金融機関のセキュリティ対策の動向について
平成19年2月14日（財）金融情報システムセンター
監査安全部
吉田 晃憲

１．ＦＩＳＣご紹介
２．ＦＩＳＣガイドラインの位置付け
３．「金融機関等コンピュータシステムの安全対策基準・解説書」
４．「金融機関等におけるコンティンジェン
シープラン策定のための手引書」

FISC

2

１．FISCご紹介

FISC

3

FISCご紹介

FISC＝THE CENTER FOR FINANCIAL INDUSTRYINFORMATION SYSTEMS
金融機関・生損保・証券・コンピュータメーカー等の出捐により大蔵省（当時）の外郭団体として設立（１９８４年11月）
２０００年7月1日より金融庁の所管
金融情報システムに関連する諸問題について、金融機関等の協力をもとに総合的な調査研究を行い、金融情報システムの安全性確保のための施策を推進し、金融情報システムの円滑な発展に貢献することを目的としています。
会員 ６５２機関（2007年1月末日現在）が、FISCの会員としてその活動をサポートしています。一方、FISCでは調査研究の成果を「金融情報システム白書」、機関誌「金融情報システム」の出版をはじめ、ホームページ、講演会、セミナー等様々な活動を通じて、会員に提供しています。

FISC

4

FISCご紹介
調査研究活動
(１) 金融機関等のコンピュータシステム(２) 電子決済・電子マネー(３) ICカード(４) 資金・証券決済システム(５) リスク管理(６) 個人情報保護


FISC

5

FISCご紹介


金融情報システムに関する自主基準（ガイドライン）策定
FISCは、会員企業や学識経験者等の皆様の協力を得て、金融情報システムの安全性確保や金融業務の安定的遂行のための自主基準を策定しています。
これらは、金融機関や、金融機関に情報システムを提供するコンピュータメーカー等で広く用いられています。

（１）金融機関等コンピュータシステムの安全対策基準・解説書（初版1985.12

第７版 2006.03、第7版追補2007.03予定)（２）金融機関等におけるコンティンジェンシープラン策定のための手引書（初版1994.01 第３版2006.03）（３）金融機関等のシステム監査指針（初版1987.07 第2版2000.07 第3版2007.03予定）（４）金融機関等におけるセキュリティポリシー策定のための手引書（初版1999.01）

FISC

6

２．FISCガイドラインの位置付け

FISC

7

「金融機関等ｺﾝﾋﾟｭｰﾀｼｽﾃﾑの安全対策基準」
システム化に内在するリスクシステム化に内在するリスク金融機関等に対する社会的要請
金融機関等に対する社会的要請①障害時の影響の広域化・深刻化①障害時の影響の広域化・深刻化②プライバシー・企業機密の侵害②プライバシー・企業機密の侵害①安定したサービスの提供①安定したサービスの提供②信用秩序維持
②信用秩序維持③コンピュータ犯罪③コンピュータ犯罪③技術的貢献③技術的貢献財団法人金融情報システムセンターにおいて金融機関等のコンピューターシス
財団法人金融情報システムセンターにおいて金融機関等のコンピューターシス
テムの安全対策の共通的なよりどころとして策定
テムの安全対策の共通的なよりどころとして策定

FISC
安全対策基準FISC安全対策基準
金融、保険、証券、クレジット等の金融業務を営む業界（金融機関等）の各社においては、金融、保険、証券、クレジット等の金融業務を営む業界（金融機関等）の各社においては、「本基準が安全対策を講ずるうえで業務内容に即した指針となること、各社がコンピュータ「本基準が安全対策を講ずるうえで業務内容に即した指針となること、各社がコンピュータシステムの状況等に即し漸次実施しうる内容となっていること等を勘案し、各社が本基準をシステムの状況等に即し漸次実施しうる内容となっていること等を勘案し、各社が本基準を参考にしながら適切な安全対策を実施することが期待される。」
参考にしながら適切な安全対策を実施することが期待される。」（「ガイドライン」であり、強制力はない。また、ＦＩＳＣによる「適合性評価認定」制度のようなものはない。）（「ガイドライン」であり、強制力はない。また、ＦＩＳＣによる「適合性評価認定」制度のようなものはない。）

