青梅信用金庫
金丸様○
東京スター銀行
吉原様○

山村様○

みずほ信託銀行
伊豆様○
南都銀行

三井住友銀行
堀之内様○

水崎様○

三宅様○

全国信用協同組合
連合会○内田様
FISC 和田 ○労働金庫連合会○大隅様
FISC 髙橋 ○FISC 事務局 ○東京海上日動火災保険○ （代理）堅田様

FISC 事務局 ○第一生命保険○安藤様

傍聴席
商工組合中央金庫○上野様
FISC 中山 ○野村ホールディングス
○
和泉様

石井様

ＮＲＩセキュアテクノロジーズ○
三井住友カード○
岸本様
ＮＴＴデータ○荏原様
ＮＴＴコミュニケーションズ
○
濱中様
日本アイ・
ビー・
エム
○
鎌田様
沖電気工業
○
柏原様
日立製作所
○
斎藤様
日本電気
○
高野様
日本ユニシス○徳満様

石川様

東芝インダストリアル
Ｉ ＣＴ ソリューション社

○

事務局
FISC

富士通
○
藤田様

○

出入口

通 路

三菱東京ＵＦＪ銀行
五百木様○
日本銀行

オブザーバー

ラック

（
代理）
佐々木様○

オブザーバーＪＰＣＥＲＴ
コーディネーションセンター
オブザーバー

独立行政法人情報処理推進機構
遠藤様○

大野様○

オブザーバー
ＮＴＴデータ経営研究所

市村様○

松延様○

オブザーバー
野村総合研 究 所
オブザーバー

金融庁

傍聴席 三井住友海上火災保険○中井様
ＦＩＳＣ事務局

農林中央金庫
○望月様
座長
国立情報学
研究所
高倉様 ○

窓

平成29年6月12日

第１回「ＩＴ人材検討部会」座席表

参考

平成 29 年６月 12 日
公益財団法人 金融情報システムセンター『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』の作成に関する検討部会委員名簿（平成 29 年６月 12 日～）（敬称略、順不同）（所属・役職等は検討部会開催時点）
座

長

高倉 弘喜

国立情報学研究所サイバーセキュリティ研究開発センターセンター長
アーキテクチャ科学研究系教授

委

五百木一郎

(株)三菱東京ＵＦＪ銀行システム企画部人事教育グループ上席調査役

〃

堀之内賢吾

(株)三井住友銀行システム統括部統括グループ部長代理〃

山村(株)南都銀行システム部グループ長

〃

伊豆 良一

みずほ信託銀行(株)ＩＴ・システム統括部企画チーム次長

〃

吉原 丈司

(株)東京スター銀行ＩＴ戦略部部長

〃

金丸 利明

青梅信用金庫事務部システム課専任課長

〃

内田 満夫

全国信用協同組合連合会システム業務部部長

〃

大隅 深雪

労働金庫連合会総務部次長

〃

望月 大輔

農林中央金庫ＩＴ統括部副部長

〃

上野 貴之

(株)商工組合中央金庫システム部次長

〃

安藤伊佐武

第一生命保険(株)ＩＴビジネスプロセス企画部部長

〃

五十嵐逸郎

東京海上日動火災保険(株)執行役員ＩＴ企画部長

〃

和泉 哲郎

野村ホールディングス(株)ＩＴ統括部ＩＴ統括部長

〃

岸本 広己

三井住友カード(株)システム企画部（東京）グループマネージャー

〃

水崎

玲

日本銀行金融機構局考査企画課システム・業務継続グループ企画役

〃

安冨

潔

慶應義塾大学名誉教授・弁護士（渥美坂井法律事務所・外国法共同事業）

〃

荏原 剛樹

(株)ＮＴＴデータ第二金融事業本部第三バンキング事業部課長

〃

濱中 慎一

ＮＴＴコミュニケーションズ(株)ソリューションサービス部

員

武

第二プロジェクトマネジメント部門第一グループ担当課長
〃

柏原 幸一

沖電気工業(株)金融・法人ソリューション事業部
プロジェクトマネジメントオフィスシニアスペシャリスト

〃

石川 浩嗣

(株)東芝インダストリアルＩＣＴソリューション社
インダストリアルソリューション事業部
金融・情報ソリューション技術部
金融・情報ソリューション技術第一担当参事

参考

平成 29 年６月 12 日
公益財団法人 金融情報システムセンター

委

員

鎌田美樹夫

日本アイ・ビー・エム(株)グローバル・ビジネス・サービス事業部
金融インダストリー・ソリューション担当部長

〃

高野 幸徳

日本電気(株)金融システム開発本部主席システム主幹

〃

徳満 益範

日本ユニシス(株)ファイナンシャル第三事業部ビジネス企画統括部
次世代ビジネス企画部事業推進グループ

〃

斎藤 宏海

(株)日立製作所金融システム事業部事業推進本部システム統括部
グループリーダ〃

藤田 雅人

富士通(株)金融・社会基盤営業グループシニアディレクター

〃

石井 晋也

ＮＲＩセキュアテクノロジーズ(株)サイバーコンサルティング部
上級セキュリティコンサルタント

ｵﾌﾞｻﾞｰﾊﾞｰ 遠藤修

独立行政法人情報処理推進機構ＩＴ人材育成本部
ＨＲＤイニシアティブセンターグループリーダー

〃

大野 博堂

(株)ＮＴＴデータ経営研究所
パートナー金融政策コンサルティングユニット本部長

〃
〃

松延 智彦

(株)野村総合研究所システムコンサルティング事業本部

洞田 慎一

ＩＴマネジメントコンサルティング部部長
一般社団法人ＪＰＣＥＲＴコーディネーションセンター
早期警戒グループマネージャー

〃

三宅 康夫

(株)ラックＩＴプロフェッショナル統括本部
エンタープライズ・セキュリティサービス事業部
セキュリティコンサルティング部第二グループ
グループリーダー〃
市村 雅史
FISC 委員 中山 靖司
和田 昌昭

金融庁検査局システムモニタリングチーム専門検査官
公益財団法人金融情報システムセンター調査部長〃

監査安全部長平成 29 年 6 月 12 日
公益財団法人 金融情報システムセンター

平成 29 年度

第１回 ＩＴ人材検討部会

議事次第

Ⅰ．時間：15：30～17：00

Ⅱ．場所：FISC 会議室

Ⅲ．議事次第１．第 51 回安全対策専門委員会の審議結果について
２．
『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』作成における検討事項
について
Ⅳ．資料
資料番号
◎

人材１－１－①◎

人材１－１－②
人材１－２－①
人材１－２－②
人材１－２－③

資料名『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』の作成及び「ＩＴ人材検討部会」の設置について『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』
原案 概要『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』
作成における検討事項について『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』
原案確認資料『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』
【原案】

人材１－３

平成 29 年度 第 1 回ＩＴ人材検討部会

参考資料

ＩＴ人材検討部会 委員名簿

検討事項に関するご意見（メール回答用）※ ◎は第 51 回安全対策専門委員会資料と同一
Ⅴ．連絡事項
１．検討事項に関するご意見
本日の検討部会の検討事項【人材１－２－②】に関する事後意見、及び次回検討部会の検討事項【人材１－２－③】手引書原案（第３編・第４編）の記載内容について、ご意見がございましたら、６月 26 日（月）までに、電子メール＜fisc40@fisc.or.jp＞あてにお送りください。
フォームにつきましては【人材１－３】をご使用ください。
２．委員名簿の確認依頼【参考資料】ＩＴ人材検討部会 委員名簿の確認を、６月 19 日（月）までにお願いします。
３．次回（第２回 ＩＴ人材検討部会）の開催予定
平成 29 年８月３日（木）15：30～17：00 FISC 会議室
以

上

議事１
【人材１－１－①】

第 51 回安全対策専門委員会【資料２－１】

平成 29 年 6 月 12 日
公益財団法人 金融情報システムセンター『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』作成の着手及び「ＩＴ人材検討部会」の設置について
Ⅰ 審議事項『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』（以下『手引書』という）の作成に着手することとし、そのため、安全対策専門委員会の下部組織として新たに「ＩＴ人材検討部会」を設置する。

Ⅱ 作成の背景
わが国の金融機関等におけるＩＴの利活用が大きく進展したことに伴い、それを支えるＩＴ人材の役割はこれまで以上に大きくなっている。また、最近では、金融情報システムを巡る環境変化に伴い、ＩＴ人材に求められる役割・スキルは、各金融機関の特性や実情に応じて多様化している。そのような状況を踏まえて、金融機関等が個別の経営判断により、ＩＴ人材の確保・育成を進めていく際に参考となる『手引書』の作成を行うこととした。

Ⅲ スケジュール（予定）
日

程

イベント

5 月 23 日

第 51 回安全対策専門委員会

6 月 12 日

第１回ＩＴ人材検討部会

8月3日

第２回ＩＴ人材検討部会

9 月下旬

第３回ＩＴ人材検討部会

10 月**日

第**回安全対策専門委員会

11 月末まで

FISC 会員企業への意見募集

12 月中旬

第４回ＩＴ人材検討部会

１月中旬

第**回安全対策専門委員会

3 月末目途発刊

内容・『手引書』作成の着手及び「IT 人材検討部会」の設置について審議・『手引書』案の検討
・『手引書』案に対する意見反映結果提示
・『手引書』案の検討
・『手引書』案に対する意見反映結果提示
・『手引書』案の取りまとめ
・『手引書』案の確認
・FISC 会員企業への意見募集実施について審議

・FISC 会員企業意見に対する回答案の確認
・『手引書』案に対する会員意見反映の確認
・FISC 会員企業意見に対する回答案について審議
・『手引書』案及び発刊について審議※ 検討状況により、スケジュールの見直しおよび書面開催の場合あり。

議事１【人材１－１－①】

第 51 回安全対策専門委員会【資料２－１】

平成 29 年 6 月 12 日
公益財団法人 金融情報システムセンター

Ⅳ 作成原案【資料２－２】手引書【概要】及び【資料２－３】手引書【原案】 ご参照。
以上

【人材１－１－②】
平成29年6月12日

議事１

第51回安全対策専門委員会【資料２－２】『金融機関等におけるIT人材の確保・育成計画の策定のための手引書』
原案 概要

公益財団法人 金融情報システムセンター

全体構成

手
引
書

第１編

はじめに

第２編

経営層の役割第３編

ＩＴ人材の確保・育成に向けた実務- ＩＴ業務の洗い出し- ＩＴ人材・スキルの定義と把握- ＩＴ人材の確保・育成計画の策定

第４編

サイバーセキュリティ人材に関する考慮事項Ⓒ2017 FISC All rights reserved

工程と手順

考慮事項

考慮事項

1

第１編
•

はじめに

本手引書を作成する背景及び本手引書の位置付けを記載する。

１．手引書作成の背景


わが国の金融機関等におけるＩＴの利活用が大きく進展したことに伴い、それを支える人材の役割はこれまで以上に大きくなっている。以下に述べるような金融情報システムを巡る環境変化に伴い、システ
ム戦略を実現するために必要な業務（以下「ＩＴ業務」という）は、システム部門だけに留まらず、シ
ステム部門以外の様々な部門に関わりが広がってきており、部門間、更には外部委託先等の社外との連携がより一層重要となっている。そして、システム戦略を実現するために必要な人材（以下「ＩＴ人材」という）に求められる役割・スキルは、各金融機関の特性や実情に応じて多様化してきている。
（１）業務の外部委託化の進展（２）リスク管理の高度化・複雑化（３）サイバーセキュリティ対応（４）新しい技術やサービスへの対応

このように、ＩＴ人材の確保・育成はシステム部門だけではなく、全社一体となって取り組んでいくことが求められる。そのため、金融機関等の経営層は、システム戦略に基づく、ＩＴ人材の確保・育成に向けた取組みに積極的に関わり、態勢を整える必要があると考えられる。

「金融機関における外部委託に関する有識者検討会（平成27年10月～平成28年6月）」においても、経営層は（１）人員数・スキルの種類とレベル・配置の把握、（２）全体の中長期計画に沿った人員の育成計画の策定について留意することが必要であると提唱されている。



このような背景を踏まえ、金融機関等が個々の経営判断により、ＩＴ人材の確保・育成を進めていく際に参考となる手引書を作成する。
Ⓒ2017 FISC All rights reserved

2

第１編

はじめに

２．本手引書の位置付け、構成


本手引書では、システム部門以外の部門に所属しているＩＴ業務に携わる人材についても、『ＩＴ人材』と位置付けたうえで、より大きな枠組みでＩＴ人材の確保・育成に取り組んでいくことを前提と
している。



本手引書は、金融機関等の特性や実情（規模やシステムの運用状況、外部委託状況等）に即して利用されることを想定している。すなわち、ＩＴ人材の確保・育成計画の策定について画一的な手順を示したものではなく、策定の考え方や留意すべき事項を記載したものであり、各金融機関等では記載内
容のうち、該当する項目を選択して利用することを想定している。



本手引書の構成は、まず、第２編において経営層の役割について、第３編で経営層から指示を受けた
実務部門等が実際に計画を策定していくための手順について記載している。

サイバーセキュリティ業務は、インシデント対応組織の役割としてインシデント発生時の対応だけでなく平時からの運用も重要であり、様々な部門と連携しながら遂行される。サイバーセキュリティ人材の確保・育成については、その専門性、特殊性が高いことから『金融機関等におけるコンティン
ジェンシープラン策定のための手引書（第３版追補３）』を参考に、第３編のＩＴ人材の策定手順における考慮事項として第４編として記載している。

Ⓒ2017 FISC All rights reserved

3

第２編
•

経営層の役割計画策定における経営層の関与の重要性と役割を記載する。

１．ＩＴ人材の確保・育成における経営層の関与の重要性
 金融機関等の活動はシステムに大きく依存していることから、経営層はＩＴガバナンスを機能させることが必要である。
 ＩＴに関する重要事項の中には、システム戦略方針、システムリスク管理方針、ＩＴに投下する経営資源、ＩＴ業務の執行体制及びＩＴ業務のモニタリング体制等の決定がある。これらの決定事項を実現するためには、ＩＴ人材の確保・育成は非常に重要な事項の一つであり、経営層が積極的に関与していくべき事項である。

