世界に広がるサイバー攻撃の脅威増大するサイバー攻撃の脅威から金融システムを守るためには、国際社会の協調が不可欠だ。
ティム・マウラー アーサー・ネルソン
24

ファイナンス & ディベロップメント | 2021年3月

2

0 16 年 2月、ハッカーがバングラデシュ
中央 銀 行を標 的とし、国 際 金 融システ
ムの主要電子決済通信システムであるSWIFTの脆弱性につけこんで、10億ドルを盗み取ろうとした。不正取引の大半は阻止されたものの、それでもなお1億100万ドルが紛失した。
この強奪事件は、金融界に警鐘を鳴らすものとなった。金融システム全体に及ぶサイバーリスクが大幅に過小評価されてきたことを知らしめたのである。
現在では、重大なサイバー攻撃が金融安定性リスクをもたらすとの見立ては自明だ。サイバー攻撃は、発生するか否かという問題ではなく、いつ発生するかという問題なのだ。だが世界各国の政府や企業は、その脅威の封じ込めに苦心し続けている。金融システム保護の責任を誰が担うのか不明確なままだからである。懸念は高まっており、有識者は警戒を促している。国際通貨基金（IMF）前専務理事でもあるクリスティー

重大なサイバー攻撃が金融安定性リスクをもたらすとの見立ては自明だ。
サイバー攻撃は、発生するか否かという問題ではなく、いつ発生するかという問題なのだ。
ヌ・ラガルド欧州中央銀行総裁は2020年2月、 増している犯罪者だけでなく、国家や国家の支サイバー攻撃が深刻な金融危機の引き金にな 援を受けた攻撃者もいる（表参照）。例えば北朝りかねないと警告している。2020年4月には金 鮮は、過去5年間に少なくとも38か国から約20融安定理事会（FSB）が、「 適切に阻止されな 億ドルを盗んでいる。
かった場合、重大なサイバーインシデントは重これは世界的な問題だ。高所得国におけるサ要金融インフラを含む金融システムに大混乱を イバー攻撃は大きく報道される傾向にあるが、招くおそれがあり、金融安定性により幅広い影 低所得国や下位中所得国のより脆弱なター響が出かねない」と注意喚起を行った。
そのよ ゲットに対する攻撃の増加はあまり注目されてうな事象が発生した場合の経済的コストは莫 いない。
しかし金融包摂の推進が最も顕著なの大なものとなり、一般市民の信頼も大きく損な はそうした国々であり、飛躍的進歩によって多くわれる可能性がある。の人々がモバイル決済システムのようなデジタ現在進行中の2つの動向がこのリスクを深刻 ル金融サービスを利用できるようになってきて化させている。第1の動向は、国際金融システム いる。
デジタル金融サービスは確かに金融包摂が未曽有のデジタルトランスフォーメーション を促進させているが、その一方でハッカーに対の只中にあり、新型コロナウイルスのパンデミッ しては格好の標的にあふれる環境を提供してもクがそれを加速させていることだ。銀行はテク いるのだ。例えば2020年10月にウガンダ最大ノロジー企業に対抗し、テクノロジー企業は銀 のモバイルマネーネットワークであるMTNとエ行と張り合っている。
その一方で、コロナ渦でオ アテルがハッキングされた際には、4日間にわたンライン金融サービスの需要は高まり、在宅勤 Maurer,るサービス取引の大混乱が生じた。
1/20/21
務は定着してきた。世界各国の中央銀行はデジタル通貨や決済システム刷新を支援するか 責任の空白
国際金融システムのデジタルインフラ依存検討している。
この変革の時代にあっては、単発のインシデントが簡単に信頼を毀損したり、こうしたイノベーションを頓挫させたりしかねないため、サイバーセキュリティは未だかつてなく サイバー攻撃の詳細
これらインシデントの背後には、大胆さを増している犯罪者だけでなく重要になっている。
国家や国家の支援を受けた集団もおり、その目的や動機も多様だ。
第2の動向は、悪意のある人物が現在のデジタルトランスフォーメーションを利用しており、彼動機
目的
事例
攻撃者
らが国際金融システムや金融安定性、そして金融システムの健全性に対する信頼にもたらす脅
地政学的
混乱
データの恒久的破損
思想的破壊
特定対象の物理的損害
威が増大していることだ。
コロナ禍によってハッ損害
送電網障害
カーは新たな標的も得ることができた。国際決窃盗
決済システム障害
スパイ活動
不正送金
国家、済銀行によれば、金融部門が経験している新型金銭的利益
スパイ活動
国家の支援を
コロナウイルス関連のサイバー攻撃の割合は、受けた集団
医療部門に次いで2番目の大きさとなっている。