FISC

8

FISCガイドライン策定手順
ＦＩＳＣ会員企業と有識者から構成される専門委
ＦＩＳＣ会員企業と有識者から構成される専門委
員会と検討部会（WG）において、改訂内容を員会と検討部会（WG）において、改訂内容を検討・審議する。
検討・審議する。
専門委員会
・メンバー
・メンバー
（改訂案審議）都銀、地銀、信託、第二地銀、信用金庫、都銀、地銀、信託、第二地銀、信用金庫、信用組合、労金連、農林中金、商工中金、信用組合、労金連、農林中金、商工中金、生保、損保、証券、クレジット生保、損保、証券、クレジット検討部会
コンピュータメーカー、システムインテグレータ、コンピュータメーカー、システムインテグレータ、 （改訂案検討・作成）
通信会社
通信会社
日本銀行
日本銀行
弁護士、大学の研究者
弁護士、大学の研究者
金融庁（オブザーバー）
金融庁（オブザーバー）
FISC

9FISCガイドラインの位置付け
金融庁 金融検査マニュアル（改訂案）「オペレーショナル・リスク管理態勢の確認検査用チェックリスト（案）」（別紙２）Ⅰ．経営陣によるシステムリスク管理態勢の整備・確立状況【検証ポイント】
・検査官は、システムリスクの管理態勢に問題が見られ、さらに深く業務の具体的検証をすることが必要と認められる場合には、「金融機関等コンピュータシステムの安全対策基準・解説書」（財団法人金融情報システムセンター編）等に基づき確認する。
（別紙２）
Ⅲ．個別の問題点
３．防犯・防災・バックアップ・不正利用防止（５）コンティンジェンシープランの策定（ⅲ）コンティンジェンシープランの整備にあたっては、「金融機関等コンティンジェンシープラン（緊急時対応計画）策定のための手引書」（財団法人金融情報システムセンター編）を参照しているか。
FISC

10

FISCガイドラインの位置づけ
重要インフラにおける「安全基準等」

金融金融機関等コンピュータシステムの安全対策基準・解説書
金融機関等におけるコンティンジェンシープラン策定のための手引書
金融機関等におけるセキュリティポリシー策定のための手引書（平成18年11月27日 重要インフラ専門委員会 第7回会合）

FISC

11

FISCガイドラインの位置づけ
対処部門内

対象リスク

ー

リ
ス
シ
ク

システムリスク

全 社

社外にも拡大FISC
安全対策基準FISCコンテプラン策定手引書

ョ金融業
務に係る
リス
ク

オ
ペレ

事 後 の影 響 と 対 策

予 防ナ
ル

事務リスク

BCP

信用リスク

BCP(Business Continuity Plan)：
BCPとは、潜在的損失によるインパクト(影響)の認識を行い実行可能な継続戦略の策定と実施および事故発生時の事業継続を確実にする継続計画である。事故発生時に備えて開発、編成、維持されている手順および情報を文書化した事業継続の成果物である。

