその対応能力こそが、CASTが試そうとしているものだからである。

3つのRFPカテゴリーを分解する：それぞれが実際に何を求めているか

RFPの項目は、わずかな言葉の中に多くの運用上の現実を圧縮している。「オンサイトサポート」や「SOC・アズ・ア・サービス」が、実際にプロバイダーに何を構築し、どのような人員を配置することを義務付けているのかを解きほぐす価値がある。

MSPサービス：運用のバックボーン

• マネージドITサービスとインフラ管理とは、サーバー、ネットワーク機器、ディレクトリサービス、そして事業が稼働に用いるアプリケーションの健全性に対する継続的な責任を意味する——チケットに反応するだけのヘルプデスクではなく、容量、パッチレベル、構成のドリフトを継続的に監視するチームであり、通常のリクエストと障害の双方について明確なサービスレベルを備えている。
• オンサイトサポートとは、物理的な立ち会いモデルを意味する——専任のオンサイトエンジニアであれ、スケジュールされたローテーションであれ、迅速な派遣体制であれ、ハードウェア故障、ネットワーク配線、新オフィスのセットアップ、そして規制当局や監査人がリモートセッションではなく実際の人物を見たい場面など、本当にリモートでは解決できない種類の問題のためのものである。
• クラウドサポートとは、機関が利用しているMicrosoft 365、Azure、AWS、その他のクラウドプラットフォームの組み合わせに対する運用上の所有権を意味する——アイデンティティとアクセスの構成、クラウド上のデータのバックアップ（多くの組織は、これがクラウドベンダーによって既定で処理されていると誤って想定している）、コストと容量の管理、そしてクラウドテナント自体のセキュリティ構成である。
• バックアップと復旧サービスとは、単に実行されて成功を報告するバックアップジョブではなく、テスト済みで文書化された復旧能力を意味する。規制対象機関の文脈では、これは具体的に、復旧が実際にテストされたこと、そしてそれにどれだけの時間がかかったかを、保証ではなく証跡をもってプロバイダーが示せることを意味する。復旧時間目標と復旧時点目標は、まさにC-RAFの成熟度評価やHKMAの審査が尋ねる種類の統制の詳細だからである。

MSSPサービス：セキュリティ運用レイヤー

• SOC・アズ・ア・サービスとは、環境全体のセキュリティイベントの継続的な（通常は24時間365日だが、正確なカバレッジモデルは前提とせず契約書で明記すべきである）監視を意味し、明確なトリアージとエスカレーション手順を伴う——真のSOCとマーケティング上のラベルの違いは、多くの場合、ダッシュボードだけでなく、実際のエスカレーション手順書と実際の過去の対応時間データをプロバイダーが示せるかどうかに表れる。
• 脅威検知と監視とは、技術的な能力——通常はエンドポイント検知・対応（EDR）プラットフォームとログの集約・相関分析（SIEMまたは同等のもの）を組み合わせたもの——であり、単に誰も見ないログを収集するのではなく、エンドポイント、ネットワーク、クラウド全体にわたる異常な活動を実際に検知できることを意味する。
• 脆弱性評価とは、機関のテクノロジー資産全体にわたる継続的な（一度きりではない）スキャンと優先順位付けの規律を意味し、棚上げされる時点報告書ではなく、追跡される是正のバックログを生み出す。
• ペネトレーションテストとは、特定のシステムやネットワーク境界に対する定期的で範囲を定めた敵対的テストを意味する——上述のCASTとは異なり、通常はスコープが狭く、脅威インテリジェンス主導の度合いも低いが、両者は補完的な専門領域である。
• エンドポイントセキュリティとは、予防的なツール（アンチウイルス／EDR）と、それをフリート全体にわたって展開・更新し、実際に機能させ続ける運用上の規律の両方を意味する——主張するのは容易だが、実際のデバイスフリートのかなりの割合で気づかれないまま劣化していることが驚くほど多い統制である。
• メールセキュリティとは、フィッシング、ビジネスメール詐欺、悪意ある添付ファイルに対する多層防御を意味する——業界の広範なコンセンサスにおいて、メールは依然としてC-RAFやHKMAのインシデント報告の期待が最終的に関心を寄せるような種類のインシデントの、最も一般的な初期侵入経路の一つであるため、特に名指しする価値のあるカテゴリーである。
• ネットワークセキュリティとは、ファイアウォール管理、セグメンテーション、そして現代の侵入がいかに横方向の移動に依存しているかを踏まえた、ネットワーク境界およびますますその内部におけるトラフィックの監視を意味する。
• セキュリティ意識向上トレーニングとは、年に一度のスライドショーではなく、継続的なプログラムを意味する——フィッシングシミュレーション、測定可能な完了率の追跡、そして脅威の状況の変化に応じて更新されるコンテンツである。これは、C-RAFの成熟度モデルとほとんどの統制フレームワークが、一度きりの完了タスクではなく継続的なプログラムとして証跡を示すことを明示的に期待している数少ない統制の一つだからである。

