講演

サイバー耐性の改善に向けて～金融機関と金融監督当局の取組み～
日本銀行

日本アクチュアリー会 CERA 研修講演 2018 年 12 月 7 日

金融機構局

山田隆人

日本アクチュアリー会大会議室

日本銀行の山田隆人と申します。1995 年の入行

BCP ないし業務継続計画という言葉は、皆さま以来、海外を含む多くの部署で仕事してきましたが、にも馴染みのあるものと思います。これまで多くの現在は金融機構局で金融規制監督の枠組み作りをお自然災害に見舞われてきた日本では、ある意味で強手伝いさせて頂いております。本日のテーマはサイみのある分野であったりします。ただ、あまりサイバーリスクです。お仕事でサイバー保険などを手がバーの世界には活かされてこなかった面もあろうかけられていらっしゃる方がいらっしゃいましたら、と思います。むしろ専ら IT の議論に偏重していたその道のプロとしてのご知見など拝領できれば有りといってもよいかもしれません。

難いです。

ちょうど昨日（12 月 6 日）も某通信事業者のキャリア網が全国でダウンしていました。もちろん、あのような不具合が発生すると非常に困る訳です

Dec 2018が、一方で極端なリスク回避も全体最適とは言えま䝃䜲䝞䞊⪏ᛶ䛾ᨵၿ䛻ྥ䛡䛶せん。よく金融機関の業務基幹系システムの開発や䡚㔠⼥ᶵ㛵䛸㔠⼥┘╩ᙜᒁ䛾ྲྀ⤌䜏 䡚

運行管理などの世界では、99.9999…と安定稼働率の 9 の桁数を競い合う光景に遭遇しますが、私は以᪥ᮏ㖟⾜ 㔠⼥ᶵᵓᒁᒣ⏣ 㝯ே

前から違和感を覚えていました。この違和感の原因

takahito.yamada䠜boj.or.jpは何か。いくら事前予防、抑止に最善を尽くしても、ᮏ䝥䝺䝊䞁䝔䞊䝅䝵䞁䛾ෆᐜ䛸ពぢ䛿䚸䛩䜉䛶ಶே䛻ᒓ䛩䜛䜒䛾䛷䛒䜚䚸᪥ᮏ㖟⾜䛭䛾௚ゝཬ䛥䜜䛯⤌⧊䛾බᘧぢゎ䜢♧䛩䜒䛾䛷䛿䛒䜚䜎䛫䜣䚹1

リスクはゼロにはできませんし、実際に大なり小なりのサイバー事象は常に起こっています。中央銀行

ᮏ᪥䛾䛚ヰの世界でも、バングラデシュ中銀のように不正送金•㏆ᖺ䚸㔠⼥ᶵ㛵䛻ᑐ䛩䜛䝃䜲䝞䞊ᨷᧁ䛾㢖ᗘ䜔ᦆᐖ䛿ᣑ኱䛾୍㏵䚹•䛣䜜䜎䛷䛾஦๓ண㜵䞉ᢚṆ䊻㻌஦ᚋ䛾䜲䞁䝅䝕䞁䝖ᑐᛂຊ䜢ྵ䜐䚸䜸䝨㡹೺ᛶ඲య䛾ᗏୖ䛢䜈䛸┘╩ᙜᒁ䛾ᑕ⛬䛜ᣑ኱䚹•䝞䞊䝊䝹ጤ䛷䛿䚸᫖ᖺ㻝㻜᭶䚸ചୗ䛻䜸䝨㡹೺ᛶ㒊఍䜢❧䛱ୖ䛢䚹

腐心するのではなく、完全な回避、撲滅が不可避な– 㖟⾜䜔ᙜᒁ䛻䜘䜛䝃䜲䝞䞊䞉䜺䝞䝘䞁䝇䜔䛭䛾┘╩䛻㛵䛩䜛䚸ྛἲᇦ䛷䜏䜙䜜䜛ㅖ័⾜䛻䛴䛔䛶ᩚ⌮䛧䛯䝨䞊䝟䞊䜢⟇ᐃ䚹

事象、inevitable breach の発生を前提にして、発の被害にあうケースも出ています。専ら事前予防に– 㻥᭶ᮎ䛻䝻䞁䝗䞁䛷Ẹ㛫䝉䜽䝍䞊䛸ពぢ஺᥮఍䜢㛤ദ䚹䛭䛣䛷ᚓ䜙䜜䛯▱ぢ䜒཯ᫎ䛾䛖䛘䚸䝞䞊䝊䝹ጤ䛷䛾ᢎㄆ䜢ᚓ䛶බ⾲䠄㻝㻞᭶㻠᪥䠅䚹

