ITサービス事業者は自社の攻撃対象領域の一部——契約の両側から見るサードパーティのサイバーリスク

結論から言うと： はい。ITサービス事業者は、お客様のシステムへの特権アクセスを保持しているため、攻撃対象領域の一部です。Verizonの「2026年データ侵害調査報告書（2026 Data Breach Investigations Report、DBIR）」では、侵害の48%にサードパーティが関与しており、前年の30%から上昇しました。各国政府の共同アドバイザリー（AA22-131A）は、発注者が求めるべき事項として、MFA、最小権限、ログ、サプライチェーンの開示、そして契約上のインシデント通知を挙げています。

セキュリティレビューの多くは、企業が自ら運用しているもの、つまりノートPC、ネットワーク、クラウドアカウントから始まります。そしてITサービス事業者は、その外側にあるサービスとして扱われがちです。本レポートはその逆の立場をとります。マネージドITサービス事業者は、お客様の環境において最も強い権限を持つ関係者の一つです。管理者アカウント、エンドポイント管理コンソール、バックアップ、リモートアクセスツールに到達できるのが通常です。それらを事業者の内部で守っている仕組みは、実務上、お客様のセキュリティ境界の一部にほかなりません。

これは双方向に当てはまります。事業者側にも固有のリスクがあります。侵害された管理ツールが1つあれば、多数のお客様に一度に影響が及ぶ可能性があるためです。発注者側にも固有のリスクがあります。通知、アクセス権の失効、再委託先について何も定めのない契約では、事業者の弱点を最悪のタイミングで発注者自身が知ることになりかねません。

本レポートでは、政府のガイダンス、出典が明記された侵害データ、米国の開示ルールがこの関係について実際に何を述べているのか、そして発注者と事業者がそれぞれ何をすべきかを整理します。本レポートは、インシデントにいくらかかるのかを扱った調査レポートサイバーセキュリティインシデントのコスト上昇の姉妹編です。本稿が扱うのは別の問いです。事業者との関係そのものが、どのようにして侵入経路になるのか。

開示事項。 BrocentはマネージドITサービス事業者であり、本レポートが検討する契約の事業者側に立っています。また、ここで述べるリスクの一部に対処するサービスを提供しています。この利益相反には、次の方法で対処するよう努めました。すべての主張を出典が明記された一次情報に基づかせること、当社自身の観察にはその旨を明示すること、そして発注者向けチェックリストを、他社に対してと同様に当社にも当てはめられる形で作成することです。

主な調査結果

• 侵害へのサードパーティの関与は急増しています。 2024年11月1日から2025年10月31日までのインシデントを対象に2026年5月19日に公表されたVerizonの2026年版DBIRは、侵害の48%にサードパーティが関与しており、前回版の30%から上昇したと報告しています。Verizonはこれを、「前年に倍増したのに続いて」の60%増と表現しています。
• この数値はMSPだけの統計ではありません。 Verizonのサードパーティ指標は、3種類の関係を合算したものです。ソフトウェアサプライチェーン上のベンダー、お客様のデータをホスティングするベンダー、そしてお客様の環境に接続を持つベンダーです。マネージドITサービス事業者は3つ目の類型に該当し得て、2つ目にも該当することが少なくありません。ただし、数値の全体を占めるわけではありません。
• 政府はすでに、発注者が何を求めるべきかを示しています。 米国、英国、オーストラリア、カナダ、ニュージーランドの機関が2022年5月11日に共同で発行したアドバイザリーAA22-131Aは、MSPの顧客とMSP双方に向けた具体的な対策を挙げています。当社の確認では、版は1つのみで、改訂はなく、後継文書に置き換えられた旨の告知もありませんでした。
• よくある根本原因は基本的なものです。 Verizonは、2025年のサードパーティ関連インシデントの多くについて、特殊な手口ではなく、多要素認証（MFA）の欠如、認証情報のローテーション不備、過剰な権限に原因をたどっています。
• サードパーティ側のエクスポージャーの修正には時間がかかります。 Verizonがサードパーティのリスク管理を専門とする調査パートナーから入手したデータセットでは、サードパーティのクラウドMFAに関するエクスポージャーの50%生存点はおよそ1か月で、完全に是正できたサードパーティ組織は23%にとどまりました。パスワードおよび過剰権限に関するエクスポージャーの修正には約8か月を要し、完全に是正されたのは31%でした。
• 規制の下限は上がっていますが、拘束されるのは発注者です。 米国上場企業は現在、重大なサイバーインシデントを、重大であると判断してから4営業日以内に開示しなければなりません。このルールが拘束するのは登録者（SEC上場企業等の開示義務者）であって事業者ではありません。そのため、通知の時間枠は契約に書き込む必要があります。
• MSPのうち何社が侵害を受けたか、何社がアドバイザリーの水準に届いていないかについて、引用できる公開数値はありません。 当社は探しましたが、精査に耐える出典は見つかりませんでした。香港とシンガポールの発注者からの質問について本稿で述べることは、Brocent自身の定性的な観察であり、その旨を明示しています。

