金融分野のサイバーセキュリティ対策向上事業

事業の目的

金融分野のサイバーセキュリティ強化を通じて、金融サービス利用者の安全性や、我が国の金融システムの安定性を確保する。／サイバー攻撃が複雑化・巧妙化する中で、あらゆるサイバー攻撃を捕捉し、事前に防御することには限界がある。このため、サイバー攻撃に対する防御力の向上に加えて、攻撃を受けた際に的確な対応が行えるよう、サイバーセキュリティ演習を通じたインシデント対応能力を向上させることが重要である。／また、金融セクター全体のサイバーレジリエンス向上を図るべく、各金融機関に対するガイダンスの提供、公助の取組み（テストの機会及び参考情報の提供など）を深化させていく。

現状・課題

技術の発展や地政学リスクの高まりを背景に、近年サイバーセキュリティに関するリスクが顕著に増大している。例えば、外部委託先を含むサプライチェーンの弱点を悪用した攻撃により金融機関でも被害が発生しているほか、国家等が関与・支援している主体によるとみられる高度なサイバー攻撃が出現しており、こうしたサイバー攻撃の脅威は、金融システムの安定に影響を及ぼしかねない大きなリスクとなっている。／また、このような増大する脅威に追いつけていない金融機関も存在し、潜在的なシステミックリスクが高まっている状況である。／このため、金融業界全体のインシデント対応能力の更なる向上、及び金融システムの安定性向上を目的に、金融業界横断的なサイバーセキュリティ演習のほか、外部委託先やサプライチェーンのサイバーリスク管理上参考となる情報の提供等を実施する必要がある。

行政事業レビュー推進チームの所見

○ 引き続き競争性の確保に留意した調達を行い、適切な予算執行に努めること。○外部有識者の所見を踏まえ、適切な目標設定を検討していくこと。

事業所管部局による点検・改善

サイバーセキュリティ演習について、継続的に演習手法の高度化を図りつつ（例えば、令和６年度の演習においては、預金取扱金融機関に対してブラインド方式にて実施した）、金融業界に対する演習参加の重要性の啓発等により目標を上回る参加金融機関数を確保している。また、演習に参加した金融機関に振り返り研修を行い、好事例の還元や質疑応答にも対応することで、金融機関のインシデント対応能力強化に貢献している。TLPTについては、本テスト実施先のサイバーレジリエンス向上に寄与しているとともに、当庁がサイバーセキュリティに関するモニタリングを行ううえで必要な示唆が得られている。いずれの取組みについても、競争入札により委託事業者の競争性を確保しており、予算は適切に執行されている。

改善の方向性

サイバーセキュリティ演習について、改善の余地が大きい業態や高リスクな業態に合わせたシナリオを用意し、より多くの金融機関の参加を促進する。また、複数の金融機関への影響が波及するようなシナリオを用いることにより、個別金融機関の対応能力の向上に加えて、金融システム全体のインシデント対応能力の向上を図る。TLPTについては、テストの結果多くの金融機関で認められた脆弱性及び教訓や、TLPT実施に資する推奨事項も同業態全体に還元することで、金融機関全体のサイバーセキュリティ強化を図り、TLPT実施の障壁を下げる。また、公正性・公平性の観点を確保しつつ、入札の可能な委託事業者の参加を促すため、演習の目的・実施内容等に関する事前の打合せを行い、競争参加者の発掘に努める。

外部有識者による点検

○サイバーセキュリティ演習の効果をアウトカムにすることを検討してはどうか。○サイバーセキュリティ演習の参加金融機関を増やすことは予算の制約上困難であることは理解できるが、金融機関団体が主催する演習との分担も含めて、より多くの金融機関が参加できる方法を検討してはどうか。