{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.title}}
{{item.text}}
はじめに
オペレーショナルレジリエンスに関する取り組みは、国内のほか、英国をはじめとした海外の金融機関で対応が進められています。特に英国においては、当局が金融機関に対して2025年3月末までにオペレーショナルレジリエンスの構築を完了することを求めています*1,2。
また2023年に英国の当局は、サイバーリスクとオペレーショナルレジリエンスと題した講演にて、サイバー攻撃に対するオペレーショナルレジリエンスの向上、サイバーレジリエンスの重要性を述べています*3。
本稿では、オペレーショナルレジリエンスにおいてサイバーリスクの対応として求められている「サイバーレジリエンス」について解説し、それを推進していく上でのポイントを説明します。
サイバーレジリエンスとは
バーゼル銀行監督委員会（BCBS）は「オペレーショナルレジリエンス」を、「テロやサイバー攻撃、自然災害などの発生時においても、銀行が重要な業務を継続できる能力」*4と定義しています。またBIS決済・市場インフラ委員会（CPMI）および証券監督者国際機構（IOSCO）は、「サイバーレジリエンス」を「サイバー攻撃を予測し、耐え、封じ込め、迅速に回復できる能力」*5と定義しています。
従って、オペレーショナルレジリエンスの中でも、特にサイバーリスクに対するレジリエンスが「サイバーレジリエンス」であると言えます。言い換えれば、サイバーレジリエンス対応は、オペレーショナルレジリエンス対応の一部として考えるべきであり、サイバーに限ったことと考えるべきではありません。
国内の動向としては、金融庁が「オペレーショナルレジリエンス確保に向けた基本的な考え方」のディスカッションペーパーを公開*6しており、国内金融機関に対してオペレーショナルレジリエンスを確保することを期待しています。
また2022年度に金融庁が配布したサイバーセキュリティセルフアセスメント（Cyber Security Self-Assessment、CSSA）の点検票*7の設問42問中、8問がレジリエンス関係となっていることから、サイバーレジリエンスの強化に向けた取り組みも期待していると考えられます。
オペレーショナルレジリエンスの実施プロセス
オペレーショナルレジリエンスに係る管理サイクルとして、図表1の5つのプロセスが必要と考えられます。オペレーショナルレジリエンスにおけるサイバーリスクへの対応（サイバーレジリエンスの強化）を進めるうえで、特にポイントとなるのは、下記1～5のうち「2. 影響許容度の設定」「3. 重要なビジネスサービスのマッピング」「4. シナリオテストの実施」であると考えます。
図表1：オペレーショナルレジリエンスの実施プロセス
| 1 | 重要なビジネスサービスの特定 企業にとって、重要なビジネスサービスを特定する。 |
| 2 | 影響許容度の設定（リスク選好との整合） 障害が発生した際の業務中断の影響許容度（Impact tolerance）を定める。 |
| 3 | 重要なビジネスサービスのマッピング 重要なビジネスサービスを支えるプロセス、人、システム、サードパーティなどをマッピングする。 |
| 4 | シナリオテストの実施 重要ビジネスサービスを中断させる可能性がある、深刻かつ起こり得るシナリオ（サイバー攻撃など）を設定し、テストを行うことで影響許容度に収まるかを検証する。 |
| 5 | 自己評価 シナリオテストの実施にて特定した重要ビジネスサービスを影響許容度の範囲内で遂行する上での弱点の克服に向けた改善計画などを策定する。 |
影響許容度の設定におけるポイント
オペレーショナルレジリエンスでは、顧客、利害関係者（株主など）、市場全体の重要なビジネスサービスという視点から、妥当な影響許容度（Impact tolerance）を設定できているかが重要と考えられます。影響許容度は、ビジネス側から出てくるもので、現実的に甘受可能な許容水準を検討・設定することが求められます。サイバーの観点では、非現実的な「zero tolerance」に必ずしも拘泥するのではなく、想定されるサイバー攻撃などによる影響が、その影響許容度に収まるよう対策を行っていく必要があります。対策を行う中で、ポイントとなるのが目標復旧時点（Recovery Point Objective：RPO）と目標復旧時間（Recovery Time Objective：RTO）です。
「地震」や「感染症」などの被災シナリオを想定し、2014年に日本銀行金融機構局が金融機関に対して実施した「業務継続体制の整備状況に関するアンケート調査」の結果によると、優先復旧する「重要業務」のうち、特に、最優先で復旧する「重要業務」のRTOは、外国銀行・外国証券・国内大手銀行では、9割以上が「4時間以内」と回答しています*8。しかしながら、ランサムウェアなどサイバー領域の脅威シナリオにおいては、この目標が現実的ではない場合も考えられるため、サイバー領域固有の観点からの対策や検討が必要となります。
