シンガポールMAS TRM ITアウトソーシングチェックリスト

結論から言うと： MAS（シンガポール金融管理局）のテクノロジーリスク管理（TRM）ガイドラインとアウトソーシングガイドラインは、規制対象の金融機関がテクノロジーリスクと第三者取引をどのように管理すべきかについてMASが期待する内容を定めていますが、その根底にある説明責任は、委託先のITやサイバーセキュリティベンダーではなく、貴社に帰属します。ITをアウトソーシングしても、その責任まで外部委託されるわけではありません。真の備えは、契約前のデューデリジェンス、具体的な契約上のコミットメント（セキュリティ基準、インシデントエスカレーションの時間枠、監査権、再委託先の開示）、そして継続的なアウトソーシングリスク評価から生まれるものであり、ベンダーのマーケティングページから生まれるものではありません。本チェックリストでは、シンガポールの金融セクター向けにITやサイバーセキュリティをアウトソーシングする前に確認すべき事項を解説します。

シンガポールの金融セクターのIT・コンプライアンス責任者は、遅かれ早かれ同じような疑問に行き着きます。「もしアウトソーシング先のITベンダーで障害や情報漏えいが発生したら、それはMASに対する自社の問題なのか、それともベンダーの問題なのか」という疑問です。実務上の答えは、それは一般的に*自社が管理すべき問題*だということです。MASのガイドラインは、実際にインフラを日々運用しているのが誰であっても、規制対象機関の取締役会と上級管理職がテクノロジーリスクと第三者リスクについて責任を負い続けるという原則に基づいて構築されています。そのため、ベンダーの選定、契約条件、継続的な監督は、単なる調達上の決定ではなく、コンプライアンスとガバナンス上の決定となります。本ガイドはコンプライアンスや法的助言ではありません——MASの具体的な期待事項は、貴社のライセンス種別、当該取引の重要性、そしてMASが随時更新する要件に左右されるため、重要な事項についてはコンプライアンス責任者または資格を有する専門家にご確認ください——ただし、IT・コンプライアンス責任者が、契約前にアウトソーシング先のITまたはサイバーセキュリティプロバイダーを評価する際に使える、実務的でベンダー向けのチェックリストを提供します。

ITをアウトソーシングする際、MAS TRMは実際に何を求めているのか？

MASのテクノロジーリスク管理フレームワークは、狭いチェックリストというよりは原則ベースのものです。テクノロジーリスクに関する取締役会・上級管理職の監督、文書化されたリスク管理フレームワーク、システムの信頼性と回復力、アクセス制御とシステムセキュリティ、データ損失防止、そして変化する脅威環境に対するサイバーレジリエンスについて期待事項を定めています。TRMと並行して、MASのアウトソーシングガイドラインは、機関が第三者に自社に代わって機能を遂行させる取引について、どのように評価・承認・契約・継続監視すべきかを扱っており、これはほとんどのマネージドIT・サイバーセキュリティサービスをカバーします。

重要な構造的事実として、大まかに言えば次のようになります。MASの期待事項は一般的に規制対象機関——すなわちMASの監督下にある貴社——に帰属するものであり、サーバー、エンドポイント、ネットワーク、セキュリティ監視を委託するベンダーに直接的な法定義務を課すものではありません。実務上、これはMASが*貴社に*適切なデューデリジェンスを実施し、ベンダーとの関係を管理できる契約上の権利を保持し、日常業務が外部委託されている場合でも社内の監督能力を維持することを期待していることを意味します。ベンダーのシステムで何か問題が発生した場合、MASや貴社自身の取締役会が最初に説明を求めるのは、一般的にベンダーではなく貴社です。ITのアウトソーシングは、実際に技術を運用する主体を変えるだけであり、その根底にあるリスク管理責任まで外部委託するものではありません。

