資料５「インターネット取引における不正アクセス等防止に向けたガイドライン」の一部改正について
2021 年 ７ 月 20 日
日 本 証 券 業 協 会
Ⅰ．改正の趣旨
本協会では、本年３月、インターネット取引における不正アクセス・不正出金等を防止し、そのセキュリティ水準の向上を図ることを目的とした「インターネット取引における不正アクセス等防止に向けたガイドライン」を制定したところである。
先般、インターネット取引サービスを顧客に提供する会員において、外部委託先の従業員による不正アクセス・出金が発生したこと等を踏まえ、同ガイドラインにおける外部委託先の顧客情報に係る安全管理措置等について、より具体的な事項を定めるための改正を行うこととする。
Ⅱ．改正の骨子１．顧客情報（個人情報）に係る安全管理措置において、外部委託に係る情報管理、アクセス権限の管理等について、より具体的な事項を規定する。
（４．顧客情報（個人情報）に係る安全管理措置（２）外部委託先における顧客情報（個人情報）に係る安全管理措置）
２．また、社外からのアクセス対策として侵入可能経路の特定や顧客情報の社外移転に関する安全管理措置について、より具体的な事項を規定する。
（同（１）顧客情報（個人情報）に係る安全管理措置）
Ⅲ．施行の時期
この改正は、2021 年７月 20 日から施行する。
以上「インターネット取引における不正アクセス等防止に向けたガイドライン」の一部改正について
2021 年７月 20 日
（下線部分変更）
新旧

４．顧客情報（個人情報）に係る安全管理措置

４．顧客情報（個人情報）に係る安全管理措置（１）顧客情報（個人情報）に係る安全管理措置
スタンダードスタンダード法令等に規定する技術的安全管理措置の中でも、特に以下の①から⑤については各社重点的法令等に規定する技術的安全管理措置の中でも、特に以下の①から⑤については各社重点的に対応する必要がある。に対応する必要がある。

① 情報資産保護に関する社内規程の整備状況の確認① 情報資産保護に関する社内規程の整備状況の確認② 定期的な従業員教育を通じた情報取扱ルールの徹底及びルール順守状況の定期点検の実② 定期的な従業員教育を通じた情報取扱ルールの徹底及びルール順守状況の定期点検の実

施

施③ 情報を取り扱う区域の適正な管理の実施、情報を取り扱う機器・電子媒体等の盗難等の防③ 情報を取り扱う区域の適正な管理の実施、情報を取り扱う機器・電子媒体等の盗難等の防止のための対策の実施

止のための対策の実施④ 社外からの不正アクセス対策として、侵入可能経路の特定、ファイアウォール設置、デー④ 社外からの不正アクセス対策としてのファイヤーウォール設置、自社及び再委託先を含

タアクセス制限・ログ取得の実施

む業務委託先でのデータアクセス制限・ログ取得の実施⑤ 顧客情報の社外移転状況（クラウド・サービス等の利用を含む）及び移転先での利用・管（新設）（新設）

理状況の把握、顧客説明・同意取得状況の確認、状況に応じた監督及び安全管理措置の実施（２）外部委託先における顧客情報（個人情報）に係る安全管理措置
スタンダード外部委託先において適切な情報管理を担保するため、外部委託した業務（二段階以上の委託を含む）についての管理として、以下の対策を実施する必要がある。

⑤ 外部委託管理として、外部委託した業務（二段階以上の委託を含む）について、委託元として委託業務が適切に行われていることを定期的にモニタリングする。

① 外部委託先に対して、委託元として委託業務が適切に行われているか、定期的なモニタリ
ングの実施② 外部委託先への不正アクセス等によりログイン ID、パスワードを含む顧客情報が漏洩す

特に、外部委託先への不正アクセス等によりログイン ID、パスワードを含む顧客情報が新

旧ることのない措置が取られているかの確認

漏洩することのない措置が取られていることを確認する。

③ 外部委託先における顧客データへのアクセス制限またはその運用状況を、委託元として監視、追跡できる態勢の構築

また、外部委託先における顧客データの運用状況を、委託元として監視、追跡できる態勢を構築する。

④ 外部委託先に設置する「開発環境」と顧客情報を管理する「本番環境」間の適切な情報管

（新設）

（新設）

（新設）

（新設）

理及びデータ転送における手続きの整備・転送状況の適切なモニタリングの実施⑤ 外部委託先に付与するアクセス権限について使いまわしを防止する等、権限管理の適切な実施⑥ 外部委託先を含めた情報セキュリティリスク及び情報管理の運用状況について、経営層に報告する体制の確立⑦ 二段階以上の委託が行われた場合、外部委託先が再委託先等の事業者に対して十分な監督を行っているかの確認
付則

この改正は、2021 年７月 20 日から施行する。
以上

インターネット取引における不正アクセス等防止に向けたガイドライン

2021年３月16日制定
2021年７月20日改正© Japan Securities Dealers Association.All Rights Reserved.