規制対応およびサイバーレジリエンス支援：最も誠実さが求められるカテゴリー

これは、正当なベンダー支援と行き過ぎとの境界線が最も重要になるカテゴリーであり、単なる箇条書きよりも丁寧に論じる価値がある。

• HKMAのサイバーセキュリティ関連規制対応支援は、誠実に言えば、ベンダーがHKMAの指針の一部が自社の技術環境にとって何を意味するかを機関が理解する手助けをし、それを具体的な技術的・手続き的な変更に落とし込む支援をすることを意味し得る。それは、ベンダーがHKMAの指針を規制上または法律上の権威として解釈すること、あるいは規制上の立場で機関を代表することを誠実に意味することはできない。
• C-RAF評価支援は、誠実に言えば、ベンダーが技術的な証跡を提供し、既存の統制をC-RAFの統制領域にマッピングし、機関自身のコンプライアンスおよびリスク担当者がギャップの所在を理解する手助けをすることを意味し得る。それは、ベンダーが機関に代わって評価を完了または証明することを誠実に意味することはできない——HKMA自身の設計により、C-RAFは機関の取締役会と上級管理職が説明責任を負う自己評価だからである。
• インシデント対応計画／プレイブックの策定とテーブルトップ演習支援は、誠実に言えば、ベンダーが他のインシデントを支援してきた経験から得たパターン認識を持ち込みながら、計画と演習の設計・進行を支援することを意味し得る。それは、機関が自らのインシデント対応の意思決定権を外部委託することを意味すべきではない。その意思決定権は、技術的な対応を実際に誰が行っているかにかかわらず、機関自身が指定したインシデントコマンダーの手に残されている必要がある。
• 文書化と証跡準備は、誠実に言えば、ベンダーが自らが運用し保護する環境について、正確でタイムスタンプ付きの技術文書を作成することを意味し得る——これはおそらく、うまく運用されているMSP／MSSPが最も真の価値を付加できる領域である。なぜなら、優れた文書化と証跡は、審査に備えて組み立てられる特別プロジェクトではなく、環境が日々実際に運用される方法の副産物であるべきだからである。
• ギャップ分析と是正提案は、誠実に言えば、ベンダーが名指しされたフレームワークに照らして統制のギャップを特定し、自らが実行する資格を持つ具体的な是正措置を提案することを意味し得る。それは、機関自身のリスク機能がレビューし承認する提案として提示されるべきであり、ベンダーが発する適合性の裁定として提示されるべきではない。
• HKMAからの照会や審査への対応支援は、誠実に言えば、ベンダーが機関が正確かつ迅速に対応するために必要な事実面の技術情報を提供し、審査担当者が運用環境について向ける技術的な質問にいつでも答えられる状態でいることを意味し得る。それは、ベンダーが機関に代わって規制当局と直接やり取りすること、あるいはその対話の場で機関自身の説明責任を負う職員に代わって対応することを誠実に意味することはできない。

これが実際にプロバイダーに求めること

このような形のバンドルRFPに信頼性を持って応答することは、MSPのRFPまたはMSSPのRFP単独への応答よりも実質的にハードルが高く、その理由は技術面だけでなく、組織面と手続き面にある3点である。