Ⓒ2017 FISC All rights reserved

4

第２編

経営層の役割２．ＩＴ人材の確保・育成における経営層の関与の留意事項
 システム戦略を実現するための人員数・スキルの種類とレベル・配置の把握
経営層は、金融機関等の経営の基盤となるＩＴの維持・活用において、必要となるＩＴ人材の人員数や質について、具体的に把握することが必要である。
 全体の中長期計画に沿ったＩＴ人員の育成計画の策定
経営層は、ＩＴ人材の現状を踏まえたうえで、中長期経営計画と整合性がとれたＩＴ人材の中長期的な確保・育成計画を策定し、周知徹底することが必要である。
また、その計画では、対象範囲や対象期間等のスコープを明示することが必要である。
 ＩＴ人材の確保・育成計画策定時の態勢整備
経営層は、ＩＴ人材の確保・育成計画策定に際して、必要に応じてプロジェクト組織を立ち上げる等、関連部門の相互協力が得られる態勢を整備することが必要である。
 ＩＴ人材の確保・育成計画策定後の態勢整備
経営層は、ＩＴ人材の確保・育成を滞りなく遂行できる態勢を整備し、遂行状況を適宜確認し、必要に応じて計画を見直すことが必要である。

Ⓒ2017 FISC All rights reserved

5

第３編
•
•

ＩＴ人材の確保・育成に向けた実務経営層から指示を受けた実務部門等が計画を策定していくための工程・手順等を記載する。
基本的な考え方や考慮事項を記載するにとどめ、イメージが掴めるよう参考例を掲載する。

（具体的な取組事例等については、機関誌レポート等にて還元予定）
本編に記載するＩＴ人材の確保・育成計画策定の工程システム戦略・人材育成方針等
第１工程 現状および中長期的なＩＴ業務の洗い出し

 自機関のＩＴ業務を網羅的に把握したうえで、それぞれのＩ
Ｔ業務を担うＩＴ人材の役割を明確にする。
 そのうえで、中長期的に必要となるＩＴ業務の洗い出しを行
い、各ＩＴ業務に求められる具体的な役割を明確にする。

第２工程 ＩＴ人材・スキルの定義と現状および中長期的に必要なＩＴ人材の把握

 第１工程で洗い出したＩＴ業務に基づき、必要となるＩＴ人
材像と人数、スキルを定義する。
 そのうえで、現状のＩＴ人材の人数・スキルを把握し、シス
テム戦略の実現に必要なＩＴ人材の人数とスキル及び、それらの過不足を解消すべき時期を確認する。

第３工程 ＩＴ人材の確保・育成計画の策定

 第２工程で分析した現状および中長期的に必要なＩＴ人材の過不足とその解消策の検討を行ったうえで、ＩＴ人材の確保・育成計画を取りまとめる。

全体の計画等への取り込み・反映

 策定した計画は全体の計画等へ取り込まれ、反映される。
 ＩＴ人材の確保・育成計画は、PDCAサイクルを回し、必要に応じて見直しを図る。

Ⓒ2017 FISC All rights reserved

6

第４編

サイバーセキュリティ人材に関する考慮事項• サイバーセキュリティ人材の確保・育成について考慮事項を記載する。
（具体的な取組事例等については、機関誌レポート等にて還元予定）



第１工程の業務の洗い出しおよび各業務における役割の明確化について、平成29年5月に発刊予定の『金融機関等におけるコンティンジェンシープラン策定のための手引書（第３版追補３）』から、サイバーセキュリティ業務に必要な役割を示す。
また、インシデント対応組織の役割から、業務特性や対応要員のスキルといった自機関の実態を踏まえて、自機関と外部委託を行う業務を明確にする等、サイバーセキュリティ人材の確保・育成に関して考慮事項を取りまとめる。



サイバーセキュリティ業務において、人材像を定義する中で外部委託先を利用しながらも自機関で望まれる役割について考慮事項として取り上げ、また経営層とインシデント対応組織とのコミュニケー
ションが重要で社内の関係部門や社外関係機関との連携が不可欠なことから「橋渡し人材」の必要性について記載する。

サイバーセキュリティ人材に求められるスキルとしてＩＴ人材と共通の部分が多いが、特にその特殊性から知識においては、一般のＩＴ知識のほかに、サイバーセキュリティ固有の知識および業務知識等が求められる。



サイバーセキュリティ人材の確保・育成方法については、システム部門との連携、訓練・演習を通じたスキルアップや産官学連携した教育機関の利用等を記載する。

Ⓒ2017 FISC All rights reserved7

【人材１－２－①】
平成 29 年６月 12 日
公益財団法人 金融情報システムセンター

議事２『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』
作成における検討事項について
Ⅰ 検討経緯平成 27 年 10 月から平成 28 年６月にかけて「金融機関における外部委託に関する有識者検討会」を開催し、その結果を同６月に報告書として取りまとめた。
また、平成 28 年 10 月から「FinTech に関する有識者検討会」を開催し、その結果を平成
29 年６月に報告書として取りまとめる予定である。
有識者検討会での提言内容のひとつに「ＩＴ人材」に関するものがあった。
サイバーセキュリティをはじめとしてＩＴ人材の確保・育成は、金融機関等にとって喫緊の課題である。一方で、ＩＴ人材については、各金融機関の実態に応じて求められる質や量が様々であることから、安対基準に反映させることは、必ずしも適切でないと考えられる。
ＩＴ人材を確保・育成する手順を手引書として提供する方が、金融機関等の課題解決に資するものと考えられることから、「ＩＴ人材の確保・育成計画策定のための手引書」の作成を目指すこととし、そのための検討部会を新設することとした。
Ⅱ 検討事項
１．第１回検討部会（平成 29 年６月 12 日）
手引書（原案）の「第１編 はじめに」、「第２編 経営層の役割」、「第３編 ＩＴ人材の確保・育成に向けた実務（工程・手順の概要）」部分を中心に内容をご確認いただき、ご指摘・ご意見をいただきたい。
【人材１－２－②】
２．第２回検討部会（平成 29 年８月３日 予定）手引書（原案）における「第３編

ＩＴ人材の確保・育成に向けた実務」
、「第４編

サ

イバーセキュリティ人材に関する考慮事項」の考慮事項および図表等、記載内容をご確認いただき、ご指摘・ご意見をいただきたい。
３．第３回検討部会（平成 29 年９月 26 日 予定）
これまでの手引書（原案）に対するご指摘・ご意見を整理し、あらためて全体を通して、ご確認いただきたい。
Ⅲ 今後の検討について
本日の検討部会にてご検討いただいた内容についての事後意見、及び次回検討事項である手引書原案【人材１－２－③】第３編・第４編の記載内容について、ご意見がございましたら、６月 26 日（月）までに、電子メール＜fisc40@fisc.or.jp＞宛にご連絡いただきたい。
フォームは【人材１－３】をご使用ください。
いただいたご指摘・ご意見を踏まえ、事務局にて検討及び取込みを行い、次回の検討部会で議論することとしたい。
以上【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人

編
第１編
はじめに

頁
2

手引書（原案）論 点
1

１．手引書作成の背景
わが国の金融機関等におけるＩＴの利活用が大きく進展したことに伴い、それを支える人材の役割はこれまで以上に大き平成 29 年 6 月 12 日
金融情報システムセンター対応方針（案）本手引書における「ＩＴ人材」の定義と範囲につ 本手引書では、以下の通り定義する方針といて。

しております（手引書 2 頁脚注）。
「システム戦略を実現するために必要な人くなっている。これまでは、金融機関等におけるＩＴを担う人材と言えば、システムの「開発」および「運用」に従事する材を指す。本手引書における、ＩＴ人材

人材がイメージされることが多かった。
ところが、最近では以下に述べるような金融情報システムを巡る環境変化に伴い、システム戦略を実現するために必要なの対象範囲は、システム部門も含めた全業務（以下「ＩＴ業務」という）は、システム部門だけに留まらず、システム部門以外の様々な部門に関わりが広がってき社とする（企画部門・リスク部門等の本ており、部門間、更には外部委託先や関係機関等、社外との連携がより一層重要となっている。そして、ＩＴ人材に求めら部・本社組織とする。但し、営業店などれる役割・スキルは、各金融機関の特性や実情に応じて多様化してきている。

システムを利用する人材については含まない）。
」(1) 業務の外部委託化の進展
システムの開発や運用については、共同センターを含む業務の外部委託化が進んでおり、それらのスキルを各金融機関 2システムの開発や運用のために、システム関連会 ＩＴ人材の確保・育成計画の策定に向け、シがどのように維持していくかという点が課題として挙げられるようになっている。また、外部委託管理ができるＩＴ人材社を保有する金融機関等も少なくない。そのため、 ステム関連会社を対象範囲とするか否かは、の重要性についてもクローズアップされてきている。

本手引書におけるＩＴ人材の確保・育成計画とし 各金融機関の実情により異なるものと考えまて、システム関連会社の人材も対象範囲とすべき す。

(2) リスク管理の高度化・複雑化ではないか。

システム戦略は経営戦略、事業戦略と一体であり、ＩＴに関係する分野が広がるに伴い、そのリスクも高度化・複雑化
してきており、それらのリスク管理に携わるＩＴ人材の重要性が増している。

そのため、手引書の第２編２．(2)（6 頁）に、経営層の役割として、システム関連会
社を計画の対象範囲とするか否かを明示する旨、記載する方針としております。

(3) サイバーセキュリティ対応
金融機関等におけるサイバーセキュリティについては、DDoS 攻撃、標的型メールや不正送金などがあり、日々、高度化・巧妙化している。各金融機関はその対策を行う人材を必要としており、サイバーセキュリティ業務を担うための人材（以下「サイバーセキュリティ人材」という）が求められている。
(4) 新しい技術やサービスへの対応
近年、クラウド・FinTech・高度なデータ分析など、新しい技術やサービスが登場しており、それらをビジネスや業務にどのように活用していくのかという点を検討・提案するＩＴ人材が求められている。

このように、ＩＴ人材の確保・育成はシステム部門だけではなく、全社一体となって取り組んでいくことが求められる。
そのため、金融機関等の経営層は、システム戦略に基づく、ＩＴ人材の確保・育成に向けた取組みに積極的に関わり、態勢を整える必要があると考えられる。
また、当センターで開催した「金融機関における外部委託に関する有識者検討会（平成 27 年 10 月～平成 28 年 6 月）」
においても、「安全対策上必要となるＩＴガバナンス」として、経営層は（１）中長期計画等における安全対策に係る重要事項の決定や（２）安全対策に係る態勢等の改善事項の決定について、役割と責任を果たすことが必要であるとしている。
また、経営層は、システム戦略方針の１つとして、人員計画の決定に際して、（１）人員数・スキルの種類とレベル・配置の把握、（２）全体の中長期計画に沿った人員の育成計画の策定について留意することが必要であると提唱されている。
以上を踏まえて、金融機関等が個々の経営判断により、ＩＴ人材の確保・育成を進めていく際に参考となる手引書を検討するために、『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』を作成するための「ＩＴ人材検討部
会」を設置し、その検討結果に基づき、本手引書を作成した。

1

【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人

編
第１編
はじめに

頁
3

手引書（原案）論 点

平成 29 年 6 月 12 日
金融情報システムセンター対応方針（案）

3 本手引書では、ＩＴ人材の確保・育成計画の策定 今後、ＩＴ人材の確保・育成に関して金融機

２．本手引書の位置付け、構成
これまで述べてきたようにＩＴ業務を推進していくためには、システム部門と関係する他部門、あるいは外部委託先等との連携が重要になってきている。従って、本手引書では、システム部門以外の部門に所属しているＩＴ業務に携わる人材にの考え方や留意すべき事項を記載するとのことで 関等での取組事例を調査・研究し、当センタ
あるが、より具体的な事例等は記載しないのか。

ーで発刊している機関紙レポート等においてついても、「ＩＴ人材」と位置付けたうえで、より大きな枠組みでＩＴ人材の確保・育成に取り組んでいくことを前提とし還元していく予定ですので、それらを参考にている。

していただくことを考えています。

また、本手引書は、各金融機関等の特性や実情（規模やシステムの運用状況、外部委託状況等）に即して利用されることを想定している。すなわち、ＩＴ人材の確保・育成計画の策定について画一的な手順を示したものではなく、策定の考え方や留意すべき事項を記載したものであり、各金融機関等では記載内容のうち、該当する項目を選択して利用することを想定
4 サイバーセキュリティ業務もＩＴ業務の一部と考 サイバーセキュリティ人材の確保・育成にしている。
本手引書の構成は、まず、第２編において経営層の役割について、第３編で経営層から指示を受けた実務部門が実際に計えるのであれば、第３編に考慮事項等を記載すべ ついては、喫緊の課題とする金融機関が多きではないか。

画を策定していくための手順について記載している。

いほか、専門性及び特殊性が高いと考えら

第４編では、当センターで定めている、金融機関等におけるサイバーセキュリティ業務（「態勢整備」「平時の運用」「イれます。考慮すべき事項を特筆する中で、ンシデント発生時の運用」）に基づき、第３編で記載した計画を策定する手順の中で各々の役割について必要となるサイバ