１．ガイドライン制定の目的
１.制定の目的 昨今、インターネット取引サービスを顧客に提供する会員のシステムに悪意のある第三者が不正にアクセスし、顧客の有価証券を売却し、登録していた銀行口座とは別の口座に不正出金された事象や顧客情報が漏えいする事象が複数発生。このような不正行為を防止し、顧客が安心して証券取引を行うために、これまで以上にインターネット取引システムのセキュリティ水準の向上を図る必要がある。
 証券業界としては、インターネット取引における口座開設時から出金に至る各段階における不正防止、脆弱性対策や情報管理、不正利用時の対応等についての具体的な留意事項をガイドラインとして取りまとめた。
 会員各社においては、本ガイドラインにおいて対応が必要とされている留意事項（スタンダード）を着実に実行すべきであり、さらに対応することが望ましいとされている留意事項（ベストプラクティス）については各社の顧客特性などを勘案してリスクベースで検討、実施することが望まれる。
 なお、日々手口が変化する不正行為に対応すると同時に、進歩するインターネット技術を活用してセキュリティ水準を高める必要があることから、本協会は適時これらの変化に応じて本ガイドラインの見直しを行う。

２.具体的な留意事項
 インターネット取引における不正アクセス等の防止を図るため、現行の法令・諸規則等を遵守するほか、次の事項について留意【詳細は次ページ以降】(1)口座開設、ログイン、取引、入出金等、(2)脆弱性対策及び情報管理、(3)モニタリング、(4)顧客情報（個人情報）に係る安全管理措置、(5)不正アクセス発生時の対応、(6)公表対応等、(7)その他
 実施されていない項目がある場合は、各社の顧客特性などを勘案してリスクベースで検討し、着実に実行※ 不正アクセス等防止の実効性を高めるためには会員間の情報共有や出金時における他業界との連携も重要な課題であることから、これらのガイドライン化等に向けて検討を行っていく。

© Japan Securities Dealers Association.All Rights Reserved.

1

３．具体的な留意事項①
１．口座開設、ログイン、取引、出金等
スタンダードベストプラクティス（1）口座開設時の本人確認①eKYCの導入②転送不要郵便、又は本人限定郵便等を用いた郵便でのKYCの導入①公的個人認証サービスの導入②本人確認証跡の確保（2）ログイン①複雑なパスワード‣文字数・組合せの制限‣推測可能なパスワードの抑止【上記の方法が取れない場合】①多要素認証②ログイン通知(顧客選択制も可)③アカウント・ロック（複数間違えた場合のログイン停止）①多要素認証②顧客固有の利用端末やIPアドレスを認証して限定的にアクセスを許可する手法の検討（3）取引①複雑なパスワード‣文字数・組合せの制限‣推測可能なパスワードの抑止【上記の方法が取れない場合】①多要素認証②取引通知(顧客選択制も可)③アカウント・ロック（複数間違えた場合の取引停止）○多要素認証（4）出金①複雑なパスワード‣文字数・組合せの制限‣推測可能なパスワードの抑止②多要素認証(顧客選択制も可)③口座変更時通知⑤アカウント・ロック（複数間違えた場合の出金停止）（5）その他（顧客属性）④出金通知(顧客選択制も可)①個人情報のマスキング②重要な顧客属性が変更された場合の顧客への通知© Japan Securities Dealers Association.All Rights Reserved.

2

３．具体的な留意事項②２．脆弱性対策及び情報管理
スタンダードベストプラクティス（1）脆弱性対策① カテゴリーに応じた脆弱性対策を行う。例えば、（ア）脅威の情勢に応じたIPアドレスによるアクセスの制限（イ）テレワークを導入している場合はサーバーへの遠隔接続サービスやVPNサービス、オンライン会議システム等のネットワーク環境の脆弱性対策や外部侵入経路の特定と不正アクセスを検出する手法や態勢の整備② 各種システムの脆弱性やセキュリティ上の抜け穴の有無の検証、必要な措置③ 内部者犯行の検出・特定を可能にする管理態勢・内部統制の整備○ 顧客利用端末のマルウェア感染などに対して証券会社側から対応可能な対策の検討（2）情報管理① 顧客の機密情報の保存・管理におけるデータの暗号化・ハッシュ化② 取引記録・保有資産残高情報の漏えい防止・管理強化策の実施③ 口座開設時の本人確認書類の返却又は廃棄等による記録媒体からの完全削除の実施を適時・確実にする事務管理態勢の整備④ 特定個人情報の厳重管理、漏えい・不正利用防止のための態勢整備状況の定期点検・強化策の実施