特権アクセスが、すべての事業者を共有リスクの対象にする理由

マネージドITサービス事業者が役に立つのは、お客様に代わって作業できるからです。パスワードのリセット、全ノートPCへのパッチ配信、メールボックスの復元、サーバーへのリモートセッションの開始、ファイアウォールルールの変更ができます。こうした能力はいずれも特権アクセスの一形態であり、誰かが実際に使っているかどうかにかかわらず存在し続けます。

このアクセスが通常の取引先との関係と異なる理由は、次の3つの性質にあります。

• 広範囲に及びます。 ディレクトリサービスの管理者権限を持つヘルプデスク担当者は、そこにあるすべてのアカウントに影響を及ぼせます。すべてのエンドポイントにあるリモート管理エージェントは、すべてのエンドポイントでコマンドを実行できます。
• 常時存在します。 このアクセスは1回限りの訪問ではなく、常設のアクセスです。アカウント、エージェント、リモートアクセスの経路はチケットとチケットの合間にも残るため、その合間に悪用される可能性があります。
• 共有されています。 事業者のツールは通常マルチテナントです。同じプラットフォーム、多くの場合は同じオペレーターアカウントが、多数のお客様にサービスを提供しています。したがって、事業者のツールが侵害されれば、そこから到達できるすべてのお客様が侵害される可能性があります。

最後の点が、事業者を独自のリスク類型にしています。自社のセキュリティを適切に整えている企業でも、自社からは統制が見えない相手を経由して危険にさらされ得ます。これがサードパーティのサイバーリスクの基本的な論理であり、同じ問いを契約の両側から投げかけなければならない理由です。事業者は、自らが保持するアクセスを守るために何をしているのか。発注者は、そのアクセスが到達できる範囲を限定するために何をしているのか。

共同の政府アドバイザリーが発注者に求めるよう示していること

この主題について最も有用な単一の文書は、政府文書です。アドバイザリーAA22-131A「マネージドサービスプロバイダーとその顧客に対するサイバー脅威からの防御（Protecting Against Cyber Threats to Managed Service Providers and their Customers）」は、2022年5月11日に公表されました。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、国家安全保障局（NSA）、FBIが共同で発行し、英国の国家サイバーセキュリティセンター、オーストラリアのオーストラリアサイバーセキュリティセンター、カナダのカナダサイバーセキュリティセンター、ニュージーランドの国家サイバーセキュリティセンターが共同署名しています。

当社は、本レポートを起草した日にこのアドバイザリーのページを開いて確認しました。改訂履歴には「May 11, 2022: Initial version」の1件しか記載されておらず、ページには他の文書に置き換えられた旨の告知もありません。現在も参照すべき文書です。ただし、発行から数年が経過しているため、当社はここに示された統制上の期待事項を参照するために用いており、現在の脅威動向に関する主張には用いていません。

アドバイザリーは、推奨される対策を2つの並列したリストとして構成しています。1つはMSPの顧客向け、もう1つはMSP向けです。顧客向けリストを発注者の契約チェックリストとして読むのが、何が求められているかを知る最短の方法です。アドバイザリー自身の表現で、顧客向けの主要な対策は次のとおりです。