読みやすさの観点もあって別編として記載

ーセキュリティ人材の確保・育成に関して、考慮すべき事項を記載している。

する方針としております。

5 金融機関においては、FinTech 等の新技術をビジ

FinTech については、ユースケースが現状あネスに利活用できる人材の確保・育成も求められ まり多くないほか、FinTech への対応としてている。

は、委託先管理の考えを適用または準用する

そのような人材についても、別編として記載すべ ことが可能であるため、第３編の記載内容できでないか。

対応ができるものと考えています。
今後、ユースケースが広範に登場し、新たな視点で検討する必要が出てくるようであれ
ば、見直しを行う予定としております。

2

【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人編
第2編
経営層の役割頁
5

手引書（原案）１．ＩＴ人材の確保・育成における経営層の関与の重要性

平成 29 年 6 月 12 日
金融情報システムセンター論 点

対応方針（案）

6 現状、ＩＴ人材の確保・育成については、経営層

ＩＴ人材の確保・育成において、経営層の積金融機関の活動はシステムに大きく依存していることから、経営層はＩＴガバナンスを機能させることが必要である。

による積極的な関与が得られていないケースがみ

極的な関与が重要であることについて、ＩＴに関する重要事項の中には、システム戦略方針、システムリスク管理方針、ＩＴに投下する経営資源、ＩＴ業務のられるため、本手引書がきっかけとなるよう、経第１編１.に言及しているほか、第２編で詳し

執行体制及びＩＴ業務のモニタリング体制等の決定がある。これらの決定事項を実現するためには、ＩＴ人材の確保・育営層に向けた強いメッセージが必要ではないか。

く説明することにより、強いメッセージ性を持たせることとしています。

成は重要な事項の一つであり、経営層が積極的に関与していくべき事項である。
（図表１ を参照）

図表１

ＩＴガバナンスの階層構造

経営層の責任7 本手引書における「経営層」の定義について。

コーポレートガバナンス「金融機関における外部委託に関する有識者検討会」にて重要事項の決定を行う経営層の・・・

範囲について述べられており、「重要事項の内

経営計画

決算予想

IT に関するの決定の承認

重要事項の決定IT ガバナンス

容に応じて、取締役会に限らず、権限移譲を受けた取締役・執行役等まで、幅広く解することが可能である」とし、本手引書においても同様の整理を行っております。

方針の決定（情報化推進計画・人員計画等）

安全対策の達成目標
・経営資源
・体制の決定・・・
安全対策上必要となる重要事項の決定【安全対策上必要となる IT ガバナンス】（『金融機関における外部委託に関する有識者検討会報告書』より引用）

3

【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人編
第2編
経営層の役割頁
6

手引書（原案）２．ＩＴ人材の確保・育成における経営層の関与の留意事項
経営層が、ＩＴ人材の確保・育成に関与する際、以下の点に留意する必要がある。

平成 29 年 6 月 12 日
金融情報システムセンター論 点

対応方針（案）8 ＩＴ人材のうち、橋渡し人材の役割についての記

第２編２.(1)（6 頁）において、橋渡し人材に載内容を充実させるべきではないか。

ついては、経営層と実務部門の橋渡しをする「縦の橋渡し」と、部門間及び外部委託先や(1) システム戦略を実現するための人員数・スキルの種類とレベル・配置の把握

関係機関との橋渡しをする「横の橋渡し」について記載する方針としております。

経営層は、金融機関等の経営の基盤となるＩＴの維持・活用において、必要となるＩＴ人材の人員数や質について、具体的に把握することが必要である。
ＩＴに係る経営資源の中で、ＩＴ人材は重要な要素の１つであり、経営層は、システムに対する投資額と同じく、Ｉ
Ｔ人材の数及び質（保有するＩＴに関するスキルの種類とレベル・配置・年齢構成等）の実態を把握し、システム戦略を実現するために必要なＩＴ人材とのギャップを把握することが必要である。
なお、金融機関等の業態等によっては、人員の数が少数である現状も踏まえて、特定の人員が複数のスキルを包括的に保有することにも考慮が必要である。
また、システム戦略を全社一体で実現するためには、経営層と実務部門との連携が重要であるが、ＩＴ業務はサイバ
ーセキュリティ業務をはじめとする専門性が高い分野が含まれているため、円滑なコミュニケーションが難しい面がある。このため、経営層の意図を実務部門に伝えることができ、逆に実務部門で把握した実情とそれへの対策案について経営層に伝え、指示を仰ぐことができるようなＩＴ人材（縦の橋渡し）が有用である点に留意する必要がある。また、部門間や外部委託先との調整を円滑に行うことができるＩＴ人材（横の橋渡し）が有用である点にも留意する必要がある。
(2) 全体の中長期計画に沿ったＩＴ人材の育成計画の策定
経営層は、ＩＴ人材の現状を踏まえたうえで、中長期経営計画と整合性がとれたＩＴ人材の中長期的な確保・育成計画

9 経営層が明示する、ＩＴ人材の確保・育成計画の業務の特性に応じて、短期と中長期等、対象対象期間について、業務の特性に応じて短期と中期間の使い分けも必要であると考えており、長期を使い分けることが必要ではないか。

第２編２.(2)（6 頁）にて、対象期間の明確化を策定し、周知徹底することが必要である。また、その計画では、対象範囲や対象期間などのスコープを明示することと周知徹底について記載する方針としておりが必要である。

ます。

経営層は、ＩＴ人材について、例えばシステム戦略実現のために不足がある場合は、人員数を増やすだけでなく、Ｉ
Ｔ人材を育成するという観点での計画策定についても、考慮が必要である。その計画では、各金融機関の特性にあわせて、対象となる業務の範囲（システム関連会社の業務を対象とするか等）と対象期間（中長期計画に合わせて３年～５
年／当該年度のみ 等）等を明確化して、周知徹底することが必要である。
策定されたＩＴ人材の確保・育成計画は、全体の計画等に織り込まれることとなる。
また、計画策定に当たっては、ＩＴ人材の評価・処遇や登用の方法に関しても、考慮が必要である。

4

【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人編
第2編
経営層の役割頁
7

手引書（原案）(3) ＩＴ人材の確保・育成計画策定時の態勢整備
経営層は、ＩＴ人材の確保・育成計画策定に際して、必要に応じてプロジェクト型の組織を立ち上げる等、関連部門の相互協力が得られる態勢を整備することが必要である。

平成 29 年 6 月 12 日
金融情報システムセンター論 点

対応方針（案）

10 ＩＴ人材の確保・育成計画策定時の態勢整備としＩＴ人材の確保・育成計画を策定する工程・て、「関連部門の相互協力を得られる態勢で進める 手順のうち、例えば「ＩＴ業務の洗い出し」
ことが必要である」とあるが、相互協力とは、具や「ＩＴ人材の人員数およびレベル把握」な体的にどのような協力を想定しているのか。

どは、システム部門など計画策定の指示を受システム戦略を策定・実現していくためには、システム部門だけに留まらず、システム部門以外の様々な部門、或いけた部門だけで実施することは困難であり、は外部委託先等の社外関係者との連携が重要となっている。そのため、ＩＴ人材の確保・育成に関する計画策定は、全

関連部門の作業協力を得ながら進めることを社一体で取り組むべき課題として、経営層の積極的な関与のもと、関連部門の相互協力を得られる態勢で進めることが想定しております。

必要である。

また、ＩＴ人材の確保・育成計画を、各金融機関における全体の計画等に反映して推進す協力が得られる態勢として、部門横断でプロジェクト型の組織を立ち上げる、あるいは計画策定の取りまとめを推進るためには、人事戦略などの中長期計画を担する部門を明確にする等が考えられる。

当する部署との連携も必要と考えます。
(4) ＩＴ人材の確保・育成計画策定後の態勢整備
経営層は、ＩＴ人材確保・育成計画を滞りなく遂行できる態勢を整備し、遂行状況を適宜確認し、必要に応じて計画を見直すことが必要である。
ＩＴ人材の確保・育成は中長期的に取り組んでいくものであり、その遂行状況や環境変化に応じて、ＰＤＣＡサイクル（ＰＬＡＮ⇒ＤＯ⇒ＣＨＥＣＫ⇒ＡＣＴＩＯＮ）を回しながら、継続的に行い、必要に応じて計画を見直すことが必要である。また、全社の計画と部門単位の計画について連携を取りながら、効果的にＰＤＣＡサイクルを回すことが必要である。

なお、遂行状況の評価を行う期間を設定する際には、以下の観点が考えられる（複数組み合わせることも考えられる）。
・定期的（１年ごと等）な期間設定を行う。
・ＩＴ中長期計画に沿った期間設定を行う。
・システムライフサイクルに沿った期間設定を行う。

また、業務の追加・変更・廃止があった場合や、システムライフサイクルの変更があった場合等には、予め設定した期間に関わらず、計画の見直しが必要になることが考えられる。

511 ＰＤＣＡと言っても、全社的な計画と、そこからＰＤＣＡサイクルに関して、第２編２.(4)（7

ブレイクダウンした小さい単位（部門等）で行う

頁）に「全社の計画と部門単位の計画についものがあり、ペース（ＰＤＣＡを回す期間、タイて連携を取りながら、効果的にＰＤＣＡサイミング）は、それぞれで異なる点についての記載

クルを回すことが必要」と記載する方針としが必要ではないか。

ております。

【人材 1-2-②】『金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書』原案確認資料

議事２

公益財団法人編
第3編

手引書（工程・手順の概要）
第3編

基本的な考え方

ＩＴ人材の確

経営層から指示を受けた実務部門等が計画を策定していくための工程・手順等を記載する。

保・育成に向けた

基本的な考え方や考慮事項を記載するにとどめ、イメージが掴めるよう参考例を掲載する。

実務

平成 29 年 6 月 12 日
金融情報システムセンター（具体的な取組事例等については、機関誌レポート等にて還元予定）

システム戦略・人材育成方針等

工程（原案の該当頁）
１－１

工程の内容

手順

備考

現状のＩＴ業務の洗い出し

ＩＴ人材の確保・育成に関する計画を策定す １－１－１

現状のＩＴ業務の洗い出しを行う。

ＩＴ業務全体を網羅的に把握したうえで細分化する。

（12 頁～16 頁）

るにあたり、自機関においてＩＴ人材が担う １－１－２

現状においてＩＴ業務を担当する組織を把握する。

その過程において、外部へ委託している業務についても明確にする。

ＩＴ業務の洗い出しを行い、各ＩＴ業務に求められる具体的な役割を明確にする。
１－２

中長期的なＩＴ業務の明確化

中長期的に必要となるＩＴ業務の洗い出しを １－２－１

中長期的に必要なＩＴ業務を明確にする。

ＩＴ人材の確保・育成計画の対象となる期間において、新たに（17 頁～19 頁）

行い、各ＩＴ業務に求められる具体的な役割 １－２－２

中長期的なＩＴ業務を担当する組織を明確にする。

必要となる、あるいは不要となるＩＴ業務を明確にする。

ＩＴ業務に求められる役割からＩＴ人材を定義する。

ＩＴ業務を明確にした後、その業務を実際に遂行するＩＴ人材求められるＩＴ人材のスキルを定義する。

とその人数、スキルを定義する。スキルについては、例としてを明確にする。
２－１

２－２

ＩＴ人材・スキルの定義

自機関のＩＴ業務において必要となるＩＴ人 ２－１－１（20 頁～22 頁）

材（人材像）を定義する。

２－１－２

求められるＩＴ人材のスキルを定義するとと「知識／業務経験／技量」 等を定義し、その評価方法も定義すもに、その評価方法を検討する。

る。

現状のＩＴ人材の把握と中長 現状のＩＴ人材の人数とスキルを把握し、シ ２－２－１

ＩＴ人材の現状（人数・レベル）と想定される今後の推 現状のＩＴ人材の人数とスキル、ＩＴ人材の推移（退職等によ期的に必要となるＩＴ人材の ステム戦略の実現に必要なＩＴ人材の人数と移を把握する。

る減少など）を把握する。

確認

スキル、及びそれらの過不足を解消すべき時 ２－２－２

システム戦略に必要な中長期的なＩＴ人材の人数とス 定義したＩＴ人材・スキルの自機関内／自機関外（外部委託）（23 頁～24 頁）

期を確認する。

キルを定義する。

の区分けも整理する。

現状と中長期的な目標とのギャップ分析を行う。

ＩＴ人材不足が業務遂行に与える影響度を勘案しながら、ＩＴ

２－２－３

人材の過不足を解消すべき時期も検討する。
３－１

ＩＴ人材の確保・育成計画の 過不足が見込まれるＩＴ人材の人数とスキル ３－１－１

過不足が見込まれるＩＴ人材の適正化方針の検討

過不足が見込まれるＩＴ人材の適正化策としては、育成、採用、策定の適正化を検討し、ＩＴ人材の確保・育成計 ３－１－２

育成による適正化の検討

配置転換、外部リソースの活用等が考えられ、どのような方法（25 頁～28 頁）

画として取りまとめる。

３－１－３

配置転換による適正化の検討を選択するかについて検討する。

３－１－４

外部リソースの利用による適正化の検討

３－１－５

採用による適正化の検討

３－１－６

各適正化方策を補助する施策の検討

全体の計画等への取り込み・反映

6

【人材１－２－③】
平成 29 年６月 12 日

議事２

公益財団法人 金融情報システムセンター

金融機関等におけるＩＴ人材の確保・育成計画の策定のための手引書【原案】

平成○年○月

公益財団法人 金融情報システムセンター目次
第１編 はじめに ................................................................... 1
１．手引書作成の背景 ............................................................. 2２．本手引書の位置付け、構成 ..................................................... 3
第２編 経営層の役割 ............................................................... 4
１．ＩＴ人材の確保・育成における経営層の関与の重要性.............................. 5
２．ＩＴ人材の確保・育成における経営層の関与の留意事項............................ 6
第３編 ＩＴ人材の確保・育成に向けた実務 ........................................... 8
１．ＩＴ人材の確保・育成計画の策定の流れ ......................................... 9
２．本手引書の記述様式 .......................................................... 10
３．計画策定の手順 .............................................................. 11
第４編 サイバーセキュリティ人材に関する考慮事項 .................................. 29
１．策定の手順 .................................................................. 30
２．本編で使用する用語 .......................................................... 30