生してしまった場合の初動対応や影響の緩和、復元– ┠ୗ䚸㛵㐃䛩䜛ㅖཎ๎䛾ᩚഛ䞉ᨵᐃసᴗ䛻╔ᡭ୰䚹•ᮏ᪥䛿䚸㖟⾜┘╩䛾ほⅬ䛛䜙䛾ၥ㢟ព㆑䜔ㄢ㢟䜢㆟ㄽ䛥䛫䛶㡬䛝䜎䛩䚹に向けた能力、これをひとまとめにサイバー耐性と呼びますが、ひいては金融システム全体としてのオ2

ペレーショナルな頑健性を高めなくてはいけないとリスクと保険

3

いう方向に、議論がシフトしつつあります。

マ、サイバーについては、決済システムとの関係も重要です。決済システムや取引所等の重要金融イ䝞䞊䝊䝹ጤ䛸䛿䠛ンフラ向けのサイバー耐性に対する指針を出してい•Basel Committee on Banking Supervision•ᅜ㝿㖟⾜つไ䜢㆟ㄽ䛩䜛ሙ䛸䛧䛶䚸G10ㅖᅜ䛾୰ኸ㖟⾜䛜1974ᖺ䛻タ❧䚹

る会 議 体として CPMI（Committee on Payments• ୰ኸ㖟⾜⥲⿢䞉㖟⾜┘╩ᙜᒁ㛗ᐁ䜾䝹䞊䝥䠄GHOS䠅䜢ୖ఩ᶵ㛵䛸䛩䜛䚹and Market Infrastructures）が存在します。これ• 28ἲᇦ䛾45䛾୰ኸ㖟⾜䛚䜘䜃㖟⾜┘╩ᙜᒁ䛷ᵓᡂ䚹

らはいずれも同じスイス・バーゼルの中央駅前にあ• Basel䛻䛒䜛ᅜ㝿Ỵ῭㖟⾜䠄Bank for International Settlements䚸BIS䠅䛜஦ົᒁ䚹

る丸い建物に入っています。バーゼル委は世界 28 法域 45 の金融監督当局で構成されます。私は、このバーゼル委がちょうど 1 年前に立ち上げたオペ頑健性 部 会、Operational Resilience Working Group、

3

ORG に金融庁の方とともに参加しています。ORG䝞䞊䝊䝹ጤ 䜸䝨㡹೺ᛶసᴗ㒊఍

はレベル 3 にある部会です。これは、レベル 2 で規制設計を検討する Policy Design Group、PDG と規制 の 実 施 を 扱う Supervision and Implementation
Group、SIG の共管とされています。これはオペレーショナルな頑健性というスコープが新しい課題でありながら、日々の規制・監督の枠組みにも直結することを意味しています。

㸦ฟᡤ㸧 https://www.bis.org/bcbs/mesc.htm

4䝃䜲䝞䞊⪏ᛶ⟶⌮䛾ㅖ័⾜ᅜ㝿㔠⼥つไ䛻㛵䜟䜛୺䛺⤌⧊య㻭㻿㻱㻭㻺㻗㻟㻳㻞㻜䝥䝻䝉䝇㻝㻥㻥㻣ᖺ䡚㻞㻜㻜㻤ᖺ䡚䞉 䝞䞊䝊䝹ጤ䛷䛿䚸㖟⾜䜔ᙜᒁ䛻䜘䜛䝃䜲䝞䞊䞉䜺䝞䝘䞁䝇䜔䛭䛾┘╩䛻㛵䛩䜛䚸ྛἲᇦ䛷䜏䜙䜜䜛ୗᥖ䛾ㅖ័⾜䛻䛴䛔䛶ᩚ⌮䛧䛯䝨䞊䝟䞊䜢⟇ᐃ䚹㻮㻵㻿㻳㻴㻻㻿䠄୰ኸ㖟⾜⥲⿢䞉㖟⾜┘╩ᙜᒁ㛗ᐁ䡴䢚䢕䡬䢈䢛䠅㻱㻹㻱㻭㻼㻝㻥㻥㻝ᖺ๰タ⌮஦఍

