サイバー脅威へ立ち向かう金融サイバーレジリエンス高度化への挑戦（金融庁／金融ISAC）

サイバーレジリエンス強化に向けた取り組み

小林：
ご指摘のとおりですね、私もいずれも記憶にありますし、他にも多くの場面でサイバーレジリエンスの必要性を痛感しています。齊藤さんへの質問となりますが、金融庁は金融分野のサイバーレジリエンス強化に向けて近年どのような取り組みを実施されていますか。

齊藤：
金融庁では、各金融機関がサイバーセキュリティを自己評価できるツール「CSSA（サイバーセキュリティセルフアセスメント）」を、金融情報システムセンター（FISC）と日本銀行と共同で開発しました。2022年度版のCSSAには42の設問があり、そのうち8問がレジリエンスに関する内容です。

例えば「インシデント対応や訓練・演習での経験をもとに、規程類などの組織的対応や技術的対応の強化をしたことがあるか」といった問や、攻撃の種類別に「どのようなコンティンジェンシープランを用意しているか」を評価する問も設けました。CSSAは金融機関が自らのコントロールを点検するきっかけとなることを意図しており、必要な対策の実施につなげてもらうことを期待しています。

先述のG7のランサムウェアに関する基礎的要素では、インシデントの発生原因として、「サイバーハイジーン」^※が不十分であることが多いと指摘しています。高度なソリューションの導入も有効ですが、セキュリティパッチの適用や適切な資産の管理といった基本的な対策を確実に実施することが重要です。

また、同ガイダンスでは「過去のインシデントから知見を得ることで、ランサムウェアに対するレジリエンスを高めること」と述べています。自社がサイバー攻撃を受けていないことや、世の中で発生しているサイバー攻撃事案が金融業界以外や海外の事例であることは安心材料にはなりません。そうした現実の事例を自らに当てはめて考えることが必要です。現実には、一足飛びにすべての手当を完了させることは難しい場合もあるため、優先度を付けた対応が必要です。例えば、重要なシステムを洗い出し、そのバックアップの改竄耐性を確認し、データの復元などの復旧手順を検証したり、演習を通じて復旧がRTO（目標復旧時間）内に収まるかどうかを確認したりといったことが考えられます。

^{※サイバーハイジーン：個人や組織がサイバー攻撃やデータ侵害のリスクを最小限に抑えるために実践する基本的なセキュリティ対策。「サイバー空間を衛生的で健康に保つ」という概念から生まれた造語。}

小林：
金融機関側のサイバーレジリエンスの取り組み状況はいかがでしょうか。

大日向：
日本の金融機関は、これまでの大規模システム障害の経験から、危機対応体制やプロセスの改善に取り組んできました。サイバー攻撃対応の観点でも、ランサムウェア被害を想定した訓練・演習を行う会社が多いと思います。金融ISACでもサイバー攻撃演習や危機対応を担当できる人材の育成に取り組んでおり、多くの金融機関が参加しています。

その中でサイバーレジリエンスの確保で重要となるのは「攻撃された際の業務影響をいかに極小化するか」です。組織の能力と、個人の能力が問われる課題だと認識しています。

小林：
「業務影響」は重要なキーワードです。現在、「オペレーショナルレジリエンス」も重要な取り組みとして注目を集めています。サイバーレジリエンスを強化する観点から、オペレーショナルレジリエンスに対してどのように取り組むべきだとお考えですか。

齊藤：
オペレーショナルレジリエンスとは、例えば、インシデントにより、重要な業務に影響が及んだ場合、その影響を最小化しつつ迅速に回復する能力を指します。オペレーショナルレジリエンスの観点から見ると、業務の回復や影響を最小化するコンティンジェンシープラン（緊急時対応計画）には、大規模災害やパンデミックだけでなく、サイバーシナリオも含まれています。

サイバーセキュリティでは、すべてのシステムを完全に防御することは不可能なので、重要なシステムを特定し、その重要性に応じた対策を進める必要があります。その際には、各システムの業務影響や顧客へのインパクトを分析しますが、顧客目線で重要業務を判断する上では、オペレーショナルレジリエンスの視点が重要な要素になります。このため、サイバーセキュリティ担当部門とリスク管理担当部門の連携が必要ですが、実際の業務影響や顧客影響を詳らかにするのは、エネルギーを要する作業です。