第１編 はじめに

1

１．手引書作成の背景
わが国の金融機関等におけるＩＴの利活用が大きく進展したことに伴い、それを支える人材の役割はこれまで以上に大きくなっている。これまでは、金融機関等におけるＩＴを担う人材と言えば、システムの「開発」および「運用」に従事する人材がイメージされることが多かった。
ところが、最近では以下に述べるような金融情報システムを巡る環境変化に伴い、システ
ム戦略を実現するために必要な業務（以下「ＩＴ業務」という）は、システム部門だけに留
まらず、システム部門以外の様々な部門に関わりが広がってきており、部門間、更には外部委託先や関係機関等、社外との連携がより一層重要となっている。そして、ＩＴ人材 1に求められる役割・スキルは、各金融機関の特性や実情に応じて多様化してきている。
(1) 業務の外部委託化の進展
システムの開発や運用については、共同センターを含む業務の外部委託化が進んでおり、それらのスキルを各金融機関がどのように維持していくかという点が課題として挙げられるようになっている。また、外部委託管理ができるＩＴ人材の重要性についてもクローズアップされてきている。
(2) リスク管理の高度化・複雑化
システム戦略は経営戦略、事業戦略と一体であり、ＩＴに関係する分野が広がるに伴い、そのリスクも高度化・複雑化してきており、それらのリスク管理に携わるＩＴ人材の重要性が増している。
(3) サイバーセキュリティ対応
金融機関等におけるサイバーセキュリティについては、DDoS 攻撃、標的型メールや不正送金などがあり、日々、高度化・巧妙化している。各金融機関はその対策を行う人材を必要としており、サイバーセキュリティ業務を担うための人材（以下「サイバーセキュリ
ティ人材」という）が求められている。
(4) 新しい技術やサービスへの対応
近年、クラウド・FinTech・高度なデータ分析など、新しい技術やサービスが登場しており、それらをビジネスや業務にどのように活用していくのかという点を検討・提案する
ＩＴ人材が求められている。

1

システム戦略を実現するために必要な人材を指す。本手引書における、ＩＴ人材の対象とする範囲は、システム部門も含めた全社とする（企画部門・リスク部門等の本部・本社組織とする。但し、営業店などシステムを利用する人材については含まない）。

2このように、ＩＴ人材の確保・育成はシステム部門だけではなく、全社一体となって取り組んでいくことが求められる。そのため、金融機関等の経営層 2は、システム戦略に基づく、ＩＴ人材の確保・育成に向けた取組みに積極的に関わり、態勢を整える必要があると考えられる。
また、当センターで開催した「金融機関における外部委託に関する有識者検討会（平成 27
年 10 月～平成 28 年 6 月）」においても、「安全対策上必要となるＩＴガバナンス」として、経営層は（１）中長期計画等における安全対策に係る重要事項の決定や（２）安全対策に係る態勢等の改善事項の決定について、役割と責任を果たすことが必要であるとしている。また、経営層は、システム戦略方針の１つとして、人員計画の決定に際して、（１）人員数・スキルの種類とレベル・配置の把握、（２）全体の中長期計画に沿った人員の育成計画の策定について留意することが必要であると提唱されている。
以上を踏まえて、金融機関等が個々の経営判断により、ＩＴ人材の確保・育成を進めていく際に参考となる手引書を検討するために、『金融機関等におけるＩＴ人材の確保・育成計
画の策定のための手引書』を作成するための「ＩＴ人材検討部会」を設置し、その検討結果に基づき、本手引書を作成した。
２．本手引書の位置付け、構成
これまで述べてきたようにＩＴ業務を推進していくためには、システム部門と関係する他部門、あるいは外部委託先等との連携が重要になってきている。従って、本手引書では、システム部門以外の部門に所属しているＩＴ業務に携わる人材についても、「ＩＴ人材」と位置付けたうえで、より大きな枠組みでＩＴ人材の確保・育成に取り組んでいくことを前提としている。
また、本手引書は、各金融機関等の特性や実情（規模やシステムの運用状況、外部委託状況等）に即して利用されることを想定している。すなわち、ＩＴ人材の確保・育成計画の策定について画一的な手順を示したものではなく、策定の考え方や留意すべき事項を記載したものであり、各金融機関等では記載内容のうち、該当する項目を選択して利用することを想定している。
本手引書の構成は、まず、第２編において経営層の役割について、第３編で経営層から指示を受けた実務部門が実際に計画を策定していくための手順について記載している。
第４編では、当センターで定めている、金融機関等におけるサイバーセキュリティ業務（「態勢整備」「平時の運用」「インシデント発生時の運用」）に基づき、第３編で記載した計画を策定する手順の中で各々の役割について必要となるサイバーセキュリティ人材の確保・育成に関して、考慮すべき事項を記載している。

2

重要事項の内容に応じて、取締役会に限らず、権限移譲を受けた取締役・執行役等までを指す。

3

第２編 経営層の役割

4

１．ＩＴ人材の確保・育成における経営層の関与の重要性
金融機関の活動はシステムに大きく依存していることから、経営層はＩＴガバナンス 3を機能させることが必要である。
ＩＴに関する重要事項の中には、システム戦略方針、システムリスク管理方針、ＩＴに投下する経営資源、ＩＴ業務の執行体制及びＩＴ業務のモニタリング体制等の決定がある。こ
れらの決定事項を実現するためには、ＩＴ人材の確保・育成は重要な事項の一つであり、経営層が積極的に関与していくべき事項である。
（図表１ を参照）
図表１ ＩＴガバナンスの階層構造
経営層の責任コーポレートガバナンス

・・・
経営計画

決算予想

IT に関するの決定の承認

重要事項の決定IT ガバナンス

方針の決定（情報化推

安全対策の達成目標

進計画・人員計画等）

・経営資源
・体制の決定・・・
安全対策上必要となる重要事項の決定【安全対策上必要となる IT ガバナンス】（『金融機関における外部委託に関する有識者検討会報告書』より引用）

3

一般的にＩＴガバナンスとは、コーポレートガバナンスの中で、ＩＴに関する重要事項について経営層が意思決定を行うための仕組みのことを指す

5

２．ＩＴ人材の確保・育成における経営層の関与の留意事項
経営層が、ＩＴ人材の確保・育成に関与する際、以下の点に留意する必要がある。
(1) システム戦略を実現するための人員数・スキルの種類とレベル・配置の把握
経営層は、金融機関等の経営の基盤となるＩＴの維持・活用において、必要となるＩＴ
人材の人員数や質について、具体的に把握することが必要である。
ＩＴに係る経営資源の中で、ＩＴ人材は重要な要素の１つであり、経営層は、システムに対する投資額と同じく、ＩＴ人材の数及び質（保有するＩＴに関するスキルの種類とレベ
ル・配置・年齢構成等）の実態を把握し、システム戦略を実現するために必要なＩＴ人材とのギャップを把握することが必要である。
なお、金融機関等の業態等によっては、人員の数が少数である現状も踏まえて、特定の人員が複数のスキルを包括的に保有することにも考慮が必要である。
また、システム戦略を全社一体で実現するためには、経営層と実務部門との連携が重要であるが、ＩＴ業務はサイバーセキュリティ業務をはじめとする専門性が高い分野が含まれているため、円滑なコミュニケーションが難しい面がある。このため、経営層の意図を実務部門に伝えることができ、逆に実務部門で把握した実情とそれへの対策案について経営層に伝え、指示を仰ぐことができるようなＩＴ人材（縦の橋渡し）が有用である点に留意する必要がある。また、部門間や外部委託先との調整を円滑に行うことができるＩＴ人材（横の橋渡し）が有用である点にも留意する必要がある。
(2) 全体の中長期計画に沿ったＩＴ人材の育成計画の策定
経営層は、ＩＴ人材の現状を踏まえたうえで、中長期経営計画と整合性がとれたＩＴ人材の中長期的な確保・育成計画を策定し、周知徹底することが必要である。また、その計画
では、対象範囲や対象期間などのスコープを明示することが必要である。
経営層は、ＩＴ人材について、例えばシステム戦略実現のために不足がある場合は、人員数を増やすだけでなく、ＩＴ人材を育成するという観点での計画策定についても、考慮が必要である。その計画では、各金融機関の特性にあわせて、対象となる業務の範囲（システム関連会社の業務を対象とするか等）と対象期間（中長期計画に合わせて３年～５年／当該年度のみ 等）等を明確化して、周知徹底することが必要である。
策定されたＩＴ人材の確保・育成計画は、全体の計画等に織り込まれることとなる。
また、計画策定に当たっては、ＩＴ人材の評価・処遇や登用の方法に関しても、考慮が必
要である。

6

(3) ＩＴ人材の確保・育成計画策定時の態勢整備
経営層は、ＩＴ人材の確保・育成計画策定に際して、必要に応じてプロジェクト型の組織を立ち上げるなど、関連部門の相互協力が得られる態勢を整備することが必要である。
システム戦略を策定・実現していくためには、システム部門だけに留まらず、システム部
門以外の様々な部門、或いは外部委託先等の社外関係者との連携が重要となっている。そのため、ＩＴ人材の確保・育成に関する計画策定は、全社一体で取り組むべき課題として、経営層の積極的な関与のもと、関連部門の相互協力を得られる態勢で進めることが必要である。
協力が得られる態勢として、部門横断でプロジェクト型の組織を立ち上げる、あるいは計画策定の取りまとめを推進する部門を明確にする等が考えられる。
(4) ＩＴ人材の確保・育成計画策定後の態勢整備
経営層は、ＩＴ人材確保・育成計画を滞りなく遂行できる態勢を整備し、遂行状況を適宜確認し、必要に応じて計画を見直すことが必要である。
ＩＴ人材の確保・育成は中長期的に取り組んでいくものであり、その遂行状況や環境変化に応じて、ＰＤＣＡサイクル（ＰＬＡＮ⇒ＤＯ⇒ＣＨＥＣＫ⇒ＡＣＴＩＯＮ）を回しながら、
継続的に行い、必要に応じて計画を見直すことが必要である。また、全社の計画と部門単位の計画について連携を取りながら、効果的にＰＤＣＡサイクルを回すことが必要である。
なお、遂行状況の評価を行う期間を設定する際には、以下の観点が考えられる（複数組み合わせることも考えられる）。
・定期的（１年ごと等）な期間設定を行う。
・ＩＴ中長期計画に沿った期間設定を行う。
・システムライフサイクルに沿った期間設定を行う。
また、業務の追加・変更・廃止があった場合や、システムライフサイクルの変更があった
場合等には、予め設定した期間に関わらず、計画の見直しが必要になることが考えられる。

7

第３編 ＩＴ人材の確保・育成に向けた実務

8

１．ＩＴ人材の確保・育成計画の策定の流れ
本編におけるＩＴ人材確保・育成計画の策定の流れを、以下の図表２に示す。
図表２ ＩＴ人材の確保・育成計画の策定の流れ

システム戦略・人材育成方針等

第１工程

現状および中長期的なＩＴ業務の洗い出し

第２工程

ＩＴ人材・スキルの定義と現状および中長期的に必要なＩＴ人材の把握

第３工程

ＩＴ人材の確保・育成計画の策定

全体の計画等への取り込み・反映(1) 第１工程：現状および中長期的なＩＴ業務の洗い出し
自機関のＩＴ業務を網羅的に把握したうえで、それぞれのＩＴ業務を担うＩＴ人材の役割を明確にする。そのうえで、中長期的に必要となるＩＴ業務の洗い出しを行い、各ＩＴ業務に求められる具体的な役割を明確にする。
(2) 第２工程：ＩＴ人材・スキルの定義と現状および中長期的に必要な人材の把握
第１工程で洗い出したＩＴ業務に基づき、必要となるＩＴ人材像と人数、そのＩＴ人材に求められるスキルを定義する。そのうえで、現在および中長期的なＩＴ人材の過不足を確認する。
(3) 第３工程：ＩＴ人材の確保・育成計画の策定
第２工程で分析した現状および中長期的な必要ＩＴ人材の過不足とその解消策の検討を行ったうえで、ＩＴ人材の確保・育成計画を取りまとめる。
また、策定した計画は全体の計画等へ取り込まれ、反映される。なお、ＩＴ人材の確保・育成計画は、一度策定すれば完了するものではなく、ＰＤＣＡサイクルを回し、必要に応じて見直しを図っていく必要がある。
9

２．本手引書の記述様式
３工程中の該当番号と名称を記述
３工程中の下位工程番号を記述。
下段に下位工程の主旨を記述

第〇工程

工程〇－〇

【基本的な考え方】

基本的な考え方や必要性の背景などを記述【本工程の手順】
手順〇－〇－〇
１．
【考慮事項】段 階 を 追っ た 手順 の 番号と、実施内容等を記述

各手順の説明を記述

各手順における考慮事項の
説明を記述

10

３．計画策定の手順
本編では、経営層から指示を受けた実務部門やプロジェクト組織が実際に計画を策定していくための手順や考慮事項を記載する。

11

第１工程

工程１－１

現状および中長期的なＩＴ業務の洗い出し

現状のＩＴ業務の洗い出し

ＩＴ人材の確保・育成に関する計画を策定するにあたり、自機関においてＩＴ人材が担うＩＴ
業務の洗い出しを行い、各ＩＴ業務に求められる具体的な役割を明確にする。

【基本的な考え方】
ＩＴ人材の確保・育成に関する計画を策定するにあたっては、まず自機関のＩＴ業務を網羅的に把握したうえで、それぞれのＩＴ業務を担うＩＴ人材の役割を明確にする。

【本工程の手順】
手順１－１－１

現状のＩＴ業務の洗い出しを行う。

１．自機関のすべてのＩＴ業務を把握する。
２．１.にて把握した業務を必要な粒度まで細分化する。その過程において、外部へ委託している業務についても明確にする。

手順１－１－２

現状においてＩＴ業務を担当する組織を把握する。

１．洗い出しを行ったＩＴ業務について、担当する組織を把握する。

12

【考慮事項】○手順１－１－１
以下では、ＩＴ業務の洗い出しを行う際の作業例を記載するが、業務の定義・配置について
は、新たに作成するのではなく、既存のものを利用することも考えられる。
１．ＩＴ業務全体の洗い出し
システム戦略を実現するため、計画・実行サイクルを繰り返して推進する業務と、そのベースとなる恒常的な管理・運用業務に分けて整理する等、全体に漏れが無いよう考慮する（図表３ 現状のＩＴ業務の洗い出しの例 を参照）。
従来のシステム開発及びシステム運用に関する業務だけでなく、関連部門におけるＩＴ業務も含めて洗い出しを行う（図表４ ＩＴ業務の洗い出し観点の例 を参照）。
なお、外部委託している業務については、システム関連子会社や共同センター、ベンダ
ー等、委託先の形態により、その内容が大きく異なる点についても十分留意する。
図表３