• 多要素認証を強制します。 提供を受けるサービス、およびお客様の環境にアクセスするすべてのMSPアカウントにMFAを必須とし、MFA設定に「フェイルオープン」や再登録の弱点がないかを見直します。
• 最小権限を適用します。 MSPのアカウントが、MSPが実際に管理しているリソースにしか到達できないよう、事業者が自らの環境とお客様の環境の双方で最小権限を適用していることを確認します。
• 接続を分離します。 MSPのアクセスには専用の安全な接続を使用し、事業者のトラフィックをそこに限定します。契約では、顧客間での管理者認証情報の使い回しを禁止すべきです。
• ログを保管し、可視性を求めます。 重要なログを少なくとも6か月間保管します。事業者がお客様のシステムを監視する場合、契約では、包括的なイベント監視、事業者自身の活動に対する可視性、およびインシデントの疑いの通知を求めるべきです。
• 不要になったアクセスを廃止します。 事業者がインフラを管理しなくなった場合、事業者のアカウントを無効化します。契約終了時には見落とされやすい手順です。事業者のアカウントを社内の管理者グループに割り当ててはいけません。
• 事業者のサプライチェーンを把握します。 事業者が依存しているベンダーや再委託先、およびそれらがお客様のネットワークやデータに対して持つアクセス権を把握します。契約では、堅牢化、検知、インシデント対応をどちらの当事者が担うかを明記すべきです。
• 通知を明確に定めます。 契約では、事業者がインシデントをどのような方法で、いつお客様に知らせるかを規定すべきです。
• 復旧に備えます。 重要なデータと設定について、自動的かつ継続的で、容易に取得できる、またはエアギャップされたバックアップを求め、対応計画と復旧計画を定期的にテストします。

アドバイザリーは、3つの戦術的な要約対策も挙げています。文書全体を最も短くまとめたものです。使われていないアカウントを特定して無効化すること、顧客環境にアクセスする事業者アカウントにMFAを強制すること、そしてICTセキュリティ上の役割と責任の所在を契約に明確に記載することです。

アドバイザリーは、ほとんどの対策について、事業者と顧客それぞれの対応する行動を示しています。そこには、顧客環境にアクセスできるあらゆるアカウントを特権アカウントとして扱うことや、顧客間で管理者認証情報を使い回さないことも含まれます。したがって、発注者がこれらを求めることは特別な要求ではありません。7つの各国機関が示した公開の期待水準を満たすよう、事業者に求めているにすぎません。

出典が明記された侵害データが示す、サードパーティの関与

この問題について最もよく知られた統計上の出典は、Verizonの年次「データ侵害調査報告書（DBIR）」です。サードパーティの数値は版を明示しないまま広く引用されているため、当社は毎回版を明記し、異なる版の数値を混ぜることはしません。

2026年版

Verizonの2026年版DBIRは2026年5月19日に公表され、2024年11月1日から2025年10月31日までのインシデントを対象としています。報告書によれば、分析対象は実世界のセキュリティインシデント3万1,000件超で、そのうち2万2,000件超が、145か国の組織が関わる確認済みのデータ侵害です。サードパーティについて、報告書は次のように述べています。

• 侵害の48%にサードパーティが関与しました。「昨年の30%から上昇」しており、報告書はこれを、「前年に倍増したのに続いて」の60%増と表現しています。
• この指標は3種類の関係を対象としています。 組織のソフトウェアサプライチェーン上のベンダー、組織のデータを自らの環境でホスティングするベンダー、そして組織の環境に接続を持つベンダー（実際のネットワーク接続の場合も、ベンダーが保持する認証情報の場合も含みます）です。
• 各類型について、公に知られた事例が挙げられています。 Verizonは、ソフトウェアサプライチェーンの例としてSolarWinds、ホスト型データの例としてSnowflake関連のキャンペーン、接続ベンダーの例としてTargetの侵害におけるベンダーへのネットワーク接続、そして2つの類型が組み合わさった例としてSalesloft Driftアプリケーションと盗まれたOAuthトークンが関与したキャンペーンを挙げています。Verizonはこれらを、自社の調査ではなく、公開されている情報に基づくものとしています。
• 根本原因の多くは基本事項です。 Verizonは、2025年にメディアで取り上げられたクラウドベースのサードパーティ関連インシデントの相当数が、「突き詰めれば、安全でない認証（MFAの欠如、認証情報のローテーション不備）、または最小権限の強制の欠如に帰着する」と述べています。

