金融機関にTLPTを導入するための検討
2023/02/17 修士論文審査会
大久保研究室 M２
岩下央
学籍番号：5514506
メールアドレス：mgs214506@iisec.ac.jp1目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
2

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
3

概要
 Threat-Led Penetration Test(TLPT)とは,サイバーレジリエンスを高める取り組みのひとつである.
 日本の金融機関においてTLPTは広く普及していない現状がある．その要因として，
 経営層の理解不足がある 本番業務への悪影響について対策を行う必要がある
 テスターに対する信頼性が必要である

 難易度・コストが脆弱性診断とペネトレーションテストと比べて高い
 TLPTの高度化，より高度な専門人材の育成が必要であるといった要因が障壁となっていると考えられる．

 本稿では， TLPTの現況を調査し，課題について明らかにし，対策の検討を行った．また，産業分野ごとの違い，ペネトレーションテストとの比較を行い，サイバーレジリエンスを高める取り組みの一つとし4てTLPTを行うことが優位であることを示した．

背景
時系列

国外

国内

2015年

•

G7サイバーエキスパートグループ設置•「金融分野におけるサイバーセキュリティ強化に向けた取り組み方針」公表

2016年

•

「金融セクターのサイバーセキュリティに関するG7の基礎的要素」公表•

金融業界横断的なサイバーセキュリティ演習（Delta Wall）開始

2017年

•

「金融セクターのサイバーセキュリティの効果的な評価に関するG7の基礎的要素」公表

2018年

••

•

「脅威ベースのペネトレーションテストに関する（TLPT）G7の基礎的要素」公表「金融セクターにおけるサードパーティのサイバーリスクマネジメントに関するG7の基礎的要素」公表「金融分野におけるサイバーセキュリティ強化に向けた取り組み方針（アップデート版）」公表「諸外国の脅威ベースのペネトレーションテスト（TLPT）に関する報告書」
公表

2019年

•G7サイバー合同演習実施•「金融機関等におけるTLPT実施にあたっての手引書」公表

2020年

•

「サイバー演習計画に関する基礎的要素」
公表•「金融分野のサイバーセキュリティレポート」公表
5

•

研究目的
TLPTが推奨されている金融分野に焦点を絞り，金融機関にTLPTの優位性を理解してもらうことを目的とする．この金融機関は，サイバーセキュリティ対策についての予算を確保しており，どのような手法での対策をするか検討している者を対象としている．
6

TLPTイメージ
現実世界で実際に起きているサイバー攻撃をテスターが動的にシミュレーションし,防御側である金融機関が防御,検知,対応を行う.それを通じて金融機関のサイバー攻撃対応態勢を評価し,対応能力を高めていくことに焦点をあてたテストである.

出典：TLPT.pdf (fsa.go.jp)

7

「金融機関等におけるTLPT実施にあたっての手引書」の記載範囲

8

ペネトレーションテストとTLPTの比較（出典）手引書
項目
目的

評価対象

TLPT
ペネトレーションテスト
対象としたシステムの中で，で 攻撃者からの攻撃の検知と組織的なきるだけ多くの脆弱性を特定す 対応能力を強化することを主目的とすることを主目的とする
る対象とするシステム，あるいは 事業や組織に重大な影響を与えるテIT資産に対する技術的な評価 ストゴールを設定し，テストゴールに向を実施する
けた攻撃を実行する．システムやIT資産のほか，人，対応プロセスも評価する

事前の情報開示 多くの場合，すべてのステーク 限られたステークホルダーのみが，テホルダーに知らせるストの実施を認識している
攻撃内容
その他

脆弱性とその影響を特定する 攻撃対象の脅威を分析の上，実際の攻撃を実施する
攻撃を実施する
多くの場合，ソーシャルエンジ ソーシャルエンジニアリングを使用す
ニアリングを使用しないる場合がある
多くの場合，物理的なセキュリ 物理的なセキュリティもテスト対象とな
ティテストはテスト対象外であ りうるる
9
攻撃者の戦術，技術，手順を模倣して実行する