アートワーク：ISTOCK / YOUR_PHOTO

利得の追求

窃盗

現金窃盗

金銭的利益
不正送金
脅威の背後にいるのは誰か
認証情報窃盗今後は、より危険な攻撃とそれに続くショックが発生すると考えられる。最も心配されるのは、
サイバー犯罪者記録やアルゴリズムや取引などの金融データの思想的動機
混乱
情報漏洩健全性を破損させるインシデントだ。
こうした攻
不満
名誉棄損
撃は信頼をより幅広く傷つける可能性をはらむ
分散型サービス拒否攻撃
が、対抗措置として使える技術的ソリューション
テロリスト集団、は現在のところ希少だ。
そうした攻撃の背後にハクティビスト、内部関係者いる悪意の人物の中には、金融機関を標的にして2013年から2018年に10億ドル以上を盗みEuropean Systemic Risk Board. 2020. “Systemic Cyber Risk.”
取った犯罪集団カーバナックのように大胆さを 出所:
https://www.esrb.europa.eu/pub/pdf/reports/esrb.report200219_systemiccyberrisk~101a09685e.en.pdf

2021年3月 | ファイナンス & ディベロップメント

25この問題に特化した措置が講じられなければ、イノベーションや競争やパンデミックがデジタル革命を加速させる中で国際金融システムの脆弱性は増すばかりだろう。
度が高まっているにもかかわらず、システムをサイ は国家安全保障当局の関与が必要だが、両者のバー攻撃から守る責任の所在は明らかになって 関係は希薄なままだ。
この責任の空白と、国際金いない。
その理由の一端は、非常に目まぐるしい環 融システムを保護する役割や権限が未だ不確か境の変化にある。
この問題に特化した措置が講じ であることがリスクを助長している。
この不確かさられなければ、イノベーションや競争やパンデミッ の一因は現在の地政学的情勢や強い不信にあクがデジタル革命を加速させる中で国際金融シス り、これによって国際社会の協調が妨げられていテムの脆弱性は増すばかりだろう。脅威をもたらす る。サイバーセキュリティに関する協力は阻まれ、人物の多くは金銭目的だが、単に混乱や破壊を目 断片化され、そして多くの場合は信頼し合う最小的とする攻撃も増えている。
さらに、盗み方を知っ 限の関係者間に限定されている。機密扱いの国家た者は同時に金融システムのネットワークやオペ 安全保障上の資本に触れるからである。複数のスレーションについても知ることになるため、将来的 テークホルダーにまたがる国際的な協力は、「なくにはより深刻な混乱や破壊を招く攻撃を仕掛けた ても支障はないがあると助かる」
ものではなく「なくり、そうした知識や能力を他者に売ったりすること てはならない」
ものだ。
が可能になる。
このようなリスク環境の急速な進化は、その他の点では成熟し統制のとれたシステム 国際的な戦略
サイバー攻撃の脅威から国際金融システムをの対応力に大きな負担をかけている。
カーネギー国際平和財団
国際金融システムの保護強化は、主として組織 効果的に守るために、的な課題だ。防御を固め規制を強化する努力は は2020年11月に「サイバー攻撃の脅威に対す重要だが、増大するリスクに打ち勝つにはそれだ る国際金融システム保護強化のための国際戦略
けでは十分ではない。多くの部門とは異なり、金融 （International Strategy to Better Protect
サービス界の大半は技術的なソリューションを実 the Global Financial System against Cyberと題した報告書を発表した。世界経済装するためのリソースや能力に事欠いてはいない。 Threats）」
主な課題は、協調行動の問題だ。各国の政府や金 フォーラムと共同で作成されたこの報告書では、また政府機関や金融企業やテクノロ融当局や業界の垣根を越えてシステム保護を体 国際的にも、系づけるにはどうするのが最善か、そしていかにし ジー企業の間でも、協調を促進して断片化を解消てそれらのリソースを効果的かつ効率的に活用す するための具体的なアクションを推奨している。
この戦略は4つの基本的考え方に基づいているか、といった点である。
現在様々なステークホルダーや取り組みが断片 る。第1は、役割と責任の明確化が必要という考え
その他化している一因は、サイバーリスクの独特さや、そ 方である。金融当局、法執行機関、外交官、の進化する性質にある。種々のコミュニティが縦割 の関連政府機関、業界の間で効果的な国内関係ごく少数の国だけだ。断片りで動いており、それぞれに与えられた権限や任 を構築できているのは、務を通じてこの問題に取り組んでいる。金融監督 化している現在の状態は国際協力を妨げ、国際金者は強靭性に、外交官は国家の行動規範に、国家 融システムの集合体としての強靭性や回復力、対安全保障当局は悪質行為の抑止に、業界幹部は 応能力を弱めている。
第2は、国際協調は必要火急という考え方だ。
業界特有のリスクよりも各企業特有のリスクに注力している。金融サービス企業とテクノロジー企業 脅威の大きさと、世界中が相互に依存しているとの境界がかつてないほど曖昧になる中で、セキュ いう国際金融システムの性質を考えれば、個々のテクノロジー企業は、単独行動をリティに対する責任の境界も同様にますます見え 政府、金融企業、とっていたのでは効果的にサイバー攻撃の脅威かにくくなっている。
金融、国家安全保障、外交という異なる当事者 ら身を守ることができない。
第3は、断片化を解消すれば問題に取り組む間の断絶はとりわけ顕著だ。金融当局は、サイバー攻撃の脅威がもたらす独特のリスクに直面してい キャパシティを確保できるという考え方である。
る。
そのような脅威に効果的に立ち向かうために 金融機関の保護強化のために多くの取り組みが26

