情報セキュリティの強化

特集

金融機関における情報セキュリティの現状と課題
日本銀行
金融研究所
情報技術研究センター長

岩 下 直 行

１．金融機関は情報セキュリティを重視していかざるを得ないとが不可欠となっている。そうした状況下に偽造キャッシュカード問題の深刻化と預金は、無権限者による不正取引や個人情報漏洩者保護法の施行、インターネット・バンキンが発生しないように情報セキュリティを適切グの普及と不正取引の増加、個人情報保護法に管理し、それを積極的にアピールしていくの施行等に伴い、金融機関の情報セキュリテことが必要とされているのだ。

ィに関する世間の関心は近年とみに高まっておいて利用者からの信頼を維持するために情報セキュリティ侵害事例が報道されるたび２．安全対策から情報セキュリティへに、金融機関に対して厳しい目が向けられる金融機関のシステム開発・運用の現場におようになった。今や、金融機関は、業務リスいて「情報セキュリティ」というカタカナ語＊２ク管理の観点だけではなく、レピュテーショが普及したのは、比較的最近のことである。

ン維持の観点からも、情報セキュリティを重もちろん、それ以前から、金融機関にとって視していかざるを得ない状況になっている。

不正防止や個人情報保護が重要でなかった訳いる。金融機関の情報システムを舞台とした

現在、多くの金融機関が、インターネットのホームページに、自行の情報セキュリティが万全であることをアピールする説明文を掲載している。情報セキュリティの管理体制について、第三者機関から評価・認定を受ける金融機関も増えてきている＊１。
今日では、金融機関が利用者にサービスを提供する際には、情報システムを活用するこ4

２００８・３＊１ わが国の金融機関における情報セキュリティ・マネジメント・システム（ISMS）の適 合性評価制度による認証取得件数は、１７件（０７年４月時点）にのぼる。
＊２ 「セキュリティ」という言葉は、国立国語研究所「外来語」委員会の第１回「外来語」言い換 え 提 案（平 成１５年４月）の 対 象 と な っ て おり、言い換え語として「安全」が提案されている。

情報セキュリティの強化ではないが、かつては「安全対策」という用店、ATM との間を専用回線でつなぐことに語が一般的であった。例えば、１９８４年には、より、システムを外部から物理的に隔離すれ大蔵省銀行局長による最初の機械化通達（昭ば、システム全体を安全に保つことが可能と和５９年蔵銀１２３４号）が出状されたが、その事考えられていた。リテール・バンキングにお務連絡のなかで、「安 全 対 策 については、コける顧客の認証も、磁気ストライプカードとンピュータシステムの事故防止、取引者のプ４桁暗証番号の照合のみという素朴な認証方

ライバシー保護対策等に万全を期するための式が主流であった。暗号、電子認証、IC カ諸措置を講じさせる」ことが要請されていード等の情報セキュリティ技術はほとんど利る。１９８５年には、金融情報システムセンター用されていなかったが、特に先端技術を導入（FISC）の「金融機関等コンピュータシスしなくても一定の安全性が期待できる環境にテムの安全対策基準」の初版が発行されていあり、利用者が金融ハイテク犯罪の被害者とる。そのような公式な日本語表現が用いられなることはほとんどなかった。

ていたにもかかわらず、その後、カタカナ語そのような状況においては、金融機関の情が主流となったのは何故だったのだろうか。

報システムがかかえる主要なリスクは、シス辞書的な説明になるが、「安全」を意味す

テム開発時の人為的なミス等に起因するサーる代表的な英単語には、セキュリティとセイビスの停止や、不注意による情報漏洩であっフティの２種類がある。セキュリティというた。金融機関に求められていたのは、システ

単語は、警備員を指し示す場合にも用いられム開発と運用を確実に管理するとともに、機るように、単に安全な状態を意味するだけで器類の物理的な保護を行うことであった。そはなく、外敵からの攻撃を防御する手段といういう対応について、「安全対策」という用う意味も持つ。これに対し、セイフティとい語が用いられたことは自然であっただろう。

う単語は、自動車のシート・ベルトをセイフ

こうした「安全対策」が「情報セキュリテ

ティ・ベルトと呼ぶように、不慮の事故や不ィ」へと変わったのは、１９９０年代後半におけ注意による被害を予防するための手段というるインターネットの普及と電子マネーへの関意味も持つ。日本語で「安全対策」「安全装心の高まりによるものであった。それまで情置」といった表現を用いた場合は、どちらか報システムの閉鎖性を安全のよりどころとしというとセイフティの意味合いが強く出るよてきた金融機関においても、利用者の利便性うである。と金融機関の効率化のために、新しいオープ

かつて、金融機関の情報システムは、企業ンな通信インフラを利用する動きが出始め内、業界内に閉じたクローズドなネットワーた。金融情報ネットワークのオープン化が進ク・システムであった。巨大なコンピューめられると、従来と同じ素朴な認証方式のまタ・センターにメインフレームを並べ、支までは安全性が確保できない。物理的に外部

