資料７－１

金融庁におけるサイバーセキュリティに関する取組状況
2024年6月
金融庁総合政策局リスク分析総括課
ITサイバー・経済安全保障監理官室目次◤ １．サイバーセキュリティセルフアセスメント（CSSA）の結果概要◤ ２．脅威ベースのペネトレーションテスト（TLPT）に関する事例還元◤ ３．地域金融機関等に対するTLPT実証事業

1１．サイバーセキュリティセルフアセスメント（CSSA）の結果概要

サイバーセキュリティセルフアセスメント（CSSA）の概要
経緯• サイバーセキュリティ成熟度評価にあたり、大手金融機関は国際的なフレームワーク（FFIEC CATなど）を活用している一方、中小金融機関にとっては体力的に活用できるフレームワークが存在してこなかった。
• 金融庁、日本銀行及びFISCは、合同で中小金融機関向けのサイバーセキュリティに関する自己点検票を開発し、2022事務年度に地域金融機関、新形態銀行に対して自己評価の実施を求め、結果を還元した。
• 自己評価の実施要請は今（2023）事務年度で地域金融機関、新形態銀行は2回目となり、また、今回から対象を証券会社、保険会社、信託銀行にも拡大した。

狙い①金融機関のサイバーセキュリティの強化・底上げ
・公助の一環として、ツールの提供と自己評価の実施を要請することで、自助（自律的な改善）の機会を提供する・業態内で自組織の位置付けを可視化し、自律的な改善を促す②金融当局等の施策への活用
計864先（2023年7月～8月に自己評価を実施）

対象

••
•
•
•

地域金融機関：498先（地方銀行62先、第二地方銀行37先、信用金庫254先、信用組合145先）
証券会社：272先（日本証券業協会協会員（2023年6月末時点））
保険会社：71先（生命保険協会加盟42先、日本損害保険協会加盟29先）
信託銀行：全13先
新形態銀行：13先【PDCAサイクル】
評価金融機関
自己評価

金融機関
対策強化

回収
当局
集計・分析

還元

結果
2023
事務年度

•
•

地域金融機関、保険会社、証券会社について、CSSAの結果を公表（2024年4月）。
多くの金融機関では、サイバーセキュリティの確保を経営上の重要課題と捉え、技術・組織両面での対策の導入によるサイバーセキュリティ対策の実効性向上に向けた取り組みを着実に進めているが、サイバーセキュリティ人材の確保・育成やサードパーティリスクの管理については、なお課題を抱えていることが確認できた。
（金融庁ウェブサイト）https://www.fsa.go.jp/news/r5/cyber/20240423.html

3

（以下、地域金融機関に関するCSSAの結果詳細）

集計結果の概要 １．経営層の関与①■ 経営方針・経営計画の策定、統括責任者の役割
 殆どの先が経営方針としてサイバーセキュリティの確保を掲げていたが、経営方針を定めていない先が8％程度みられた。また、経営計画については15％程度の先がこれを策定していなかった。
▽ サイバーセキュリティの経営方針（本文図表2）2.4%▽ サイバーセキュリティの経営計画（本文図表3）
4.6%

6.0%
10.0%
21.5%

39.0%

52.6%
63.9%

経営トップ（頭取・社長・理事長等）の関与のもと、経営方針としてサイバーセキュリティの確保を掲げ、ディスクロージャーやHP等で対外公表している
経営トップの関与のもと、経営方針としてサイバーセキュリティの確保を掲げている（対外公表はしていない）
経営方針としてサイバーセキュリティの確保を掲げる予定がある
経営方針としてサイバーセキュリティの確保を掲げる予定はない

サイバーセキュリティに関する複数年度の経営計画を策定している
サイバーセキュリティに関する単年度の経営計画を策定している
今後、サイバーセキュリティに関する経営計画の策定を予定している
サイバーセキュリティに関する経営計画
策定する予定はない

