サイバーレジリエンスの世界へようこそ！

こんにちは！FRM Part IIカリキュラムの「オペレーショナル・リスクとレジリエンス」セクションにおいて、最も実践的かつ重要なトピックの一つへようこそ。現代の銀行は、単に金庫や現金を扱う場所ではなく、巨大なテクノロジーの拠点です。この章では、金融機関がどのようにサイバー攻撃に備え、対応し、そして回復を図るべきかという点に焦点を当てます。「ウイルスを阻止すること」を目指す段階から、「たとえウイルスが侵入しても銀行業務を止めないための計画を持つこと」へと視点を移すイメージで進めていきましょう。

「自分はITの専門家じゃないから……」と心配する必要はありません。FRM試験で問われるのは、背後にあるコードの書き方ではなく、こうしたリスクの管理（マネジメント）とガバナンスです。それでは、さっそく学んでいきましょう！

1. サイバーセキュリティとサイバーレジリエンスの違い

具体的な手法に入る前に、よく混同されがちな点を確認しておきましょう。この二つは同じものなのでしょうか？答えは「NO」です。

サイバーセキュリティ（Cybersecurity）は、玄関の頑丈な鍵のようなものです。悪意のある侵入者を排除するために設計されています（予防）。

サイバーレジリエンス（Cyber-resilience）は、仮に誰かが窓を割って侵入したとしても、日常生活を維持するためのシステム全体を指します。これには鍵だけでなく、警報装置、保険、そして窓を修理している間に友人の家に避難する計画なども含まれます。つまり、衝撃を吸収し、迅速に回復する能力を意味します。

クイックレビュー： サイバーセキュリティ ＝ 予防。サイバーレジリエンス ＝ 予防 ＋ 検知 ＋ 対応 ＋ 回復。

2. ガバナンス：すべてはトップから始まる

銀行がレジリエンスを確保するためには、「経営陣」の関与が不可欠です。これは地下にあるIT部門だけの仕事ではありません。

取締役会と経営陣の役割

取締役会は「トップの姿勢（Tone at the top）」を示す必要があります。彼らが担う主な責務は以下の通りです。

1. 戦略の策定： 銀行のリスク選好に適合したサイバーレジリエンスの枠組みを承認する。
2. リソースの配分： サイバー脅威に対処するための予算や専門人材を十分に確保する。
3. 進捗の確認： 銀行の防御体制が実際に機能しているかを定期的に監視する。

例え： 取締役会は船の船長のようなものです。エンジンを修理する方法を知る必要はありませんが、船上に整備士がいるか、十分な救命ボートがあるか、氷山を避けるための明確な航路があるかを確認しなければなりません。

豆知識： 学生が陥りやすい間違いに、「取締役会は技術的な専門家でなければならない」という思い込みがあります。そうである必要はありません！重要なのは、正しい質問を投げかけ、情報に基づいた判断を下せるだけの「サイバーリテラシー」を備えていることです。

重要なポイント： サイバーレジリエンスは単なるITリスクではなく、ビジネスリスクです。ガバナンスは、組織全体にわたって責任の所在を明確にするために不可欠です。

3. 特定と防御

何を持っているか分からなければ、それを守ることはできません。この段階は「デジタル上の領土」を把握することから始まります。

特定（Identification）

銀行は、自社の重要な事業サービスと、それを支える資産（ソフトウェア、ハードウェア、データ）を特定しなければなりません。これにはインベントリ（台帳）の作成が含まれます。隅っこで動いている古いサーバーを把握していなければ、そこがハッカーの「裏口」となってしまいます。

防御（Protection）

守るべき重要資産が分かったら、それを防御します。主な対策は以下の通りです。
- アイデンティティおよびアクセス管理（IAM）： 正当な権限を持つ者だけが、必要なデータにアクセスできるようにする。（例：窓口担当者がCEOのメールにアクセスできないようにするなど）
- データの完全性： ハッカーによってデータが改ざん、あるいは削除されないよう守る。
- 意識向上トレーニング： 不審なリンク（フィッシング）をクリックしないよう従業員を教育する。

防御を覚えるためのキーワード： 「CIA」を思い浮かべてください。
- Confidentiality（機密性：秘密を守る）
- Integrity（完全性：正確さを保つ）
- Availability（可用性：稼働状態を維持する）