２００８・３5

〈図〉 偽造キャッシュカードによる預金等払戻しの被害金額・件数の推移とつながった環境においては、外部からの不カード等の情報セキュリティ技術によって迎３．偽造キャッシュカード問題の衝撃え撃つ必要がある。インターネット・バンキ

わが国の金融機関が情報セキュリティの重ングにおいては、暗号通信プロトコルによっ要性を痛感することとなった経緯を辿るうえて暗証番号や取引内容の機密を保護する必要で、２００４年から２００５年にかけて発生した偽造が生じる。電子マネーを実現するためにも、キャッシュカード問題を避けて通ることはで暗号や IC カードの技術は必須である。

きない。

正な侵入者・攻撃者を、暗号、電子認証、IC

このようにインターネット上での金融サー

２００２年以前はほとんど発生していなかった

ビスの提供が進むにつれて、金融機関の対応

偽造キャッシュカードによる不正預金引出のは、不慮の事故を防ぐことを主眼とした「安被害は、２００３年度から急増し、２００４年度には全対策」から、外敵からの防御を主眼とした、より高度な対策として、「情報セキュリティ」に変化した。つまり、金融情報システ
ムのオープン化に伴い、目的も手段も変化したために、より相応しい名称として、「情報セキュリティ」というカタカナ語が主流となり、それが現在も続いているのである＊３。

6

２００８・３＊３ なお、専門家による用語法においては、情報セキュリティという言葉は、より多義的に用いられている。例えば、ISMS 認証基準を定めた標準規格 JIS Q２７００
１：２００６では、情報セキュリティを、「情報の機密性、完全性及び可用性を維持すること。さらに、真正性、責任追及性、否認防止及び信頼性のような特性を維持することを含めてもよい」と定義している。

情報セキュリティの強化

１０億円に達した。２００
５年１月に、ゴルフ場の出してスキミングする手口で不正に預金を引４．被害沈静化の原因と今後の対応き出していたグループが逮捕され、その手口

その後、偽造キャッシュカードの被害は、が大きな扱いで報道されると、テレビの報道２００６年度には件数、金額とも減少し、２００７年番組や雑誌記事が相次いで被害の深刻さを伝度に入ってからも低水準で推移している。偽え、金融機関の対応を批判する声が相次い

造キャッシュカードによる不正預金引出の被だ。この問題を受けて、２００
５年８月に預金者害が減少したのは、金融機関が講じてきた保護法が成立し、２００６年２月から施行された。

様々なセキュリティ対策が奏効したものと考この結果、偽造・盗難カードによる不正預金えられるが、それらのなかのどの対策が有効引出に伴う被害については、原則として金融だったのだろうか。

貴重品ロッカーからキャッシュカードを盗み機関が被害者に補償を行うこととなった。

最も有効だったと考えられるのは、２００４年

偽造キャッシュカードによる不正な預金引頃から各金融機関が進めてきた、キャッシュ出の急増は、金融機関が長年培ってきた業務カードの利用限度額の引き下げである。この面の信頼を大きく損なうものであった。とは対策は、業態を問わず、ほぼすべての金融機いえ、偽造キャッシュカードの被害額は最高関で実施されてきた。偽造キャッシュカードでも年間十億円程度であった。偽造クレジッが問題となる以前は、１日当たりの限度額はトカードの被害額がピーク時（２００２年）に年数百万円に設定されていたが、現在では、IC間１６５億円に達していたことや、過去に発生カードや生体認証を利用した取引を除けば、した何種類かのプリペイドカードの偽造犯罪

１日当たり５０万円程度とすることが一般的との被害額が各々数百億円に及ぶと推定されてなっている。この対策が直接的に、１件当たいるのに対して、特に規模の大きいものとはりの平均被害額の低下に寄与し、被害金額をいえない。しかし、クレジットカードやプリ引き下げていることは明らかであろう。まペイドカードの偽造事件では、主としてカーた、犯罪者の立場からみたとき、ATM で偽ド発行業者、システム運営者が損失を被り、造キャッシュカードを使って預金不正引出を消費者に被害が及ばなかったのに対し、偽造行うという、最もリスクの高い行為の「実入キャッシュカード事件では、不正に預金が引り」が、最大でも５０万円程度に下がり、カーき出された預金者個人にまず損失が発生し、ド偽造自体が「割に合わないビジネス」とな被害補償も後手に回ってしまった。このたった。このことが被害件数を減少させ、相乗め、預金者の誰もが被害者になり得ると受け効果で被害が沈静化したものと考えられる。

止められ、一般の人々も不安をつのらせるこさらに、報道等を通じて利用者の間で偽造ととなった。

カード被害に関する認知度が上がったこと

２００８・３7

や、金融機関が利用者に積極的に警告を発した効果により、利用者がカードや暗証番号を５．将来を見据えた検討の重要性慎重に取り扱うようになったことも有効であ
磁気ストライプカードと４桁暗証番号に限ったと思われる。
これに対し、IC カードや生体認証などのらず、金融機関の実務に利用されているシス予防対策が被害の減少に大きく寄与したとはテムのなかには、かつてセキュリティに対す考えにくい。２
００７年３月末時点の調査では、る意識があまり高くなかった時代に導入されIC キャッシュカードはすべてのキャッシュたシステムがそのまま残ってしまっているもカード発行枚数の２．
９％（うち、生体認証対のが多く存在する。かといって、それらを直応 は０．
６％）し か 普 及 し て い な い か ら で あちにすべて再構築することは難しい。さしある。