現状のＩＴ業務の洗い出しの例

ＩＴ業務
計画・実行

管理・運用

経営戦略・事業戦略の策定

リスク管理

事業環境の調査・分析

情報セキュリティマネジメント↓

ＢＣＰ・事業継続マネジメント
外部委託・契約管理

経営戦略・事業戦略の策定↓
システム戦略の策定
システム戦略の策定
営業店運用↓

ユーザー教育・研修

システム企画・案件調整

ＩＴ利用推進システム戦略の具体的な案件化↓
システム全体計画の策定・案件調整↓

システム運用

個別のシステム案件推進

システム運用システム障害管理・対応
業務要件定義↓プロジシステム要件定義

ェ

ク
ト
管
理

↓

↓

システム設計ベンダー提案評価と選定↓↓

開発・システムテスト

ベンダー委託管理↓↓

監査
システム監査受入テスト・移行・導入
サイバーセキュリティ業務

↓

態勢整備

システム企画・案件調整

平時の運用

システム全体計画の評価

インシデント発生時の運用↓
システム戦略の策定
システム戦略の評価↓
経営戦略・事業戦略の策定
経営戦略・事業戦略の評価（FISC にて作成）
13

図表４ ＩＴ業務の洗い出し観点の例
業務分類

ＩＴ業務の洗い出し観点

経営戦略・システム戦・自機関を取り巻くＩＴ関連の内外環境を把握・分析する。

略の策定に関する業

・マーケットや顧客のデータ分析により、顧客ニーズを把握・分析する。

務・経営層の意向等を踏まえ、経営戦略を策定するうえで、ＩＴの利活用や新たなＩＴの取込みを検討する。
・経営戦略に基づき、投資配分の調整や各部門からの要望について優先度を判断・調整のうえ、システム戦略を策定する。
・策定したシステム戦略に対し、全社の取り組み状況を把握し、経営層に対して進捗等を説明する。

システム企画案件調整に関する業務・システム戦略を実現するため、具体的なシステム化案件を取りまとめ、全体スケジュ
ールや工数の調整を行う。
・ユーザー部門からのシステム化要望に対して、最新のＩＴ動向に基づき、導入するパッ
ケージの提案、留意事項の助言などのサポートを行う。

個別のシステム案件
推進に関する業務（ユーザー部門）

・新しい技術や他金融機関のシステム導入状況に対して、高くアンテナを張り情報収集する。
・営業店や顧客目線でビジネスモデルを企画し、その業務要件をベンダーやシステム部門に伝える。
・現場目線による端末オペレーションの改善や、法制度改正で必要となるシステム対応要件を、システム部門に伝える。
・システム部門のメンバーおよびベンダー等と連携し、業務とシステム双方の視点を盛り込んだ、受入テストを行う。
・システムの仕様や変更点などを理解したうえで、操作マニュアルや業務連絡文書を作成
し、営業店の役職員に周知・説明する。

外部委託先管理・情報システムの外部委託に係る方針を決定する。
・外部委託先の各管理フェーズ（利用検討時・契約締結時・開発時・運用時・終了時・障害発生時等）における、安全対策のチェック事項など基準及び態勢を整備する。
・外部委託におけるリスク管理に係る改善対策を実施する。

システムリスクを含めた統合リスク管理・システムリスクを含めた、オペレーショナルリスクを把握し、他リスクとの統合管理を行う。
・システムリスクを定性・定量的に分析し、リスクマネジメント計画を立てる。
・リスク事象が発生した場合の影響を最小限にする施策をリスクの対応計画にまとめる。
・情報セキュリティにかかる規程やマニュアル等を策定する。
・インシデントの検知・対応をマニュアル化する。
・災害発生時、中核となる事業の継続あるいは早期復旧を可能とするため、システム面を含めた事業継続計画（BCP）を策定するとともに、訓練等を通じて実効性を高める。

営業店運用

・オペレーション研修の実施等により、自機関におけるシステム利活用を推進し、役職員のＩＴリテラシー向上をはかる。
・営業店への事務指導、事務ミス事例の分析・改善対応等を通じて、自機関の事務リスク削減を図る。

システム監査・経営戦略及びシステム戦略に基づき、安全対策上必要なＩＴマネジメント（業務執行体制
等）が適切に機能していることを点検・評価する。
・経営層に対して、システム監査の結果を報告するとともに、改善のための提言を行う。

サイバーセキュリテ

・本手引書「第４編」を参照。

ィ業務（金融機関等のヒアリング結果に基づき FISC にて作成）
14

２．ＩＴ業務の細分化
・ＩＴ業務全体を整理したうえで、それぞれのＩＴ業務を段階的に細分化する。その際、ＩＴ人材が担っている役割がイメージできる程度まで細分化する。
・外部委託している業務についても対象外とせず、ＩＴ業務として定義する。
・サイバーセキュリティ業務など、専門性が高く、他の業務分野よりも詳細な分類段階（粒度）の定義が必要となる業務については、別表として定めることも考えられる。
図表５ 業務の細分化の手順例
外部委託のＩＴ業務（大分類）

ＩＴ業務（中分類）

ＩＴ業務（小分類）
有無

1

事業環境の

経営環境の調査・分析と・・・・・・・

無

調査・分析

課題の抽出

・・・・・・・

無・・・・・・・

無顧客ニーズ・マーケティン

・・・・・・・

無グ分析

・・・・・・・

有

業界動向の調査・分析

・・・・・・・

無・・・・・・・
2

・・・・・

・・・・・・・

細分化

ＩＴ業務の整理については、以下の資料が参考になる。
（参考）・『i コンピテンシ ディクショナリ（iCD）』独立行政法人情報処理推進機構（IPA）

15

○手順１－１－２
１．細分化したＩＴ業務について、現在担当している組織を把握する。
・部門横断で担当しているＩＴ業務については、主管部門と関連部門に区分けして把握する。
・一時的なプロジェクトチームなど、部門横断の人選によって組成され、部門による担当定義が困難なケースでは、当該組織を部門と見做して担当を定義する。
・外部委託している業務については、委託先との窓口となっている組織を把握する。
・ＩＴ人材の確保・育成を検討する対象範囲にシステム関連会社を含む場合、当該会社が担当するＩＴ業務についても把握する。
図表６ 業務の担当組織を把握する手順例（◎：主管部門 ○：関連部門 □：外部委託窓口）
ＩＴ業務

ＩＴ業務
（中分類）

ＩＴ業務
（小分類）

外部
委託の
有無

経営
企画
部門

営業
企画
部門

リスク
管理
部門

事業環境の調経営環境の調査・

・・・・・

無

◎

○

○

査・分析

分析と課題の抽出

・・・・・

無

◎

・・・・・

無

◎

顧客ニーズ・マー

・・・・・

無

○

ケティング分析・・・・・

有

業界動向の調査・

・・・・・

無

分析

・・・・・

無

・・・・・

無

○

事務
企画
部門

シス
テム
部門

…

…

○

◎
□

○

◎
○

◎
◎

16

第１工程

工程１－２

現状および中長期的なＩＴ業務の洗い出し

中長期的なＩＴ業務の明確化

中長期的に必要となるＩＴ業務の洗い出しを行い、各ＩＴ業務に求められる具体的な役割を明確にする。

【基本的な考え方】
現状のＩＴ業務に加え、中長期的なシステム戦略や経営層のビジョン等に基づき、必要となる
ＩＴ業務を明確にする。

【本工程の手順】
手順１－２－１

中長期的に必要なＩＴ業務を明確にする。

１．ＩＴ人材の確保・育成計画の対象となる期間において、新たに必要となる、あるいは不要となるＩＴ業務を明確にする。
２．業務を必要な粒度まで細分化する。
手順１－２－２

中長期的なＩＴ業務を担当する組織を明確にする。

１．ＩＴ業務を担当する組織を検討し、明確にする。

17

【考慮事項】○手順１－２－１
１．中長期的に必要なＩＴ業務を検討、明確にするにあたっては、中長期的なシステム戦略や経営層のビジョンに基づいた検討を行う必要がある。また、その際、ＩＴ業務を外部委託するかどうかについても検討し、明確にする。
２．環境変化の考慮
ＩＴ業務が現状から変化するケースとしては、例えば以下のようなことが考えられる。
・制度対応や規制対応が必要な場合。
・新しいＩＴへの対応が必要な場合。
・ＩＴを利用した事業の改廃がある場合。
３．自機関のシステムライフサイクル状況の考慮
中長期的な観点から、自機関のシステムライフサイクルの状況を把握したうえで、必要なＩＴ業務を決定する必要がある。例えば、大規模なシステム更改が予定されているのであれ
ば、それに応じた人員配置を行う必要が生じるほか、システム更改後の運用フェーズについても考慮することになる。これは外部委託先についても同様の考慮をすることになる。
４．技術力の維持に関する考慮
自機関における技術力の維持については、基幹システム等の保有形態に合わせて、以下のような方針が考えられる。
・自営システムであれば、システム部門が開発の中心となり、自機関で実際の開発を行える技術力を維持する。
・共同センター等の外部委託を利用する場合、外部委託先との円滑なコミュニケーションが可能となる程度の技術力を維持する。

18

○手順１－２－２
１．中長期的に必要となるⅠＴ業務を担当する組織を検討するとともに、現状のＩＴ業務を担当する組織を見直すケースとしては、例えば以下のようなことが考えられる。
・複数部門で同一業務を実施していることが分かり、単独部門への統合を予定している場合。
・単独部門で実施していた業務を、関連部門を含めた部門横断の業務へと変更する場合。
２．部門横断で担当しているＩＴ業務については、主管部門と関連部門を区分けして、後工程
でＩＴ人材配置を検討するうえで、求められるレベルをイメージしやすいよう考慮する。
３．一時的なプロジェクトチームなど、部門横断の人選によって組成され、部門による担当定義が困難なケースは、当該組織を部門とみなして、担当を定義する。
４．外部委託している業務については、委託先との窓口となって橋渡しの役割を果たすべき組織を定義する。
外部委託の検討においては、多岐にわたるＩＴ業務全体を俯瞰し、まず業務単位で外部へ委託するものがあれば、それを明確にしておく。外部へ委託するかどうかは組織の規模、
ＩＴ予算、情報資産に対するリスク、セキュリティポリシーなどにより変化することが考えられ、自機関の状況に沿った選択が必要となる。
図表７ 中長期的なＩＴ業務・担当組織の整理の手順例＜経営層のビジョン（例）＞・データ分析に関する業務が重要となるため、自機関でＩＴ人材を育成したい。
・ＩＴ動向は経営戦略・事業戦略内容にも大きく影響するため、経営戦略・事業戦略を策定する主管部門が、ＩＴ業界動向の調査・分析を主体的に行い、理解を深めるべき。

（◎：主管部門 ○：関連部門 □：外部委託窓口）
ＩＴ業務

ＩＴ業務
（中分類）

ＩＴ業務
（小分類）

外部
委託の有無

経営
企画
部門

営業
企画
部門

リス
ク
管理
部門

事業環境の

経営環境の調

・・・・・

無

◎

○

○

調査・分析

査・分析と課題の

・・・・・

無

◎

抽出

・・・・・

無

◎

顧客ニーズ・マー

・・・・・

無

○

ケティング分析

・・・・・

外部委託か
ら内製化を
図る。

・・・・

業界動向の調

・・・・・

無

査・分析

・・・・・

無

・・・・・

無

・・・・・

○

事務
企画
部門

シス
テム
部門

…

…

○

◎

□→◎

○→◎

◎→◯
○→◎

◎→◯
◎

無

19

第２工程

工程２－１

ＩＴ人材・スキルの定義と現状及び中長期的に必要となるＩＴ人材の把握

ＩＴ人材・スキルの定義

自機関のＩＴ業務において必要となるＩＴ人材（人材像）を定義する。
求められるＩＴ人材のスキルを定義するとともに、その評価方法を検討する。

【基本的な考え方】
自機関にて対応すべきＩＴ業務を明確にした後、その業務を実際に遂行するＩＴ人材とその人数、スキルを定義する。
ＩＴ人材像やスキルについては、現場へのヒアリングなどを通して新たに作成することも考えられるが、既存の資料（自機関で既に使用しているスキルマップや計画書等）をカスタマイ
ズして作成することも考えられる。なお、ＩＴ人材像については、必ずしも役職を設定する必要はなく、役割等として定義し、既存の役職者が担うことも考えられる。また、スキルについては、詳細なものを作成する場合もあれば、概要のレベルに留めることも考えられる。後者の場合、必要に応じて細分化できるよう情報を整理しておくことが考えられる。

【本工程の手順】
手順２－１－１

ＩＴ業務に求められる役割からＩＴ人材を定義する。

１．第１工程で整理したＩＴ業務をもとに、それぞれの業務で求められる役割毎にグループ化
して必要となるＩＴ人材を定義する。
手順２－１－２求められるＩＴ人材のスキルを定義する。

１．求められるＩＴ人材のスキル（例として、知識／業務経験／技量 等）とその評価方法を定義する。
２．スキルの評価方法としては、知識については受講研修・取得資格、業務経験については実務上の立場・経験プロジェクト規模、技量（※）については面談や適性診断による確認等が考えられる。
※「技量」とは、コミュニケーション能力等のヒューマンスキルや、「新規開拓を求める」「安
定維持を求める」などの行動特性・思考特性を総称している。