5

集計結果の概要 １．経営層の関与②■ リスク管理と経営層の関与
 サイバーセキュリティのリスクを導入時や定期的に評価する先が多い。
 他方、経営層の判断のもとでリスク対応方針を決定している先は4割強にとどまった。
▽ 重要なシステムのサイバーセキュリティに関するリスク評価の実施状況（本文図表6）▽ リスク評価を踏まえた対応方針の決定者（本文図表7）15.5%

定期的にリスク評価を実施している

79.7
41.6%

システムの導入時や大規模更改時にリスク評価を実施している

43.0%

72.3

020

4060

80

100 ％

（注） 今回のサイバーセキュリティセルフアセスメントでは、「重要なシステム」とは、「勘定系や顧客情報を扱うシステムなど自組織として業務運営上特に重要と認識しているシステム」と定義。

経営層の判断のもとリスク対応方針を決定
システムリスク管理部署またはリスク統括部署の判断のもと決定
いずれでもない6

集計結果の概要 １．経営層の関与③■ リスク管理と経営層の関与
 インターネットと接続しているシステムでは、直ちにまたは一定の対応期間内でセキュリティパッチを適用している先が9割弱となった一方、インターネット接続していないシステムでは3割強にとどまった。
 また、深刻な脆弱性に対して、セキュリティパッチを適用しないことの判断に役員が関与している先は3割強にとどまった。
▽ 深刻な脆弱性が判明した場合のパッチの適用方針（本文図表8）
インターネットとつながっている
システム・端末74.3▽ 深刻な脆弱性に対してパッチを適用しない場合の承認者（本文図表9）

13.9

29.9%

インターネットとつながっていない
システム・端末

17.7 13.7

020

33.7%

36.3%

4060

80直ちにパッチを適用している一定の対応期間を定めてパッチを適用している

100 ％

役員
システムリスク管理部署
いずれでもない7

集計結果の概要 １．経営層の関与④■ サードパーティリスクへの取り組み
 重要なサードパーティに関するサイバーセキュリティのリスクは、統括部署にて一元管理している先は6割弱にとどまったほか、リスクを管理していない先も1割強みられた。
 また、クラウド事業者との間で、業務データの所在や統制対象クラウド拠点を明確化している先は3～4割にとどまった。
▽ 重要なサードパーティのリスク管理状況（本文図表10）
12.1%

29.3%

▽ クラウド事業者と契約等で定めている事項（本文図表11）

クラウドサービス事業者との間で、障害時の連絡体制を整備

58.6%

統括部署にて一元的に管理している各所管部署にて管理している

74.2

契約書上、責任分界点やクラウドサービス終了時の取扱いを明確化

63.3

特定システムに係るクラウドサービ
ス利用において、契約書上、業務データの所在を明確化

43.0

特定システムに係るクラウドサービス利用において、契約書上、統制対象クラウド拠点を明確化

37.9
02040

リスクを管理していない

6080

100 ％

（注）今回のCSSAにおける「重要なサードパーティ」とは、「自組織として業務運営上重要と認識しているサードパーティ」と定義。

8

集計結果の概要 １．経営層の関与⑤■ サイバーセキュリティ人材の確保
 サイバーセキュリティ人材は、いずれの機能でも十分に確保できていないとの回答が大半を占めており、全体的に不足している状況が確認された。
 人材育成は即効性を意識して取り組む先が半数以上となっていた。他方、中長期的な視点に立って取り組む先は限定的となっていた。
▽ 機能別にみたサイバーセキュリティ人材の確保状況（本文図表12）▽ 人材育成の取り組み（本文図表13）