実際の攻撃とTLPTの比較（出典）手引書

項目

実際の攻撃

TLPT

攻撃の期限

通常はなし

プロジェクトのリソースに期限があるため，通常は，期限が設けられている（ただし，無期 限と する こと もできる）

法・倫理

制約を受けない

制約を受ける

金 融 機 関 等 に よ る 受けない制御制御され，リスク管理の適用可
10

TLPTの概要プロセス（出典）手引書

11

本研究の貢献
TLPTの現状と課題について調査し，対策を提案した．

特にTLPT が推奨されている金融分野に焦点をしぼり，分野ごとの違いやTLPTと似た手法であるペネトレーションテストとの比較を行い，サイバーレジリエンスを高める取り組みの一つとしてTLPTを行うことが優位であることを示した．
12

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題分野ごとの違いペネトレーションテストとの比較
対策と考察まとめと今後の課題
13

関連研究
TLPTという名称での関連研究はあまり存在しない．同じような手法である，
RED TEAMING，ペネトレーションテス
トに関するものは以下の通りである．
 フレームワークを調査したもの

 ベンダーや顧客にインタビューしたもの レッドチームとブルーチームのアプローチの統合について考察したもの
 ペネトレーションテストのプラットフォームに関するもの
 ペネトレーションテストの自動化に関するもの
 セキュリティ教育に関するもの

14

関連研究

（出典）Red Teaming Regulatory and non-regulatory frameworks
used in adversarial simulations[15]より，一部追記

Framework

Overallregulation

TIBER-EUHigh
Cyber
Kill None
Chain
ATT&CK
None
gfma
MediumCBEST
HighAASE
Low
Low
「手引書」

Serviceprovider
regulation
HighNone

Resultsharing
regulation
HighNoneNoneMedium
HighLow
Low

NoneHigh
Low
Low
Low

規制レベルは，フレームワーク自体がどのように規制されているかではなく，フレームワークを使用するために設けられている，または必要とされる規制であると考えられることであり，それぞれ以下のとおりとなる．
None:フレームワークの実施に関する規制がない
Low:フレームワークの実施に関する規制がほとんどない
Medium:フレームワークの実施に関する規制がいくつかある
15
High:フレームワークの実施に関する規制が非常に多くある

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
16

TLPTの普及の現状（出典）日本銀行「サイバーセキュリティの確保に向けた金融機関の取り組みと課題」

日本の金融機関におけるTLPTの実施率は，脆弱性診断やシステムへの攻撃試行等による検査を行っている先の2割程度（全体の1割程度）にとどまっている．

17

課題① 経営層の理解不足がある② 本番業務への悪影響について対策を行う必要がある③ テスターに対する信頼性が必要である④ 難易度・コストが，脆弱性診断とペネトレーションテストと比べて高い⑤ TLPTの高度化，より高度な専門人材の育成が必要である

18

①経営層の理解不足がある
TLPT実施は，経営層の関与が必要である．
現状，経営層はサイバーセキュリティ対策の必要性は認識しているが，TLPT のような，より実効性のある対策を行う必要性については認識していない．

19

②本番業務への悪影響について対策を行う必要がある
TLPTは基本的に本番環境を用いる.そのため,顧客サービスの停止や業務システムの不具合など，悪影響を及ぼす可能性があるため，導入が進まないおそれがある．
また，こうした悪影響を無くすためにはどのようにすればよいか考慮する必要がある．
20

③テスターに対する信頼性が必要である
TLPT は金融機関が単独で行うことも可能である．しかし，外注することも考えられる．理由としては，難易度が高いた
め，TLPT を内製化できる専門人材が豊富ではない可能性があるからである．
外注した際，仮に悪意あるテスターを利用した場合，情報窃取やスパイ行動につながるおそれがある．
21