組織面では、プロバイダーは自社のマネージドIT運用とセキュリティ運用を、一つの営業部門の傘の下にある2つのチームとしてではなく、単一の説明責任を持つ機能として統合する必要がある。銀行のデューデリジェンスチームが、インシデントがどのように検知され、エスカレーションされ、是正されるかをエンドツーエンドで問うたときに、2つの別々のチームの別々のツールと別々のチケッティングシステムをつなぎ合わせなければ答えられないとすれば、それ自体が注目に値する統制上の弱点であり——洗練された買い手はそれに気づく。

技術面では、プロバイダーのツールは、監査前に組み立てられる特別なプロジェクトとしてではなく、通常運用の自然な副産物として証跡を生成する必要がある。バックアップの検証、パッチ適用のコンプライアンス、エンドポイントのカバレッジ、アクセスログが通常運用の中で既に照会・エクスポート可能になっていないプロバイダーは、C-RAFの成熟度評価やHKMAの審査が実際にそれを求めたとき、時間的な圧力の下で信頼できる証跡を提示することに苦労するだろう。

手続き面では、プロバイダーは、自社の責任がどこで終わり、顧客自身の規制上の説明責任がどこから始まるかについて、文書化され契約上明確な境界を必要とする——これは顧客の保護のためであると同時に、プロバイダー自身の保護のためでもある。C-RAFやHKMAへのコンプライアンス対応を「簡単にする」と謳ったり、顧客に代わって規制リスクを引き受けられると示唆したりするプロバイダーは、実際には守れない約束をしている。こうした主張は、この種の契約のベンダーを評価するどんな買い手にとっても、セールスポイントではなく警戒すべきサインとして扱われるべきである。

プロバイダーが運用上どのようにMSP／MSSPの二重の役割を果たすか

これを抽象的に説明するのではなく、統合されたMSP／MSSP運用モデルが実務上実際にどのように見えるかを、読者が思い描き、実際のプロバイダーの運用と照らして検証できる形で説明する価値がある。

• チケッティングと監視システムを1つに、2つに分けない。 インフラのアラート、セキュリティのアラート、エンドユーザーのサポート要求が同じ運用システムに集約されるため、あるインシデントに対応するエンジニアは、影響を受けたデバイスやアカウントの完全な技術的履歴——サポートチケット、パッチの状態、直近のセキュリティイベント——を一箇所で確認でき、別のプラットフォーム上の別のセキュリティチームにその情報を別途依頼する必要がない。
• ITオペレーションとセキュリティの間で共有されるオンコールとエスカレーションの経路。 例えばランサムウェアのインシデントは、同時にインフラのインシデント（システムダウン、バックアップからの復旧が必要）でもあり、セキュリティのインシデント（封じ込め、フォレンジック、根本原因分析）でもある——これらを、それぞれ独立したエスカレーションチェーンを持つ本当に別々のチームに振り分ける運用モデルは、まさに時間が最も重要なときに時間を失う。
• 実務上可能な限り、同じエージェントが両方の機能に対応するエンドポイントツール。 サポートエンジニアがユーザーをリモートで支援できるようにする同じ軽量エージェントが、暗号化状態、パッチレベル、アンチウイルスの健全性といった、継続的で証跡を生成するセキュリティ態勢データの発生源にもなり得る。同じエンドポイントのリソースを奪い合う、別途管理された2つ目のセキュリティエージェントを必要としない。
• 運用チームとコンプライアンス・監査の関係者の双方が参照できる単一の証跡。 セッションログ、変更記録、セキュリティテレメトリは、サービスを提供する副産物として継続的に蓄積される。そのため、顧客のコンプライアンスチームがある統制がレビュー期間中に有効に機能していたことを示す必要があるとき、証跡は事後的に再構築する必要なく、既に存在している。