サイバーインシデント発生時に対応を行う人材

62.7

22.3

15.1

サイバーセキュリティ戦略・計画の企画・立案を行う人材

64.5

15.3

20.3

サイバーセキュリティ脅威、脆弱性に関する情報収集や脆弱性対応を行う人材

66.121.3

ログの監視・モニタリングを行う人材

66.5

23.5

サイバーセキュリティに関する研修や人材育成を行う人材

72.9

12.4 14.7

73.5

20.3

73.7

14.5 11.8

サイバーセキュリティの観点からシステムの設計・開発を行う人材
新たなデジタル技術の導入に際し新たなデジタル技術の導入に際し生じ生じ得るサイバーセキュリティの得るサイバーセキュリティのリスク評…
リスク評価を行う人材
サイバーセキュリティ監査を行う人材

12.7

外部研修・セミナーへの参加の奨励（受講料の会社負担）

69.7

社内での講習・勉強会実施

55.8

10.0

6.2

8.8 8.2
82.9

02040
60
80
100％
十分に確保できていない外部人材（親会社等からの人材含む）の活用により十分確保できている
自組織職員のみで十分確保できている

セキュリティ資格の取得推奨（受験料等の会社負担）
サイバーセキュリティ
人材の育成を配慮した
人事ローテーション（長期的な配置）

39.4

25.1

セキュリティ人材18.3
育成計画の策定

020406080

100 ％

9

集計結果の概要 ２．リスクへの対策①■ OA端末における対策
 インターネットとの分離、外部記憶媒体の接続制限、パターン検知型マルウェア対策製品の導入といった境界防御型の対策は8～9割の先が実施。
 デジタル化施策を一段と推進していく場合、ゼロトラストの考え方を踏まえ、サイバーセキュリティ対策を強化していくことが必要。
▽ OA端末のサイバー攻撃対策（本文図表15）端末が属するネットワークとインターネットを分離（仮想ブラウザなど、論理的な手法によるものを含む）

94.0

今回

94.0

前回

89.2

今回

91.4

前回

端末への外部記憶媒体の接続を制限

83.7

今回

端末にパターン検知型マルウェア対策製品を導入
88.4

0

2040

前回

60

80

（注）今回のサイバーセキュリティセルフアセスメントでは、「OA端末」とは、「職員が文書作成等で標準的に用いる端末」と定義。

100 ％

10

集計結果の概要 ２．リスクへの対策②■ サイバーインシデントの監視・分析等の態勢
 セキュリティ関連の監視・分析等を行う組織（SOC）等を設置している先は、前回よりも増加して8割強となった。
▽ セキュリティ関連の監視・分析等を行う組織（外部委託含む）の設置状況（本文図表16）9.4%

設置している（監視・対応は24時間365日）

6.4%
設置している（監視・対応は24時間365日ではない）
16.1%（ 前回 :17.3%）

68.1%（ 前回 :62.7%）

設置する予定がある・検討している設置する予定はない（注）SOCとは、Security Operation Centerの略。ネットワークやサーバ、ファイアウォール等の機器への攻撃状況など、セキュリティ関連の監視・分析等を行う組織。

11

集計結果の概要 ２．リスクへの対策③■ サイバーインシデントの監視・分析等の態勢
 SOC等でのモニタリング対象をみると、マルウェア検知・感染状況や外部との通信状況など、境界防御を意識した監視・分析は、殆どの先が実施。
 デジタル化施策を一段と推進していく場合、自組織内部への侵入や内部犯行を想定し不審な挙動を監視するなど、モニタリングの更なる強化が期待される。
▽ SOC等サイバーセキュリティの監視部署でのモニタリング対象（本文図表17）
今回

98.0
マルウェア検知・感染状況
92.4

前回

93.1

今回

外部への通信の状況
84.5

前回

90.9

外部からの通信状況（Webサイト(顧客向けの公開Web)への通信を含む）

今回

84.3

0

2040

前回

6080

100 ％

12

集計結果の概要 ２．リスクへの対策④■ 検知・監視態勢の実効性の確認
 検知・監視体制について第三者的な目線からの確認状況をみると、ペネトレーションテストを実施したことがある先は6割強となった。
 自組織の検知・監視態勢の実効性への課題を確認する観点から、ペネトレーションテストに取り組むことが期待される。
▽ ペネトレーションテストの実施状況（本文図表19）