20

【考慮事項】○手順２－１－１
１．ＩＴ人材の役割を整理する。
ＩＴ人材の役割の名称や区分けについては、必ずしも新たに定義する必要はなく、既に使用している名称など、自機関で馴染みのあるものを使用することが考えられる。
２．求められるＩＴ人材像とそのスキルを定義する。
１．に基づき、求められるＩＴ人材像とその人数を定義する。例としては、以下のような整理が考えられる。
図表８ ＩＴ人材の役割・人材像の整理の手順例
ＩＴ人材の役割
1

戦略策定
経営戦略・事業戦略求められる業務役割（詳細）ＩＴ業務内容（中分類）
経営・事業環境の調査・分析

システム戦略
経営・事業戦略の策定

経営・事業戦略の評価

経営環境の調査・分析と課題の抽出

・ＩＴに関する知識は、専門家レベルである必要はないが、業界動向の調査・分析

ＩＴソリューションによって何ができるのかの絵を描け

基本構想の策定る人材。

アクションプランの策定

・部門横断的な企画の交通整理ができ、ＩＴの現況と方向

事業戦略実行体制の確立

性などについて経営層が判断できる資料提供と説明がで戦略全体の評価きる人材。

費用対効果の検証

・経営戦略を実現するために、ＩＴを活用したプロセス改

次期戦略への反映
現状分析・ＩＴ動向分析
システム戦略の策定

ＩＴ人材像

ＩＴ業務内容（小分類）

ＩＴ基本方針の策定
ＩＴ中期計画の作成

革などの具体的施策をシステム戦略として取りまとめる
人材。
・新しいＩＴ動向などにアンテナを高く保ち、最先端の施策やシステム戦略の企画・立案ができる人材。

戦略全体の評価
システム戦略評価・改善

費用対効果の検証
次期戦略への反映

2

システム企画システム戦略の具体的な案件化

システム全体計画の策定

現行業務・システムの分析

・ＩＴに関するコスト感覚を持ち、システム工数や予算等、投資規模の策定

各部門との調整ができる人材。

全体構想のシステム案件化

・システムの長期開発計画や年度計画が策定できる人材。

全体開発スケジュールの作成・開発等も含めＩＴ全般に関し俯瞰的に判断、管理のでき

費用と投資効果の予測る人材。

全体工数による案件調整
計画全体の評価
システム全体計画の評価

投資管理・費用対効果の検証
次期計画への反映

3

業務設計・システム導入

業務要件定義（自機関内開発）

業務要件整理・要求定義（外部発注）

ベンダー提案評価と選定

対象業務の課題整理・システム開発のスキルまでは必要ないが、ＩＴリテラシ

新業務モデルの作成

ーが高く、顧客や現場の目線で必要とする機能を集約し、業務要件の定義

ＩＴ部門やベンダーに対して正しく伝えられる人材。

対象業務の課題整理

・ＩＴに関するコスト感覚を持ち、ベンダーの提案内容や業務要件の整理

コストについて評価および交渉することができる人材。

提案依頼書の作成と発行

・ＩＴ部門やシステムベンダーから受領するシステム要件

提案書の比較検討

定義書などの内容を理解して、業務要件とギャップがない
ことを確認できる人材。

委託先選定
発注契約手続委託業務の開始・管理

ベンダー開発管理進捗状況の把握とリスク対策
成果物の検収・業務要件や様々な利用シーンを想定し、受入テストケー
スを作成・実施できる人材。
・ユーザーが理解しやすい操作マニュアルを作成し、研修や通知等により周知できる人材。

受入テスト
移行・導入

マニュアル作成・研修
移行・導入実施

4

・・・・・

・・・・・・・・・・・・・

21

・・・・・・

〇手順２－１－２
１．ＩＴ人材像（ＩＴ人材に求められる業務役割）から、求められるスキル（例として、知識／業務経験／技量 等）と評価方法を定義する。スキルの評価方法の策定については、試行・評価・改善を繰り返して精度を高めていく。そのため、まず小規模な範囲で試行する等を考慮する。また、評価方法については、評価対象者に合意されていることや、評価者向け研修等により自機関内の標準として認知されていることも考慮する。
図表９ ＩＴ人材に求められるスキルの整理の手順例
スキル
ＩＴ人材の役割

ＩＴ人材像

知識

1

戦略策定
・ＩＴに関する知識は、専門家レベルである必
経営戦略・事業戦略
要はないが、ＩＴソリューションによって何システム戦略ができるのかの絵を描ける人材。
・部門横断的な企画の交通整理ができ、ＩＴの現況と方向性などについて経営層が判断できる資料提供と説明ができる人材。
・経営戦略を実現するために、ＩＴを活用した
プロセス改革などの具体的施策をシステム戦略として取りまとめる人材。
・新しいＩＴ動向などにアンテナを高く保ち、最先端の施策やシステム戦略の企画・立案ができる人材。

2

システム企画3

業務設計・システム ・システム開発のスキルまでは必要ないが、Ｉ ・営業店業務知識
Ｔリテラシーが高く、顧客や現場の目線で必 ・ＩＴ基礎知識
導入要とする機能を集約し、ＩＴ部門やベンダー ・業務知識
・新しいＩＴに対して正しく伝えられる人材。
・ＩＴに関するコスト感覚を持ち、ベンダーの ・ＩＴの活用事例
提案内容やコストについて評価および交渉 ・業務改善技法
・開発投資対効果
することができる人材。
・ＩＴ部門やシステムベンダーから受領するシ
ステム要件定義書などの内容を理解して、業務要件とギャップがないことを確認できる人材。
・業務要件や様々な利用シーンを想定し、受入テストケースを作成・実施できる人材。
・ユーザーが理解しやすい操作マニュアルを作成し、研修や通知等により周知できる人材。

4

・・・・・

業務経験

・社内外の事業環境
経営企画部
・ＩＴ基礎知識門
・金融機関のＩＴ動向○年以上
・新しいＩＴ・ＩＴの活用事例
・ＳＷＯＴ分析
・業務改善技法・開発投資対効果・評価指標（KGI・KPI）

・ＩＴに関するコスト感覚を持ち、工数や予算 ・社内のＩＴ全般に関す等、各部門との調整ができる人材。
る知識・システムの長期開発計画や年度計画が策定で ・ＩＴポートフォリオ
きる人材。
・新しいＩＴ・開発等も含めＩＴ全般に関し俯瞰的に判断、 ・ＩＴの活用事例
管理のできる人材。
・開発スケジュール立案に関する知識・開発投資対効果
・業務システムの主管部
門と担当者

コミュニケーション
マネージメント
本質（目的）思考力

営業店業務
○年以上

コミュニケーション
ネゴシエーション
本質（目的）思考力

スキルの整理については、以下の資料が参考になる。
（参考）・『i コンピテンシ ディクショナリ（iCD）』（スキルディクショナリ）

22

コミュニケーション
ネゴシエーション
マネージメント
創造力

システム
部門
○年以上

・・・・・・

独立行政法人情報処理推進機構（IPA）

技量

第２工程

工程２－２

ＩＴ人材・スキルの定義と現状及び中長期的に必要となるＩＴ人材の把握

現状のＩＴ人材の把握と中長期的に必要となるＩＴ人材の確認

現状のＩＴ人材の人数とスキルを把握し、システム戦略の実現に必要なＩＴ人材の人数とスキル、及び、それらの過不足を解消すべき時期を確認する。

【基本的な考え方】
具体的なＩＴ人材像（又は役割）、スキル、スキルマップ等、全体像の把握が可能なものを作成し、ＩＴ人材の現状とシステム戦略を実現するために理想的な状況とのギャップを把握する。

【本工程の手順】
手順２－２－１

ＩＴ人材の現状（人数・レベル）と想定される今後の推移を把握する。

１．定義したＩＴ人材・スキルの自機関内／自機関外（外部委託）の実態を整理する。
２．現状の各部門におけるＩＴ人材の人数とスキルを確認する。
３．中長期的にみたＩＴ人材の増減（退職等による減少など）を把握する。
手順２－２－２

システム戦略に必要な中長期的なＩＴ人材の人数とスキルを定義する。

１．システム戦略に基づき、必要となるＩＴ人材の人数とスキルを定義する。
２． 定義したＩＴ人材・スキルの自機関内／自機関外（外部委託）の区分けを行う。
手順２－２－３

現状と中長期的な目標とのギャップ分析を行う。

１．自機関内／自機関外（外部委託）それぞれにおいて、ＩＴ人材の人数とスキルの過不足を分析する。
２．各業務のＩＴ人材不足が業務遂行に与える影響度を勘案しながら、ＩＴ人材の人数とスキルの過不足を解消すべき時期を検討する。

23

【考慮事項】◯手順２－２－１
現状のＩＴ人材の人数とスキルを把握するにあたり、実際には関連部門に対して判定作業の依頼が必要となる場合もある。その場合、部門間でスキル判定などの基準が大きく相違しないよう考慮する。
なお、本手順において、現在、スキルを持った人材がＩＴ業務を行っていない組織に配置されている場合、ＩＴ人材として認識されない可能性がある。また、ＩＴ業務を行っている組織に配置されている場合でも、業務に必要のない個々人のスキルは把握されない可能性がある。
そのため、配置転換検討など、第３工程で確保・育成計画を策定する際には、これらの点について考慮する。
◯手順２－２－２
中長期的に必要なＩＴ人材の人数・スキルの整理にあたっては、業務の優先度を勘案する。
◯手順２－２－３
ＩＴ人材とスキルの過不足の解消時期については、中長期計画との整合性を意識して整理する。
図表 10 ＩＴ人材の現状把握とギャップ分析例
レベル判定の基準（例）
Level 4
Level 3

全社的な第 1 人者として、主体となって推進できる。

必要に応じて各部門に基準を示し、他部署を含めて下位者の指導ができる。

判定作業を依頼する。

部署内の第 1 人者として、主体となって推進できる。
部署内の下位者を指導・サポートできる。

Level 2

担当する部分的な業務を独力で推進できる。

Level 1

上位者の指導・サポートを受けながら役割を遂行する。
スキル

ＩＴ人材の役割

1 経営戦略・ＩＴ戦略

人材像
・ITに関する知識は、専門家レベルである必要はないが、ITソリューションによって何ができるのかの絵を描ける人材。
・部門横断的な企画の交通整理ができ、ＩＴの現況と方向性などについて経営層が判断できる資料提供と説明ができる人材。
・経営戦略を実現するために、ＩＴを活用したプロセス改革などの具体的施策をＩＴ戦略として取りまとめる人材。
・新しいＩＴ動向などにアンテナを高く保ち、最先端の施策やＩＴ戦略の企画・立案ができる人材。

・ＩＴに関するコスト感覚を持ち、システム工数や予算等、各部門との調整ができる人材。
・システムの長期開発計画や年度計画が策定できる人材。
・開発等も含めＩＴ全般に関し俯瞰的に判断、管理のできる人材。
2 システム企画

3 業務設計・システム導入

・システム開発のスキルまでは必要ないが、ＩＴリテラシーが高く、顧客や現場の目線で必要とする機能を集約し、ＩＴ部門やベンダーに対して正しく伝えられる人材。
・ＩＴに関するコスト感覚を持ち、ベンダーの提案内容やコストについて評価および交渉することができる人材。
・ＩＴ部門やシステムベンダーから受領するシステム要件定義書などの内容を理解して、業務要件とギャップがないことを確認できる人材。
・業務要件や様々な利用シーンを想定し、受け入れテストケースを作成・実施できる人材。
・ユーザーが理解しやすい操作マニュアルを作成し、研修や通知等により周知できる人材。

知識・社内外の事業環境
・ＩＴ基礎知識・金融機関のＩＴ動向
・新しいＩＴ技術
・ＩＴの活用事例
・ＳＷＯＴ分析
・業務改善技法・開発投資対効果・評価指標（ＫＧＩ・ＫＰＩ）
・社内のＩＴ全般に関する知識・ＩＴポートフォリオ
・新しいＩＴ技術
・ＩＴの活用事例
・開発スケジュール立案に関する知識・開発投資対効果
・業務システムの主管部門と担当者

・営業店業務知識
・ＩＴ基礎知識・業務知識・新しいＩＴ技術
・ＩＴの活用事例
・業務改善技法・開発投資対効果

業務経験
経営企画部門
○年以上

ＩＴ部門
○年以上

営業店業務
○年以上

業務配置（◎：主管部門 ○：関連部門 ▲：外部委託窓口 ●：外部委託（一部含む）

技量
コミュニケーション
ネゴシエーション
マネージメント
創造力

コミュニケーション
マネージメント
本質（目的）思考力

コミュニケーション
ネゴシエーション
本質（目的）思考力

ﾚﾍﾞﾙ

経営企画

営業企画

事務企画

システム

リスク管理

Asis

Asis

Asis

Asis

Asis

Tobe

Tobe

Tobe

Tobe

・・・・

Tobe

0

1

2

1

1

2

3

2

2

0

3

1

3

3

2

5

3

6

2

2

4

0

1

◯関連部門

Level 4

1

2

Level 30

2

Level 2

2

1

Level 1

2

0

◯関連部門

◎主管部門

Level 40

1

Level 31

2

1

Level 2

3

2

Level 1

2

Tobe

2

◎主管部門

◎主管部門

Level 4

0

1

1

1

Level 3

0

2

4

2

6

Level 2

1

3

8

12

6

Level 1

4

2

6

12

0

2

◯関連部門

6

・ＩＴ業務の主管部門と関連部門では、ＩＴ人材として求められるスキルにも違いが生じるものが考えられる。
・ＩＴ人材適正化の方法（育成・配置転換等）を検討するうえで、部門毎の各スキルに対応した人員数を確認し、あるべき姿とのギャップを把握することが考えられる。

