金融庁が2024年10月4日に公表し、同日から適用した「金融分野におけるサイバーセキュリティに関するガイドライン」は、冒頭の基本的考え方で、金融機関等に対し、本ガイドラインを形式的に遵守することのみを重視したリスク管理態勢とならないように留意し、実質的かつ効果的な対応を行うことを求めています。規程を整えて監査に通ることと、攻撃を受けたときに耐えられることは、同じではありません。
この記事の要点
- 金融庁のガイドラインは、形式的な遵守のみを重視せず、実質的かつ効果的な対応を求めている
- 同ガイドラインは、実際の攻撃者の水準の手法で、防御側に予告せずに行う脅威ベースのペネトレーションテスト（TLPT）を例示している
- 監査は「決めたことを守っているか」、テストと演習は「攻撃に耐えられるか」を確かめる。両方を分けて報告する
監査が確かめること、確かめにくいこと
監査は、規程や手順が定められ、そのとおりに運用されているかを確かめます。これは欠かせない確認ですが、規程そのものがいまの攻撃に合っているか、攻撃を受けたときに担当者が実際に動けるかまでは確かめにくいものです。経済産業省とIPAの経営ガイドラインも、指示6で、実施している対策が現在のリスクに対して有効かどうかの評価を行うことを求めています。
金融庁ガイドラインが示す「耐性」の確かめ方
金融庁のガイドラインは、脆弱性診断とペネトレーションテストの項で、基本的な対応事項として、外部に直接接続している機器（VPN機器など）を含めた診断の範囲を定めること、見つかった問題を優先順位付けして対応期限を決め、重要なものは迅速に経営陣等に報告することを挙げています。
対応が望ましい事項としては、脅威ベースのペネトレーションテスト（TLPT）を定期的に実施することを挙げ、次の点に留意するよう書いています。
- 脅威インテリジェンスを踏まえ、実際の攻撃者が行う水準のテクニックを用いる
- 深刻だが現実に起こりうる脅威シナリオをテスト計画で考慮する
- 防御側の担当者（ブルーチーム）の防御・検知・報告・封じ込めの能力を評価する
- 本番環境を利用し、防御側の担当者に予告することなく実施する
- 判明した課題を経営陣に報告し、改善活動を行う
演習・訓練の項では、経営陣、CISO等、業務部門の責任者が自ら演習・訓練に関与し、その結果を把握することを基本的な対応事項に挙げています。金融機関向けのガイドラインですが、規程と耐性を分けて確かめるという考え方は、業種を問わず参考になります。
2つの状態を分けて報告する
監査に通る状態
規程、手順、記録がそろい、そのとおりに運用されている。
攻撃に耐える状態
テストや演習で、検知、報告、封じ込め、復旧が実際にできた。
経営への報告
両方の結果を別々に示し、差がある部分を改善の対象にする。
監査の指摘がゼロでも、テストで封じ込めに時間がかかれば、それが改善の対象です。報告の場で2つを混ぜないことが、形式的な遵守に陥らないための第一歩になります。
外から見た姿を、定期的に確かめる
耐性を確かめる手段の1つは、攻撃者と同じように外から見ることです。当社の透過型UTM「ForceUTM」には、同意を得た公開アドレスのTCPポートを点検し、外部からどこが見えているかを確かめる機能があります。拠点や中小規模のグループ会社のオフィスで、規程上は閉じているはずの入口が実際に閉じているかを確かめる入口になります。
参考資料
規程どおりに閉じているかを外から確かめる
拠点や中小規模のグループ会社で、インターネットから見えている入口の点検についてご相談ください。
製品の詳細はForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・