サイバーリスクとビジネスリスク、ついに同じ数値に
調査結果を締め切るアナリストから、エクスポージャー概要を確認する取締役会に至るまで、あらゆる役割の担当者が、同じ資産、管理措置、およびリスクデータに基づいて業務を行っています。
1,500以上の組織から信頼されています
-
1,500+
48カ国にわたる顧客
-
50%
フォーチュン500にランクインする企業の顧客のうち
-
65%
定量化に一層力を入れている組織について
-
15,000+
Archerリスクコミュニティのメンバー
一組の資産と統制、それぞれの役割に応じたビュー
アナリストがシステムを一度評価すると、その結果は、取締役の処理リスト、CISOのリスク概要、CROが管理する企業登録簿、そして取締役会資料に反映されます。再入力の手間もかからず、どのスプレッドシートが最新かという議論も発生しません。
-
アナリスト：「一度評価すれば、あらゆる場面で活用できる」
-
CISOとCRO：リスク指標は1つで、2つではない
-
ボード：クエリを経ても残る表示ビュー
アナリスト、CISO、そして取締役会がそれぞれ得られるもの
ITリスクアナリストからエンタープライズ・リスク・オフィサーまで、あらゆる役割を1つのプラットフォームでカバーします。
ITリスクアナリスト向け
Archerは、チームが現在運用しているプロセスに適合しているため、評価、管理テスト、および調査結果は、4つのスプレッドシートや受信トレイに分散することなく、1つのキューにまとめられます。
セキュリティGRC責任者へ
あらゆるシステム、管理体制、および発見された課題を1つのリスクマップにまとめ、プレゼン資料を作り直す代わりに、会議で難しい質問に即座に答えられるようにしましょう。
CISOおよびCROの皆様へ
サイバーリスクと企業リスクは、同じ資産、統制、シナリオに基づいているため、お二人は経営陣に対して単一の数値を提示することになります。
ITおよびセキュリティリスク管理プログラムが実際に機能する場面
相互に関連付けられた9つのユースケースにより、スプレッドシートの代わりに、評価から完了に至るまでの過程で、調査結果や管理措置を処理するワークフローが導入されます。
1
ITリスク登録簿
組織とそのIT資産を整理・分類し、各システムに関連するすべてのITリスクを記録することで、登録簿が実際に運用している環境を正確に反映するようにしましょう。
2
制御試験
プロジェクトのスケジュールに基づいてIT統制をテストし、自動化システムから結果を取り込むことで、手動による証拠とシステムによる証拠を同じ記録にまとめて保存します。
3
脆弱性の優先順位付け
資産のコンテキストとスキャン結果を活用し、ビジネスにどのようなリスクをもたらすかという観点から脅威と脆弱性を優先順位付けし、チームが最初に取り組むべき対象を決定します。
4
インシデント対応
定義されたワークフローに従って、報告されたインシデントをエスカレーション、調査、解決し、どのインシデントを優先して対応すべきかをチームに伝えるビジネスコンテキストを反映させます。
5
政策の内容
ISO 27000シリーズ、COBIT 5、NIST 800シリーズ、PCI DSSなど、ユースケースに同梱されている既存のセキュリティフレームワークやコントロールカタログを起点とします。
6
規制の変更
IT関連の義務に関する変更を追跡し、ビジネスへの影響を評価した上で、対応策を適切に伝達することで、経営陣が新しい要件について、まずあなたのチームから情報を得られるようにします。
1つのプラットフォームがあらゆる役割にもたらすメリット
セキュリティおよびITリスク担当チーム向け
システムを一度評価し、その結果をそのまま活用する。リスクは、それが脅威となる資産や、それを抑制するための統制措置と関連付けられ、評価結果には責任者と日付が明記される。また、次四半期の再評価は、白紙のテンプレートから始めるのではなく、前四半期の記録を基に行われる。
CISOおよびCROの皆様へ
サイバーリスクと企業リスクは、同一の資産、統制、シナリオに基づいて算出されるため、セキュリティ関連の数値と企業全体の数値は、経営陣会議の最中ではなく、会議の前に照合されることになります。そして、その共有された全体像から重要とみなされる項目に資金を投入することになります。
取締役会および監査委員会
取締役会が検討するエクスポージャー概要は、アナリストが業務に使用しているのと同じ記録に基づいているため、ある数値に関する質問に対しては、単に「追って確認する」という約束で終わるのではなく、責任の所在と担当者が明確になります。取締役会で決定されたリスク許容度は、セキュリティが適用される閾値となります。
上記で使用されている画像は、実際の製品のスクリーンショットではありません。
Archerを導入することで、チームが得られるメリット
Archer Evolvは、リスク管理およびコンプライアンス機能全体にわたる統合的な戦略の実現を可能にします。
-
監査の迅速化
再利用可能な証拠資料と自動収集機能により、監査準備時間を最大40％短縮できます。
-
予期せぬ出来事が少なくなる
継続的な監視により、新たなリスクが発生事案となる前にその兆候を把握することができます。
-
金型コストの削減
重複するGRCツールを1つのプラットフォームに統合し、ライセンスの乱立を解消します。
-
取締役会提出用の報告書
数日かかっていた経営陣や取締役会向けのレポート作成を、わずか数分で完了させることができます。