影響許容度の範囲に収まるRPOを実現するためには、重要業務を適切に見極め、バックアップ対象のデータの選別、バックアップ頻度、バックアップの取得形式（フルバックアップ、増分バックアップ、差分バックアップなど）、バックアップの保存先（論理的・物理的なネットワークからの分離方法を含む）などを検討してバックアップを行うことが重要です。
海外の先進的な金融機関では、バックアップがランサムウェアなどによって暗号化されたことを人工知能（AI）や機械学習（ML）によって検知する機能が搭載されたソリューションをバックアップツールとして導入することで、ランサムウェア感染の疑いがあるユーザのファイルアクセスを速やかにロックアウトすると共に、汚染されていないバックアップデータとして一番最新のリストアポイントを速やかに把握できるようにしています。
影響許容度の範囲に収まるRTOを実現するためには、定期的なシナリオテストによる対応力の高度化を継続的に行うことが重要です。海外の先進的な金融機関では、復旧までに要する時間がビジネス上設定されたRTOを満たせないことを想定した対応として、重要なビジネスサービスを顧客に継続して提供できるよう、第三者へ対応を依頼するなどの代替手段の導入を進めています。
またランサムウェア感染時におけるインフラの代替を実現するソリューションとして、Infrastructure as Codeを使用して、攻撃を受けた後に従来と同等の環境を迅速にクラウド上に再現できるようにしている事例もあります。このように最新のテクノロジーをうまく活用することも、オペレーショナル・レジリエンスを実現する上で大きなポイントになっていくと考えられます。
重要なビジネスサービスのマッピング
近年は、オンプレミスのシステムだけでなく、クラウドや他社のサービスなどが幅広く活用されています。重要業務においても、複数のシステムが用いられていることから、業務にて使用するサードパーティを含めたシステム全体のマッピングを適切な粒度で行うことが重要です。特にサイバーの観点では、どのようなデータを持っているのか（情報の重要度）、システム間におけるアクセス可否の設定を定めたリストであるACL（Access Control List）の状況、保守・運用者（外部ベンダーなど、サービス提供者）、システム代替手段（システムの切り替え先、切り替えの即時性）の有無などを把握することが重要と考えられます。従って、重要なビジネスサービスのマッピングには、重要なビジネスサービスを理解している業務側と、システムアーキテクチャを理解しているシステム側の有識者が密に連携していく必要があることから、経営層の積極的な関与によるトップダウンでの全社的な取り組みとして推進することが不可欠です。
重要なビジネスサービスのマッピングは、アナログの手法で行っている場合が多く、多大なる時間を必要とします。そこで海外の先進的な金融機関では、オペレーショナル・レジリエンスの実現に向けた重要なビジネスサービスの特定、人・プロセス・場所・システム・サードパーティの可視化、影響許容度の設定と一気通貫で管理・運用を行うことができるデジタルソリューションを用いることで効率的にマッピングを行っている事例があります。
シナリオテストの実施におけるポイント
シナリオテストを実施する際には、深刻かつ起こり得るシナリオを検討することがポイントです。国内の事例では、独立行政法人情報処理推進機構（IPA）が公開している「情報セキュリティ10大脅威」*9にて2021年から4年連続で一番の脅威になっているランサムウェア感染をシナリオとして想定している事例が見られます。この事例におけるランサムウェア感染の被害レベルとしては、社内の重要システムに感染の疑いがあり、広範囲にわたって重要性の高い業務の継続に影響が出る場合を想定しています。シナリオテストの実施では、システム的な影響が理解できるシステム担当者のみならず、業務（顧客）への影響も考慮し、業務側の担当者も含めたテストを実施することを予定しています。
海外の先進的な金融機関では、サイバーリスクシナリオとしてランサムウェア感染、サードパーティへのサイバー攻撃など、複数のシナリオを用意してシナリオテストを実施しています。またサイバー攻撃を受けた際にサイバーセキュリティ担当者、システム担当者、法務担当者などがそれぞれ講じるべき対策や、どのように対応するべき事項をまとめた「Cyber Recovery Playbook」を用意しています。Cyber Recovery Playbookの詳細については、「Cyber Recovery Playbookの必要性 ―サイバーインシデント発生時の迅速な対応の実現に向けて―」にて解説しています。
