金融システムレポート別冊シリーズ【概要】

地域金融機関におけるサイバーセキュリティセルフアセスメントの集計結果（2023年度）
日本銀行金融機構局
金融庁総合政策局
2024年4月
0概要
目

的： 金融機関が他の金融機関対比での自組織の立ち位置 や課題を認識することで、自律的なサイバーセキュリティ対策の強化に取り組むよう促す。

 実施内容： サイバーセキュリティ管理態勢の自己評価ツール（点検票）を整備。地域金融機関を対象に、自己評価を求め、その集計結果を還元。2023年度が2回目。
 実施方法： 日本銀行および金融庁が共同で実施。
対

象： 地域金融機関498先（地域銀行99先、信用金庫254先、信用組合145先）

 実施時期： 自己評価期間は2023年7月～8月。11月に集計結果を還元。
1

集計結果の概要 １．経営層の関与①■ 経営方針・経営計画の策定、統括責任者の役割
 殆どの先が経営方針としてサイバーセキュリティの確保を掲げていたが、経営方針を定めていない先が8％程度みられた。また、経営計画については15％程度の先がこれを策定していなかった。
▽ サイバーセキュリティの経営方針（本文図表2）2.4%▽ サイバーセキュリティの経営計画（本文図表3）
4.6%

6.0%
10.0% 4.6%
21.5%

39.0%

52.6%

2.4%
2.4%
6.0%
6.0%
52.6%
52.6%
39.0%
39.0%

10.0%
21.5%

63.9%
63.9%

経営トップ（頭取・社長・理事長等）の関与のもと、経営トップ（頭取・社長・理事長等）の関与のもと、経営方針
経営方針としてサイバーセキュリティの確保を掲げ、経営トップ（頭取・社長・理事長等）の関与のもと、としてサイバーセキュリティの確保を掲げ、ディスクロージャ サイバーセキュリティに関する複数年度の経営計画を策定している
サイバーセキュリティに関する複数年度のディスクロージャーやHP等で対外公表している
経営方針としてサイバーセキュリティの確保を掲げ、やHP等で対外公表している経営計画を策定している経営トップの関与のもと、経営方針としてサイバー経営トップの関与のもと、経営方針としてサイバーセキュリティ
ディスクロージャーやHP等で対外公表しているサイバーセキュリティに関する単年度の経営計画を策定している
セキュリティの確保を掲げている（対外公表はして経営トップの関与のもと、経営方針としてサイバーの確保を掲げている（対外公表はしていない）
サイバーセキュリティに関する単年度の今後、サイバーセキュリティに関する経営計画の策定を予定しているいない）
セキュリティの確保を掲げている（対外公表はして経営計画を策定している
経営方針としてサイバーセキュリティの確保を掲げる予定がある
経営方針としてサイバーセキュリティの確保を掲げいない）
今後、サイバーセキュリティに関するサイバーセキュリティに関する経営計画を策定する予定はない
る予定がある経営方針としてサイバーセキュリティの確保を掲げ経営計画の策定を予定している
経営方針としてサイバーセキュリティの確保を掲げる予定はない
る予定があるサイバーセキュリティに関する経営計画
経営方針としてサイバーセキュリティの確保を掲げ策定する予定はない
る予定はない
経営方針としてサイバーセキュリティの確保を掲げる予定はない

2

集計結果の概要 １．経営層の関与②■ リスク管理と経営層の関与
 サイバーセキュリティのリスクを導入時や定期的に評価する先が多い。
 他方、経営層の判断のもとでリスク対応方針を決定している先は4割強にとどまった。
▽ 重要なシステムのサイバーセキュリティに関するリスク評価の実施状況（本文図表6）
定期的にリスク評価を実施している
定期的にリスク評価▽ リスク評価を踏まえた対応方針の決定者（本文図表7）

79.7
79.7
79.7を実施している
定期的にリスク評価を実施している

15.5%

41.6%

システムの導入時や大規模更改時にリスクシステムの導入時や大規模更改時にリスク評価を実施しているシステムの導入時や評価を実施している
大規模更改時にリスク評価を実施している