これはまた、「当社のベンダーはISO 27001認証を取得している」ということが有用な情報である一方、それ単独ではMAS TRMへの備えの証明にはならない理由でもあります。認証はベンダー全般のセキュリティ姿勢を示すものですが、そのベンダーが貴社固有のインシデントエスカレーション期待に応えられるか、契約で監査権が確保されているか、あるいは知らされていなかった再委託先の取り決めが貴社のリスクプロファイルにどう影響するかまでは教えてくれません。これらの問いに答えられるのは、実施したデューデリジェンスと締結した契約そのものだけであり、ベンダーのウェブサイト上の認証バッジではありません。

アウトソーシング先のITまたはサイバーセキュリティプロバイダーにどのようなデューデリジェンスを求めるべきか？

特定のマネージドサービスプロバイダーを評価する前に、MASを意識したベンダーが日常業務においてすでに従っているべき実務基準を明確にしておくことが役立ちます。シンガポールの金融セクターでコンプライアンスに敏感なクライアントを支援してきた経験から、どのマネージドITセキュリティサービスプロバイダーを評価する際にも確認する価値のある基本要件は次のとおりです。

• 実際にレビュー可能な文書化されたセキュリティ態勢。 認証ロゴだけでなく、アクセス制御、パッチ適用の頻度、脆弱性管理、暗号化基準を網羅し、貴社が請求して読める方針であること。
• 役割ベースで個人まで追跡可能なアクセス権限。 エンジニアは自身のアカウントでログインし、アクセス範囲はその業務に真に必要な範囲に限定されるべきであり、共有の管理者アカウントや「念のため」の無制限アクセスであってはならない。
• 明確な責任の所在。 ベンダー側にセキュリティとリスクに関する質問に責任を持つ担当者がいること。継続性のないローテーション制のヘルプデスクではないこと。
• 再委託先およびオフショア支援の透明性。 ベンダーが自社の再委託先、オフショアのデリバリーセンター、または第三者ツールを使用している場合、それが誰であり、貴社のシステムやデータがそこを経由するかどうかを把握できること。
• 実証されたインシデント検知・監視能力。 インシデントを実際に迅速に検知できるだけのセキュリティイベントログと監視体制。いつ何が起きたかを説明できないベンダーは、貴社自身のエスカレーション義務を満たす助けにはならない。
• 信頼できる事業継続・災害復旧計画。 存在すると言われるだけでなく、実際に見せてもらうこと。貴社のために管理するシステムに関連する目標復旧時間を含む。
• 財務・運用面の安定性。 ベンダー自身のレジリエンスも重要であり、財務的に不安定、あるいは人員が手薄なプロバイダーは、それ自体が集中リスク・継続性リスクとして評価に値する。
• 監査・検査権への協力姿勢。 貴社や貴社の監査人からの合理的な確認要求に消極的なベンダーは、実際のインシデント発生時にどう対応するかを物語っている。

これらはいずれも特別なことではありません。その大半はすでに標準的なマネージドIT・クラウドソリューションの実務です。デューデリジェンスの意義は、それが単に想定されているのではなく、実証され検証可能であることを確認する点にあります。

MASコンプライアンスのために、アウトソーシング契約は何をカバーすべきか？

ベンダーの社内の実務は、それが貴社が執行可能な契約上のコミットメントとなって初めて、貴社を実際に守るものになります。MASのアウトソーシングガイドラインを念頭に置いてIT・サイバーセキュリティのアウトソーシング契約をレビューまたは交渉する際は、少なくとも以下の各項目が契約に盛り込まれているか確認してください。