まとめ
オペレーショナルレジリエンスの構築、特にサイバーレジリエンスの構築に向けては、経営層の積極的な関与はもちろんのこと、ビジネスサービスを提供している業務側、オペレーショナルレジリエンスを統括しているリスク統括部、サイバーレジリエンスを統括しているサイバーセキュリティ担当部、各種システムを統括しているシステム担当部などとの連携が必要になります。従って、業務およびシステム（サイバー含む）を理解でき、かつ経営視点を持った人材が中心となって各部と調整・協力しながら推進していくことが重要です。
また、サイバー・レジリエンスを実現するためには、追加のバックアップソリューションの導入や代替環境の整備が必要になることもあり、長期的な視点を持ちながら投資を行っていく必要があります。更にサイバー攻撃の手法も日々進化していることから、想定するサイバーリスクシナリオも適宜追加・見直しを行っていくことが重要です。これらを推進していくには「サイバーインテリジェンス」を活用することもポイントになると考えます。
国内金融機関においてはオペレーショナルレジリエンス、サイバーレジリエンスが注目を集めているかと思われますが、サイバー攻撃が増加している昨今の状況に鑑みると、他の重要インフラ事業者にとっても、オペレーショナルレジリエンスを構築することは重要な経営課題であり、しっかりと取り組みを推進していく必要があると考えます。
参考文献
*1：Bank of England, 2021, PS6/21 | CP29/19 | DP1/18 Operational Resilience: Impact tolerances for important business services, 2024/4/1閲覧,
https://www.bankofengland.co.uk/prudential-regulation/publication/2018/building-the-uk-financial-sectors-operational-resilience-discussion-paper
*2：FCA, 2017, Operational Resilience, 2024/4/1閲覧,
https://www.fca.org.uk/firms/operational-resilience#revisions
*3：Bank of England, 2023, Cyber risks and operational resilience: getting prepared − speech by Elisabeth Stheeman, 2024/4/1閲覧,
https://www.bankofengland.co.uk/speech/2023/october/elisabeth-stheeman-speech-at-the-london-school-of-economics-conference
*4：BCBS, 2021, Principles for operational resilience, 2024/4/1閲覧,
https://www.bis.org/bcbs/publ/d516.htm
*5：CPMI and IOSCO, 2016, Guidance on cyber resilience for financial market infrastructures, 2024/4/1閲覧,
https://www.bis.org/cpmi/publ/d146.htm
*6：金融庁, 2023, オペレーショナル・レジリエンス確保に向けた基本的な考え方, 2024/4/1閲覧,
https://www.fsa.go.jp/news/r4/ginkou/20230427/02.pdf
*7：金融庁, 2023, 地域金融機関におけるサイバーセキュリティセルフアセスメントの集計結果（2022年度）, 2024/4/1閲覧,
https://www.fsa.go.jp/news/r4/cyber/20230418.html
*8： 日本銀行金融機構局, 2015, 業務継続体制の整備状況に関するアンケート（2014年9月）調査結果, 2024/4/1閲覧,
https://www.boj.or.jp/research/brp/ron_2015/data/ron150123a.pdf
*9：独立行政法人情報処理推進機構（IPA）, 2024, 情報セキュリティ10大脅威 2024, 2024/4/1閲覧,
https://www.ipa.go.jp/security/10threats/10threats2024.html
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