24

全社合計
Asis

◎主管部門

第３工程

工程３－１

ＩＴ人材の確保・育成計画の策定
ＩＴ人材の確保・育成計画の策定

過不足が見込まれるＩＴ人材の人数とスキルの適正化を検討し、ＩＴ人材の確保・育成計画として取りまとめる。

【基本的な考え方】
具体的なＩＴ人材確保・育成の手段を策定する。
「確保」とは、自機関において要員を確保することに加えて、ＩＴ人材を外部から調達することも含まれる。「育成」とは、自機関のＩＴ業務に必要な人材を、自機関の要員として育成することである。
中長期的な観点からＩＴ業務を洗い出し、担当部門のＩＴ人材が不足した場合、組織に与える影響の大きさ、業務の優先度などを勘案して適正化の方策を検討する必要がある。

【本工程の手順】
手順３－１－１

過不足が見込まれるＩＴ人材の適正化方針の検討

１．過不足が見込まれるＩＴ人材の適正化策として、育成、採用、配置転換、外部リソースの活用等が考えられ、どのような方法を選択するかについて検討する。
手順３－１－２

育成による適正化の検討

１．現状の育成施策を把握する。
２．知識レベルの向上策として、研修、資格取得等が考えられ、どのような方法を選択するかを検討する。
３. 経験レベルの向上策として、キャリアパス設定、ジョブローテーション制度等が考えられ、どのような方法を選択するかを検討する。
４．技量レベルの向上策として、研修、実務での経験等が考えられ、どのような方法を選択するかを検討する。

25

手順３－１－３

配置転換による適正化の検討

１．現状の配置転換施策を把握する。
２．過不足のあるＩＴ人材の配置転換の方法を検討する。
手順３－１－４

外部リソースの利用による適正化の検討

１．現状の外部リソース利用施策を把握する。
２．過不足のあるＩＴ人材の外部リソース利用方法を見直す。
手順３－１－５採用による適正化の検討

１．現状の採用施策を把握する。
２．不足しているＩＴ人材を採用するための方法を検討する。
手順３－１－６

各適正化方策を補助する施策の検討

１．現状の補助施策を把握する。
２．ＩＴ人材のスキル評価とそのフィードバック方法を検討する。
３．人員が定着するための制度を検討する。
４．育成における知識レベルについては、研修や資格取得の補助制度を検討する。
【考慮事項】〇手順３－１－１
１．ＩＴ人材の適正化施策を検討する際には、その施策のコストと予算確保に留意する必要がある。また、限られた経営資源の中で、すべてのＩＴ人材について適正化を同時に進めることが困難な場合は、システム戦略等の観点から、優先度を考慮して、各ＩＴ人材における適正化の時期を検討する。
２．ＩＴ人材の適正化施策を検討する際には、組織全体としての採用、育成、配置転換、外部リソースの活用方針等との整合性を取ることが考えられる。
26

〇手順３－１－２
育成策としては、次のようなことが考えられる。
１．現場での実践（OJT）
２．外部研修への参加
外部研修等への参加については、ベンダーやセキュリティベンダーが提供する研修への参加、大学が提供する社会人教育への参加などが考えられる。
３．資格取得の奨励
４．外部への出向
・システム関連子会社への出向
ＩＴ業務を担う子会社を有しているのであれば、そこにＩＴ人材を出向させることは有効な手段と考えられる。
・共同センターへの出向
・ＩＴベンダーへの出向等
業務委託先であるベンダーへの出向や、ベンダーとの対応窓口を担わせるのも有効な手段であると考えられる。
５．外部ＩＴ人材の受け入れによるノウハウの習得
ベンダーやシステム関連子会社からの出向者を自機関のシステム部門等に受け入れ、自機関の社員とともに業務を担ってもらうことで社員にノウハウを吸収させることも考えられる。
〇手順３－１－３
１．手順２－２－１にて記載の「現状のＩＴ人材の把握」が実施された時点で、スキルを持った人材がＩＴ業務を行っていない組織に配置されている場合、ＩＴ人材として認識されない可能性がある。また、ＩＴ業務を行っている組織に配置されている場合でも、その業務に必要のない個々人のスキルは把握されない可能性がある。組織の人的リソースをさらに有効活用するための配置転換を検討するにあたっては、
これらの点について考慮する。
２．高いスキルを持つ人材の定年退職やジョブローテーション等に備え、後進を育成できるような配置について考慮する。
〇手順３－１－６
１．スキル評価と人事評価との関連
スキル評価と人事評価（待遇・報酬に結び付く評価）との関連については、スキルの評
価基準・評価方法を定義し、その評価プロセスが適切に運用されるよう整備した上で検討
27

することが考えられる。
２．研修の奨励
自機関内外の研修による育成を行う場合、その研修期間は業務を離れることになるため、そのことを奨励あるいはある程度の強制力を持った制度を作ることも考えられる。また、業務の現場にて各人がその必要性を認識するような教育も考えられる。

28

第４編 サイバーセキュリティ人材に関する考慮事項

29

１．策定の手順(1) 本編の使用方法
本編では、サイバーセキュリティ人材を確保・育成するにあたっての考慮事項をまとめている。本編の使用は、第３編「ＩＴ人材の確保・育成に向けた実務」にて記載のＩＴ人材の確保・育成に向けた各工程の手順から、サイバーセキュリティ業務から役割の洗い出し、サイバーセキュリティ人材の実態把握およびその確保・育成に関して考慮すべき事項について記載する。
(2) 『金融機関等におけるコンティンジェンシープラン策定のための手引書（第３版追補３）』（以下、『コンテ手引書』という）との関係
本編では、サイバーセキュリティ業務の分類やインシデント対応組織 4の役割など当センターが発刊した『コンテ手引書』から引用している。詳細については、『コンテ手引書』を参照のこと。
２．本編で使用する用語
本編で使用する用語について、以下のとおり定義する。
・インシデント
一般的には、自組織のシステムにおいて発生する可能性のある事故・事象を指す。 5
本編では、インシデントと呼称する場合、特にサイバー攻撃等により発生する事故・事象を指す。
・サイバーセキュリティ
サイバー攻撃により、情報の漏えいや、期待されていた情報システム等の機能が果たされないといった不具合が生じないようにすること。 6

インシデントに実際に対応する組織を指す。代表的なものとして、CSIRT（Computer Security
Incident Response Team）がある。
5
インシデントハンドリングマニュアル、一般社団法人 JPCERT コーディネーションセンタ
ー、2015。
4

6

同上。

30

第１工程

現状および中長期的なＩＴ業務の洗い出し

工程１－１

現状のＩＴ業務の洗い出し

ＩＴ人材の確保・育成に関する計画を策定するにあたり、自機関においてＩＴ人材が担う業務の洗い出しを行い、各業務に求められる具体的な役割を明確にする。

【本工程の手順】
手順１－１－１

現状のＩＴ業務の洗い出しを行う。

【考慮事項】
１．サイバーセキュリティ業務における役割の洗い出し
本工程では、第３編において洗い出されたサイバーセキュリティ業務に求められる具体的な役割について記載する。
(1) 役割の分類
金融機関等は、サイバー攻撃を受けた際に迅速かつ的確に対応するために、サイバーセ
キュリティに関する責任者（CIO 7、CISO 8等）を配置し、その配下にインシデント対応組織を設置することが有効である。
また、自機関のサイバー攻撃対応に必要な役割を検討したうえで、それらを担うインシデント対応組織を整備する。インシデント対応組織は、インシデントの検知及び対応等のインシデント発生時の役割のみならず、平時の運用を担うことにより、サイバー攻撃対応
態勢の実効性を高めることができる。
経営層と十分に連携できる組織を整備することで、自機関としての対応方針の決定や社外への公表等の対応が迅速に行うことができる。
『コンテ手引書』では、経営層など組織の責任者等およびインシデント対応組織の役割として、以下のように言及している。

「Chief Information Officer。企業の情報システム部門の最高情報責任者を指す7。経営層に含まれる。システム戦略策定やコスト管理・リスク管理方針等、情報システムのパフォーマンスの最大化に向けてバランスを取りながら推進する。」日本 CIO 協会。
8「Chief Information Security Officer。経営陣の一員、もしくは経営トップからその役を任命された、情報セキュリティ対策を実施する上での責任者を指す。」サイバーセキュリティ経営
ガイドライン Ver1.1、経済産業省、独立行政法人 情報処理推進機構、平成 28 年。
731図表 11 組織の責任者等の役割の例

組織の責任者等
経営層

役割の例
・サイバー攻撃リスクの把握・態勢整備計画の決定（対応方針の策定・経営資源の投下）
・外部委託先を含めた態勢整備の実施状況の把握
・コンティンジェンシープラン発動の判断 等

サイバーセキュリティ

・業務的視点及び専門的視点の双方を踏まえた対応方針の確認に関する責任者

・執行部門と経営層との連携・調整・対応指示（CIO、CISO 等）

・サイバー攻撃リスクの管理・評価・報告

または・態勢整備計画の策定・報告・実施

インシデント対応組織

・外部委託先を含めた態勢整備の実施状況の管理・評価・報告の管理者

・コンティンジェンシープラン発動の該当事象の発生報告
・即時の対応が要求される事態における判断・承認 等

経営層の役割については、『企業経営のためのサイバーセキュリティの考え方』（内閣サイバーセ
キュリティセンター（NISC））、『サイバーセキュリティ経営ガイドライン Ver 1.1』
（経済産業省、独立行政法人 情報処理推進機構（IPA））も参照のこと。
（『コンテ手引書』より引用）

経済産業省が定める『サイバーセキュリティ経営ガイドライン Ver.1.1』の、「情報セキュ
リティ対策を実施する上での責任者となる担当幹部（CISO 等）に指示すべき「重要 10 項目」の中に、「方針に基づく対応策を実装できるよう、経営者とセキュリティ担当者、両者をつなぐ仲介者としての CISO 等からなる適切な管理体制を構築すること。その中で、責任を明確化すること。」のような記載があり、サイバーセキュリティに関する責任者の役割の明確化が示されている。

32

図表 12 インシデント対応組織の役割の例
対応の分類
態勢整備

役割の例
・サイバー攻撃対応手順等の整備・見直し
・自機関内外の対応窓口の設置・周知
・ログの取得・保全
・サイバー攻撃対応に関する教育・訓練・演習の企画・推進 等
平時の運用
・窓口における情報の受付・連携
・監視・分析
・情報共有・情報収集
・脆弱性情報・脅威情報への対応
・脆弱性診断・セキュリティ対策や監視等に関する評価・見直し 等
インシデント発生時 ・インシデントの受付の運用
・インシデントへの対応
・経営層や関係部門等との調整・報告
・外部機関との連携
・フォレンジック 9・情報共有・情報収集 等（『コンテ手引書』より引用）
インシデント対応組織の平時の運用では、インシデント発生時に迅速かつ確実に対応するために、監督官庁や金融 ISAC、JPCERT/CC 等、また同業他社との連携を行うために窓口の役割が重要となる。
図表 13 インシデントの発生から対応収束までのプロセス

出所：（米国国立標準技術研究所（NIST）『コンピュータセキュリティインシデント対応ガイド』などをもとに FISC にて作成）

9

デジタル・フォレンジックのことをいう。デジタル・フォレンジックとは、インシデントレス
ポンスや法的紛争・訴訟に対し、電磁的記録の証拠保全・分析を行うとともに、電磁的記録の改ざん・毀損等についての分析・情報収集等を行う一連の科学的調査手法・技術のことをいう（特定非営利活動法人 デジタル・フォレンジック研究会の定義）。
33

これらのサイバーセキュリティ業務を所管する部門については、各社の体制に応じて異なるものであり、一意に特定はできない。システム障害など発生時の対応態勢や自機関で検討しているサイバー攻撃対応態勢を踏まえ、適切に役割を各部門と協議し、配置する。
インシデント対応組織の役割については、その業務の特性や、対応要員及びそのスキルといった自機関の実態を踏まえて、外部委託を行うことも考えられる。金融機関において行う業務と、外部委託を行う業務を明確にする。ただし、外部委託先を含めた全体統括や業務影響の評価、対応策の判断等については、金融機関等で担うべき機能と考えられる。
(2) インシデント対応組織に関する考慮事項
インシデント対応組織の在り方については、自機関のサイバーセキュリティに対する方針によって様々な対応態勢となる。インシデント対応組織は、自機関の方針に適した態勢を取ることが望ましい。インシデント対応組織を考えるにあたっては、設置する際の観点も含め、以下のような考察点がある。
①インシデント対応組織の態勢および対応要員の在り方について
インシデント対応組織と、その対応要員については、以下の２つの態勢がある。
a. 専任組織による態勢
自機関に専任のサイバー人材を配置する方法のことである。自機関内外に対するサイバー攻撃に関する問合せなどのインシデントの受付業務や、インシデント対応業務に専任者を配置できる場合、迅速な情報連携・共有が可能になり、インシデント発生時の迅速な対応につながることが考えられる。
b. 兼任組織による態勢
ＩＴ部門やリスク管理部門等、インシデント対応組織を担う人材が本業と共にサーバー業務を担う方法のことである。専任者を配置することは人員数等の都合上から困難である場合が多く、兼任という考え方がある。兼任組織では、複数の部門から選出された要員を組織に含める態勢を取ることもできる。
例えば、システム部門、リスク管理部門、事務部門、広報部門等が該当する。このよ
うな態勢では複数部門の横の連携が取りやすいために、インシデント発生時には関係部
門と密な連携が可能となる。
ただし、本来業務の都合でサイバーセキュリティ業務に注力できず、迅速な対応が困難になる可能性がある。
なお、短期的には兼任組織として運用し、人材育成も含め、中長期的に専任組織に切り替えていく方策も考えられる。