④難易度・コストが，脆弱性診断とペネトレーションテストと比べて高い（出典）「TLPTに関する報告書」より著者にて一部修正
対象
英国

コスト概算（*1）
期間（*2）
4~5か月程度
90,000~120,000ポンド（ 1 ポ ン ド =155 円 の 場 合 ， 約14,000,000~18,600,000円）

米国

4か月程度
100,000~130,000米ドル（ 1 米 ド ル =109 円 の 場 合 ， 約10,900,000~14,200,000円）

香港（*3）

3週間~2か月程度
500,000~1,100,000香港ドル（1香港ドル=14円の場合，7,000,000~15,400,000円）*1 上記（）内の金額は，2018年1月30日時点の為替レートを用いた概算値*2 テストの実施期間のみではなく，計画から報告完了までの期間（サービスプロバイダーの選定，調達にかかる期間は含まれない）*3 香港は脅威インテリジェンスの収集・分析を行わず汎用的な脅威シナリオで実施する事例などを含んだ金額と期間
22
日本においても,数千万円が相場となっている.

⑤TLPTの高度化，より高度な専門人材の育成が必要である（出典）「金融機関のITガバナンス等に関する調査結果レポート」より著者にて一部抜粋
質問事項

地域銀行
2021事務年度（%）
IT人材を確保・育成するための中長期計画 58.0を策定しているか信用金庫
2021事務年度（%）
19.3

48.0
IT人材のキャリアパスを策定しているか
IT人材のスキルを評価する基準や方法を定 47.0
めているか
IT人材を育成するための研修制度を定めて 46.0
いるかIT人材を確保するための採用制度を定めて 60.0
いるか
ITに関する資格取得を奨励する制度を設け -（アンケート未実施）ているか
全社員を対象にIT・デジタルのリテラシー向 79.0
上のための施策を実施しているか

5.9
9.8

その他上記以外にIT人材確保・育成するた 47.0
めの取組みをしているか

13.4

7.9
18.5
-（アンケート未実施）
36.2

23

⑤TLPTの高度化，より高度な専門人材の育成が必要である（出典）事業戦略上，変革を担う人材の「量」の確保
IPA 「DX白書2021」

24

⑤TLPTの高度化，より高度な専門人材の育成が必要である（出典）事業戦略上，変革を担う人材の「質」の確保
IPA 「DX白書2021」

25目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
26

中間発表での指摘を受けて
 分野（業種）ごとの違いを考えた方が良い．金融分野固有の問題は何なのか？（土井先生）

 範囲を絞った方が良い．（例：予算はあるが，導入に迷っている金融機関など）また，研究目的が分からない．論文自体に記載したほうが良い．（稲葉先生）

 研究成果が，一般論的になっているため，範囲を狭める方が良い．（大久保先生）

27分野ごとの違い① 脅威インテリジェンス導出部分で違いがある② TLPT が上手くいかなかった場合のサービス障害の違いがある③ デジタル化の進展による新たなリスクに関するシナリオの違いがある

28

①脅威インテリジェンス導出
部分で違いがある（出典）重要インフラのサイバーセキュリティに係る行動計画別紙1

重 要 イ ン 対象となる重要インフラ事業 対象となる重要システム例(注２)
フラ分野 者等(注１)
情報通信 ・主要な電気通信事業者
・ネットワークシステム
・主要な地上基幹放送事業者 ・オペレーションサポートシステム
・主要なケーブルテレビ事業 ・編成・運行システム
者
金 銀 行 等 ・銀行，信用金庫，信用組合 ・勘定系システム
・資金証券系システム
融 生 命 保 労働金庫，農業協同組合等
・国際系システム
険・資金清算機関・対外接続系システム
損 害 保 ・電子債権記録機関
・生命保険
険
・金融機関相互ネットワークシステ
・損害保険
証券ム
資 金 決 ・証券会社
・電子債権記録機関システム
・金融商品取引所・保険業務システム
済・振替機関・証券取引システム・金融商品取引清算機関
・取引所システム
・主要な資金移動業者
・振替システム・主要な前払式支払手段(第三 ・清算システム者型)発行者 等
29