市場リスク
・・

人命に係るリスク

FISCコンテプラン策定手引書では、緊急時に人命救助を最優先で取組むべき内容と記載

FISC

防災マニュアル12

３．FISCガイドライン「金融機関等コンピュータシステムの安全対策基準・解説書」

FISC

13

改訂履歴および改訂ポイント■初版策定（１９８５年１２月、基準項目数：２２６）■初版策定（１９８５年１２月、基準項目数：２２６）
金融機関等のコンピュータシステムの共通的なよりどころとして、金融機関等のコンピュータシステムの共通的なよりどころとして、 FISCにおいて金融業界のFISCにおいて金融業界の意のもとで策定
意のもとで策定■改訂第２版（１９９１年２月、基準項目数：２５２）■改訂第２版（１９９１年２月、基準項目数：２５２）①本部・営業店の防犯対策①本部・営業店の防犯対策 ②無人運転/自動運転の対策②無人運転/自動運転の対策 ③顧客データの保護③顧客データの保護 ④暗証番
④暗証番
号・パスワード等が他人に知られないための対策⑤端末機器の安全対策⑥パッケージ導入
号・パスワード等が他人に知られないための対策 ⑤端末機器の安全対策 ⑥パッケージ導入
時の安全対策時の安全対策 ⑦コンピュータウイルスに対する対策⑦コンピュータウイルスに対する対策■改訂第３版（１９９８年７月、基準項目数：２７２）■改訂第３版（１９９８年７月、基準項目数：２７２）①ｾｷｭﾘﾃｨﾎﾟﾘｼｰ/ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝの策定①ｾｷｭﾘﾃｨﾎﾟﾘｼｰ/ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝの策定 ②ｸﾗｲｱﾝﾄｻｰﾊﾞｰ・ｼｽﾃﾑの安全対策②ｸﾗｲｱﾝﾄｻｰﾊﾞｰ・ｼｽﾃﾑの安全対策 ③オープン③オープン
ネットワーク利用時の安全対策（不正アクセス対策等）④顧客情報管理厳正化（帳票の取扱、ネットワーク利用時の安全対策（不正アクセス対策等） ④顧客情報管理厳正化（帳票の取扱、システムの廃棄等）
システムの廃棄等） ⑤蓄積データ／伝送データの漏洩防止（重要なデータの暗号化）⑤蓄積データ／伝送データの漏洩防止（重要なデータの暗号化） ⑥電子⑥電子
的価値の保護（ICカード等の耐タンパー性、暗号化）⑦バックアップセンターの保有⑧コン的価値の保護（ICカード等の耐タンパー性、暗号化） ⑦バックアップセンターの保有 ⑧コン
ピュータウイルス等に対する防御・検知・復旧方法
ピュータウイルス等に対する防御・検知・復旧方法■改訂第４版（２０００年７月、基準項目数：２９５）■改訂第４版（２０００年７月、基準項目数：２９５）①アウトソーシングの安全対策①アウトソーシングの安全対策 ②インストアブランチの安全対策②インストアブランチの安全対策 ③コンビニＡＴＭの安全対策③コンビニＡＴＭの安全対策④デビットカードの安全対策⑤オープンネットワークを利用した金融サービスの安全対策④デビットカードの安全対策 ⑤オープンネットワークを利用した金融サービスの安全対策⑥電子メールの利用時の安全対策⑥電子メールの利用時の安全対策 ⑦不正取引の検知（マネーロンダリング対策、カード不正⑦不正取引の検知（マネーロンダリング対策、カード不正使用対策）
使用対策）
FISC