具体的な提供プロセス

この種のバンドル契約における弁明可能なエンゲージメントは、顧客自身のリスク・コンプライアンス関係者がプロバイダーの言葉を鵜呑みにするのではなく、観察し検証できるフェーズを経て進行する。

• 1. ベースラインの発見と固有リスクに関連する事実確認（通常は最初の数週間）。 プロバイダーは、資産、クラウドサービス、第三者接続、データフローなど、テクノロジー環境を詳細に棚卸しし、プロバイダー自身がリスク階層の判断を下すことなく、機関自身の固有リスク評価が依拠する事実面のインプットを生成する。
• 2. 機関の適用フレームワークに対する統制のマッピングとギャップ分析。 既存の統制（バックアップ、エンドポイント保護、アクセス管理、監視）が、関連するC-RAFの統制領域または機関が選択したフレームワークに対してマッピングされ、ギャップが文書化され優先順位付けされる——これが、機関自身の成熟度評価の提出物の下敷きとなる技術的な基礎作業である。
• 3. 優先順位付けされたギャップリストに基づく是正措置の実施。 ここでMSPとMSSPの機能が実際に実行に移される——パッチ適用のギャップを埋め、エンドポイントおよびメールセキュリティ統制を導入または調整し、バックアップテストを正式化し、SOCの監視カバレッジを構築する——機関のリスク機能が可視性を持ち、追跡できるスケジュールに沿って行われる。
• 4. インシデント対応計画とプレイブックの策定、続いてテーブルトップ演習。 プロバイダーは計画の起草または改善を支援し、現実的なシナリオに対してそれをテストするテーブルトップ演習を進行させる。得られた所見は文書化され、計画自体とより広範なギャップ是正のバックログの両方にフィードバックされる。
• 5. 継続的な証跡生成を伴う定常状態のマネージド運用。 チケッティング、監視、パッチ適用、SOCカバレッジといった継続的なMSP／MSSPの提供業務が通常運用として行われ、プロバイダーのツールは、機関のコンプライアンス機能が自らのC-RAF成熟度評価の更新やHKMAからの照会への対応に利用できる監査証跡（セッション記録、パッチコンプライアンス履歴、セキュリティイベント履歴、バックアップテスト結果）を、その都度特別な証跡収集の演習を必要とすることなく継続的に生成する。
• 6. 定期的なレビューと再ベースライン化。 C-RAF自身の各構成要素は定期的に見直されることが想定されているため（機関のテクノロジーと製品構成が進化するにつれて固有リスクプロファイルも変化する）、このエンゲージメントには、一般的には年次で、または機関自身の内部監査サイクルに合わせた反復的なペースを組み込み、ギャップ分析を再実行して、統制環境が最後に文書化された内容と依然として一致していることを確認すべきである。

本レポートが主張しないこと

• 本レポートは法律上または規制上の助言ではなく、機関自身の法律顧問、コンプライアンス機能、またはHKMAとの直接のやり取りに代わるものでもない。ここで説明したパターンに基づいて行動する企業は、現行のHKMA公表資料に照らして、また該当する場合は資格を有する法律顧問に直接、自社の具体的な義務を確認すべきである。
• 本レポートは、特定のHKMA監督政策マニュアルのモジュールの現行の正確な文言、番号付け、または改訂日を主張するものではなく、C-RAFの現行の正確なバージョンや用語法を主張するものでもない。HKMAは時間の経過とともにその指針を改訂する。ここでの構造的な記述は、一貫して公に文書化されてきた内容を反映したものであり、最新の改訂との整合性を主張するものではない。
• 本レポートは、特定の機関とHKMAとの間の機密の監督上のやり取りを把握しておらず、実際にいかなる特定の規制当局の審査、照会、検査が実務上何を求めたかについて、いかなる主張も行わない。
• 本レポートは、Brocent、またはいかなる技術・セキュリティベンダーも、C-RAF評価を完了、証明、または提出できるとは主張せず、また、HKMAの規制を受ける機関自身の規制上の説明責任を何らかの形で引き受けるとも主張しない。その説明責任は設計上、機関の取締役会と上級管理職にあり、いかなるアウトソーシングの取り決めもそれを変えることはない。
• 本レポートは、「バンドル型調達」というパターンを、文書化された業界統計として提示するものではない。この種の香港IT調達構造に関する、具体的な数値を引用する必要があるような公開調査は、現時点で存在が確認されていない。ここで説明したパターンは、Brocentが香港市場で目にしてきた実際のRFPの形と、まさにこの種の購買行動を予測させる規制上の論理（SA-2、TM-G-1）に基づくものであり——統計ではなく、推論に基づく推定と直接の運用上の観察であり、そのようなものとして提示されている。
• 本レポートは、HKMAの規制を受ける認可機関、およびそのセクターに販売する企業に範囲を限定している。保険業監督局（Insurance Authority）や証券先物委員会（Securities and Futures Commission）の並行する（かつ構造的に異なる）テクノロジーリスクおよびアウトソーシング制度は扱わない。
• 本レポートは、規制上の圧力がバンドル化パターンの唯一の原因であるとは主張しない。ベンダー関係の削減、更新すべき契約の削減、単一の説明責任の所在といった通常の調達効率化への配慮も、十分にあり得る、並存する動機であり、本レポートは各原因の相対的な寄与度を評価しようとするものではない。