３．モニタリングスタンダード① 顧客の属性情報やログイン時及びログイン後の挙動を分析して不正アクセスを検知（振る舞い検知を実施）、不正アクセスの評価に応じて追加の本人確認を実施、当該不正アクセスの適時遮断対応【振る舞い検知の具体例】‣ログイン時：普段とは異なるデバイス、IPアドレス、及び地域からのアクセス‣ログイン後：普段とは異なるページ遷移、入力操作、及び取引パターン（出金指示・出金状況及び出金先口座の追加・変更状
況の分析を含む）② 上記①の分析・検証を可能にする記録（ログ）の作成方法・有効保存の実施、そのための態勢整備© Japan Securities Dealers Association.All Rights Reserved.

3

３．具体的な留意事項③
４．顧客情報（個人情報）に係る安全管理措置
スタンダード（1）顧客情報（個人情報）に係る安全管理措置

法令等に規定する技術的安全管理措置の中でも特に以下の①から⑤について重点的に対応① 情報資産保護に関する社内規程の整備状況の確認② 定期的な従業員教育を通じた情報取扱ルールの徹底及びルール順守状況の定期点検③ 情報を取り扱う区域の適正な管理の実施、情報を取り扱う機器・電子媒体等の盗難等の防止のための対策④ 社外からの不正アクセス対策として、侵入可能経路の特定、ファイアウォール設置、データア
クセス制限・ログ取得の実施⑤ 顧客情報の社外移転状況（クラウド・サービス等の利用を含む）及び移転先での利用・管理状
況の把握、顧客説明・同意取得状況の確認、状況に応じた監督及び安全管理措置の実施（2）外部委託先における顧客情報（個人情報）に係る安全管理措置

外部委託先において適切な情報管理を担保するため、外部委託した業務（二段階以上の委託を含む）についての管理として、以下の対策を実施① 外部委託先に対して、委託元として委託業務が適切に行われているか、定期的なモニタリングの実施② 外部委託先への不正アクセス等によりログインID、パスワードを含む顧客情報が漏洩することのない措置が取られているかの確認③ 外部委託先における顧客データへのアクセス制限またはその運用状況を、委託元として監視、追跡できる態勢の構築④ 外部委託先に設置する「開発環境」と顧客情報を管理する「本番環境」間の適切な情報管理及びデータ転送における手続きの整備・転送状況の適切なモニタリングの実施⑤ 外部委託先に付与するアクセス権限について使いまわしを防止する等、権限管理の適切な実施⑥ 外部委託先を含めた情報セキュリティリスク及び情報管理の運用状況について、経営層に報告する体制の確立⑦ 二段階以上の委託が行われた場合、外部委託先が再委託先等の事業者に対して十分な監督を行っているかの確認© Japan Securities Dealers Association.All Rights Reserved.

4

３．具体的な留意事項④５．不正アクセス発生時の対応
スタンダード（1）顧客への対応（2）関係機関との連携強化

ベストプラクティス① 利用者からの問い合わせや相談を受け付ける窓口の取決め、利用者の不安を解消するべく真摯な姿勢での迅速かつ丁寧な対応② 被害状況を十分に精査し、顧客の態様やその状況等を加味したうえで、顧客との被害補償を含め、被害解決に向けての誠実かつ迅速な対応③ 一顧客が被害に遭った場合には、他の顧客にも被害が及んでいないか、その状況の調査以下の対応をどのように行うのか整理しておく① 銀行への連絡（被害発生時における出金停止等）② 捜査当局への連絡③ 金融ISACへの情報提供による関連情報の還元・検知能力の相互強化④ 会員各社との情報連携© Japan Securities Dealers Association.All Rights Reserved.

5

３．具体的な留意事項⑤
６．公表対応等スタンダード① 迅速な被害顧客への通知、二次被害の防止・類似事案の発生回避等に有用な情報の公表のための社内体制の整備② 各種届出義務（個人情報の漏えい、疑わしい取引、システム障害報告等）の確実な履行のための社内体制の整備

７．その他
スタンダード（1）社内教育（2）利用者への周知

ベストプラクティス

例えば、本人確認時において本人以外を見抜く方法や最近の金融犯罪の手口に関する講座等の実務的な研修の実施
例えば、Webサイト上又はメール等で利用者に対してログインパスワード及び取引パスワードの設定方法に関するお知らせなどの実施© Japan Securities Dealers Association.All Rights Reserved.

6