1万2,195件の確認済み侵害を含む2万2,000件超のインシデントに基づく2025年版では、サードパーティの関与は30%と報告されており、2026年版はこれを前々回版の2倍に当たるものとして扱っています。データセットの規模と構成が異なるため、当社はそれぞれを独立した版として引用しています。

数値の読み方

48%のような数値は誤用を招きやすいため、3つの限界を率直に述べておきます。

• これは「関与」であり、「責任」ではありません。 サードパーティが関与したということは、そのサードパーティに過失があった、あるいはそれが原因だったということを意味しません。そのサードパーティが侵入経路の一部だった、またはデータが保管されていた場所だったということを意味します。
• ITサービス事業者に固有の数値ではありません。 この指標には、ソフトウェアベンダー、SaaSプラットフォーム、ホスト型データの管理者が含まれます。マネージドITサービス事業者は3つ目の類型の一例であり、2つ目の類型に当たることもあります。当社は、MSPだけを切り出したVerizonの数値を見つけておらず、そのような数値は提示しません。
• 無作為抽出ではありません。 DBIRは提供協力組織の事例に基づいており、Verizonも、地域ごとの傾向の一部はデータ提供者の構成を反映していると指摘しています。方向性とメカニズムを示す有力な指標ですが、全数調査ではありません。

地域別データが示すこと、示さないこと

2026年版の地域別サマリー表は、アジア太平洋（APAC）を5,229件のインシデント（うち2,855件が確認済み侵害）としており、データセット内のAPACの侵害の69%でサードパーティが関与していると記載しています。香港やシンガポールの読者が探すと思われるため、この数値を掲載しますが、これに依拠することはしません。Verizonは、APACの傾向の一部がデータの提供者によるものだと述べており（ハッキング、マルウェア、国家関与の活動についての指摘です）、APACという区分は香港やシンガポールよりはるかに広範です。報告書の中に、この2つの市場を単独で測定したものはありません。妥当な読み方は、サードパーティに関するパターンが北米や欧州に限られないということであり、香港の企業に何らかの事象が69%の確率で起きるということではありません。

是正の遅さに関する知見

2026年版報告書の中でも特に有用な結果の一つは、サードパーティのサイバーリスク管理を専門とする新たな調査パートナーが提供したデータセットから得られています。このデータセットは、サードパーティのクラウド環境内のエクスポージャーの修正にどれだけ時間がかかったかを測定したものです。Verizonは、不適切なパスワード運用と過剰なアクセス権限の修正には約8か月を要し、完全に是正されたのは31%にとどまったと報告しています。MFAの欠如または不適切な保護については、50%生存点が約1か月で、テール部分は残存する問題の約32%に収束し、完全に是正した組織は約23%でした。

MFA分析のサンプルは7,513件のエクスポージャー、認証と権限に関する分析は354件であり、後者の数値はかなり小さな母数に基づいています。いずれもMSPに特化した測定ではありません。これらが示しているのは、発注者が前提として計画すべきパターンです。サードパーティの環境にある弱点は、発注者の都合に合わせて修正されるわけではなく、それを変えるための手段が発注者の契約だけであることも少なくありません。

事業者の側：マルチテナント環境を守るために実際に必要なこと

事業者は、アドバイザリーのMSP向けリストを宣伝文句のように扱うことがあります。むしろエンジニアリング上の仕様として読むほうが適切です。各項目は、共有ツールで多数のお客様を運用する際の特定の障害モードに対応しているからです。

• 特権アクセスはお客様ごとに分離されています。 アドバイザリーは事業者に対し、顧客のデータセットとサービスを相互に分離し、顧客間で管理者認証情報を使い回さないよう求めています。これが対処するのは、盗まれた認証情報1つですべてのテナントが開いてしまうという障害です。
• 管理ツールは、お客様自身のツールよりも高い基準で扱われています。 顧客環境に到達できるアカウントは特権アカウントとして扱い、MFAの対象とすることとされています。技術者自身がパスワードのみでログインしている事業者は、お客様のセキュリティを、自社の業務で最も弱い統制の上に築いていることになります。
• 攻撃対象領域は、前提とされるのではなく見直されています。 事業者自身のインターネット向けの資産に含まれる、使われていないアカウント、システム、サービスを定期的に無効化することとされています。これは日常的な整理作業です。
• バックアップは、それが備えるインシデントを生き延びます。 別個のオフライン鍵で暗号化されたオフラインコピーは、バックアップシステムに先に到達する攻撃者への直接的な対応です。
• 再委託先も境界の内側にあります。 事業者自身のベンダーや再委託先は、そのサプライチェーンの一部であり、アドバイザリーは事業者に対し、お客様に及ぶ連鎖的なリスクを管理するよう求めています。当社の経験では、地域でのIT提供は現場作業を現地パートナーに頼ることが多く、これは市場における通常の特徴です。
• 責任範囲は文書で明記されています。 アドバイザリーは、検知、堅牢化、対応を誰が担うかを契約に記載するよう求めており、これは双方が相手が監視しているものと思い込む隙間を埋めるものです。