¾ 㖟⾜䛾䝃䜲䝞䞊䞉䜺䝞䝘䞁䝇䛾ែໃᩚഛ㻳㻱㻹㻌䠄䡴䢚䢗䡬䢆䢚䢕䞉䡰䡶䢅䢌䡬⥲⿢఍㆟䠅

¾ ஦๓ண㜵䚸஦ᚋᑐᛂ䛾ᯟ⤌䜏ᩚഛ䛸ᣦᶆ໬㻝㻥㻥㻥ᖺ䡚㻲㻿㻮䠄㔠⼥Ᏻᐃጤဨ఍䠅㻯㻳㻲㻿䠄䡴䢚䢗䡬䢆䢚䢕㔠⼥䡸䡹䡿䢍ጤဨ఍䠅㻯㻼㻹㻵㻌䠄Ỵ῭䞉ᕷሙ䡮䢙䢈䢓ጤဨ఍䠅㻹㻯㻌䠄㻮㻵㻿ᕷሙጤဨ఍䠅㻞㻜㻜㻥ᖺ䡚㻝㻥㻣㻝ᖺ䡚㻝㻥㻥㻜ᖺ䡚㻝㻥㻢㻞ᖺ䡚

¾ 㖟⾜㛫䚸㖟⾜/ᙜᒁ䚸ᙜᒁ㛫䛾᝟ሗඹ᭷䛾ᯟ⤌䜏
¾ 㔠⼥䝃䝥䝷䜲䝏䜵䞊䞁඲య䛷䛾䝃䜲䝞䞊⪏ᛶ䛾☜ಖ䞉 9᭶ᮎ䛻䝻䞁䝗䞁䛷Ẹ㛫䝉䜽䝍䞊䛸䜰䜴䝖䝸䞊䝏఍ྜ䜢㛤ദ䚹䛭䛣䛷ᚓ䜙䜜䛯▱ぢ䜒཯ᫎ䛾䛖䛘䚸䝞䞊䝊䝹ጤ䛷䛾ᢎㄆ䜢ᚓ䛶බ⾲䠄12᭶4᪥䠅䚹䝞䞊䝊䝹ጤ஦ົᒁ㻮㻯㻮㻿䠄䢆䢚䡬䡺䢚䢕ጤ䠅㻝㻥㻣㻠ᖺ䡚㻵㻭㻵㻿䠄ಖ㝤┘╩⪅ᅜ㝿ᶵᵓ䠅㻵㻻㻿㻯㻻䠄ドๆ┘╩⪅ᅜ㝿ᶵᵓ䠅㻝㻥㻥㻠ᖺ䡚㻝㻥㻤㻟ᖺ䡚䞉 ┠ୗ䚸㛵㐃䛩䜛ㅖཎ๎䛾ᩚഛ䞉ᨵᐃసᴗ䛻╔ᡭ୰䚹
65

ちょうど今週 12 月 4 日に、バーゼル委から「サイ皆さんの業界の中でも、信託銀行の方は、バーバー耐性管理の諸慣行（“Cyber-resilience：Rangeゼル委と言えば 2017 年末に最終化した銀行規制、of practices”）」が公表されました。本日は主として「バーゼルⅢ」を連想される向きも多いと思いま

このペーパーに収録した論点、具体的には、サイバー・す。生損保の方は保険規制の国際的な調和を担うガバナンスの一環として、銀行が事前予防だけでなIAIS（International Association of Insurance

