金融分野の新サイバーセキュリティ評価ツール「CRI Profile」の意義と活用術

AIの登場やサイバー犯罪エコシステムの拡大により従来とは次元の異なるサイバー攻撃の脅威が顕在化し、金融機関が直面するリスクは一層深刻化しています。こうした背景の中、2024年2月に米国の非営利団体であるCRI（Cyber Risk Institute）は新たなサイバーセキュリティ評価ツール「CRI Profile v2.0」を公開し、日本の金融機関でも高い注目を集めています。今回のメジャーアップデートは、米国立標準技術研究所の「NIST Cybersecurity Framework 2.0」（以下、NIST CSF 2.0）の改訂を踏まえた内容となっています。

CRI Profile v2.0が注目される理由の一つは、米国主要当局が支持するスタンスを示しており、米国の大手金融機関を中心として活用が広がっていることです。さらに、2024年6月に公表された日本の金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」においても、CRI Profileが参考にされていることが明確に言及されており、金融庁も金融機関におけるCRI Profileの活用を促進する意識があると考えられます。

日本の金融機関にとっても、サイバーリスク対策とレジリエンス強化に活用できるとの期待が高まっており、本稿ではCRI Profile v2.0の特徴とその活用方法について詳しく紹介します。

また、CRI Profileの評価結果では以下の8つの選択肢¹が用意されています。これまで、FFIEC CATをはじめとする評価ツールでは、Yes／Noの2択あるいは、Partial（部分的）を含めた3択で評価されることが多く、リスクベースのアプローチが使われにくかった実態がありました。しかしながら、CRI Profileでは評価結果の選択肢にリスクベースや、代替コントロールでの達成が明確に記載されており、より組織の実態に即した評価がしやすくなったと言えます。特にリスクベースの達成（Yes-Risk Based）では、リスクの高い資産または最もリスクの高いコントロール機能に対して、ステートメントに記載された内容を達成しているかという観点となっており、リスクのフォーカスエリアを定めてコントロールを実装することが有効な方法の一つとして明確に記載されています。これらの考え方は、金融庁が各所で言及しているリスクベースのコントロール実装と評価が実効性を持って進む一助となることが期待されます。

• はい（Yes）：
  Profileの診断ステートメントに記述された全てのコントロール結果は定期的に評価および／またはテストされ、組織環境で設計されていて信頼性があることが実証されています。
• いいえ（No）：
  Profileの診断ステートメントに記述されたコントロール結果は意味のある形で実装されていません。
• 部分的（Partial）：
  Profileの診断ステートメントに記述されたコントロール結果の有意なサブセットが定期的に評価および／またはテストされ、組織環境で設計されていて信頼性があることが実証されています。
• 該当なし（Not Applicable）：
  Profileの診断ステートメントは、機関内の他の関連するステークホルダーと協議して、機関に適用されないと判断されます。
  
• はい-リスクベース（Yes-Risk Based）：
  Profileの診断ステートメントに記述された全てのコントロール結果は定期的に評価および／またはテストされ、組織環境において最もリスクの高い資産、または最もリスクの高い制御機能に対して設計されていて信頼性があることが実証されています。
• はい-代替統制（Yes-Compensating Control）：
  組織は、代替制御を使用することで診断ステートメントの意図を満たしている場合、この回答を選択するかもしれません。
• 評価予定（Not Tested）：
  ある機関がこの回答を選択するのは、診断ステートメントに関連するコントロールをまだテストしていない場合です。
• 分からない（I don’t know）：
  個々の評価ユーザーは、最も正確な回答を決定するために、組織内の他の関連するステークホルダーに確認するためのプレースホルダー／メモとしてこの回答を選択するかもしれません。