43.0%

72.3
72.3
72.3

0020
20404060
6080
80

100 ％
100 ％

（注） 今回のサイバーセキュリティセルフアセスメントでは、「重要なシステム」とは、「勘定系や顧客情報を扱うシステムなど自組織として業務運営上特に重要と20 40 60 80 100 ％認識しているシステム」と定義。 0

経営層の判断のもとリスク対応方針を決定システムリスク管理部署またはリスク統括部署の判断のもと決定
いずれでもない3

集計結果の概要 １．経営層の関与③■ リスク管理と経営層の関与
 インターネットと接続しているシステムでは、直ちにまたは一定の対応期間内でセキュリティパッチを適用している先が9割弱となった一方、インターネット接続していないシステムでは3割強にとどまった。
 また、深刻な脆弱性に対して、セキュリティパッチを適用しないことの判断に役員が関与している先は3割強にとどまった。
▽ 深刻な脆弱性が判明した場合のパッチの適用方針（本文図表8）
インターネットとつながっている
システム・端末74.3▽ 深刻な脆弱性に対してパッチを適用しない場合の承認者（本文図表9）

13.9
29.9%

インターネットとつながっていない
システム・端末

17.7 13.7

020

33.7%

36.3%

4060

80

直ちにパッチを適用している一定の対応期間を定めてパッチを適用している

100 ％

役員
システムリスク管理部署
いずれでもない4

集計結果の概要 １．経営層の関与④■ サードパーティリスクへの取り組み
 重要なサードパーティに関するサイバーセキュリティのリスクは、統括部署にて一元管理している先は6割弱にとどまったほか、リスクを管理していない先も1割強みられた。
 また、クラウド事業者との間で、業務データの所在や統制対象クラウド拠サードパーティに点を明確化している先は3～4割にとどまった。
51.4
クラウド事業者がある▽ クラウド事業者と契約等で定めている事項▽ 重要なサードパーティのリスク管理状況（以下、サードパーティにクラウド（本文図表11）（本文図表10）事業者がある先を対象として集計）
12.1%

29.3%

クラウドサービス事業者との間で、障害時の連絡体制を整備

58.6%

統括部署にて一元的に管理している各所管部署にて管理しているリスクを管理していない

74.2

契約書上、責任分界点やクラウドサービス終了時の取扱いを明確化

63.3

特定システムに係るクラウドサービ
ス利用において、契約書上、業務データの所在を明確化

43.0

特定システムに係るクラウドサービ
ス利用において、契約書上、統制対象クラウド拠点を明確化

37.902040（注）今回のCSSAにおける「重要なサードパーティ」とは、「自組織として業務運営上重要と認識しているサードパーティ」と定義。

6080

100 ％
5

集計結果の概要 １．経営層の関与⑤■ サイバーセキュリティ人材の確保
 サイバーセキュリティ人材は、いずれの機能でも十分に確保できていないとの回答が大半を占めており、全体的に不足している状況が確認された。
 人材育成は即効性を意識して取り組む先が半数以上となっていた。他方、中長期的な視点に立って取り組む先は限定的となっていた。
▽ 機能別にみたサイバーセキュリティ人材の確保状況（本文図表12）▽ 人材育成の取り組み
外部研修・セミナー（本文図表13）

サイバーインシデント発生時に対応を行う人材

62.7

22.3

15.1

サイバーセキュリティ戦略・計画の企画・立案を行う人材

64.5

15.3

20.3

サイバーセキュリティ脅威、脆弱性に関する情報収集や脆弱性対応を行う人材

66.1

21.3

ログの監視・モニタリングを行う人材

66.5

23.5

サイバーセキュリティに関する研修や人材育成を行う人材

72.9

12.4 14.7

73.5

20.3

73.7

14.5 11.8

サイバーセキュリティの観点からシステムの設計・開発を行う人材
新たなデジタル技術の導入に際し新たなデジタル技術の導入に際し生じ生じ得るサイバーセキュリティの得るサイバーセキュリティのリスク評…
リスク評価を行う人材
サイバーセキュリティ監査を行う人材

12.7

69.7

への参加の奨励外部研修・セミナー
外部研修・セミナー（受講料の会社負担）
への参加の奨励への参加の奨励（受講料の会社負担）（受講料の会社負担）
社内での講習・社内での講習・社内での講習・勉強会実施
勉強会実施
勉強会実施