く事後の耐性をどのような形で整備していくのかとSupervisors）について良くご存知かと思いますが、いう観点を中心にお話させていただこうと思います。

その銀行版がバーゼル委です。また、本日のテー2018 年 9 月 末 に Bank of England で 民 間 の 金

4サイバー耐性の改善に向けて～金融機関と金融監督当局の取組み～

融業界の方々や大学の先生、あと、IT ガバナンスておりますが、当局の中で所属部署のサイロに閉じやセキュリティ監査に関する国際的な団体である籠っていては何も出来ない訳です。さらに、金融サISACA などの方もお招きして意見交換会を行いまービスのサプライチェーンは、随分と延伸していました。その際、侵害訓練なども業界横断的にしっかす。アウトソーシングと言えば、以前であればシスりやっていて、事前予防の方は割と出来上がっていテム開発や現金輸送などが一般的でした。今では、るのですが、事後耐性の方は実は手付かずに近い状Microsoft や Amazon 等が提供するクラウドサー態にあり、サイバー耐性について規制監督の枠組みビス上で勘定系システムを運行する銀行もあり、非を整備する必要があるとの結論に到達しました。ま

金融当局との連携も重要となります。そのような、たそうした枠組みを整備するのであれば、効果の比我々金融当局の手の届かない第三者が多岐に亘り介較検証が出来なければいけません。既往の改善状況

在する中で、システム全体のサイバー耐性を如何にの評価や将来に向けた目標管理、さらには金融機関して確保するかも悩ましい課題です。

間や法域間での比較のために数値指標化することが可能かどうか、併せて検討していくことになりました。
また、情報共有も重要となります。一般に、サイバー脅威やサイバー事象に関する情報交換は銀行間でレシプロな形で行われています。ただ、銀行 - 当
局間の情報交換も考えなければなりません。これは䝃䜲䝞䞊㛵㐃䛾௚䛾఍ྜయ䛷䛾ྲྀ⤌䞉 䜋䛛䛻䜒୺䛻௨ୗ䛾ྲྀ⤌䛜Ꮡᅾ䚹CPMI-IOSCO䠖䛂㔠⼥ᕷሙ䜲䞁䝣䝷䛾䛯䜑䛾䝃䜲䝞䞊ᨷᧁ⪏ᛶ䛻ಀ䜛䜺䜲䝎䞁䝇䛃䛾බ⾲䠄2016ᖺ6᭶䠅G7䠖䛂㔠⼥䝉䜽䝍䞊䛾䝃䜲䝞䞊䝉䜻䝳䝸䝔䜱䛻㛵䛩䜛G7䛾ᇶ♏ⓗせ⣲䛃䛾බ⾲䠄2016ᖺ10᭶䠅䠣䠓ㅖᅜ䛾ᙜᒁ䛜㐃ᦠ䛧䛶ᐇ᪋䛩䜛䚸኱つᶍ䛺䝃䜲䝞䞊䜲䞁䝅䝕䞁䝖䛻ᑐ䛩䜛䜽䝻䝇䝪䞊䝎䞊䛾ྜྠ₇⩦䠄2019ᖺணᐃ䠅
FSB䠖䛂䝃䜲䝞䞊⏝ㄒ㞟䛃䛾බ⾲䠄ᮏᖺ11᭶䠅

従来の規制報告のような一方向ではなく双方向で前広なやりとりをイメージしています。サイバー事象

7の多くは国家やその支援を受けた組織によるものでなかなか明瞭な解がない中で、バーゼル委としてす。ここでは当局も当事者であり、金融規制監督のはまずはファクトを整理するペーパーを作ったとい局面で一般的なレフリーのような立場ではなくてむうのが現状でしょうか。もちろん、ペーパーだけ出しろ一蓮托生な関係になっています。また、当局間しても世の中が変わる訳ではありません。今、ちょの情報共有という観点も重要となります。ただ、先うど取り組んでいるのが G7 の金融当局合同でのクロほど申し上げた 28 法域の中には中国やロシアなどスボーダーなサイバー演習でして、来年央の実施にも存在するのですから、これはなかなか難しいので向けて準備しているところであります。また、言葉すが、すべての法域が共通の枠組みにコミットするの意味、タクソノミーが曖昧ですと、水掛け論になことを通して、ある種の抑止効果を狙うことが出来ることも多いことから、Financial Stability Board、るという面もあります。

