お金は大事、セキュリティも大事！～金融庁のガイドラインを読み解く

お金を扱う業界が幅広く対象に

これまで金融庁では、銀行や保険会社などそれぞれの業者向けの「監督指針」の中でシステムリスクに対する大まかな対応指針を示していましたが、これを抜き出して肉付けし、総合的なガイドラインを制定したものです。

背景としては、2010年代以降、金融機関を狙ったサイバー攻撃が繰り返し起きており、実際に被害にあった例もあること、また個人情報保護について重要性が増しており、漏洩した場合の影響が甚大であること、一方でスマホでのタッチ決済やポイント決済など、お金を使う方法が多様化していて、サイバー攻撃を受けた場合の社会への影響が大きくなっていることなどが挙げられます。

このため、銀行や保険、証券などの金融機関に加え、プリペイドカード等の発行業者、スマホアプリなどの電子決済手段を扱う業者なども対象に含まれています。

金融分野におけるサイバーセキュリティガイドライン[PDF]（金融庁Webサイト）

求められる６つの対応

ガイドラインでは、金融事業者には以下の６つの対応が求められています。

①～③については、サイバー攻撃に備える態勢づくり、④～⑤は、実際にサイバー攻撃が起きた際の対応をまとめたものです。⑥は、事業者自身だけでなく取引先等への態勢整備を促す項目です。

「リスクベース」と「ガバナンス」が特徴

大きな特徴としては、対象となる業者が多岐にわたるため、各事業者が自らのリスク評価に基づき、リスクに見合ったセキュリティ対策を講じる「リスクベース・アプローチ」を推奨している点です。全ての業者が一律の対応を取るのではなく、規模や特性に応じた対応を求めています。

リスクベース・アプローチとは、組織が直面するリスクに対し、重要度や緊急性に応じ、優先順位をつけて対策を行う方法です。このガイドラインでも、組織内、組織外の情報を収集・分析し、自組織内のリスクが組織に与える影響を評価し、順位付けを行うことが記されています。

また、サイバーリスクに対しての防御、検知、対応、復旧といった実務面だけでなく、１番目の項目として「経営陣のガバナンス」を記しているのも大きな特徴です。これは、米国国立標準技術研究所NIST。科学技術に関する標準を管理する機関が2024年２月に改訂した「NISTサイバーセキュリティフレームワーク2.0」にも示されているアプローチで、世界中の国家・組織・企業においてスタンダードになりつつある考え方です。

経営陣は、サイバーセキュリティ管理の基本方針を策定し、少なくとも年に一度はその方針を見直すこと、サイバーセキュリティ担当組織と統括責任者を置くこと、自らリーダーシップを発揮して、サイバーセキュリティ確保のために組織風土を作ることなどが求められています。

全職員への教育・研修が必須に

このガイドラインでは、経営陣を含むすべての役員・職員に対して、サイバーセキュリティの意識向上のための教育・研修を定期的に行うことが求められています。

具体的には、以下の５項目が掲げられています。

働く人すべてのスキルアップを

金融庁のサイバーセキュリティガイドラインで示された、リスクベース・アプローチ、ガバナンスの重視といった考え方は、どんな業界であってもサイバー攻撃に対する体制を強化するために取るべき効果的な方法です。

そして、経営陣を含め、働く人すべてがサイバーセキュリティについての知識やスキルを向上させることは、業種や規模を問わず、すべての組織で必要になっています。

インソースデジタルアカデミーでは、サイバーセキュリティに関するさまざまな研修をご用意し、みなさまのお手伝いをいたします。