ペネトレーションテスト

46.2

0
2回以上実施している

20

1.8

12.2

40

1回実施し、次回の実施を予定している

60

80

100 ％

1回実施し、次回の実施予定はない（注）今回のCSSAにおける「ペネトレーションテスト」とは、擬似的なマルウェアを利用したり、脆弱性･設定不備等を悪用したりするなど擬似的な攻撃を仕掛けることで、侵入･改ざんの可否や検知の可否、対応の迅速性・適切性を検証するテスト」と定義。

13

集計結果の概要 ３．有事への備え①■ 被害拡大防止のための対応手順の整備
 初動に関するルール・手順は大半の先が整備していたが、対応の優先順位付け（トリアージ）やシステムの再開判断基準、夜間・休日の対応手順を整備している先は5～7割となった。
▽ 被害拡大防止のためのルール・手順の整備状況（本文図表20）
マルウェア感染が疑われた段階で、即座にネットワークと切り離すルール・手順がある

94.6

不正アクセスが疑われた段階で、即座にアクセス元の遮断やアクセス経路となり得るネットワークと切り離すルール・手順がある

87.1

インシデント発生を背景にシステムを停止するルール・手順がある

86.3

発生事象への対応の優先順位付け（トリアージ）を行う基準がある

68.1

システムの再開判断基準がある

62.0

休日・夜間にインシデントが発生した場合の対応に係るルール・手順がある

50.0
020

406080100 ％14

集計結果の概要 ３．有事への備え②■ コンティンジェンシープランの策定、訓練・演習の実施
 サイバー攻撃別のコンティンジェンシープランを整備するとともに、訓練や演習を行っている先が大半となった。
 もっとも、外部委託先への攻撃を含めたプランの整備、訓練・演習への外部委託先の参加、目標復旧時間を設定している先は半数以下となった。
▽ サイバー攻撃別のコンティンジェンシープランの有無および取組内容（本文図表21）
Webサイトの改ざん

攻撃別のｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝがある

DDoS攻撃95.0

ランサムウェア攻撃

94.8

92.6

86.0

95.5

（以下、ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝがある先を対象に集計）
これまでに攻撃別の訓練・演習を実施している

83.7

ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝには、外部委託先への攻撃を想定した対応が含まれている

42.7

43.9

37.3

目標復旧時間を設定している

33.6

33.9

33.6

外部委託先が、ｺﾝﾃｨﾝｼﾞｪﾝｼｰﾌﾟﾗﾝの訓練･演習に参加している

16.3

18.0020406080

100％ 021.5
20406080

100 ％％020406080

100 ％％

15

集計結果の概要 ３．有事への備え③■ ランサムウェア攻撃を想定したバックアップデータの保護 複数世代の保管やネットワークから直接にはアクセスできない方法での保管を中心に、バックアップデータの保護対策を講じている先が大半。
 ランサムウェア攻撃を受けた場合の業務復旧を早期に行う観点から、破壊・改ざんの対策を行うことが重要。
▽ 重要なシステムにおけるバックアップデータの破壊・改ざんを想定した対策（本文図表22）