FSB の下で、サイバー用語集の第一版を 11 月初にちなみに、「当局」の定義も多義的になってきて最終化しました。例えば「compromise」という英単います。金融システム全体の安定を考える場合、危語は、サイバーの世界ではサイバー事象により何か機が伝播するチャネルともなり得る決済インフラやしらの被害が出たり、直接的な被害は免れるも何か取引所などの重要金融インフラにも目を配る必要がしらの影響が出た、ストレスを受けた、といった意あります。これは日銀では主に決済機構局が所管し味があります。そうした用語を収録しています。
リスクと保険5間が短縮していく展開を念頭においていることが多ⱥᅜ䛻䛚䛡䜛᭱㏆䛾㆟ㄽ 䠄㻝䠅いです。現状では復旧まで 2 日掛かるところを、予め代替手段を用意したり演習を行うことで機能が停止している期間を 1 営業日に短縮するとか、日付が変わる前には復旧できるようにする、といった具合です。銀行がその日の決済を結了させ、勘定を締められないと、場合によっては当局が支払猶予令を発㸦ฟᡤ㸧Bank of England DP 01/18 (July 2018)䝃䜲䝞䞊ᨷᧁ䛭䛾䜒䛾䜢᏶඲䛻㜵䛠䛣䛸䛿䚸㞴䛧䛔䚹䜒䛳䛸䜒䚸ᚑ᮶䛾䜸䝨䞉䝸䝇䜽⟶⌮䛾ᯟ⤌䜏䛷䛿㐺ษ䛺䝃䜲䝞䞊⪏ᛶ䛾☜ಖ䛿ᅔ㞴䚹⤖ᯝ䛸䛧䛶䚸㔠⼥Ᏻᐃ䛜⬣䛛䛥䜜䜛䝸䝇䜽䛜ᑠ䛥䛟䛺䛔䠛

動する、バンク・ホリデーを宣言する、といった深8刻な事態に繋がりかねません。
彼らがこの種のペーパーを公表する場合には、何かⱥᅜ䛻䛚䛡䜛᭱㏆䛾㆟ㄽ䠄㻞䠅しらの機関決定を経ていることが多いです。中央銀行

At its meeting on 19 June 2018, the Financial Policy Committee (FPC):

は物価の安定と金融システムの安定という、大きく二…

つの使命を担っており、Bank of England には二つ

Agreed to set standards for how quickly critical financial companies must beable to restore vital services following a cyber attack. Working with others,
especially the National Cyber Security Centre, the Bank would test that firms
would be able to meet the FPC’s standard for recovering services.の政策委員会 ― Monetary Policy Committee、
MPC と Financial Policy Committee、FPC ―㸦ฟᡤ㸧Record of the Financial Policy Committee meeting held on 19 June 2018䝃䜲䝞䞊ᨷᧁ䜢ཷ䛡䛶䝃䞊䝡䝇䜢೵Ṇ䛧䛯୺せ⾜䛜䛣䜜䜢᚟ᪧ䛩䜛䜎䛷䛾ᡤせ᫬㛫䛻㛵䛩䜛ᇶ‽䜢స䜛䛣䛸䛻ྜព䚹ⱥᅜ୰㖟䛿䚸 National Cyber Security Centre䜢୰ᚰ䛻௚䛾ᙜᒁ䛸䜒㐃ᦠ䛾䛖䛘䚸㔠⼥ᨻ⟇ጤဨ఍䛸䛧䛶䛾ᇶ‽䛻↷䜙䛧䚸ྛ⾜䛾஦ᚋ᚟ᪧຊ䜢䝔䝇䝖䛧䛶䛔䛟䚹が存在します。いずれも議長は総裁が務めます。6 月19 日の FPC の議事録には、サイバー事象が発生し9たときに、重要なサービスをいかに早く復旧できるか、その評価基準を作ることを議決した旨が掲載さ䝃䜲䝞䞊⬣ጾ䛾ືྥ

れています。
その際、National Cyber Security Centre、NCSC― これはサイバー・インテリジェンス機関ですが ― そことも連携すると。映画 007 でお馴染みの MI6 にも近い組織です。そのうえで、サイバー耐性の評価基準が出来たら、主要な金融機関をテストしていきますと。
㸦ฟᡤ㸧ISACA State of Cybersecurity 201810

ここで、最近のサイバー攻撃の特徴を少しおさらさ て、 我 々 金 融 当 局 の 間 で も、 サ イ バ ー 耐 性いしたいと思います。皆さんお察しのとおり、やはの改善という課題にもっとも熱心な先は Bank of

