既存の道具は所有の
手前で止まる
概要
チェーンが何で構成されているのか、そして依存がなぜてこになるのかです。
続きを読む 
層
8つの層、8種類の所有者、そしてほぼ空白の1列です。
続きを読む
支配
コードを1行も変えずに所有が変わります。
続きを読む
境界
すでに使われている9つの道具と、それぞれがどこで止まるかです。
マッピング
キャプチャー、名寄せ、帰属、そして突合です。
続きを読む
これを読んでいるどの組織も、すでにサードパーティーの管理体制を運用しています。部品表、ビルドの証明、内部統制報告書、態勢のスコア、攻撃対象領域の道具です。新しい手法に対する当然の第一反応は、このどれかがすでにそれを覆っているのではないかというものです。実際にはほとんど重なっておらず、その理由を正確に述べておく価値があります。
これらのどれもが、ある問いのために作られ、その問いに答えます。隔たりは、どれか一つの内側ではなく、それらのあいだにあります。
網羅の範囲
各道具がどこで止まるか
道具箱
それぞれが、そのために作られた問いに答える
どの行を横に読んでも、その道具は目的に対して明らかに適しています。何かを決めている列は、最後の1列です。
ビルドは十分に覆われている
部品表は、ある成果物に何が入ったかを記録します。出所の枠組みと署名は、それが主張どおりに構築され署名されたことを立証します。依存関係の走査は、宣言された構成要素を既知の欠陥に照らして確認します。これらを合わせればビルドは実際に十分に支えられており、そのすべてがビルドを記述しています。しかしそのどれも、完成したものが動き始めたあとに何へ手を伸ばすのか、そして手を伸ばしたときに誰が応えるのかは記述しません。
表明は、表明としては十分に覆われている
悪用可能性の表明、再委託先の登録簿、データ処理契約、内部統制報告書は、供給者による自らについての説明です。ある欠陥が何をすると供給者が述べているか、誰を使っていると述べているか、どの統制を試験させることを選び、それがいつだったかです。そのすべてに価値があります。証明ができない唯一のことは、自らの網羅性を証明することです。
ブラウザーはドメインを許可一覧に載せる
コンテンツの方針は、ページが使うことを許されたオリジンを名指しします。完全性の属性は、ある特定のファイルが変更されていないことを確認します。どちらも実際の働きをしており、どちらも適用すべきです。しかしどちらも、許可一覧に載ったオリジンを誰が運用しているのかについては何も述べません。許可一覧上のドメインは、当事者ではなく名前です。
態勢は外側から採点される
外側からの格付けは、観測できる信号から導いた数値を企業に与えます。衛生状態の代理指標としては妥当であり、何かの予測因子としては論争があり、そしてすでに名前の分かっている企業から始まります。所有、支配、そしてお客様のデータを規律する法域は、それが測ろうとしているものではありません。
インフラは外側から発見される
これが最も近い隣接分野であり、正直に名指しすべきものです。継続的な外部からの発見は、誰にも一覧を求めることなく資産とインフラを見つけます。それはこの手法を動かしているものと同じ直感です。それは運用者のところで止まります。この資産はあの組織に属している、というところまでです。その組織を誰が所有しているのかは、それが問うために作られた問いではありません。
所有は名前から解明される
実質的支配に関する作業は、確かなデータに裏打ちされた成熟した専門分野であり、ある企業について親会社、支配権を持つ当事者、制裁上のエクスポージャーを解明します。それは企業名から始まります。セッションのなかで観測されたホストから始める手立ては持っていません。しかし当事者が一度も開示されていない場合、それが唯一使える出発点なのです。
隔たり
この作業は、これまで結ばれたことのない2つの専門分野を結ぶ
こう並べると、隔たりは狭く具体的です。外部からの発見は運用者で終わります。所有の解明は企業名から始まります。その間にあるのが、ほとんど誰も踏まない一歩です。観測されたホストを、運用者の背後にいる企業へ、さらにその所有者と、その企業がお客様のデータをどう扱うかを規律する法へとつなげることです。