• 明確な範囲・目的条項。 ベンダーがアクセスできるシステムとデータの範囲、その目的を明示し、それ以外の利用を明確に禁止すること。
• 具体的で検証可能なセキュリティコミットメント。 暗号化基準、アクセス制御要件、パッチ適用の頻度、脆弱性管理について、「合理的な」や「業界標準の」といった事後に執行しづらい曖昧な表現ではなく具体的に定めること。
• 再委託・再委任に関する条項。 ベンダーが使用する再委託先やオフショアチームについて知る権利、多くの場合は承認する権利を持ち、同等の基準がそれらにも適用されること。
• 具体的なインシデントエスカレーション・通知の時間枠。 疑わしいセキュリティインシデントや重大なサービス中断について、ベンダーがどれだけ迅速に貴社へ知らせる義務を負うかを具体的に定めること。「合理的に実行可能な限り速やかに」といった曖昧な条項ではないこと。
• 監査・検査権。 貴社、貴社の監査人、あるいは必要に応じてMASまたはその指定代理人による確認に対応できるかどうかを含む。これはMASのアウトソーシングガイドラインが重要なアウトソーシング取引に一般的に求める内容と一致する。
• 事業継続・退出計画。 関係が終了する場合、あるいはベンダーが継続履行できなくなった場合に備え、データの返却・削除・サービス継続性を含む明確な移行プロセスがあること。
• リスクに見合った責任・補償条件。 一般的な定型条項をそのまま受け入れるのではなく、貴社が実際に負うリスクを踏まえて交渉すること。
• システムとデータの保管・処理場所の確認。 集中リスクや管轄区域リスクを評価し、取締役会・監査人・規制当局から尋ねられた際に回答できるようにするため。

現在のベンダー契約がこれらの大半をカバーしていない場合、それは必ずしもベンダーの実際の運用に問題があることを意味するわけではありませんが、ベンダーが実務上すでに行っているかもしれないことと、内部監査・外部監査・MASから問われた際に貴社が*証明できる*こととの間にギャップがあることを示しています。

インシデント報告の責任は誰にあるのか——貴社か、それともベンダーか

これはコンプライアンス責任者が真っ先に尋ねる質問であり、正直で実務的な答えは、関連インシデントをMASに通知する責任は一般的にアウトソーシング先のベンダーではなく、貴社の規制対象機関に帰属するというものです。MASの通知やガイドラインは、通知の種類や機関の種類によって異なる、金融機関が関連インシデントを報告すべき具体的な時間枠についての期待を定めています——正確な時間枠や閾値は、貴社のライセンス区分に適用される具体的なMAS通知に定められており、これらの詳細はMASによって随時更新される可能性があるため、一般的な概要に頼るのではなく、コンプライアンス部門に現行の要件を確認することをお勧めします。

これが実務上意味するのは、ベンダーは貴社のMAS通知義務そのものを負っているわけではないものの、インシデントを十分に迅速に検知して貴社にエスカレーションできないベンダーは、通知期限が理論上何時間であろうと、貴社自身がその義務を果たすことを不可能にしてしまうということです。貴社のインシデント対応計画は「ベンダーに電話して待つ」で止まってはいけません。インシデント発生時にベンダー側の窓口が誰であるか、契約上どのような情報をどれだけ迅速に提供する義務があるか、そしてマネージドITセキュリティサービスの24時間体制を誰が担っているかを事前に把握しておく必要があります。そうすれば、疑わしいインシデントが発見された瞬間にエスカレーションされ、定例報告の中で数日後に発覚するようなことにはなりません。「もし今夜これが起きたら、どのように、どれくらい早く知らせてくれるのか」に答えられないベンダーは、貴社の規制リスクにおける自らの役割を真剣に検討していないということです。

MASのガイドラインに沿って、アウトソーシングリスクをどのように評価すべきか？

MASのアウトソーシングガイドラインは一般的に、機関がアウトソーシング取引に入る前に、その取引の重要性を評価することを期待しています——大まかに言えば、その取引が貴社の業務にとってどれほど重要か、そしてベンダーが履行に失敗したり中断が発生した場合に何が起こるかということです。ITやサイバーセキュリティに関する取引の重要性評価では、一般的に次のような点が考慮されます。

• アウトソーシングされた機能は、貴社のコア業務や顧客向けサービスにとってどれほど中心的か？
• ベンダーで長時間の障害が発生した場合、現実的な復旧時間はどれくらいか？
• この取引はリスクの集中を生んでいないか——例えば、同じベンダーが他の重要な機能も担っており、単一障害点を作り出していないか？
• 関係を終了する必要が生じた場合、信頼できる退出計画と、現実的な代替ベンダーまたは社内での代替手段はあるか？
• この取引は、クロスボーダーのデータフローやオフショア支援を伴い、リスク像に管轄区域上の複雑さを加えていないか？

