サードパーティ リスク管理リソース センター

Google Cloud は、Google Cloud サービスに関連する特定の活動を実施するために、サードパーティ（下請け業者）を利用することがあります。これらの下請け業者は、Google Cloud のサードパーティ リスク管理（TPRM）プログラムを通じてモニタリングおよび管理されます。このプログラムは、下請け業者との契約において Google Cloud のセキュリティ、コンプライアンス、運用効率の高い基準が維持されるように設計されています。

Google Cloud の TPRM プログラムは、サードパーティがもたらすリスクのレベルに比例して、サードパーティを特定、評価、管理、モニタリングするリスクベースのアプローチを採用しています。重要なサービスを提供するサードパーティは、より厳格なガバナンスと監視の対象となります。特に、TPRM プログラムでは、顧客データを処理する下請け業者（復処理者）と、処理しない下請け業者を区別しています。以下では、下請け業者のライフサイクルの各フェーズにおける Google Cloud のサードパーティ リスク管理活動について説明します。

Google Cloud の TPRM プログラムは、クラウド最高情報セキュリティ責任者（CISO）組織を通じて管理、統制されており、Google のエンタープライズ サードパーティ リスク管理プログラム、調達、ベンダー管理組織、リスクとコンプライアンス、法務チームによってサポートされ、組織全体でサードパーティ リスクが適切に管理されるようにしています。

Google Cloud TPRM プログラムでは、サードパーティと契約する前に、サードパーティを分類し、サードパーティ サービスがもたらすリスクのレベルを判断するための評価を完了する必要があります。リスクレベルは、デュー デリジェンス、契約、オンボーディング、および継続的なモニタリングに関する要件を定義するために使用されます。この段階では、全体的な集中リスクを評価して、新しい下請け業者を Google Cloud にオンボーディングすることの影響を判断します。

Google Cloud チームは、下請け業者をオンボーディングする際に、定義されたプロセスに従って、サービス開始前に下請け業者と適切な契約を締結します。これらの契約では、Google Cloud の堅牢なセキュリティ、プライバシー、コンプライアンスの要件と、下請け業者に関して Google がお客様に対して負う義務が取り決められています。

SLA、KPI などのパフォーマンス指標は契約で定義され、パフォーマンス モニタリングが継続的に実施されるように、下請け業者に対するパフォーマンス戦略が策定されます。

下請け業者がオンボーディングされると、Google Cloud の関連チームがパフォーマンスとリスク管理に関するさまざまな側面で下請け業者を継続的にモニタリングします。パフォーマンス管理は、定義された主要業績評価指標（KPI）と四半期ビジネス レビュー（QBR）ミーティングを通じて、（少なくとも）四半期ごとに正式に行われます。

リスク評価（デュー デリジェンス評価に類似）は年次で実施されますが、リスク管理体制の変化がないか、つまりさらなる評価が必要かどうかを検出できるよう、下請け業者のモニタリングは継続的に実施されます。

既存の下請け業者のサービスの種類や場所に変更が生じた場合、Google Cloud は契約で合意されたタイムライン内でお客様に通知します。

Google Cloud のモニタリングでインシデントが特定された場合は、集中的なインシデント管理プログラムに従い、専門家で構成される部門横断型チームが専任体制で対応することで、迅速な調査、修復、および積極的なコミュニケーションを徹底し、インシデントの追跡、管理、解決を図ります。詳細については、Google Cloud のデータ インシデント対応プロセスをご覧ください。

Google Cloud は、お客様の成功にとってサービスの継続性が重要であることを理解しており、それを保護するための包括的な内部管理体制を備えています。

Google Cloud は、潜在的なリスクを特定し、その影響を軽減するための戦略を策定するために、下請け業者の事業継続プログラムの定期的な評価を実施しています。下請け業者のパフォーマンスは、契約で定められた重要業績評価指標（KPI）の範囲内でサービス品質を維持するために定期的にモニタリングされます。

顧客データを所有するのはお客様であり、Google ではありません。Google はお客様の指示に従ってのみ顧客データを処理し、その処理の目的や本質的な手段を決定することはありません。したがって、Google は顧客データの管理者または共同管理者ではなく、処理者です。

Google は、技術サポート サービスなど、Google Cloud サービスに関連する限定的なアクティビティを実行するために、復処理者を使用します。Google は、Cloud のデータ処理に関する追加条項に従い、復処理者との書面契約に一定の保護措置が含まれることをお客様に保証しています。Google はその契約に基づき、以下の点を保証します。

Google は、データへのアクセス権限や提供するサービスの範囲に適したレベルのセキュリティとプライバシーを復処理者が備えているか確認するため、復処理者のセキュリティ慣行とプライバシー慣行の監査を実施します。

Google が復処理者から提示されたリスクを評価した後、復処理者は所定のセキュリティ、機密保持、プライバシーの各契約を締結する必要があります。具体的には、Google はその契約において、復処理者による顧客データへのアクセスが、限定的なアクティビティの実行に必要な範囲に限定されること、およびすべてのアクセスが Google Cloud のデータ保護条項に準拠していることを保証します。

Google Cloud のプライバシー関連の取り組みについて詳しくは、プライバシー リソース センターをご覧ください。