り攻撃の数は増える一方です。ISACA のサーベイ

England です。イギリスの中央銀行ですが、そのでは今後も増えていくとみている専門家が圧倒的に他英国の金融当局と一緒にサイバー耐性管理の重要多いです。米・欧で盛んに売られているサイバー保性についてディスカッション・ペーパーを書いたの険をみますと、従来は専ら個人情報の侵害による賠が 7 月です。そもそも「サイバー耐性が改善する」償債務を補償するための付保が多かったのですが、とはどういうことか。定義は難しいのですが、文脈

最近は、サイバー攻撃により送電線を止められたり、としては、停止した機能が回復するまでに要する時原発が暴走しかねないとして、電力会社等のインフ

6

サイバー耐性の改善に向けて～金融機関と金融監督当局の取組み～

ラ事業者からの引き合いも高まっているようです。

㼑㼤㻌㼜㼛㼟㼠䛺䝃䜲䝞䞊⪏ᛶ䛾ᨵၿ䛻ྥ䛡䛶䇾㼀㼔㼑㻌㻼㼑㼞㼒㼑㼏㼠㻌㼃㼑㼍㼜㼛㼚䇿13
Paramount Pictures "The Perfect Weapon" (1991)

David E. Sanger, "The Perfect Weapon:war, sabotage, and fear in the cyber age" (2018/6/21)

11

先日、米国出張中に書店を訪れた際「パーフェク㻟⥺㜵⾨䛾ᇶᮏᆺ䛸㻯㻵㻿㻻䛾❧䛱఩⨨

ト・ウェポン」という本が平積みされていました。
David E. Sanger というニューヨーク・タイムズの記者が書いた本です。この記者は、サイバー問題を追い掛けていて、特にここ 3 年ぐらいの動向を非常に克明にルポルタージュしています。サイバー攻撃には核の専門家もロケット・サイエンティストも要㸦ฟᡤ㸧IIA POSITION PAPER: THE THREE LINES OF DEFENSE IN EFFECTIVE RISK MANAGEMENT AND CONTROL (Jan. 2013 )14

らない。最小限の投資で非常に大きな効果が得られるので、費用対効果としてはパーフェクトなウェポンであると。これは、サイバー攻撃に固有の特性を㻯㻵㻿㻻䜈䛾ᮇᚅ

上手く捉えた表現であると言えましょう。地政学的な動向を映じて、サイバー攻撃にも地域性があります。やはりアジアでは北朝鮮、中国からのものが目立ちます。他方、中南米では、麻薬マフィア等の広域犯罪組織によるものが多かったりします。

㸦ฟᡤ㸧Deloitte, The state of cybersecurity at financial institutions (May 21, 2018 )䝃䜲䝞䞊⪏ᛶ䜢つᐃ䛩䜛㻡䛴䛾せᅉ

15

さて、金融監督の世界に話を戻しましょう。3 線防衛、これはコーポレート・ガバナンスの世界でお馴染みのお話かと思いますが、ここでの Chief
Information Security Officer、CISO の位置付けは各金融機関によって区々です。一般的には、Chief
Risk Officer、CRO と同じ第 2 線に設置されるこ12とが多い。ただ、オペ・リスクも含めて通常の事前予防に主眼を置いたマンデートであればそれでよい
リスクと保険7

のですが、サイバー耐性を扱う場合は、受け身でガ依存することはミッション・インポッシブルなのでードしていればよいのではなく、ハッカーや攻撃者す。バックファイアが発生した場合の金融機関経営とのある種の「競争」の中で、先例に囚われず、思者の株主や債権者、預金者や従業員への責任を考えい切った技術革新を採用する創造性や先見性も必れば、軽々しく反撃できないし、してはいけない場要となります。どちらかと言えば、第 1 線の Chief