69.7
69.7

55.8
55.8
55.8

10.0

6.2

8.8 8.2
82.9

0
20
40
60
80
100％
十分に確保できていない外部人材（親会社等からの人材含む）の活用により十分確保できている
自組織職員のみで十分確保できている

セキュリティ資格のセキュリティ資格のセキュリティ資格の取得推奨（受験料等取得推奨（受験料等取得推奨（受験料等の会社負担）の会社負担）の会社負担）
サイバーセキュリティ
サイバーセキュリティ
サイバーセキュリティ
人材の育成を配慮した
人材の育成を配慮した
人材の育成を配慮した
人事ローテーション
人事ローテーション…
人事ローテーション…
（長期的な配置）

39.4
39.4
39.4

25.1
25.1
25.1

セキュリティ人材
セキュリティ人材18.3
セキュリティ人材 18.3
育成計画の策定
育成計画の策定
18.3
育成計画の策定

00
020
20
20

40
40
40

60
60
60

80
80
80

100％
100％
100％
6

集計結果の概要 ２．リスクへの対策①■ OA端末における対策
 インターネットとの分離、外部記憶媒体の接続制限、パターン検知型マルウェア対策製品の導入といった境界防御型の対策は8～9割の先が実施。
 デジタル化施策を一段と推進していく場合、ゼロトラストの考え方を踏まえ、サイバーセキュリティ対策を強化していくことが必要。
▽ OA端末のサイバー攻撃対策（本文図表15）端末が属するネットワークとインターネットを分離（仮想ブラウザなど、論理的な手法によるものを含む）

94.0

今回

94.0

前回

89.2

今回

91.4

前回

端末への外部記憶媒体の接続を制限

83.7

今回

端末にパターン検知型マルウェア対策製品を導入
88.4

02040

前回

6080

（注）今回のサイバーセキュリティセルフアセスメントでは、「OA端末」とは、「職員が文書作成等で標準的に用いる端末」と定義。

100 ％
7

集計結果の概要 ２．リスクへの対策②■ サイバーインシデントの監視・分析等の態勢
 セキュリティ関連の監視・分析等を行う組織（SOC）等を設置している先は、前回よりも増加して8割強となった。
▽ セキュリティ関連の監視・分析等を行う組織（外部委託含む）の設置状況（本文図表16）9.4%

設置している（監視・対応は24時間365日）

6.4%
設置している（監視・対応は24時間365日ではない）

16.1%（ 前回 :17.3%）

68.1%（ 前回 :62.7%）

設置する予定がある・検討している設置する予定はない（注）SOCとは、Security Operation Centerの略。ネットワークやサーバ、ファイアウォール等の機器への攻撃状況など、セキュリティ関連の監視・分析等を行う組織。

8

集計結果の概要 ２．リスクへの対策③■ サイバーインシデントの監視・分析等の態勢
 SOC等でのモニタリング対象をみると、マルウェア検知・感染状況や外部との通信状況など、境界防御を意識した監視・分析は、殆どの先が実施。
 デジタル化施策を一段と推進していく場合、自組織内部への侵入や内部犯行を想定し不審な挙動を監視するなど、モニタリングの更なる強化が期待される。
▽ SOC等サイバーセキュリティの監視部署でのモニタリング対象（本文図表17）
今回

98.0
マルウェア検知・感染状況
92.4

前回

93.1

今回

外部への通信の状況
84.5

前回

90.9

外部からの通信状況（Webサイト(顧客向けの公開Web)への通信を含む）

今回

84.3

0

2040

前回

6080

100 ％

9

集計結果の概要 ２．リスクへの対策④■ 検知・監視態勢の実効性の確認
 検知・監視体制について第三者的な目線からの確認状況をみると、ペネトレーションテストを実施したことがある先は6割強となった。
 自組織の検知・監視態勢の実効性への課題を確認する観点から、ペネトレーションテストに取り組むことが期待される。
▽ ペネトレーションテストの実施状況（本文図表19）

