2024 年７月 29 日
金融庁総合政策局リスク分析総括課
IT サイバー・経済安全保障監理官室 御中

一般社団法人全国銀行協会「金融分野におけるサイバーセキュリティに関するガイドライン」（案）に対する意見について・サイバー攻撃の被害は、地政学的な緊張の高まりなどを背景に、世界規模で増加傾向にあり、その手口は日々、高度化かつ多様化している。日本国内においても、企業や団体におけるランサムウェアの被害が、業種を問わず拡大しており、あらゆる企業において、サイバー攻撃の最新の傾向を踏まえたセキュリティ対策について検討していく必要があると認識している。とりわけ、金融機関は国民生活や経済活動を支えるインフラ事業者として、より一層強固なサイバーセキュリティ対策を講じる必要があると考えている。
・「金融分野におけるサイバーセキュリティに関するガイドライン」（以下「本ガイドライン」）では、「基本的な対応事項」及び「対応が望ましい事項」が明確化されており、いずれについても、業界で一律の対応を求めるものではなく、金融機関が、自社を取り巻く事業環境、経営戦略及びリスクの許容度等を踏まえた上で、サイバーセキュリティリスクを特定、評価し、リスクに見合った低減措置を講ずること（所謂「リスクベース・アプローチ」を採ること）が求められることに留意が必要である、とされている。
・一般社団法人 全国銀行協会（全銀協）としては、本ガイドラインは、サイバーセキュリティに関する「基本的な対応事項」と、より高度なサイバーセキュリティ態勢を構築するための参考となる「対応が望ましい事項」が示されたことで、金融機関が、自社の態勢の現状と課題を把握し、必要な改善策を計画的に実施することができるという観点において意義があり、銀行界全体のサイバーセキュリティへの対応力の底上げと態勢強化に資するものと理解している。
・こうした理解のもと、 全銀協としては、一部項目で記載されている文言の定義や、対象範囲、基準、解釈、等を明確化すること、具体例を提示することで、当協会の会員の態勢整備の一助となると考えていることから、パブリックコ

1

メント募集に対して、別紙のとおり意見を提出する。
以2

上

別 紙
「⾦融分野におけるサイバーセキュリティに関するガイドライン（案）」（パブリックコメント）に関する意⾒
コメント者
コメント対象⽂書
コメント箇所（⾴、項番等）
コメント等
1 全銀協
ガイドライン案
全般
本ガイドラインについて英語版を策定してほしい。
⾦融庁ではサイバーセキュリティセルフアセスメントの取り組みもあるが、本ガイドラインの「基本的な対応事項」と⽐べ求める⽔準感に差があり、本ガイドラインの「基本的な対応事項」が求める⽔準が相対的に⾼い
2 全銀協
ガイドライン案
全般
ように⾒受けられる。求める⽔準感がダブルスタンダード化しているようにも⾒え、整合性を確保してほしい。