-
確かなコンプライアンス
運用しているすべての枠組みにおいて、常に監査に対応できる態勢を整えておくこと。
-
あなたに合わせて調整
プログラムを再構築することなく、新しいユニット、フレームワーク、およびリージョンを組み込むことができます。
ITリスク管理ツール1つでチームが得られるメリット
アーチャーは、エンタープライズリスクやオペレーショナルリスクと同じプラットフォーム上に位置しているため、サイバーリスクとビジネスリスクの照合は、会議の後ではなく、会議の前に完了する。
ITリスク分析ツール
作業がスキャナー、スプレッドシート、チケットキューの3つに分散している
以下がセット内容です
-
ツールに限定された資産データ
-
システム間に散在する証拠
-
ITリスクのみ。ビジネス上の文脈は含まない。
アーチャー IT・セキュリティリスク
ITリスクと企業リスクを統合した単一のプラットフォーム
以下がセット内容です
-
1つのキュー、1つのレコード、1つの再評価サイクル
-
残存リスクと統制の有効性に関する最新動向
-
エンタープライズ・リスク管理で用いられるのと同じシナリオに基づいて構築されたサイバーリスクの推計値
-
最上位で設定された需要量が、管理基準値および是正期限に達した
-
すでに導入済みのCMDB、スキャナー、ITSMと連携します
カスタムスプレッドシートの作成
事務処理が以前より迅速になったという証拠
以下がセット内容です
-
手動による追跡と更新
-
基幹システムとの連携なし
-
リスクの解釈はユーザーによって異なります
当社の事例紹介をご覧ください
イースタン・バンク、アーチャーを活用してビジネスプロセスを推進し、コンプライアンスを効率化
- 事例を見る：
- ケーススタディを見る： バノルテ銀行、Archerを活用してリスクの正確な把握を実現
- ケーススタディを見る： Intuitive Surgical社、リスク管理の自律化に向けた取り組みの一環としてArcher SaaSへ移行
- ケーススタディを見る： 金融サービス機関のための事業継続性
1,500を超える組織がArcher®を導入しており、その中にはフォーチュン500企業の半数や、世界トップ50の銀行のうち37行が含まれています。それらのチームがどのような課題に直面し、何を構築し、何が変わったのかをご覧ください。
イースタン・バンク、アーチャーを活用してビジネスプロセスを推進し、コンプライアンスを効率化
バノルテ銀行、Archerを活用してリスクの正確な把握を実現
Intuitive Surgical社は、リスク管理の強化に向けた取り組みの一環として、Archer SaaSへの移行を行いました。
金融サービス機関における事業継続力
リスクを担うチームから信頼されている
アーチャー・エボルブ導入後に何が変化したか――リスク、コンプライアンス、監査の責任者たちが語る。
当社は、企業のリスク管理およびコンプライアンスプロセスの改善と変革を推進する上で中核となるGRCソフトウェアプラットフォームの必要性を認識しました。
Archerは「真実の源」であり、私たちにとって有益な監査証跡を作成してくれます。保険会社として、私たちはあらゆる政府機関から監査を受けています。今では、「これが私たちのリポジトリです。ぜひご確認ください」と自信を持って言えるようになりました。
リスクの集計は、組織内でリスクがどこに存在しているかを把握し、取締役会や経営陣に対してより明確な情報を提供するという点で、当社にとって重要な課題です。
Turkcellでは、Archerを社内の主要なGRCツールとして活用しています。これにより、透明性が高く安全なガバナンスの枠組みが構築されています。
アーチャーは、物事を大まかな概念ではなく、数字や具体的な事実にまで突き詰める能力を私たちに与えてくれます。これは、直感や感覚ではなく、事実に基づいた経営です。
さまざまなアプリケーションをすべて連携させるため、すべての情報が一か所に集約されていることから、それらの相互参照や連携を活用して、より適切なビジネス上の意思決定を行うことができます。
セキュリティチームが選定前に確認する事項
ITおよびセキュリティリスクを管理するチームが実際に知っておくべきことに対する、率直な回答。
Archerは、現在実行中のプロセスに合わせて設定され、すでに導入済みのシステムからアセットのコンテキスト、スキャン結果、および管理の証拠を取得します。チームは、システムが本番稼働するかなり前のスコープ定義段階で、独自のワークフローを定義します。
範囲がスケジュールを左右します。インテュイティブ・サージカル社は、選定に7か月、移行に6週間を費やしました。ほとんどのプログラムは、9つのユースケースのうち1つから開始しますが、経営陣が真っ先に気づくのは、チームがレポート作成に費やす時間がなくなったということです。
Archerはスキャン結果と資産データを入力として受け取るため、資産はそのままの場所に留まります。脆弱性の検出結果は、ビジネス上の文脈がすでに付加された状態で提供され、問題は各チームが現在使用している追跡システムに連携されます。
いいえ。ソリューション領域には9つのユースケースが含まれており、ほとんどのプログラムではこれらを順序立てて処理します。チームは多くの場合、ITリスク管理や統制の保証から始め、その後、同じ資産および統制レコードに対して、脆弱性対策、インシデント対応、ポリシー、規制対応の作業を追加していきます。