合も多いのです。

Technology Officer、CTO に近いマインドセット

金融はもとより電力、エネルギー、交通、通信とを要求されるとも言えましょう。また、影響緩和やいったセクターごとに Information Sharing and

回復過程には手作業による人海戦術を含む代替手段

Analysis Center、ISAC という組織を作って「共助」を採らなければならず、Chief Operation Officer、の精神で連携しています。もっとも「皆さんの『自COO との連携も大切になります。かといって、CTO助』ないし『共助』で対応して下さい」と突き離すや COO に寄せて第 1 線に置けばよいという訳ではことができないようなサイバー事象が増えているこありません。収益プレッシャーの中で他の事業案件とも事実です。に優先順位が劣後してしまってはいけないことは、例えば日本銀行であれば、万一、金融危機に繋が先の巨額窃取事件に見舞われた仮想通貨の取引所なりかねない事態が発生した際に影響を最低限に留どをみても明らかです。

め、ないし拡がりを一定範囲に留めるべく、必要な市場流動性を供給するといった手段も用意しており⮬ຓດຊ䛸䛭䛾㝈⏺
ୖ᪼ます。実際、1990 年代には日本でも金融危機はあ཯ᧁ䜢ᣍ䛟䝸䝇䜽୍ḟⓗ⿕ᐖ⿕ᐖ䝉䜻䝳䝸䝔䜱䝟䝑䝏㐺⏝⬣ጾ呃吰
呂りましたし、アジアでは通貨危機もありました。そCounter
Hackingの都度、当局間で連携して乗り越えてきたのですが、F/Wタ⨨

サイバー事象の場合、その先の対応は政府、それもN/W┘ど

Digital dye-pack
Beacon౵ᐖሗ࿌

外務や警察、防衛等の非経済省庁による措置との連

HoneypotH⬣ጾ᝟ሗ཰㞟䠄ཷື䠅పୗ

⬣ጾ᝟ሗ཰㞟䠄⬟ື䠅⮬ຓ

携も重要になります。こうした当局間の連携の対象බຓ䜘䜚ᾘᴟⓗ䛺ᑐᛂ䡚୙సⅭも大きく拡がりをみせているのが、我々当局に突き䜘䜚✚ᴟⓗ䛺ᑐᛂ䡚཯ᧁ㔠⼥ᶵ㛵䛾䜅䜛䜎䛔㸦ฟᡤ㸧➹⪅సᡂࠋ16

付けられた課題であったりします。

ここで、金融機関の経営者や金融当局にとっての他のリスクカテゴリーと比べたサイバーリスクの特殊性が、対応をさらに難しくします。ハッカーが古典的な銀行強盗と同じであれば、ある意味、処方箋は簡単で「自行で有効な対策を立て、十分な財務バッファーを確保してください」で済みます。また、ファイアーウォールなどのセキュリティ実装にきちẸ䛸ᐁ䛾㐃ᦠ ⡿ᅜ䛾䜿䞊䝇
About FSARC
In 2016, the CEOs of eight banks – Bank of America, BNY Mellon, Citigroup,
Goldman Sachs, JPMorgan Chase, Morgan Stanley, State Street and Wells
Fargo – came together to proactively identify ways to enhance the resilienceof the critical infrastructure underpinning much of the US financial system.
The result is the creation of a long-term strategic initiative that performs
deep analyses of systemic risk across financial products and practices, known
as the Financial Systemic Analysis and Resilience Center (FSARC). The FSARC’s
mission is to proactively identify, analyze, assess and coordinate activities tomitigate systemic risk to the US financial system from current and emerging
cybersecurity threats through focused operations and enhanced collaboration
between participating firms, industry partners and the US Government.
ฟᡤ㸸FS-ISAC

んと投資して、それでも防げなかった場合はカネで17解決…というお話なのかもしれません。もっとも、攻撃者が国家やその支援を受けた組織であったりす

国家やその支援を受けたサイバー攻撃者が狙うとると話は別です。この対応を民間の自助努力だけにすれば民間金融セクターです。不正送金のトラップ8サイバー耐性の改善に向けて～金融機関と金融監督当局の取組み～

を仕掛けたりと、いろいろやる訳ですが、彼らはは初めてでした。来年（2019 年）は G20 を日本が決して当局などは狙いません。米国の FS-ISAC とホストします。福岡で財務大臣・中央銀行総裁会合