複数世代の保管87.9

オフライン化など、ネットワークから直接にはアクセスできない方法で保管

77.9

データの書換･削除不可能な媒体で保管

30.2

020

406080100 ％「ルール･手順を定め実施状況をモニタリングしている」または「ルール･手順を定めている」と回答した先

16

まとめ
 わが国金融機関においては、デジタル技術を活用した顧客サービスの向上や業務の効率化に取り組んでいくうえで、サイバー攻撃の脅威の高まりを踏まえた、サイバーセキュリティ管理態勢の整備や実効性の確保は重要な課題となっている。
 多くの地域金融機関では、サイバーセキュリティの確保を経営上の重要課題と捉え、技術・組織両面での対策の導入によるサイバーセキュリティ対策の実効性向上に向けた取り組みを着実に進めているが、サイバーセキュリティ人材の確保・育成やサードパーティリスクの管理については、なお課題を抱えていることが確認できた。
 こうした状況を踏まえ、本取り組みは、環境変化を踏まえた設問の見直しを行いながら、2024年度以降も継続的に実施していくことを想定している。
 日本銀行および金融庁としては、地域金融機関がサイバーセキュリティ管理態勢の更なる強化に向けた取り組みを進めていくうえで、サイバーセキュリティセルフアセスメントが活用されることを期待するとともに、考査や検査、モニタリング、各種セミナー等を通じて、そうした取り組みを後押ししていく方針である。
17

２．脅威ベースのペネトレーションテスト（TLPT）に関する事例還元脅威ベースのペネトレーションテスト（TLPT）に関する事例還元
１．背景・目的• 脅威ベースのペネトレーションテスト（TLPT）は、現実の攻撃に対して各社のサイバーセキュリティ態勢がどの程度有用かを検証し、同態勢の改善に向けた教訓を得るうえで、有効な手段• 近年、金融機関においてTLPTの実施が増える一方、テスト内容や活用方法に改善の余地が認められている• 金融庁では、TLPTを実施した経験のある一部の銀行から事例を収集して分析し、主要な課題や好事例について還元した

２．結果概要＜好事例＞• 一般的な脅威インテリジェンスだけではなく、自社固有の脅威インテリジェンスを導出し、それを踏まえてテストシナリオを設定している• ブルーチーム（テスト対象となる防御側のチーム）に事前予告せずにTLPTを実施している（ブルーチームの対応を適切に評価するため）• テスト結果に基づき、重要なリスクについて適切に経営陣に報告している＜よく見られる課題、特筆すべき課題＞
・テストの前提となる脅威インテリジェンスの導出が、一般的な脅威情報の分析に止まっており、個社固有の脅威インテリジェンスをテストにおいて勘案していない・ブルーチームにテストについて事前予告しており、ブルーチームの対応を正しく評価できていない
・テスト結果のうち、重要なリスクについて、経営陣に適切に報告していない
19

３．地域金融機関等に対するTLPT実証事業

地域金融機関等に対するTLPT実証事業について• サイバー攻撃の脅威は深刻化し続けており、サイバーリスクは金融システム及び金融機関にとって重大なリスクの一つであり続けている。
• 現在の対策が攻撃に耐えうるかを確認するには、現実の攻撃で用いられている手法を用いたペネトレーションテスト（TLPT）による検証が有効であり、こうしたテストを通じ、技術面だけではなく、人及びプロセスの面を含め、組織の弱点を修復していくことが必要。
• 金融庁では、大手金融機関等に対して、TLPTの実施を促してきたが、その普及は道半ば。
• このため、金融庁が地域金融機関等のうち数組織に対してTLPTを実施し、その有用性を実証するとともに、TLPTの前提となる脅威インテリジェンスについて、地域金融機関に共通するものを抽出して地域金融機関に還元することでTLPT実施の障壁を下げ、また、TLPTの結果判明した脆弱性について、よく認められるものを地域金融機関に還元することで、地域金融機関全体のサイバーセキュリティの強化を図る。

TLPTとはTLPT（Threat Led Penetration Test :脅威ベースペネトレーションテスト）
は、現実世界で実際に起きているサイバー攻撃をテスターが動的にシミュレーションし、防御側である金融機関が防御、検知、対応を行うことにより、金融機関のサイバー攻撃対応態勢を評価し、対応能力を高めていくことに焦点をあてたテスト。
引用元：諸外国の「脅威ベースのペネトレーションテスト（TLPT）」に関する報告書（2018 年1月31日）
https://www.fsa.go.jp/common/about/research/20180516/TLPT.pdf

21