機関は一般的に、重要と評価された取引に対して、より厳格なデューデリジェンス、契約上の保護、継続的なモニタリングを行い、MASのガイドラインは、この評価が契約時に一度だけ行われて忘れ去られるのではなく、定期的に見直されることを期待しています。アウトソーシングリスク評価は、契約更新、ベンダーの変更、自社業務の重大な変化に結び付けられた継続的な取り組みとして捉えるべきであり、一度きりのコンプライアンスのチェック項目として扱うべきではありません。

自社IT vs 一般的なMSP vs シンガポール本社のMSP：MAS TRMリスクを実際に低減するのはどれか？

シンガポールの金融機関がアウトソーシングITを検討する際、通常は構造的に異なる3つの説明責任モデルのいずれかを選ぶことになり、MAS TRMにおけるリスクの現れ方はそれぞれで異なります。

自社IT vs 一般的なMSP vs シンガポール本社のMSP

• 自社ITチーム——テクノロジーリスクに関する意思決定を完全に直接コントロールでき、第三者との契約交渉が不要。トレードオフとして、小規模な自社チームは、優れたマネージドサービスプロバイダーが標準として提供する24時間監視、パッチ適用のペース、サイバーレジリエンステストを維持するだけのリソースを持たないことが多く、重要なITスタッフ一人の離職といった単一障害点自体がテクノロジーリスクとなる。真に社内でセキュリティとレジリエンスの能力を構築できるだけの人員と予算を持つ機関に最も適している。
• 一般的なオフショア・海外MSP——価格競争力があることが多いが、サポート要員やインフラが実際にどこにあるのか、どの再委託先が関与しているのか、シンガポール特有のインシデントが時差を越えてどれだけ迅速にエスカレーションされるのかについて、不透明なことが多い。契約テンプレートが全く別の管轄区域の規制枠組みを前提に作られている場合もあり、貴社がMAS関連のデューデリジェンスで必要とする具体的な条項が単に存在しないこともある。運用面では機能する場合もあるが、コンプライアンス上の負担のより多くを、貴社自身の契約交渉と継続的な監督に委ねることになる。
• シンガポール本社のMSP（Brocentのモデル）——シンガポールに実際の拠点と責任あるエンジニアを持ち、金融セクターのクライアントの実務的な期待とシンガポールの規制環境に精通し、インシデント発生時の具体的な窓口を指定でき、上記の契約条項を個別交渉が必要な特例ではなく標準構成として支援できるよう体制が組まれているプロバイダー。これは貴社がMASのガイドラインの下で負う根本的な責任を取り除くものではないが、そもそもリスクを生み出す実際のギャップ——未開示の再委託先、時差によるエスカレーションの遅れ、曖昧なセキュリティコミットメント——を実質的に低減する。

私たちが最もよく目にする誤りは、これを純粋な価格比較として扱うことです。上記の契約条項やインシデントエスカレーションに関する質問に答えられない、大幅に安いオフショアの見積もりは、実際には同じ製品に似たような価格タグが付いているだけではなく、クラウドソリューションについても同様に、全く異なるリスクプロファイルなのです。