ペネトレーションテスト

46.2

0
2回以上実施している

20

12.2

40

1回実施し、次回の実施を予定している

1.8

60

80

100 ％

1回実施し、次回の実施予定はない（注）今回のCSSAにおける「ペネトレーションテスト」とは、擬似的なマルウェアを利用したり、脆弱性･設定不備等を悪用したりするなど擬似的な攻撃を仕掛けることで、侵入･改ざんの可否や検知の可否、対応の迅速性・適切性を検証するテスト」と定義。

10

集計結果の概要 ３．有事への備え①■ 被害拡大防止のための対応手順の整備
 初動に関するルール・手順は大半の先が整備していたが、対応の優先順位付け（トリアージ）やシステムの再開判断基準、夜間・休日の対応手順を整備している先は5～7割となった。
▽ 被害拡大防止のためのルール・手順の整備状況（本文図表20）
マルウェア感染が疑われた段階で、即座にネットワークと切り離すルール・手順がある

94.6

不正アクセスが疑われた段階で、即座にアクセス元の遮断やアクセス経路となり得るネットワークと切り離すルール・手順がある

87.1

インシデント発生を背景にシステムを停止するルール・手順がある

86.3

発生事象への対応の優先順位付け（トリアージ）を行う基準がある

68.1

システムの再開判断基準がある

62.0

休日・夜間にインシデントが発生した場合の対応に係るルール・手順がある

50.0
020

40

60

80

100 ％
11

集計結果の概要 ３．有事への備え②■ コンティンジェンシープランの策定、訓練・演習の実施
 サイバー攻撃別のコンティンジェンシープランを整備するとともに、訓練や演習を行っている先が大半となった。
 もっとも、外部委託先への攻撃を含めたプランの整備、訓練・演習への外部委託先の参加、目標復旧時間を設定している先は半数以下となった。
▽ サイバー攻撃別のコンティンジェンシープランの有無および取組内容（本文図表21）
Webサイトの改ざん

攻撃別のｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝがある

DDoS攻撃95.0

ランサムウェア攻撃

94.8

92.6

86.0

95.5

（以下、ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝがある先を対象に集計）
これまでに攻撃別の訓練・演習を実施している

83.7

ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝには、外部委託先への攻撃を想定した対応が含まれている

42.7

43.9

37.3

目標復旧時間を設定
している

33.6

33.9

33.6

外部委託先が、ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝの訓練･演習に参加している

16.3

18.0
020

4060

80

100％ 021.520406080

100 ％％020

4060

80

100 ％％

12

集計結果の概要 ３．有事への備え③■ ランサムウェア攻撃を想定したバックアップデータの保護 複数世代の保管やネットワークから直接にはアクセスできない方法での保管を中心に、バックアップデータの保護対策を講じている先が大半。
 ランサムウェア攻撃を受けた場合の業務復旧を早期に行う観点から、破壊・改ざんの対策を行うことが重要。
▽ 重要なシステムにおけるバックアップデータの破壊・改ざんを想定した対策（本文図表22）

複数世代の保管87.9

オフライン化など、ネットワークから直接にはアクセスできない方法で保管

77.9

データの書換･削除不可能な媒体で保管

30.2

0204060

80

100 ％「ルール･手順を定め実施状況をモニタリングしている」または「ルール･手順を定めている」と回答した先13

まとめ わが国金融機関においては、デジタル技術を活用した顧客サービスの向上や業務の効率化に取り組んでいくうえで、サイバー攻撃の脅威の高まりを踏まえた、サイバーセキュリティ管理態勢の整備や実効性の確保は重要な課題となっている。
 多くの地域金融機関では、サイバーセキュリティの確保を経営上の重要課題と捉え、技術・組織両面での対策の導入によるサイバーセキュリティ対策の実効性向上に向けた取り組みを着実に進めているが、サイバーセキュリティ人材の確保・育成やサードパーティリスクの管理については、なお課題を抱えていることが確認できた。
 こうした状況を踏まえ、本取り組みは、環境変化を踏まえた設問の見直しを行いながら、2024年度以降も継続的に実施していくことを想定している。
 日本銀行および金融庁としては、地域金融機関がサイバーセキュリティ管理態勢の更なる強化に向けた取り組みを進めていくうえで、サイバーセキュリティセルフアセスメントが活用されることを期待するとともに、考査や検査、モニタリング、各種セミナー等を通じて、そうした取り組みを後押ししていく方針である。
14