ファイナンス & ディベロップメント | 2021年3月

デジタルな未来進行中だが、それらの取り組みは依然として縦 能力構築割りだ。
その中には他と重複しているものもあり、 カーネギー報告書で概説されている包括的戦取引コストの増加につながっている。
こうした取 略は、サイバーセキュリティ人材の育成や、金融デジり組みのいくつかは十分に成熟していて、共有 部門のサイバーセキュリティ能力の増大や、したり、より良く連携させたり、さらに国際化した タルトランスフォーメーションのおかげで進展した金融包摂の護持に依拠している。
りすることが可能だ。
コロナ禍による失業率の上昇は、有能な人材を第4は、国際金融システムの保護は他の部門の手本になりえるという考え方である。金融システム 訓練し雇用してサイバーセキュリティ人材の充実
は、地政学的緊張が高まっている時でさえも、各 を図る重要な契機をもたらしている。金融サービ
国が協力に明らかな共通利益を見い出せる数少 ス企業は、高校生向けプログラム、見習い制度、ない分野のひとつだ。金融部門に注力することが 大学生向けプログラムなども含めた人材パイプラ出発点となって、将来的に他の部門の保護を強 イン構築の取り組みに投資すべきだ。
サイバーセキュリティ能力を構築することは、必化するための道筋をつけられるかもしれない。
カーネギー報告書は、
サイバーレジリエンス向 要なところへの支援提供に注力することを意味す上のためのアクションのひとつとして、金融機関に る。IMFをはじめとする国際機関には、特に2016
サイバーセキュリおけるサイバーリスク管理を監督するための基本 年のバングラデシュ事件以後、的枠組みをFSBが作ることを推奨している。各国 ティに関する支援要請が加盟国から数多く寄せ政府や業界は、脅威に関する情報共有や、イスラ られている。G20諸国の政府や中央銀行は、IMF
エルのFinCERTの例に倣った金融コンピュータ のような国際機関を取り組みの調整役に指定
緊急事態対応チーム（CERT）の設置によってセ して国際的な仕組みを形成し、金融部門のサイバーセキュリティ能力を構築することができるだ
キュリティ強化を図る必要がある。
や国際的な金金融当局は、データやアルゴリズムを狙った攻 ろう。経済協力開発機構（OECD）
サイバーセキュリティ能力の構築を開撃に対する金融部門の強靭性向上も優先事項と 融機関は、支援を必要とする国々へすべきだ。
これには、関係者が一夜のうちに安全 発支援の構成要素とし、に顧客口座データのバックアップをとることを可 の支援を大幅に増やすべきである。
最後になるが、金融包摂の進展を維持してい能にする安全な、暗号化を用いたデータ保管も含まなければならない。 サイバー攻撃を模擬し くには、金融包摂とサイバーセキュリティの結びこれはアフリカではた訓練を定期的に実施して脆弱な点を特定し、 つきを強化する必要がある。
特に緊急の課題だ。
アフリカ諸国の多くが金融行動計画を作ることも必要だ。
国際規範の強化にあたっては、各国政府が国 包摂を拡大させデジタル金融サービスへと移行
自国の金融部門の大きな変革を経験
際法をサイバー空間にどのように適用していくの する中で、アフリカにおけるサイバーセかを明確にし、金融システムの健全性を保護する しているからである。
規範を強化するようカーネギー報告書は推奨し キュリティに重点的に取り組む専門家ネットワーている。
オーストラリア、オランダ、英国の政府は既 クを形成すべきだ。
政府も中央銀行も監督当局も業界もその他に最初の一歩を踏み出しており、国外からのサイバー攻撃は違法な武力行使または他国に対する の関係ステークホルダーも巻き込んで、国際社内政干渉とみなされる可能性があることを示す 会が一致団結してこの差し迫った重要課題に対処する時が来ている。上述したような考え抜声明を出している。
サイバーレジリエンスや国際規範の強化によっ かれた戦略は、言葉を実行に移す際の青写真て、法執行措置や業界との多国間対応を通じた を示すものである。
集団的対応を促進できる。対応には、制裁や逮ティム・マウラーはカーネギー国際平和財団のサ捕や資産差し押さえを含めることが可能だ。
各国政府は、脅威の評価や対応の連携を支 イバーポリシーイニシアティブのディレクターで援する組織を設立してこうした取り組みを支える テクノロジーと国際関係プログラムのシニアフェことができるだろう。情報収集は金融システムに ロー。アーサー・ネルソンはカーネギー国際平和対する脅威を重点のひとつとして行い、各国政府 財団のサイバーポリシーイニシアティブのリサーチはそうした情報を同盟国や考えを同じくする国々 アナリスト。と共有すべきである。
2021年3月 | ファイナンス & ディベロップメント

27