②TLPT が上手くいかなかった場合のサービス障害の違いがある（出典）重要インフラのサイバーセキュリティに係る行動計画別紙1

 情報通信分野では，電気通信サービスの停止，放送サービスの停止の障害が起こる可能性がある．
 金融分野であると，預金の払戻しの遅延・停止，融資業務の遅延・停止，振込等資金移動の遅延・停止，預金の払戻しの遅延や停止の障害が起こる可能性がある．
 このため，金融分野は他の分野と比べて，サービス障害が起こることにより，人々の資産に直結した障害が起こることが分かる．
30

③デジタル化の進展による新たなリスクに関するシナリオの違いがある（出典）金融分野におけるサイバーセキュリティ強化に向けた取組方針

デジタル化の進展による，金融サービスの担い手（暗号資産取引，キャッシュレス決済などの新たな金融サービス）が多様化することによる新たなリスク（新たなプレーヤーとの連携，既存業務の外部委託等の進展によるサードパーティリス
クや，特定の事業者や技術への依存度が高まることによる集中リスク）への備えが必要であることが挙げられる．

31

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
32

ペネトレーションテ
ストとの比較
TLPTのテスト工程は以下のとおりである．
① 計画工程② シナリオ構築工程③ テスト実施工程④ サイバーレジリエンス評価及び改善計
画の策定と実施に係る工程
33

(例)認証設計の脆弱性を攻撃された不正利用
 TLPTの場合① 計画（準備）工程

テストゴールとして，システムへの侵入，改ざんを設定し，Aシステム（仮）にスコープを設定する．

② シナリオ構築工程

脅威情報を調査する．今回，Aシステムに対して，認証設計の脆弱性がある可能性があることを導出した．（別の組織でのインシデント発生を確認）脅威イ
ンテリジェンスに基づき，Aシステムの攻撃シナリオを作成する．ゴール設定
として，特定の情報にアクセスし，それを閲覧，変更しうることを示すこととする．

③ テスト実施工程

実際にテストを行う．テストを行った結果として，各チームの行動記録を確認する．

④ サイバーレジリエンス評価及び改善計画の策定と実施に係る工程実施結果を評価する．組織としての人・対応プロセス・システムに関するサイバーレジリエンスを評価，改善につなげる．
34

テスト結果（TLPT）
 テストゴール達成
・システム，IT資産

どこに脆弱性があるのか，侵入後システムログが取られているか，検知はできたかを確認することができる．
・人，組織検知後のエスカレーション対応，被害拡大防止の対応，対応時間を確認することができる．

 テストゴール未達成（または，途中まで達成）
・システム，IT資産脆弱性はないことが確認できる．または，どこで検知・防止ができたのか（できなかったのか）を確認することができる．
・人，組織検知後のエスカレーション対応，被害拡大防止の対応，対応時間を確認することができる．
35

（例）認証設計の脆弱性を攻撃された不正利用
 ペネトレーションテストの場合

定義：脆弱性等を利用して，侵入の可否，及び侵入した場合の影響を検証する手法．（出典：手引書）
・Aシステムに対し，テストゴールとして，システムへの侵入，改ざんを設定．

・ブラックボックステストの場合，ペネトレーションテスターは情報収集を行う．認証情報の探索としてGitHub，LeakCheck，Dehashed，pwndbを利用する．また，外部からのスキャンを行う．こうして集めた情報より，Aシステムに対して認証設計の脆弱性を特定し，システムへの侵入，改ざんを行うことは可能．
・グレーボックステスト・ホワイトボックステストの場合，Aシステムの情報を提供してもらうため，情報収集の時間が抑えられる．
ペネトレーションテスターが本来の攻撃者よりも多くの情報を把握しているため，実際の攻撃者との経路とは異なる可能性がある．
（出典：ペネトレーションテストの教科書）