ベンダーの一覧を信じるのではなくアプリケーションを観測することは、ある道具の分野全体の出発点となる前提であり、それは長年そうでした。ここでの貢献は、観測したあとに何が起きるかであり、しかもそれさえ発明ではなく借用です。規制対象の企業が日々実行しているのと同じ顧客確認と実質的支配の実務手法を、その分野が一度も使ってこなかった出発点に適用したものです。
所有と法域は、特定の一群の問いに答えます。別々の名前が共通の所有者へ収束したとき、ある依存が実際にはどれだけ集中しているのか。あるプロバイダーが、お客様のデータがさらされる範囲を変える法制度のもとにあるのか。チェーン上のいずれかの当事者が、知っていれば受け入れなかったであろう制裁上または支配上のエクスポージャーを抱えているのか。これらは、あるプロバイダーが侵害されるかどうかの予測ではありません。そう主張する手法は、そうした主張が通常招く懐疑に値するでしょう。
用語
これら4つの用語は日常的に緩く使われている
ここでの緩い使い方は、細かさへのこだわりの問題ではありません。集中度を所有者ではなくベンダーの数で数えること、あるいは証明を出所として扱うことは、不正確な答えではなく誤った答えを生みます。
第n者
第一者はお客様自身です。第二者は契約した供給者です。第三者はその供給者が契約した供給者であり、第n者はそこから先チェーンが伸びる限りのすべてです。ほとんどの管理体制は第二者までを範囲とし、そこで止まります。エクスポージャーのほとんどはさらに下にあり、それがこの作業が存在する理由そのものです。
集中度
出来事ではなく構造的な条件です。依存しているもののうち、どれだけが同じ少数の当事者へ戻って収束するのかということです。契約の層では見えません。そこでは20社の供給者はまさに20社の供給者に見えます。所有が解明されて初めて現れます。
代替可能性
集中度が実際にもたらす代償です。1週間で置き換えられる依存は調達の問題です。置き換えるものが何もない同じ依存は、事業についての判断です。その違いは、そのプロバイダーが何かの点数でどれだけ良いかとは何の関係もありません。
出所と証明
出所とは、あるものがどこから来たのかの記録です。証明とは、それについてなされた署名済みの主張です。この2つは互換に使われていますが、同じものではありません。ある主張は、完全に検証可能で、暗号として健全で、しかも決して信頼すべきでなかった当事者によってなされている、ということがあり得ます。
開示されていないプロバイダーは、通常隠されたプロバイダーではない
突合は隙間を生み、その隙間をどう読むかが重要です。この業界全体において、開示は意図の問題としてではなく、通常の状態として不完全です。2,400社の技術ベンダーを対象とした2026年の点検では、63.6%が自らの評価のなかでAIプロバイダーによる再委託を開示していませんでした。部品表の普及状況についての2026年の調査では、78%の組織が商用の供給者からそれを受け取ることが一度もない、あるいはまれであることが分かりました。この基準に照らせば、証拠には現れるが書類には現れないプロバイダーは、隠蔽の行為であるよりも、開示の隙間であることがはるかに多いのです。この検出結果が立証するのは、そのエクスポージャーが点検されていないということであり、それはいずれにしても対応する価値があります。それを不誠実だと報告するのは不当であり、ほとんどの場合は端的に誤りです。
この手法は、これらの道具が止まるところから始まる
アプリケーションが実際に手を伸ばす先をキャプチャーし、各ホストを運用者へ、各運用者を企業へ名寄せし、所有者と法域を帰属させ、そのすべてを表明されていた内容に突き合わせます。解説には、ホストがどのように名寄せされるのか、そしてその前にあるインフラの先へ決して解明されないホストについて何が起きるのかを含めています。
ブリーフィングを
依頼する
実際に進行中の案件から取り上げたユースケースを通じて、サプライチェーンの完全性がいま経営層の注意と連携した対応を必要としている理由をご説明します。
グローバルなサプライチェーンの完全性をめぐる動向と、nDiligenceからのお知らせを受け取るには、ご登録ください。
Copyright © 2026 nDiligence, Inc. All Rights Reserved.