金融事業者にとっての“7つの教訓”とは？ GMO不正アクセス事件に学ぶ(3/3)

優先的に取り組むべき事項

　上記の教訓をもとに、金融サービスを提供する事業者にとって重要となる実務的な対応を整理すると、次のようになる。

優先課題	主な対応策
外部環境からの不正アクセス対策	認証強化、セッション管理、端末・アクセス環境のリスク評価
不正取引の防止	取引異常検知、追加認証、緊急取引停止
外部事業者との連携	事故通知、情報共有、緊急対応の手順整備
BaaS・組込型金融の管理	顧客接点と金融機能の責任分担、委託先管理
顧客保護	迅速な連絡、被害調査、補償・救済の連携
経営ガバナンス	重大リスクの経営報告、対策期限の管理
事業継続	代替環境、安全な復旧、顧客への継続支援

顧客資産の安全は、誰が担うのか

　今回のGMOインターネットへの不正アクセス事件が金融業界に突きつけた最大の問題は、金融事業者のシステムが安全であれば、顧客の金融資産も安全であるとは限らないということである。

　金融サービスのデジタル化が進むにつれ、顧客が金融取引にアクセスする経路は多様化している。金融事業者のアプリやWebサイトだけでなく、外部クラウド、取引支援ツール、非金融事業者のアプリ、BaaSを活用したサービスなど、多様な環境を通じて金融機能が利用されるようになった。

　一方、金融事業者が顧客が利用するすべての外部サービスを管理することも現実的ではない。そのため、今後の金融事業者には、外部環境の侵害を前提とした認証・取引監視、関係事業者との情報共有、緊急時の取引停止、顧客保護の仕組みを整備することが求められる。特に組込型金融やBaaSの普及は、金融機能と顧客接点の分離を進める一方で、事故発生時の責任分担や顧客保護のあり方を複雑にしている。

　たとえば、銀行が顧客接点を外部事業者に委ねることはできても、金融機能の安全性や顧客資産の保護に対する責任まで、単純に外部へ移転できるわけではない。金融事業者に求められるのは、自社システムを守ることから、複数の事業者によって構成される金融サービス全体を通じてリスクを把握し、顧客資産を守るという発想の転換である。

　最近は多くの情報漏えい事件が起こっており、生成AIの発達によってサイバー攻撃がより早く、より多く発生するようになっているが、今回の事件は、金融サービスの提供形態が変化するなかで、セキュリティ対策、事業者間の責任分担、顧客保護の仕組みを再設計する必要性を示した事例として位置づけられることになろう。