36

テスト結果（ペネトレーションテスト）
 テストゴール達成
・システム，IT資産

どこに脆弱性があるのか，侵入後システムログが取られているか，検知はできたかを確認することができる．
・人，組織

目的は脅威を見つけ出すことなので，人，組織に関するテスト結果は得られない．

 テストゴール未達成（または，途中まで達成）
・システム，IT資産脆弱性はないことが確認できる．または，どこで検知・防止ができたのか（できなかったのか）を確認することができる．
・人，組織目的は脅威を見つけ出すことなので，人，組織に関するテスト結果は得られない．
37

比較した結果
TLPTはシステム，IT資産だけではなく，人・組織に関するテスト結果を評価することができる．
ペネトレーションテストは脅威を見つけ出すことができるだけである．

38

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
39

対策と考察①経営層の理解不足がある
対策
1. 経営層が主体となるテスト計画を策定する．
2. 普及活動を行う．

考察
1. 事例をみても，経営層が主体となるようなテストを行うことにより課題が洗い出せていることから妥当である．
2. 普及がすすむと，テスト結果の重要性を把握させることができる．
40

対策と考察②本番業務への悪影響について対策を行う必要がある

対策
1. テスト環境の構築を行う．

2. 上手くいかなかった場合の対応策を考えておく．

考察
1. テスト環境の構築による難易度・コスト面の課題がある．

2. テスターとのコミュニケーションをとり，テスト中止をすることも検討することが必
41
要である．

対策と考察③テスターに対する信頼性が必要である

対策
1. 資格や実績を確認する．

考察
1. 資格や実績に関する資料の提出を求める必要がある．また，手引書記載の，選定・管理に対する注意事項を参考にする．
42

対策と考察④難易度・コストがペネトレーションテストと比べて高い

対策
1. 補助金や人材確保の政策を推進する．

2. スコープを狭める，フレームワークの活用，自動化のソリューションを利用する．

考察
1. 現状，サイバーセキュリティ対策に関する助成金があるが，TLPTは対象となってはいない．
2. 人材不足の観点から，スコープを狭めるなど
43の対策は妥当である．

対策と考察⑤TLPTの高度化，より高度な専門人材の育成が必要である

対策
1. 教育を行う，先行事例を参考にする．

2. IT人材がより活躍できる場を広げるためのバグバウンティ制度の拡充を行う．

考察
1. 人材育成は，人材不足の現状を考える上で妥当である．
2. バグバウンティ制度の拡充は，課題について対策を行う必要がある．

44

対策と考察
分野ごとの違い 対策

1. 脅威インテリジェンス導出部分での違いについて，個々の金融機関がもつ脅威を導出する必要がある．
2. サービス障害の違いについて，それぞれ起こりうるサービス障害について把握し，悪影響について対策を行う．
3. デジタル化の進展による新たなリスクに関するシナリ
オの違いについて，最新のサイバーセキュリティ情報の収集，関係者を巻き込んだシナリオを作成する．

 考察

1. 情報の正確性を担保する必要がある．

2. テストが上手くいかなかった場合，テストを中止することが必要である．

3. TLPTを行う目的を明確化し，必要な関係者の把握に
45
努める．

目次
はじめに（概要，背景，研究目的，貢献）
関連研究
TLPTの普及の現状と課題
分野ごとの違い
ペネトレーションテストとの比較
対策と考察まとめと今後の課題
46

まとめと今後の課題
 まとめ

 TLPTという手法について取り上げ，金融分野における現状と課題について調査し，対策を検討した．
 産業分野ごとの違い，ペネトレーションテストとの比較を行い，優位性を検証した．

 今後の課題

 TLPTに関する関連研究があまりないため，RED
TEAMING，ペネトレーションテストについて調査を行ったが，他に似た手法がある可能性がある．

 一般的な課題について取り上げたが，より実務的観点からの考察を深めることで，TLPTの優位性を示すことができる可能性がある．
47