3全銀協

ガイドライン案

4全銀協

ガイドライン案

5全銀協

ガイドライン案

6全銀協

ガイドライン案

7

全銀協

ガイドライン案

8

全銀協

ガイドライン案

9

全銀協

ガイドライン案

10 全銀協ガイドライン案

11 全銀協ガイドライン案

12 全銀協ガイドライン案

13 全銀協ガイドライン案

14 全銀協ガイドライン案

15 全銀協ガイドライン案

16 全銀協ガイドライン案

17 全銀協ガイドライン案

18 全銀協ガイドライン案

19 全銀協ガイドライン案

20 全銀協ガイドライン案

21 全銀協ガイドライン案

22 全銀協ガイドライン案「基本的な対応事項」の中には、CRI Profileなどのグローバルな評価フレームワークでは⼤規模な⾦融機関に求める内容も含まれており、「基本的な対応事項」の求める⽔準がグローバルスタンダードに⽐べても⾼いように⾒受けられる。中⼩⾦融機関を含め、対応については、時限を定めて⼀律の対応を求めるものではなく、各⾦融機関がリスクベースアプローチで対応するという理解でよいか
本ガイドラインにおける「経営陣」とは役員・執⾏役員を指し、「経営トップ」とは頭取・社⻑・理事⻑等を指すという理解で相違ないか。
全般
サイバーセキュリティ管理態勢について経営陣の主体的な関与が求められる点は各節でも繰り返し述べられている重要事項であるため、本ガイドラインにおける定義を明確に⽰してはいかがか。
「対応が望ましい事項」の中には、どの⾦融機関にとってもかなり難度の⾼い取り組みも含まれている認識
1.1.
でいるが、その理解であっているか。⾦融庁として、監督・検査の中で今後どのように取り扱うことを想定しているのか。
公表内容の事例のうち「サイバーセキュリティに関する責任者の知⾒」の記載例をお教え願いたい。
2.1.1. 基本⽅針、規程類 の策 対外向けにサイバーセキュリティ経営宣⾔をホームページ等で常時公表する場合、責任者の変更の都度、定等【対応が望ましい事項ｃ】「サイバーセキュリティに関する責任者の知⾒」内容を変更するものではなく、責任者の属⼈的な内容ではなく、役割に応じた記載をするものと考えている。
②と③はいずれもサイバーセキュリティ管理態勢の整備、⼗分な検証・議論を求める事項だが、②は合議
2.1.1. 基本⽅針、規程類の策定
体、③は⼈物と役割を果たす責任主体の違いにフォーカスして項⽬が分けられているという理解で相違な
等 ②③いか。
2.1.2. 規程等及び業務プロセス 規程等に含めることを求める「セキュリティ・バイ・デザイン」とは、具体的には2.3.4.3.に述べられている事項の整備 ①という理解で相違ないか。
"必要に応じて、サードパーティの資産についても管理対象とする"とあるが、望ましいと考えられる管理基準や管理対象とする資産の範囲について、想定があれば例⽰いただきたい。
2.2.1.2. ハードウェア・ソフトウェア
また、設定する管理基準によっては、各種法令（個⼈情報保護法や不正競争防⽌法、著作権法等）
等bに抵触する可能性があるため、サードパーティとの契約締結時に⼗分に内容確認が必要であることを注記してはいかがか。
本項⽬で求める事項は、・⾃機関の管理対象外となっている個⼈所有端末等の情報資産（個⼈所有のPC、スマートフォン、2.2.1.2. ハードウェア・ソフトウェア USBメモリ等）から⾃機関のネットワークにアクセスできないように制御すること、
等d・⾃機関の管理対象端末から未承認のクラウドサービスの利⽤を制御することの２点だと解釈した。この認識が合っている場合、管理対象とするか使⽤中⽌を求めるのではなく、アクセス・利⽤の制御対応を求めることを、より明確に表現してはいかがか。
「深刻だが現実に起こりうる多様なシナリオ」について解釈が難しいため、想定されている事例があれば例⽰
2.2.2.2. リスクの特定・評価 b
いただきたい。
サードパーティが保有するシステムとは、システム⼦会社やシステムベンダー、クラウドサービス事業者が⾃機関に提供するシステムやクラウドサービスのことではなく、サードパーティが⾃社で保有・使⽤するシステムのことで相違ないか。その場合、⾃機関に提供するシステムやクラウドサービスであっても「脆弱性対応状況につ2.2.3. ハードウェア・ソフトウェア等き⾮開⽰」とするサードパーティもあるため、⾃社保有システムに関してはよりその傾向が強くなり、本事項のの脆弱性管理 ⑥、a達成が困難と推察する。