4. 検知：煙を見つける

どれほど頑丈な鍵をかけても、侵入される可能性はゼロではありません。検知（Detection）は、侵入者をできるだけ早く見つけるためのものです。

銀行は「異常」を探すために継続的なモニタリングを行っています。異常とは、通常とは異なるあらゆる挙動を指します。例えば、普段ロンドンで働いている従業員が、深夜3時に突然南の島からログインした場合、システムは警告を発する必要があります。

重要なポイント： 「ドウェルタイム（Dwell Time）」（ハッカーがシステム内に侵入してから発見されるまでの時間）を短縮すればするほど、被害を最小限に抑えられます。

重要なポイント： 検知は「火災報知器」のようなものです。火を消すことはできませんが、すぐに消火器を持つべきだと教えてくれます。

5. 対応と回復

攻撃が発生したときには「プレイブック（対応マニュアル）」が必要です。建物が燃えている最中に計画を練るようでは遅すぎます！

対応（Response）

直後の目的は、インシデントを封じ込めることです。これはウイルスが拡散しないように特定のシステムを停止させることを意味するかもしれません。また、当局や顧客、メディアに対して状況を伝えるコミュニケーション計画も必須です。

回復（Recovery）

ここが「レジリエンス」の真骨頂です。いかに早く銀行業務を再開できるかという点です。
- バックアップ： 安全な場所（オフサイト）にデータのコピーを保管しておく。
- 事業継続計画（BCP）： 本社が機能不全に陥った場合、どこで業務を行うか？顧客はどのように現金を引き出せるか？

よくある間違い： 「対応」と「回復」を混同しないでください。対応は「出血を止めること」、回復は「傷を癒して元の生活に戻ること」です。

6. テスト：避難訓練

計画が機能するかをどうやって確認しますか？そう、テストが必要です！テストは頻繁かつ多角的であるべきです。

1. 脆弱性診断： ソフトウェアを使用して、自社のコードの「弱点」を見つける。
2. ペネトレーションテスト（侵入テスト）： 「善玉ハッカー」を雇い、システムに侵入を試みてもらう。
3. レッドチーミング： テストのより激しい形態で、チームが実際の敵になりすまして、銀行の検知・対応能力を試す。

重要なポイント： テストは「一度きり」ではありません。リスクベースで実施される必要があり、最も重要なシステムほど頻繁にテストされるべきです。

7. サードパーティリスク管理

銀行は多くの外部企業（クラウドプロバイダー、ソフトウェアベンダー）に依存しています。ベンダーがハッキングされれば、銀行もリスクにさらされます！

サプライチェーンリスク： 鎖の強さは、その最も弱い環の強さで決まります。銀行はパートナーに対してデューデリジェンス（適正評価）を実施し、契約において一定のサイバーセキュリティ基準を満たすよう義務付ける必要があります。

実例： ある銀行が決済処理に特定のソフトウェアを使用しているとします。そのソフトウェア企業でセキュリティ侵害が発生した場合、たとえ銀行自身の内部システムが完璧であっても、何百万もの顧客の決済ができなくなる可能性があります。

8. 情報共有

ハッカーたちは「ダークウェブ」上で情報を共有しています。これに対抗するためには、銀行間でも情報を共有しなければなりません！

脅威インテリジェンス（新しい攻撃タイプに関する情報）を共有することで、金融システム全体が強固になります。A銀行が新しいウイルスを発見すればそれをB銀行に伝え、B銀行はウイルスが到達する前にフィルターを更新できるのです。

クイックまとめ表：
- ガバナンス： リーダーシップと戦略。
- 特定（Identify）： 資産を把握する。
- 防御（Protect）： 防護策とトレーニング。
- 検知（Detect）： 異常を見つける。
- 対応（Respond）： インシデントを封じ込める。
- 回復（Recover）： 正常な状態に戻す。
- テスト（Test）： 計画が機能することを証明する。
- サードパーティ： ベンダーリスクを管理する。
- 共有（Share）： 他社と協力する。

最後に

サイバーレジリエンスの核心的な実践方法を最後まで学習できましたね！FRM試験では、このフレームワークに集中してください。これは継続的なサイクルです。「特定→防御→検知→対応→回復」を行い、その経験から学び、ガバナンスを向上させていくのです。このコンセプトを繰り返し確認すれば、本番もきっと大丈夫です！