一点注意があります。アドバイザリーが示すのは望ましい実践であり、特定の事業者がそれに従っているかどうかを示すものではありません。事業者が自社の統制について行う説明は、エビデンスではなく主張です。

発注者の側：セキュリティ質問票にとどまらないデューデリジェンス

リスクに対する発注者自身の寄与は見落とされがちです。そのほとんどが、発注者が付与しながら監視していないものに関わるからです。NISTの『システムおよび組織のためのサイバーセキュリティ・サプライチェーンリスク管理プラクティス（Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations）』（SP 800-161 Rev. 1。2024年11月1日付のUpdate 1があり、NISTが現行の最終版として掲載しています）は、これを一つの規律として扱う米国連邦のフレームワークです。あらゆる組織階層でサプライチェーンのサイバーセキュリティリスクを特定、評価、低減し、より広範なリスク管理に組み込むことを求めています。これは米国連邦のガイダンスであり、香港やシンガポールの民間の発注者に課される要件ではありません。用語と構造として、また、サプライヤーのリスクは導入時に一度だけでなく継続的に管理するものだという原則として有用です。

ITサービス事業者に当てはめると、発注者の側は、質問票だけでは決着しない短い問いのリストに帰着します。

• 事業者は実際に何に到達できますか。 お客様の環境に対する事業者のアカウント、リモートアクセスツール、ネットワーク接続のすべてと、それぞれの責任者を一覧にして管理します。それを提示できなければ、事業者が侵害された場合に何が露出するのかを言うことはできません。
• アクセスは、事業者が管理している範囲に限定されていますか。 アドバイザリーの最小権限の考え方は、お客様側にも当てはまります。事業者のアカウントは一般の管理者グループに置くべきではなく、その到達範囲は対象範囲内のシステムに限定すべきです。
• 事業者の活動を確認できていますか。 お客様の環境で事業者のアカウントが何を行ったかを示すログを、役に立つだけの期間保管しておくことが、インシデントを調査することと、推測で済ませることの分かれ目です。
• 事業者の背後に誰がいますか。 お客様の環境やデータに触れる再委託先やツールベンダーはどこか、そしてそれらに変更があった場合に通知が必要かどうかを把握します。
• 終了時には何が起きますか。 契約より長く残るアクセスは、常設のエクスポージャーです。事業者のオフボーディングには、従業員のオフボーディングと同じ規律が必要です。

米国、香港、シンガポールで規制の下限が上がっている状況

規制が事業者を安全にするわけではありませんが、発注者が事業者について説明できなければならない内容を変えます。この節は意図的に簡潔にしています。

米国：SECの開示ルール

2023年、米国証券取引委員会は上場企業向けのサイバーセキュリティ開示ルールを採択しました。ここで重要なのは2つの部分です。

• Form 8-K Item 1.05は、登録者に対し、重大であると判断したサイバーセキュリティインシデントの開示を求めています。提出期限は、一般にその判断から4営業日後です。インシデントの性質、範囲、時期、およびその重大な影響または重大となる合理的な可能性のある影響を記載しなければなりません。即時の開示が国家安全保障または公共の安全に重大なリスクをもたらすと米国司法長官が判断した場合、開示は延期されることがあります。
• Regulation S-K Item 106は、重大なサイバーセキュリティリスクを評価、特定、管理するためのプロセス、ならびに取締役会による監督と経営陣の役割について、Form 10-Kでの年次開示を求めています。外国民間発行体は、Form 6-KおよびForm 20-Fで同等の開示を行います。