14

改訂履歴および改訂ポイント■改訂第５版（２００１年９月、基準項目数：２９７）■改訂第５版（２００１年９月、基準項目数：２９７）①アウトソーシング活用時のセキュリティポリシーのあり方①アウトソーシング活用時のセキュリティポリシーのあり方 ②コンティンジェンシープランの位置②コンティンジェンシープランの位置
付け③金融機関等の合併等に伴う対応④インターネットを利用した金融サービスの多様化に付け ③金融機関等の合併等に伴う対応 ④インターネットを利用した金融サービスの多様化に伴う対応
伴う対応 ⑤カードの多様化に伴う対応（ＩＣカード等）⑤カードの多様化に伴う対応（ＩＣカード等） ⑥システムの２４時間運転に伴う対応⑥システムの２４時間運転に伴う対応⑦他業態からの新規参入等に伴う対応⑧ハイテク犯罪への対応（ホームページ改ざん等）⑦他業態からの新規参入等に伴う対応⑧ハイテク犯罪への対応（ホームページ改ざん等）■改訂第６版（２００３年１０月、基準項目数：２９９）■改訂第６版（２００３年１０月、基準項目数：２９９）①経営層の関与について見直し①経営層の関与について見直し ②安全対策基準の対象システムに資金決済システムを追加②安全対策基準の対象システムに資金決済システムを追加③コンティンジンシープランにおけるバックアップの考え方を整理③コンティンジンシープランにおけるバックアップの考え方を整理 ④アウトソーシングの安全対策④アウトソーシングの安全対策
強化⑤サイバーテロに関する記述追加⑥設備関連最新技術反映
強化 ⑤サイバーテロに関する記述追加 ⑥設備関連最新技術反映 ⑦事故・犯罪対策強化⑦事故・犯罪対策強化⑧関連ガイドライン等の取り込み⑧関連ガイドライン等の取り込み■改訂第６版追補（２００５年３月、基準項目数：３０１）■改訂第６版追補（２００５年３月、基準項目数：３０１）
個人情報保護法全面施行に伴い情報漏洩対策拡充、生体認証情報の管理追加
個人情報保護法全面施行に伴い情報漏洩対策拡充、生体認証情報の管理追加■改訂第６版追補２（２００５年１２月、基準項目数：３０３）■改訂第６版追補２（２００５年１２月、基準項目数：３０３）
偽造・盗難キャッシュカード対策
偽造・盗難キャッシュカード対策■改訂第７版（２００６年３月、基準項目数：３０４）■改訂第７版（２００６年３月、基準項目数：３０４）
インターネットバンキング対策等
インターネットバンキング対策等【参照法令等】
法令等〜建築基準法、電気事業法、不正アクセス禁止法、労働者派遣事業法 預金者保護法 他
海外・国内規格等〜BS7799 他
海外・国内ガイドライン等〜FSA個人情報保護法ガイドライン・実務指針、全銀協ガイドライン 他
金融検査マニュアル 等

FISC

15

（参考）ｲﾝﾀｰﾈｯﾄﾊﾞﾝｷﾝｸﾞ利用状況
金融機関数 （ 有効回答数 ） ｻｰﾋﾞｽ契約口座数 （ 有効回答数 ）2004年3月

359 （464）

14,319,949 （299）

2005年3月

361 （456）

16,319,721 （256）2006年3月

410 （478）

20,811,913 （312）（FISC「金融情報システム白書」より）

FISC

16

（参考）ﾓﾊﾞｲﾙﾊﾞﾝｷﾝｸﾞ利用状況
金融機関数 （ 有効回答数 ） ｻｰﾋﾞｽ契約口座数 （ 有効回答数 ）2004年3月

275 （464）

13,166,454 （294）2005年3月

367 （456）

15,515,919 （256）2006年3月

390 （477）

19,073,220 （290）（FISC「金融情報システム白書」より）

FISC

17

（参考）インターネットにおける犯罪例
偽サイト

ｽﾊﾟｲｳｪｱ

ﾌｧｰﾐﾝｸﾞSQLｲﾝｼﾞｪｸｼｮﾝ

ｲﾝﾀｰﾈｯﾄ
ﾌｨｯｼﾝｸﾞﾒｰﾙ

DNSｷｬｯｼｭ
ﾎﾟｲｽﾞﾆﾝｸﾞ

金融機関サイト顧客
ﾏﾝｲﾝｻﾞ
ﾐﾄﾞﾙ

DDoS

FISC

18

セキュリティ対策例
サイバー攻撃とその対策•ネットワークセキュリティ対策の強化•「重要インフラの情報セキュリティ対策に係る行動計画」（平成17年12月13日）【運103】（参考）（詳細は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書」（第7版）をご確認ください。）