34

②インシデント対応組織の主管部門
インシデント対応には複数の部門が関わることが想定されるため、自機関の方針に基づ
き、関連する部門の中で、事務局に該当するインシデント対応組織の主管部門を予め決める。
例えば、主管部門となるのは、以下のような部門が考えられる。
a. システム部門
サイバーセキュリティ分野をＩＴ分野の延長線上にあるものとして、システム部門がリードする場合には、インシデントをシステム障害対応業務の一環と捉え、システム部
門を主管としたインシデント態勢を構築することになる。
b. リスク管理部門
サイバーセキュリティ分野をリスク管理分野の延長線上にあるものとして、リスク管理部門がリードする場合には、リスク管理部門を主管としたインシデント態勢を構築することになる。
c. 経営管理部門
経営管理部門に配置することで、全社的な取り組みとしてインシデント対応組織を構築することになる。
③外部委託先（共同センター、クラウドベンダー等）の活用
金融機関等の外部委託先がサイバー攻撃を受けた場合、金融機関等に被害が発生する可能性がある。そのため、金融機関等は、リスクに応じて外部委託先のサイバー攻撃対応態勢の整備状況について自社が求める水準と同等またはそれ以上であることを確認する。
共同センターやクラウドサービスを利用する場合、利用するサービスや取り扱う情報の重要度に応じて、適切なリスク管理レベルが確保されているか考慮する。また、他社へのサイバー攻撃によって、自社にシステム停止等の被害が波及する可能性があるため、他社への攻撃に起因して自社にも影響が及ぶ場合における、情報連携や補償について契約や SLA の内容を確認する。

35

第２工程

工程２－１

ＩＴ人材・スキルの定義と現状及び中長期的に必要となるＩＴ人材の把握

ＩＴ人材・スキルの定義

自機関のＩＴ業務において必要となるＩＴ人材（人材像）を定義する。
求められるＩＴ人材のスキルを定義するとともに、その評価方法を検討する。

【本工程の手順】
手順２－１－１

ＩＴ業務に求められる役割からＩＴ人材を定義する。

【考慮事項】
１．組織の責任者等の必要性
サイバー攻撃を受けた際に迅速かつ的確に対応するために、経営層はサイバーセキュリテ
ィに関する責任者（CIO、CISO 等）やインシデント対応組織の責任者を配置し、それらの者が平時からサイバー攻撃が自機関に与える影響を十分に認識するとともに、インシデント
発生時には主導的・中心的な立場で対応を牽引する。また、適切な権限を委譲することも有効である。
２．サイバーセキュリティにおける「橋渡し人材」の必要性
サイバーセキュリティ業務では、経営層とインシデント対応組織との間を取り持つとともに、自機関における関連部門間の調整を行う橋渡し人材層が必要となる。 10
橋渡し人材は、実務者の報告を理解し、指示できるだけのＩＴおよびサイバーの知識、自機関の金融業務および自機関のＩＴについても経験・知識が必要となる。さらに、経営層が理解できるよう報告を行うためのコミュニケーション力等も必要となる。
また、橋渡し人材は、自機関の情報システムに精通する必要があることから、外部から即戦力を確保することが困難であり、所要の知識・経験を習得するには相応の時間を要するものと考えられるために、自機関において育成することが望ましい。

参考文献。
・『新・情報セキュリティ人材育成プログラム』（情報セキュリティ政策会議：平成 26 年５月）。
・『サイバーセキュリティ人材育成総合強化方針』（サイバーセキュリティ戦略本部：平成 28年３月。
・『サイバーセキュリティ人材育成プログラム』（サイバーセキュリティ戦略本部：平成 29 年
４月）
。
10

36

３．サイバーセキュリティ人材について(1) サイバーセキュリティ人材の定義
サイバーセキュリティ人材の定義集やレポートは複数のものが存在しており、特にインシデント対応組織に属すると考えられる人材に関する定義を行っているものが多い。その理由としてはサイバーセキュリティにおいてインシデント対応が重要な位置を占めるためという点が考えられる。
金融機関等は、これに加えて、経営戦略やシステム戦略、リスクマネジメント等の業務に携わる人材を含めて定義を行うことが望ましい。
サイバーセキュリティ人材の定義について、主だったものを以下に挙げる。
（参考）①『セキュリティ知識分野（SecBoK）人材スキルマップ 2016 年版』（NPO 日本ネットワーク
セキュリティ協会：平成 28 年４月）②『
「産業横断サイバーセキュリティ人材育成検討会」第一期最終報告書』（産業横断サイバー
セキュリティ人材育成検討会：平成 28 年９月）③『セキュリティ対応組織の教科書～機能・役割・人材スキル～ 第 1.0 版』（日本セキュリ
ティオペレーション事業者協議会：平成 28 年 11 月）④『CSIRT 人材の定義と確保（Ver.1.5）』（日本シーサート協議会：平成 29 年３月）⑤『ITSS+』（独立行政法人 情報処理推進機構（IPA）：平成 29 年４月）
上記の内、①②については CISO を含む経営層、実務者層を網羅している。③はインシデン
ト対応組織、運用監視組織の人材について、④は実務者層の中でもインシデント対応組織の人材に特化しており、⑤は実務者層全般に関する定義となっている。
(2) 自機関でのサイバーセキュリティ人材に望まれる役割の例
サイバーセキュリティ人材の実務者層のいくつかは、外部に委託することが考えられる一方、自機関内に保持することが望ましい人材も存在すると考えられる。
『コンテ手引書』では、自機関内で保有が望まれる役割に関して、サイバー攻撃対応の考慮事項におけるインシデント対応組織の整備及び役割の明確化の項において、「外部委託先を含めた全体の統括や業務影響の評価、対応策の判断等については、金融機関等で担うべき機能と考えられる」としている。
このような考え方を踏まえて、自機関内に保持することが望ましい人材を図表 14 に例示する。なお、図表 14 の人材は、必ずしも専任化する必要はなく、兼任も可能であると考え
られる。

37

図表 14 サイバーセキュリティ人材に望まれる役割の例
担当① CISO

役割
社内の情報セキュリティを統括する。セキュリティ確保

人材像（参考文献）
CISO（SecBok）の観点から、CIO（最高情報責任者）、CFO（最高財務責任者）と必要に応じて対峙する。
（SecBok）②情報セキュ リ 自機関の事業計画に合わせてセキュリティ戦略を策定
ティ担当

する。現在の状況と Tobe 像の Fit&Gap からリスク評

ソリューションアナリス
ト（SecBoK）

価を行い、ソリューションマップを作成して導入を推進する。導入されたソリューションの有効性を確認し、改善計画に反映する。
（SecBok）
組織としての情報セキュリティ戦略やポリシーを具体

情報セキュリティアドミ的な計画や手順に落とし込むとともに、対策の立案や実ニ ス ト レ ー シ ョ ン

施（指示・統括）、その見直し等を通じて、自機関または受託先における情報セキュリティ対策の具体化や実（ITSS+）

施を統括する。また、利用者に対する情報セキュリティ
啓発や教育の計画を立案・推進する。
（ITSS+）③インシデン ト

自機関で起きているセキュリティインシデントの全体

コマンダー（SecBoK、日対応管理担当統制を行う。重大なインシデントに関しては CISO や経

本シーサート協議会）

営層との情報連携を行う。また、CISO や経営者が意思決定する際の支援を行う。
（SecBoK、日本シーサート協
議会）
自機関で起きている情報セキュリティインシデントのCSIRT コマンド（ITSS+）

全体統制を行うとともに、事象に対する対応における優先順位を決定する。重大なインシデントに関しては
CISO や経営層との情報連携を行う。また、CISO や経営者が意思決定する際の支援を行う。
（ITSS+）④インシデン ト インシデントの処理を行う。セキュリティベンダーに処

インシデントハンドラー

対応担当（SecBoK、日本シーサー

理を委託している場合には指示を出して連携し、管理を行う。状況はインシデントマネージャーに報告する。
（SecBoK、日本シーサート協議会）

ト協議会）

自機関または受託先におけるセキュリティインシデン

インシデントハンドリン

ト発生直後の初動対応（被害拡大防止策の実施）や被害

グ（ITSS+）からの復旧に関する処理を行う。セキュリティベンダー
に処理を委託している場合には指示を出して連携する。
情報セキュリティインシデントへの対応状況を管理し、
CSIRT コマンドのタスクを担当する者へ報告する。
（ITSS+）⑤情報連携担当

社外向けでは JPCERT/CC、NISC、警察、監督官庁、NCA、他 CSIRT 等との連絡窓口、社内向けでは IT 部

PoC（SecBoK、日本シーサート協議会）門調整担当社内の法務、渉外、IT 部門、広報、各事業部等との連絡窓口となり、それぞれ情報連携を行う。
（SecBoK、日本シーサート協議会）
自機関外の関係機関、自組織内の法務、渉外、IT 部門、 CSIRT リエゾン（ITSS+）

38

広報、各事業部等との連絡窓口となり、情報セキュリティインシデントに係る情報連携及び情報発信を行う。必要に応じて IT 部門と CSIRT の間での調整の役割を担う。
（ITSS+）

39

手順２－１－２

求められるＩＴ人材のスキルを定義する。

【考慮事項】
１．サイバーセキュリティ人材に求められるスキル
金融機関等におけるサイバーセキュリティ人材に求められるスキルとして、知識／業務経験／技量等がある。サイバーセキュリティ業務の専門性・特殊性から知識においては、以下の３つが考えられる。なお、業務経験、技量については、第３編工程２－１手順２－１－２
を参照のこと。
(1) ＩＴ知識
サイバーセキュリティ業務を遂行する際のベースとして、ＩＴ知識が求められる。
ネットワークモニタリングや、異常な通信のログの保全・解析はＩＴ知識が必要となる。
脆弱性情報に基づいて行われる OS やアプリケーションのアップデート、ウイルスソフトのパターン更新などは通常のＩＴ業務の延長線上で対策が行われる。
インシデント対応組織の役割の全部、または一部を外部委託している場合であっても、委託先への指示や、委託先からの報告を適切に理解できるだけの知識が求められる。
(2) サイバーセキュリティ固有の知識
サイバーセキュリティに関する攻撃は、日々、高度化・巧妙化しており、変化し続ける
環境や攻撃手法に対応するため、研修等を通して知識・情報の最新化を行う。
インシデント対応組織の役割の全部、または一部を外部委託している場合であっても、委託先への指示や、委託先からの報告を適切に理解できるだけの知識が求められる。
(3) 業務知識
自機関の体制や業務及び業務に関連するシステムなどの知識が挙げられる。インシデン
ト発生時には、どのような影響があるかを分析・判断し、適切な対応や経営層への報告ができる知識が求められる。

（参考）・『CSIRT 人材の定義と確保（Ver.1.0、1.5）』（日本シーサート協議会：平成 29 年３月）
・『組織内 CSIRT の要員』
（JPCERT コーディネーションセンター）・『セキュリティ知識分野（SecBoK）人材スキルマップ 2016 年版』（特定非営利活動法人
日本ネットワークセキュリティ協会）
・『ITSS+』（独立行政法人 情報処理推進機構（IPA）：平成 29 年４月）

40

第３工程

ＩＴ人材の確保・育成計画の策定

工程３－１

ＩＴ人材の確保・育成計画の策定

過不足が見込まれるＩＴ人材の人数とスキルの適正化を検討し、ＩＴ人材の確保・育成計画として取りまとめる。

【本工程の手順】
手順３－１－２

育成による適正化の検討【考慮事項】
第３編工程３－１手順３－１－２項番１～５を参照のこと。
６．訓練、演習等
インシデント対応組織を中心とした自社で実施する訓練・演習、外部委託先等の関係組織と共同で実施する訓練、官公庁や業界団体が実施する共同演習などに参加することで、経営層へのサイバーセキュリティに関する意識啓発を図るとともに、サイバーセキュリティ業務
におけるサイバー攻撃対応手順等の内容理解やスキルの向上を図る。
７．キャリアについて
自機関で確保・育成するサイバーセキュリティ人材については、ジョブローテーションの実施、および自機関におけるキャリアパスの構築を検討することが考えられる。
(1) ジョブローテーションの実施について
サイバーセキュリティ業務に関連する主な部門間を自機関のセキュリティ戦略に沿って計画的に経験していく方法がある。サイバーセキュリティ業務に関連する部門間で、適切な配属期間と育成計画を組み合わせて配置転換を行う。
(2) キャリアパスの構築について
自機関で、ある職位（セキュリティ責任者等）に就くまでに辿ることとなる経験や順序を構築する。なお、自機関の戦略や、人材の適性などを考慮して判断することが考えられる。
（参考）・『平成 24 年度情報セキュリティ対策推進事業（情報セキュリティ人材の育成指標等の策定事
業）事業報告書 ～第５編～情報セキュリティ人材のモデルキャリア』（経済産業省、みずほ
情報総研株式会社：平成 25 年）
・『CSIRT 人材の定義と確保 (Ver.1.0)』（日本シーサート協議会：平成 29 年３月）

41

手順３－１－５採用による適正化の検討【考慮事項】
１．新人採用
新人採用時にサイバーセキュリティ人材を募集する。
産学連携に基づく教育機関におけるサイバーセキュリティ教育は近年充実し、演習などを交え、より実践的な教育が行われている。
ただし、就業後に金融業務知識が必要になるため、研修期間を設けるなど、業務面におけるフォローについて考慮する。
２．中途採用中途採用によりセキュリティ人材を充当する方策となる。
中途採用を行う際は、自機関に必要なサイバーセキュリティ業務を洗い出し、その業務に求められる役割を鑑み、採用したい人物のスキルを明確にする。
なお、中途採用においては、スキルや能力の観点以外に、受け入れ側の体制や、環境面についても十分配慮する。また採用が決定した際には、コミュニケーションを充実させて、認識の合一を目指す。
３．システム部門からサイバーセキュリティ人材を登用
システム部門に配属された人員を対象に、スキルギャップを明確にし、不足スキルを育成等で補うことで、対応要員として早期の対応が見込まれる。

42

【人材１－３】
平成29年６月12日
公益財団法人 金融情報システムセンター

平成29年度 第1回ＩＴ人材検討部会
検討事項に関するご意見（メール回答用）
電子メールにて、6月26日（月）までにご連絡願います。（fisc40@fisc.or.jp）
会社名：
お名前：

第ｎ編

項番

（例）

（例）

第３編

手順１－１－１
・・・
考慮事項２

ご意見