年次報告書における開示は2023年12月15日以降に終了する会計年度から、Form 8-Kの要件は大半の登録者について2023年12月18日から始まりました。小規模報告会社には、さらに180日の猶予が与えられました。

このルールが拘束するのは登録者であり、事業者ではありません。 これが本レポートにとっての要点です。上場企業は、開示の期限管理をサプライヤーに委ねることはできません。インシデントが事業者の環境で始まった場合、発注者の4営業日は、発注者がそのインシデントを重大であると判断した時点から始まりますが、その判断は何らかの連絡を受けてからでなければ行えません。事業者に通知の期限を定めない契約は、発注者が遵守のために実際に使える時間を縮める契約です。このルールは事業者に特定の通知期間を求めてはいませんが、通知期間を求めることを商業的に合理的なものにしています。

香港とシンガポール：比較ではなく、参照先の案内

両市場の規制当局は、規制対象の金融機関がアウトソーシングされた技術をどのように管理するかについて期待事項を定めています。香港金融管理局（HKMA）の監督政策マニュアル（Supervisory Policy Manual）のモジュールSA-2（アウトソーシング）と、シンガポール通貨監督庁（MAS）のアウトソーシングに関するガイドライン（Guidelines on Outsourcing）が、銀行にとっての主な参照先です。これらが拘束するのは規制対象の金融機関であって事業者ではなく、また、一般企業の発注者ではなく免許を受けた金融機関に適用されます。

当社は意図的にここで止めます。中国本土を含む金融セクターの各制度の適切な比較は、別の調査課題であり、独立したレポートとして扱います。それまでの間、実務的なガイダンスをお求めの読者向けに、MASのテクノロジーリスク管理ガイドラインに基づくアウトソーシングITの評価チェックリストを公開しています。一般企業の発注者にとっての実務上の帰結は、お客様や取引先の規制が厳しいほど、自社の事業者に対する統制を、それらの相手に対してエビデンスで示すよう求められる可能性が高くなるということです。

質問票の回答、エビデンス、契約上のコミットメント

セキュリティ質問票は、多くの発注者が始める場所であり、そこで止まる発注者も多い場所です。有用ですが、限界があります。より役に立つのは、保証の3つの水準を区別することです。後のものほど、前のものより強くなります。

• 質問票の回答： 事業者が、管理者アカウントにMFAを強制していると述べます。発注者にとってのコストは低く、保証の水準も低くなります。回答は、ある時点で、事業者自身の言葉で一度だけ行われた主張にすぎないためです。
• エビデンス： 事業者が、確認できるものを示します。たとえば、技術者アカウントに適用される条件付きアクセスポリシーのスクリーンショット、発注者のテナントに関するアクセスレビューログの抜粋、関連する範囲を対象とした最新のサードパーティ監査報告書、発注者のデータが他のお客様のデータからどのように分離されているかの説明などです。発注者が主張を検証できるため保証の水準は高まりますが、それでもスナップショットです。
• 契約上のコミットメント： 要件が、責任者、基準、結果とともに契約書に書き込まれます。定められた期間内の通知、指定されたエビデンスの受領または検査の権利、再委託先の変更を発注者に知らせる義務、終了時にアクセス権を失効させる要件は、販売後も事業者に履行を求めることができるコミットメントです。

これらのいずれも、他を代替するものではありません。質問票は明らかな欠落を安価に見つけ、エビデンスは最も重要な主張を裏づけ、契約は前二者が陳腐化した後に残るものです。避けるべきなのは、質問票の回答は充実しているのに契約条件が弱い発注者です。約束の記録は手元にあっても、それを強制する手段がありません。

質問票ではなく契約に盛り込むべきこと

アドバイザリーは、責任範囲を確定させる場として、繰り返し契約を指しています。以下の条件は、顧客向けリストに沿ったもので、発注者が調整して使えるように書かれています。弁護士と協議するための出発点であり、法的助言ではありません。

通知

• 通知の契機と期間の明確化。 事業者が何を報告しなければならないか（確認されたインシデントに加えて疑いの段階のものも含めるのか、あるいは発注者のデータやアクセスに影響するインシデントか）、そしてどれだけの期間内に報告するかを定めます。その期間は、米国の登録者に対するSECの4営業日ルールなど、発注者が従う開示期限に照らして役立つだけ短くすべきです。