FISC

19

セキュリティ対策例
システム構築•不正プログラムへの防御対策【技49】•セキュアプログラミング技法⇒セキュアプログラミングを考慮しシステム構築【技10】•不正プログラムの検知策や、その他システムの正当性を検証する対策⇒アクセス履歴、資源管理、ライブラリ管理など【技50】•不正プログラムによる被害時対策構築【技51】（詳細は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書」（第7版）をご確認ください。）

FISC

20

セキュリティ対策例
セキュリティ評価•ファイアウォールのセキュリティ評価箇所⇒外部ネットワーク側、内部ネットワーク側•ペネトレーションテスト
【技43】•WEBアプリケーションの監査（評価）を定期的ある
いはシステム変更時に実施【技49】（詳細は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書」（第7版）をご確認ください。）

FISC

21

セキュリティ対策例
暗号化対策•SSL暗号鍵長128ビット•技術の進歩により暗号は脆弱になること、より安全性の高い暗号方式の採用•2010年問題•「電子政府推奨暗号リスト」【運29】（参考）（詳細は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書」（第7版）をご確認ください。）

FISC

22

セキュリティ対策例
運用管理など•修正プログラミングの適用タイミング⇒外部ネットワークとの接続部分の機器については、インターネットからの不正アクセスや攻撃を受ける危険性を考慮し、速やかに適用【運56】•不正行為の対する既存の対応事例などを情報収集し、防御対策、検知対策の参考とする【運103】（詳細は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書」（第7版）をご確認ください。）

FISC

23

セキュリティ対策例
認証方式（その１）
金融庁「情報セキュリティに関する検討会」（2006年3〜6月）−対策のあり方−•インターネットバンキングにおける認証方式については、個々の認証方式が、各種犯罪手口に対してどの程度の強度を有するかを検証した上で、選択すべき。
（リスク分析に基づく認証方式の選択）（金融庁HPより引用）

FISC

24

セキュリティ対策例
認証方式（その２）
FFIEC（Federal Financial Institutions Examination Council、連邦金融機関検査協議会）
2005年10月「Authentication in an Electronic Banking Environment」⇒ 「記憶認証」「所持認証」「生体認証」「複数要素認証」「二要素認証」といった言葉だけが先行• 認証方式によってリスクに対する耐性が異なる。
• こうしたリスクに対する耐性を分析した上で、適切な認証方式を採用する。
【技35】（参考）（2007年3月、第7版追補改訂）
FISC

25

４．FISCガイドライン「金融機関等におけるコンティンジェンシープラン策定のための手引書」

FISC

26

コンティンジェンシープランに盛り込まれる内容

想定する緊急事態と被害

影響を受ける業務

業務の優先度

代替手段を用いた業務の継続方法



必要となるリソース



緊急時体制



緊急時行動計画（初期対応・暫定対応・復旧対応）



教育・訓練、維持管理方法
FISC

27

ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝ策定状況
平成11年度

43.8%

28.7%

24.5%

3.0%

平成12年度

43.0%

28.4%

26.4%

2.1%

25.3%

1.7%

49.3%

平成13年度

23.7%

全社的なものがある

部分的なものがある

作成中・計画中
平成14年度

58.4%

22.7%

18.7%

0.2%
作成予定なし66.8%

平成15年度

平成16年度

20.0%

73.3%

平成17年度

20.8%

76.6%

0%

20%

40%

9.5%

18.5%

60%

80%

0.9%

5.5% 0.4%

4.9% 0.0%

100%（ＦＩＳＣアンケートに基づく、平成18年3月基準、有効回答社数585社）

FISC

28

ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝ策定時の想定リスク
0件

100件

200件

300件

400件

500件

600件

大規模システム障害

520

自然災害

511

風評リスク

320

情報漏洩事故228
177

破壊（物理的テロ）
126

破壊（サイバーテロ）
その他

35（ＦＩＳＣアンケートに基づく、平成18年3月は有効回答社数555社、複数回答あり）

FISC

29

ご清聴ありがとうございました。

FISC

30