金融分野で深化するサプライチェーン・サイバーリスクマネジメント（金融庁）

グローバルで危機感が高まるサプライチェーン・サイバーリスク

綾部：
近年は企業への攻撃の入り口として、セキュリティ対策が弱いサプライチェーン先が狙われています。サプライチェーン全体の複雑化に伴うサイバーセキュリティリスクに対し、金融庁ではどのような取り組みをされているのでしょうか。

齊藤：
金融機関が導入しているシステムやソフトウェアの構成は、複雑化の一途をたどっています。そのような状況においては、サードパーティに対する依存度が高まり、サプライチェーンに内在するサイバーリスクも高くなっています。

こうしたリスクの変化に対して金融庁は、「金融分野におけるサイバーセキュリティ強化に向けた取組方針Ver. 3.0」や、金融庁の年次計画である「金融行政方針」などを公表し、金融機関に対応を促しています。

また、グローバルでもサードパーティやサプライチェーンに対するサイバーリスクの関心は高まっています。「G7サイバー・エキスパート・グループ（Cyber Expert Group）」は2022年10月に、「金融セクターにおけるサードパーティのサイバーリスクマネジメントに関するG7の基礎的要素」（以下、「G7基礎的要素」）の改訂版を公表しています。

改訂前の文書では、サードパーティに対するサイバーリスクだけが注目されていました。しかし今回の改訂版では、ICTサプライチェーンに内在するサイバーリスクにも焦点が当てられています。なお、G7の議論には日本の金融庁も含めた、G7各国の金融当局が参加しています。

ユースケースで考える、1次先契約時に金融機関が押さえておくべき留意点

小林：
ここからは、具体的な管理アプローチについて深掘りしていきます。2つの具体的なケースを想定しました。

1つ目は、マネージドサービスプロバイダーが提供するSOC（Security Operation Center）サービスを、金融機関が専用線接続する形式で利用するケースです。マネージドサービスプロバイダーはサービスを提供するにあたり、必要なハードウェアやソフトウェア機器を自前で調達し、脆弱性管理などを含めて運用管理をしています。また、金融機関から集めたログは、分析や保管のためクラウドサービスを利用しデータを格納しています。さらに、このプロバイダーはSOC機能の機能開発をするために、2次先に委託しています。かなり複雑なケースです。

2つ目は、金融機関が契約し、用意したIaaS（Infrastructure as a Service）上に委託開発が新しいアプリケーションを構築するケースです。アプリケーションの開発には3次先までの委託企業を使い、さらに開発するアプリケーションの一部にはOSSの利用も想定しています。

いずれもあり得るケースかと思いますが、金融機関がn次先までを直接管理することは難しいですよね。これらの場合、1次委託先を選定して契約する段階、あるいは定期的な点検・評価を行う段階において、金融機関はどのような点に留意すべきでしょうか。

齊藤：
1つ目のケースはG7基礎的要素が参考になると考えます。G7基礎的要素では重要なサードパーティの特定に関して、サードパーティのサプライチェーンリスクの評価を行うことを推奨しています。また、同書では金融機関だけではなく、サードパーティに対しても金融機関のサイバーリスク管理要件を認識すべきであり、サードパーティも自らのサードパーティ管理のために基礎的要素を参考にすべきだと指摘しています。

2つ目のケースでは、委託先におけるアプリ開発の状況や委託先のサプライチェーンをスコープに入れて、企画段階からセキュリティの観点を組み込んで開発を進めるという、セキュリティ・バイ・デザインの実践が重要ですよね。

さらに言えば、サイバーリスク対応はIT部門やシステム開発部門だけが行うものではありません。各事業部門やリスク管理部門を含めた組織的な対応が必要です。例えば、外部との連携サービスでセキュリティ・バイ・デザインを実践するには、企画部門や外部委託先管理部門などとの連携が必要です。

綾部：
今後は外部に依存する割合もますます高まるでしょうし、サプライチェーンのリスク管理は簡単ではないと思います。定型化された点検票の確認に留まったり、2次先以降との関係性を意識しなかったりする場合は、リスクの識別や管理は困難になると考えますが、いかがでしょうか。

齊藤：
サードパーティ自身のサプライチェーンに関するサイバーリスクも考慮に入れる必要がありますね。形式的なチェックに留まらないように、リスクや重要性に応じた対策を検討することが必要だと考えます。

複雑化するサプライチェーン・サイバーリスク対応へのポイント

綾部：
お話を伺って、改めてサプライチェーン・サイバーリスクマネジメントは奥が深く、考慮すべき点が多い、また今後も変化するテーマだと再認識しました。最後にまとめをお願いできますか。

齊藤：
サードパーティ・サプライチェーンの拡大と複雑化に伴い、サイバーリスクへの対策が以前にも増して求められています。そのため、まずはサードパーティに対するリスク管理の枠組みにサイバーセキュリティの視点が組み込まれているかを確認する必要があります。加えて、ハードウェア・ソフトウェアの調達を含めて、サプライチェーンのサイバーリスクもリスク管理の視野に入れる必要があります。その際、サードパーティ・サプライチェーンのサイバーインシデントが顧客・業務に与える影響の重大さやリスクを踏まえ、対策をとることが必要となります。
また、サードパーティ・サプライチェーン経由のサイバーインシデントの発生を想定しておく必要もあります。IT部門だけではなく、関連部署や委託先が参加して演習を実施するなど、サードパーティ・サプライチェーンを考慮したインシデント対応の備えがインシデント対応能力の強化には有効です。

綾部：
金融庁はサプライチェーン・サイバーリスクマネジメントを重要な課題と認識し、さまざまな取り組みをされていることを理解しました。本日はありがとうございました。