いう組織は、世界中の約 7,000 の金融機関が加盟しが、大阪でサミットが開催されます。2 年前の G7ている「共助」のための組織ですが、米国の 8 つとはまた異なる成果が期待されています。の 大 手 行、G-SIB が こ の FS-ISAC の 姉 妹 組 織 とし て Financial Systemic Analysis and Resilienceᙜ㠃䛾ㄢ㢟䠄䜸䝨⪏ᛶ䛾ᨵၿ⟇䠅Center、FSARC という組織を立ち上げています。

•– 䛣䜜䜎䛷䛾஦๓ண㜵䞉ᢚṆ䜈䛾↷‽ 䊻㻌஦ᚋ䛾䝃䜲䝞䞊䜲䞁䝅䝕䞁䝖ᑐᛂຊ䠄㻾㼑㼟㼜㼛㼚㼟㼑㻘㻌㻾㼑㼏㼛㼢㼑㼞㼥 㻒㻌㻹㼕㼠㼕㼓㼍㼠㼕㼛㼚䠅䜢ໟྵ䛧䛯䜸䝨㡹೺ᛶ඲య䛾ᗏୖ䛢䜈䚹

これは FRB や OCC や FDIC といった米国の金融当局だけでなく、FBI や国土安全保障省などとも連携しています。あくまで民間の組織なのですが、民᪤Ꮡ䛾䝞䞊䝊䝹ㅖཎ๎䛾ᩚ⌮Ჴ༺䠄┦ᑐホ౯䞉ẚ㍑ྍ⬟ᛶ䛾ᨵၿ䠅•䝃䜲䝞䞊⪏ᛶ䛾ホ౯ᯟ⤌䛾ᵓ⠏䠄ᶓ᩿ⓗ㐃ᦠ䠅間側からサイバー脅威やサイバー事象に関する「ダ••䠄㻲㻿㻙㻛㻲㻙㻛i 㻙䠅㻵㻿㻭㻯䚸㻲㻵㻿㻯䚸㻶㻼㻙㻯㻱㻾㼀㻛㻯㻯䈈㻿㼛㼒㼠㻌㻸㼍㼣㼟䛾⏕ᡂ䚸᝟ሗඹ᭷ッシュボード」を共有して、非金融当局を含む幅広•䝃䜲䝞䞊₇⩦䛾ᐇ᪋•እ஺䞉Ᏻ඲ಖ㞀䝏䝱䝛䝹䚸䝃䜲䝞䞊䞉䜲䞁䝔䝸䝆䜵䞁䝇ᶵ㛵䛸䛾㐃ᦠẸ㛫䚸Ẹ㻙ᐁ䚸ᙜᒁ㛫㐃ᦠ䚹䜽䝻䝇䞉䝪䞊䝎䞊䚸䜽䝻䝇䞉䝉䜽䝍䞊䚹20

い当局と連携して事に当たっているのですね。

さて、皆さんご存知のとおり、金融庁の検査マニᙜᒁ㛫㐃ᦠ䛾ᙉ໬䛻ྥ䛡䛶 䠄㻝䠅

ュアルが廃止されます。むしろ自律的なガバナンスにお任せした方が効果的という判断かと思われますが、目線が揃わないと色々と混乱するかもしれないとの懸念の声も耳にします。もっとも、IT やサイバーの世界に関しては、あまりそうした懸念はないかもしれません。わが国には、例えば FISC のような金融機関や IT ベンダー、更に我々のような当局㸦ฟᡤ㸧➹⪅సᡂࠋThe 1st meeting of "Ise-Shima Cyber Group“ (Oct 14, 2016)18

者もいる半官半民の場において、安全対策要綱などのソフトロー、デファクトな規範が整備されてきたᙜᒁ㛫㐃ᦠ䛾ᙉ໬䛻ྥ䛡䛶 㻔㻞㻕

長い歴史があります。今後も、法律や施行令・規則、告示などのハードローを補完する形で、こうしたソフトローをうまく活用していきながら、例えば、自然災害と闘う中で我々が整備してきた BCP を、サイバー事象に固有の特性を踏まえてファイン・チューンする形でサイバー BCP へと発展させることも可能ではないかと期待する次第であります。

https://www.japan.go.jp/g20japan/

19以上

2016 年には G7 伊勢志摩サミットがありました。
ここでの一つの画期的なイベントが伊勢志摩サイバー・グループによる初めての会合開催でした。首脳レベルがサイバー問題について集まって議論したのリスクと保険9