実務的なMAS TRMチェックリスト：契約前に確認すべきこと

IT・サイバーセキュリティのアウトソーシング契約を締結・更新する前に、以下のリストをベンダーと直接確認してください。

• 書面によるセキュリティ方針を求める——一般的な一枚もののドキュメントではなく、アクセス制御、パッチ適用、監視、再委託先の利用について具体的に扱ったもの。
• 誰が貴社のシステムとデータにアクセスできるか、そのアクセスがどのように記録されているかを確認する。 書面での主張だけでなく、実際のウォークスルーを求める。
• 再委託先やオフショア支援について明確な回答を得る。 ベンダーがそれらを利用している場合、具体的にどこの誰であり、どのデータを閲覧できるのかを確認する。
• 具体的なインシデントエスカレーションの時間枠を契約に盛り込む——曖昧な「速やかな通知」条項ではなく。
• 暗号化基準とアクセス制御を書面で確認する——口頭での約束ではなく。
• 事業継続・災害復旧計画を実際に見せてもらう——貴社のシステムに関連する目標復旧時間を含めて。
• 監査・検査権を確認する——必要に応じてMASまたはその指定代理人にも対応できるかどうかを含めて。
• 関係が終了した場合に貴社のデータとシステムがどうなるかを確認する——移行支援、データの返却、削除、そしてそれをどう検証するか。
• ベンダーが貴社固有の規制上の位置づけを理解しているか確認する——MAS規制下の銀行、保険会社、資本市場サービスライセンス保有者は、一般的な中小企業とは異なる要件を持つ。
• 当該取引の重要性評価を実施(または更新)し、契約更新時や範囲が実質的に変わった際に見直す。
• 現行の料金とサービス範囲を書面で入手する——上記の項目のいくつかを欠いているかもしれない、より安い提案と、コンプライアンスに適合した提案を比較する前に。比較の基準として現行の公開料金を参照してください。

これらの質問の大半に明確かつ自信を持って答えられないベンダーがいた場合、それ自体が、実際のインシデント発生時にそのベンダーがどう対応するかについての有用な情報です。

よくある質問

MAS TRMのコンプライアンス責任は自社にあるのか、それともITベンダーにあるのか？

一般的には自社にあります。MASのテクノロジーリスク管理・アウトソーシングガイドラインは規制対象機関に向けられたものであり、第三者ベンダーに直接向けられたものではありません。しっかりした契約であれば、具体的な条項を通じて運用上の責任や金銭的な結果をベンダーに割り当てることはできますが、貴社のMASに対する根本的な説明責任を移転することはできません。だからこそ、ベンダーのデューデリジェンスと契約条件は、ベンダーの日常的なセキュリティ実務と同じくらい重要なのです。

MAS TRMはシンガポールのすべての企業に適用されるのか、それとも規制対象の金融機関のみか？

MASのテクノロジーリスク管理・アウトソーシングガイドラインは、MASが規制する事業体——銀行、保険会社、資本市場サービスライセンス保有者、その他MASの監督下にある金融機関——を対象としています。貴社がMAS規制対象の事業体でない場合、これらの特定のガイドラインは直接適用されませんが、ベンダーのデューデリジェンスやセキュリティに関する一般的なグッドプラクティスは、どの企業にも当てはまります。自社が対象範囲に入るかどうか不確かな場合は、憶測で判断せず、コンプライアンス部門または法律顧問に確認する価値があります。

MAS TRMガイドラインとMASアウトソーシングガイドラインの違いは何か？

大まかに言えば、TRMガイドラインはテクノロジーリスクガバナンス全般——システムの信頼性、サイバーレジリエンス、アクセス制御、データセキュリティ——に焦点を当てているのに対し、アウトソーシングガイドラインは、機関が第三者に自社に代わって機能を遂行させる取引をどのように評価・契約・監視すべきかに特化しています。実務上、アウトソーシングされたIT・サイバーセキュリティサービスに関しては両者が大きく重なり合います。ほとんどのマネージドIT取引が、この2つの期待の交差点に位置するためです。

インシデントはどれくらい迅速にMASへ報告する必要があるのか？

これは貴社のライセンス区分に適用される具体的なMAS通知によって異なり、正確な時間枠や閾値は単一の普遍的なルールではなく、それらの通知の中に定められています。これらの要件はMASによって更新される可能性があるため、一般的な概要に頼るのではなく、現行の適用時間枠をコンプライアンス責任者に確認し、その確認された時間枠を基準にベンダーのインシデントエスカレーションに関するコミットメントを組み立てることをお勧めします。

自社データは物理的にシンガポール国内に留めておく必要があるのか？

シンガポールは、すべてのデータをシンガポール国内にのみ保管することを一律に義務付けているわけではありませんが、クロスボーダーでの処理は、インシデント対応、監査、そして取締役会や規制当局からデータの所在について尋ねられた際の対応に複雑さを加えます。ベンダーに対し、貴社のデータとシステムが具体的にどの管轄区域を経由するのかを確認し、クロスボーダーの要素を、見過ごすべき細部ではなく、積極的に管理・開示すべき事項として扱ってください。貴社がMAS TRM以外のセクター固有の要件の対象となる場合は、それらが追加の期待を課していないかも確認してください。