たっては、運用面も含めた対策により不正取生体認証対応の IC カードを利用していて引の防止に努め、もし不正取引が発生してしも、不正預金引出の被害に遭わないで済むとまったら、その被害を限定することに努めては限らない。現段階で発行されている IC キ

いくしかない。

ャッシュカードのほとんどは、提携先 ATM

しかし、こうした古いシステムは、時代のでの利用を可能とするために、IC カードに流れとともに、いずれは新しいシステムに置磁気ストライプが貼付された併用カードとなき換えられていくはずである。次世代のシスっている。多くの提携先 ATM では、生体認テムに移行したときに、そのシステムのセキ証機能も IC による認証もない通常の磁気ス

ュリティのレベルが低いままとなってしまう

トライプカードとして認識されるため、磁気ことは、是非避けなければならない。この観ストライプ部分のみを偽造して不正に利用す点からは、次世代のシステムのセキュリティることが可能なのである。

を巡っては、最新のセキュリティ技術研究に磁気ストライプカードと４桁暗証番号といおける理論的な検討結果から得られる警告にう脆弱な個人認証メカニズムを利用している

ついても対応を検討しておく必要がある。

限り、偽造カード犯罪の根が絶たれた訳では例えば、セキュリティに問題のある IC カなく、新しい犯罪の手口を常に警戒していなードや破られやすい生体認証の実装技術を選ければならない。全面的な IC カードへの移択してしまった場合、新旧の技術が共存する行など、より抜本的なセキュリティ対策の検期間が過ぎて次世代の技術が主流となったと討を進める必要性が高まっているように思わきに、問題点が顕現化してしまう。特に、金れる。

融業界が一斉にある新技術を導入する場合においては、将来を見据えた選択が可能となるように、セキュリティについて十分に検討し２００８・３

情報セキュリティの強化ておく必要がある。そのためには、アカデミという「業界ブランド」が維持されている状

ックな最新の研究成果を意識し、その情報を況であれば、新しい技術にチャレンジせず、活用しつつ、将来発生する問題を予測しなが現状維持としていた方が短期的には効率的から対策を講じていくことが大切である。

もしれない。
しかし、今後、金融情報システムのオープ６．業界全体としての積極的な取組みをン化がさらに進むなかで、金融機関の一部が情報セキュリティに対する関心の高まり全性、信頼性の観点から、業界全体のブランは、金融情報システムのオープン化の帰結でドが維持できなくなる惧れがある。金融機関あった。こうしたシステム技術面の変化がさのシステムは相互に連携して機能するものでらに続いていった場合、金融機関はどのようあるため、個別企業のシステムだけが優れてな影響を受けるのだろうか。

いても、全体としては利用者の安全を守るこシステムの現状維持を選択してしまうと、安おそ

かつて、金融機関がレガシー系の技術で等とはできないからである。

質の情報システムを維持していた時代には、こうした観点から考えれば、現在進められ「金融機関であれば、どこのシステムも安全ているセキュリティの高度化は、広く業界全で信頼できる」という意味で、業界全体とし体が対応していかなければならない課題と受てのブランド化が達成されていた。オープン

け止めるべきであろう。今後、金融情報シス系の安価な技術を導入せず、高価なレガシーテムの情報セキュリティを高度化していくた系システムを使い続けることにより、そうしめには、専門性を持った人材の育成と業界内た「業界ブランド」の価値が維持できてきたでの適切な情報共有が必要であり、金融業界と考えられる。

全体としての積極的な取組みが求められてい現在、インターネット・バンキングのセキュリティ向上や IC カード、生体認証等への投資を行っているのは、個別企業として、安るのである。
（文中、意見にわたる部分は筆者の個人的見解である。
）

全性、信頼性のブランドを向上させたいと希望する金融機関のようである。他方、そうした個別ブランド化を志向しない金融機関は、情報セキュリティ対策に、人的、システム的な投資を多くは振り向けていない。当面の間は、そのような投資判断でも特段の問題は発生しない。むしろ、過去からの慣性として、金融機関であればどこでも安全で信頼できる岩下 直行（イワシタ ナオユキ）氏
昭和５９年３月 慶應義塾大学経済学部卒業
昭和５９年４月 日本銀行入行
営業局、長崎支店、調査統計局、企画局、システム情報局を経て、平成６年７月より金融研究所にて金融分野に利用される情報セキュリテ
ィ技術の研究に従事。ISO/TC６８日本事務局長として金融情報技術の国際標準化を担当。
平成１８年４月 金融研究所情報技術研究センター設立と同時に、センター長に就任。

２００８・３9