監査と検査

• エビデンスを受け取る権利。 事業者の最新の独立監査報告書、ペネトレーションテストの要約、発注者の範囲に関するアクセスレビューの結果など、指定されたエビデンスを、定められたスケジュールで、またインシデントの後に受け取れること。
• ログへのアクセス。 アドバイザリーが示す6か月のログ保管の考え方は、事業者のアカウントのどの活動を、どれだけの期間、発注者が確認できるかについてのコミットメントに落とし込めます。

サブプロセッサーと再委託先

• 開示。 発注者の環境やデータに触れる再委託先とツールベンダーの一覧を、最新の状態に保って提供します。
• 変更の通知。 一覧が変わる場合は事前に通知し、変更が重要なものであれば異議を述べる権利を認めます。
• 義務の引き継ぎ。 事業者のセキュリティ上の義務を再委託先にも適用し、事業者がそれらに対する責任を引き続き負います。

アクセスと終了

• 専用かつ分離されたアクセス。 アドバイザリーが示す、専用接続と認証情報の非共有という点です。
• 終了時のアクセス権の失効。 契約終了時に、事業者のすべてのアクセス、アカウント、リモートアクセスエージェントを削除する期限を定め、その確認を求めます。アドバイザリーは、インフラを管理しなくなった事業者のアカウントを無効化するよう発注者に求め、契約終了時には見落とされやすいと注意を促しています。

責任範囲

• 誰が何を担うか。 環境の各部分について、堅牢化、検知、インシデント対応をどちらの当事者が担うかを明確に記載します。これはアドバイザリーが明示している論点であり、暗黙のままにされやすいものです。

サービスレベルのフレームワークが実際にどのようなものかをご覧になりたい読者に向けて、Brocentのサービスレベルのページでは、応答と解決に関するコミットメントを当社がどのように記述しているかを示しています。どの事業者を評価する場合でも、同じ構造を使って、セキュリティ通知がサービス対応との関係でどこに位置づけられているかを尋ねることができます。

発注者がいま事業者にエビデンスを求めていること：Brocent自身の観察

この節はBrocent自身の運用上の観察であり、香港、シンガポール、およびその他の当社がサービスを提供している市場のお客様とのオンボーディングの会話やセキュリティレビューから得たものです。定性的なものです。当社はそこから得た件数や割合を公表しておらず、調査として読まれるべきものではありません。

オンボーディングの会話では、発注者は、事業者が認証を保有しているかどうかにとどまらず、事業者のアクセスがどのように機能しているかについて具体的に尋ねます。

• お客様間の分離。 自社の環境への技術者のアクセスが、他のお客様へのアクセスとどのように区別されているか、また認証情報がテナント間で共有されることがないかを尋ねます。
• ほかに誰が関与するか。 自社の環境やデータに触れる再委託先とツールベンダーはどこか、そしてそれが変わる場合に知らされるかを尋ねます。
• 事業者自身のツールの保護。 MFAと条件付きアクセスが、お客様のアカウントだけでなく、事業者の管理ツールにも適用されているかを尋ねます。
• 問題が起きたときに何が起きるか。 インシデント通知のタイムラインを、プレゼンテーションで説明するだけでなく、契約に書き込むよう求めます。

当社の経験では、規制対象のセクターや、顧客から監査を受けるセクターの発注者は、これらの質問をより詳細に行います。当社はそれを定量化することはできず、またしようとも考えていません。この分野での当社自身のサービスは、サイバーセキュリティサービスのページとマネージドITセキュリティサービスのページに記載しています。また、既存の事業者の統制について独立した見解を得る作業は、当社のITアセスメント・監査サービスが対象とする種類の業務です。