ベンダーで障害やセキュリティ侵害が発生した場合、どうなるのか？

実際にインシデントを引き起こしたのがどちらのインフラや要員であっても、貴社の機関は一般的に、MASと貴社自身の取締役会が最初に説明を求める当事者であり続けます。ガバナンスの行き届いたベンダーと契約し、しっかりした契約を結んでいても、この根本的な説明責任がなくなるわけではありませんが、インシデントが発生する可能性そのものを下げ、補償条項、責任条項、協力義務を通じて、ベンダーに過失があった場合にその結果をベンダーに割り当てる契約上の根拠を与えてくれます。契約で指定された窓口を通じて直ちにエスカレーションし、対応しながら時系列を記録し、ベンダー自身の調査が終わるのを待つのではなく、早い段階でコンプライアンス部門を関与させてください。

アウトソーシングリスクとベンダーのMAS対応状況は、どれくらいの頻度で再評価すべきか？

これは契約時に一度きり行う作業ではなく、継続的な関係管理の一項目として扱ってください——少なくとも、契約更新時、ベンダーが再委託先やオフショアの取り決めを変更した時、そして自社機関のリスクプロファイルが実質的に変化した時（新システムの導入、新たな顧客データカテゴリー、ライセンス種別の変更など）には、重要性評価とベンダーチェックリストを見直してください。多くのシンガポールの金融機関は、これをより広範なIT・セキュリティ評価とあわせた年次ベンダーレビューに組み込んでいます。

小規模な金融機関やフィンテック企業も、ITをアウトソーシングする際にMAS TRMを考慮する必要があるのか？

貴社がMASの規制対象である場合、関連するガイドラインは規模にかかわらず適用されますが、MAS自身のガイダンスも、リスク管理の規模と厳格さは機関の規模、複雑さ、そして当該取引の重要性に見合ったものであるべきだと認めています。コアとなるIT・サイバーセキュリティ機能をアウトソーシングする小規模な機関であっても、適切なデューデリジェンスを実施し、意味のある契約上の保護を確保すべきです。比例性が影響するのは、プロセスがどれだけ精緻である必要があるかという点であり、根底にある原則が適用されるかどうかではありません。

最初からベンダーのデューデリジェンスを正しく行う

これはすべて、完璧なベンダーを見つけることが目的ではなく、実施するデューデリジェンスと締結する契約が、MASのガイドラインがすでに貴社機関に課している説明責任を実際に反映していることを確認することが目的です。現在のプロバイダーを評価している場合でも、シンガポールの金融サービス向けIT支援の新たな候補を選定している場合でも、上記のチェックリストを一行ずつ確認し、口頭での保証ではなく書面での回答を求め、具体的で検証可能なコミットメントを契約に盛り込む意思があるかどうかを、それ自体意味のあるシグナルとして扱ってください。それを、シンガポールを拠点とするチームが提供するマネージドITセキュリティサービスやクラウドソリューションといった中核的なサービスと組み合わせれば、価格だけで判断するよりもはるかに強固な立場を築けます。現在のベンダー契約を見直したい、あるいは本チェックリストに沿って候補リストを評価したい場合は、お問い合わせください。貴社固有のシステムと規制環境に沿って整理するとともに、現地のシンガポールIT支援チームとも連携いたします。

本ガイドは、アウトソーシングによるIT・サイバーセキュリティ体制を検討する金融機関向けに、一般的かつ実務的な情報を提供するものであり、コンプライアンスや法的助言ではありません。MASの具体的な期待事項は、貴社のライセンス区分、当該取引の重要性、そしてMASが随時更新する可能性のある要件によって異なります。本稿の内容に基づいて行動する前に、重要な事項については貴社のコンプライアンス責任者または資格を有する法律顧問にご確認ください。