100社の買い手、100通りの様式、同じ40の事実
セキュリティチェックシートは、情報に共通の形がないために作業が繰り返される最も分かりやすい例です。ベンダーが主張する事実は安定していて監査も済んでいる——毎回変わるのは質問の様式だけです。
最終更新:
エンタープライズ向けにB2Bソフトウェアを販売するベンダーは、1年のあいだに「保存データの暗号化」について同じ質問に何十回も答えます。同じ事実、同じ裏付け、同じ担当者が書く——毎回異なる様式で、少しずつ違う言い回しで、幅の違うセルに。
これは怠慢な買い手や整理の悪いベンダーの話ではありません。双方とも合理的に行動しています。これは、安定した情報に共通の形がないときに何が起きるかという話です。
事実は変わらない。変わるのは容れ物
セキュリティチェックシートが実際に何を尋ねているかを考えてみてください。データの保存場所。転送時と保存時の暗号化方式。再委託先。インシデント対応のコミットメント。SOC 2報告書の有無とその適用範囲。ISO/IEC 27001認証の有無と適用宣言書の対象範囲。
あるベンダーにとって、これらの回答は数か月単位で安定しています。しかも既に文書化されています——監査報告書に、認証書の適用範囲に、トラストページの再委託先一覧に。ベンダーは新しい情報を作っているのではありません。既存の情報を、その週に届いた容れ物へ書き写しているだけです。ある買い手のExcelブック、別の買い手の購買ポータル、3社目の署名欄付き独自PDFへ。
コストが乗っているのはこの書き写しであり、しかも質の悪いコストです。回答は契約上の表明となるため営業に委ねられず、上級のセキュリティ担当の時間を消費します。来週の容れ物は違う形なので、再利用できるものは何も生みません。そして、複写に特有の形で誤りを生みます。ある買い手のファイルに「AES-256」と書かれ、別のファイルに「業界標準の暗号化」と書かれたチェックシートは同じシステムを説明しているのに、2社を比較する慎重な買い手にはそれが判別できません。
標準フレームワークは、部分的には効く
SIGやCAIQはまさにこれを解決するために存在し、買い手が記入済みの標準質問票を受け入れる場合、削減効果は実在します。日本では、ISMSの管理策リストを元にした買い手独自のチェックシートが似た集約の役割を果たしています。
ただし普及は部分的で、理由は頑固さではありません。買い手のチェックシートには、その企業自身のリスク姿勢、監督官庁、過去のインシデントが反映されています。2019年に再委託先で痛い目を見た銀行は、いまや標準フレームワークには含まれない再委託先に関する4つの質問を追加しています。その追加は正当です——そして一つひとつが様式を再び分岐させます。
こうして均衡が保たれます。大部分が重複する質問が、互換性のない容れ物で問われ、手作業で答えられる。
構造化が変えること
代替案は、より優れた表計算テンプレートではありません。双方が散文ではなく構造化された主張をやり取りすることです。
ベンダーは一組の主張を保守します——暗号化方式、データ保存場所、再委託先一覧、監査の適用範囲と日付、侵害通知の期限——それぞれに裏付けを添えて。買い手は自社の質問を、再委託先に関する独自の4問も含めて投げます。その質問がベンダーの保守している主張に対応するなら、打ち直しではなく情報源から回答されます。対応しないなら、人が一度だけ回答を書き、その回答もまた保守される主張になります。
ここから2つのことが導かれます。ベンダーは書き写しをやめます。そして買い手にとってより価値があることに、回答は最初から比較可能な形で届きます。全ベンダーが同じ形式で質問されるからです。今日の比較可能性は事後的に作られています。表現の異なる5つのPDFを誰かが読み、何を同等とみなすかを判断することによって。その突き合わせは分析ではなく、たまたま高給の人間がやっているデータクレンジングです。
これは10社の料金ページを読んだときに見つけたのと同じ構図です。情報は公開されていて大半は明示されており、作業はすべて「共通の土俵に載せること」にありました。
自動化すべきでないこと
判断です。あるベンダーのデータ保存場所の回答が、自社の監督官庁に照らして受け入れられるか。セキュリティのみを適用範囲とするSOC 2が、今回の購買に対して十分か。技術的には正しい回答が実質的に回答を避けていないか——「業界のベストプラクティスに従っています」は文であって統制ではありません。
これらの問いには、答えに責任を負う人が必要です。必要でないのは、その人が比較を始めるまでの3週間を、他社のPDFの整形に費やすことです。
この分担——機械が揃え、人が決める——がAgentDoorの前提です。そしてセキュリティチェックシートは、その主張が最も分かりやすく見える場所です。現行のプロセスをその長所ゆえに擁護する人は誰もいません。それが続いているのは、買い手同士のあいだに存在する様式の問題を、一社の買い手だけでは解決できないからです。