また、各種法令（不正競争防⽌法や著作権法等）やサードパーティと締結している契約に抵触しないよ
う、⼗分に内容確認が必要であることを注記してはいかがか。
本事項で指す「脆弱性対応の管理」とは、サードパーティにヒアリングを⾏い、会社として脆弱性対応に係る回答を得るという対応で充⾜するか。その場合、第三者保証による報告書の活⽤等と同様に例⽰しては2.2.3. ハードウェア・ソフトウェア等いかがか。の脆弱性管理 ⑥、a
全サードパーティについて、個別の保有システムを洗い出し、それぞれの脆弱性対応結果を整理するのは⾮現実的であり、本事項は達成困難と考えられるため。
2.2.4.脆弱性診断及びペネトレー 留意事項に⾒合う業者の選定やテスト⽔準の担保を⾦融機関が個別にやっていくことは難しいと思料する
ションテストので、例えば、認定された業者から選定することができるような仕組みの検討をお願いしたい。
b.TLPTの定期実施、実施に際しての留意点「組み合わせて実施」とは、各システムに対して複数の訓練・演習等を複合的に実施することではなく、⾃2.2.5. 演習・訓練 d
機関として必要な訓練・演習等を複合的かつ戦略的に実施することを意図しているか。
その場合、「⾃機関に必要な訓練・演習等を組み合わせて実施すること」と表現してはいかがか。
事業者がセキュリティ・バイ・デザイン等をとりいれているかどうかについて、どのようにすれば確認できるのか、
2.3.4.1.a.
何か具体的⽅法で想定しているものはあるのか。
2.6. サードパーティリスク管理
サードパーティリスク管理における「適切な知識等を有する⼈員」の適切な知識等はサイバーセキュリティにa. サードパーティリスク管理に係る 限らないと思われるが、どのような⼈員が望まれるか、業務経験や資格等の具体例を⽰していただきたい。
統括部署に適切な知識等を有する⼈員の配置をすること。
外部委託先等がセキュリティ・バイ・デザインを実施する体制になっているかどうかについて、どのようにすれば2.3.4.3確認できるのか、何か具体的⽅法で想定しているものはあるのか。
各⾦融機関それぞれが委託先等のセキュリティ・バイ・デザインの体制を確認する場合、双⽅（委託先・2.3.4.3セキュリティ・バイ・デザイン
⾦融機関ともに）の確認負荷が社会的コストになりうるため、公的なセキュリティ・バイ・デザインの実施体②外部委託先等において、セキュリ制の認定制度等の導⼊を検討いただきたい。斯かる認定制度があれば、⾦融機関は、委託先の認定状ティ・バイ・デザインを実施できる体
況を確認するだけでよく、また、委託先側も複数の⾦融機関から類似の個別照会を受けることなく、社会制となっているかを確認すること。
的コストを削減できるものと考える。
ここでいう「外部委託先等」とは、⾃機関にシステムやクラウドサービスを提供するシステム⼦会社やシステムベンダー、クラウドサービス事業者を指しているか。その場合、「サードパーティ等において、⾃機関に提供するシステムやクラウドサービスを開発するに際してセキュリティ・バイ・デザインを実施できる体制になっているか
2.3.4.3. セキュリティ・バイ・デザイを確認すること。」と表現してはいかがか。
ン②
仮にp9 注釈17の通り、「外部委託先等」が業務を委託している組織を指す場合は、業務の委託先でセキュリティ・バイ・デザインを実施するか否かは委託元の⾦融機関に影響を与えず、対応を求められる理由が不明瞭なため、理由を明⽰いただきたい。
クラウド事業者は、サードパーティとして、「2.6. サードパーティリスク管理」に記載の対応が求められると思わ
2.3.4.5
れるが、明確化の観点からその旨を記載したほうがいいのではないか。
⾦融機関等よりも優越的な⽴場にあるサードパーティ等が相応に存在する中で、契約書やSLA等の⽂⾔2.6.⑧を⾃社様式から頑なに変更しないケースも容易に想定される。各⾦融機関が円滑に進められるよう、御庁からも他省庁や他業界に対して強く働きかけをお願いしたい。
全般