Brocentがどのようにこれを提供しているか

Brocentは、シンガポールに本社を置くマネージドITおよびサイバーセキュリティサービスのプロバイダーであり、香港にも定着したオフィスを構え（2016年以降、同地域で事業を展開）、その源流は2007年の北京での創業にまでさかのぼる。Brocentの運用の仕方には、本レポートで説明したパターンに直接関連する2つの点があり、いずれもマーケティング上の主張ではなく、検証可能な運用上の事実として、ここで説明する。

第一に、BrocentはマネージドITサービスとサイバーセキュリティサービスを、契約締結時に寄せ集められる別個の事業ラインとしてではなく、一つの統合された運用として展開している。 これは、バンドル型のMSP／MSSP／規制対応支援エンゲージメントが信頼に値するために実際に必要だと本レポートが論じている組織モデルである——その統合が実際にどのように構築されているかはマネージドIT＆セキュリティサービスを、その基盤となるサポート提供プランとカバレッジモデルはマネージドITサポートを参照されたい。

第二に、Brocent独自のエンドポイントプラットフォームであるBCS Beamは、本レポートがC-RAF関連の文書化にとって価値があると説明している、まさにその種の証跡としての副産物を生み出している。 これは、特別なコンプライアンス演習としてではなく、リモートサポートとエンドポイントセキュリティ監視を提供する通常の機能の一部として行われる。BCS Beamが仲介するすべてのリモートサポートセッションは、誰が、どのデバイスに、いつ、どのモードで接続し、どのサポートチケットに対応していたかを記録する監査台帳に書き込まれる。同じエージェントのセキュリティ健全性側では、ディスク暗号化、アンチウイルスとファイアウォールの状態、パッチの適用状況、そしてCIS準拠のベンチマークに対する既知の脆弱性の露出状況を継続的にチェックし、単発の時点証明ではなく、報告可能なデバイス単位の証跡を生成する。この接続レベルおよび態勢レベルの監査証跡は、本レポートがC-RAF関連の文書化作業を責任を持って支援するためにプロバイダーに必要だと論じている「証跡は監査前に組み立てられるのではなく、通常運用の副産物として生成される」という原則の、直接的かつ具体的な一例である。

本レポートが一貫して明示してきた境界線と整合的に：Brocentは、HKMAのライセンスを保有しておらず、HKMAの規制も受けておらず、いかなる顧客に代わっても、C-RAFの完了、証明、あるいはHKMAとの正式なやり取りについて、その顧客自身の規制上の説明責任を引き受けることはない。バンドル型のMSP／MSSP／規制対応支援エンゲージメントにおけるBrocentの役割は、技術的な実行、証跡の生成、そして文書化とギャップ分析の支援であり、それらは、寄せ集められたばらばらのツールとベンダーの集合体としてではなく、一つの統合されたチームによって提供される。