本レポートが主張しないこと

• ほとんどのITサービス事業者が安全でないとは主張しません。 アドバイザリーもDBIRもそれを裏づけておらず、それを測定した出典も見つかりませんでした。
• 侵害データの中でMSPだけを切り分けてはいません。 48%はサードパーティとのあらゆる関係を対象としています。
• 現在の脅威アクターの活動を述べるものではありません。 アドバイザリーは2022年のものであり、当社は統制上の期待事項を参照するために用いています。
• 香港やシンガポールの発注者が、特定の割合でサードパーティ経由の侵害に直面していることを立証するものではありません。 APACの数値は地域単位のものであり、提供者のバイアスの影響を受けます。
• 法的助言ではありません。 SECに関する要約は公開されたルールを平易に説明したものであり、契約条件は、関係する法域の弁護士が確認すべきです。
• Brocentを含め、特定の事業者をこれらの統制に照らして評価するものではありません。 事業者の主張を検証するのは発注者の役割であり、上記のフレームワークは、他社に対してと同様に当社に対しても、それを行いやすくすることを意図しています。

よくあるご質問

ITサービス事業者は本当に自社の攻撃対象領域の一部なのですか。

はい。お客様のシステムに到達するアカウント、リモート管理ツール、ネットワーク接続を保持している場合、またはお客様のデータを保管している場合には、その範囲で該当します。これらの経路は、お客様が運用しているかどうかにかかわらず存在します。アドバイザリーAA22-131Aはその前提で書かれており、顧客と事業者の双方に対処すべきことを示しています。

サードパーティが関与する侵害はどのくらい一般的ですか。

VerizonのDBIR 2026年版では、侵害の48%にサードパーティが関与しており、2025年版の30%から上昇しました。この指標はソフトウェアベンダー、データをホスティングするベンダー、接続ベンダーを対象としているため、ITサービス事業者だけよりも広い範囲を含みます。

共同アドバイザリーAA22-131Aとは何ですか。

2022年5月に公表された、「マネージドサービスプロバイダーとその顧客に対するサイバー脅威からの防御」と題するアドバイザリーで、CISA、NSA、FBIが発行し、英国、オーストラリア、カナダ、ニュージーランドの各国サイバー機関が共同署名しています。MSPの顧客とMSPそれぞれに向けた推奨対策を挙げており、MFA、最小権限、ログ、サプライチェーンの把握、インシデント通知に関する契約上の明確化などが含まれます。

契約前に、ITサービス事業者にセキュリティについて何を尋ねるべきですか。

事業者が何に到達できるのか、技術者のアクセスがお客様間でどのように分離されているか、MFAが管理ツールにも適用されているか、どの再委託先が関与しているか、インシデントをどれだけ早く通知してもらえるか、そして終了時にアクセスがどのように削除されるかを尋ねてください。そのうえで、最も重要な2〜3の回答についてエビデンスを求め、通知と終了に関する条件を契約に盛り込んでください。

香港とシンガポールにも同等のルールはありますか。

どちらの市場にも、金融機関によるアウトソーシングについての規制当局の期待事項があります。HKMAのSPMモジュールSA-2や、MASのアウトソーシングに関するガイドラインなどです。これらが拘束するのは規制対象の機関であり、適用されるのは免許を受けた金融機関で、発注者一般には適用されません。本レポートはこれらを案内するにとどめ、比較はしていません。

事業者はこれらの期待にどう応えるべきですか。

アドバイザリーのMSP向けリストを仕様として扱うことです。お客様ごとにアクセスを分離し、管理ツールをMFAで保護し、自らの攻撃対象領域を見直して縮小し、復旧可能なオフラインバックアップを保持し、再委託先を管理し、責任範囲を文書で明記します。基準は、発注者が求めるよう示されているものと同じです。

参照した情報源

• CISA、NSA、FBI、NCSC-UK、ACSC、CCCS、NCSC-NZ、*Protecting Against Cyber Threats to Managed Service Providers and their Customers*、アドバイザリーAA22-131A、2022年5月11日（cisa.gov）。
• Verizon、*2026 Data Breach Investigations Report*、2026年5月19日公表、およびVerizonの付随するニュースリリース（verizon.com）。
• Verizon、*2025 Data Breach Investigations Report* ニュースリリース（verizon.com）。
• NIST、*Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations*、SP 800-161 Rev. 1、Update 1、2024年11月1日（csrc.nist.gov）。
• 米国証券取引委員会、2023年のサイバーセキュリティリスク管理、戦略、ガバナンス、およびインシデント開示に関するルール：プレスリリース2023-139（sec.gov）。
• Brocent自身の運用上の観察（上記の節で、その旨を明示しています）。