ランサムウェア、サプライチェーン攻撃、委託先経由の侵害など、金融機関が直面する脅威は多様化し続けている。そこにフロンティアAIが加わり、脆弱性の発見から攻撃までの時間は大幅に縮まりつつある。金融庁・日本銀行も金融機関に短期的な対応を要請した。とはいえ、限られた人員・予算・時間の中で、あらゆる対策を一律に最高水準へ引き上げることは現実的ではない。では、金融機関はサイバーセキュリティ対策を「どこまで」行うべきなのか。本連載の第3回となる今回は、成熟度評価を「投資の地図」として使いながら、どの領域を・どの水準まで・どの順番で守るのかを見極める考え方を、投資判断の3つの視点と金融機関タイプ別の勘所から読み解く。

金融機関のサイバー態勢を「測って、比較して、目標を置く」にはどんな枠組みが必要か。本稿では、その解決策として海外で関心が高まる「CRI Profile（シーアールアイ・プロファイル：Cyber Risk Instituteが策定したサイバーセキュリティプロファイル）」に注目する。まずは同フレームワークを構成する「3つの部品」を紐解き、評価の構造を解説し。そのうえで、金融庁ガイドラインなどの国内ルールとどう「接続」し、実務の「3つの評価軸」へ落とし込むべきかを提示していく。単なる「点検」から脱却し、経営陣の“投資判断”を引き出すための実践的なアプローチを見ていこう。

サイバーセキュリティは、もはやIT部門の「技術課題」ではなく、経営が引き受けるべき「事業リスク」である。ランサムウェアによる業務停止、顧客情報の漏えい、規制当局への報告・公表の遅延、復旧の長期化は、収益機会の逸失だけでなく、経営の重要課題となっている。一方、多くの金融機関では「対策は進めているが、自社の水準を経営層に説明できない」「同業他社と比べた立ち位置が見えない」という課題が残る。日本でも、金融庁の「金融分野におけるサイバーセキュリティガイドライン」（以下、金融庁ガイドライン）の公表を受け、各金融機関でガバナンス・体制整備が進む一方、経営に対して「自社は十分か」を説明しにくい実態がある。本稿では、国内の枠組みを踏まえつつ、世界で進む「評価の標準化」の潮流を概観し、次回以降の議論（CRI Profileなど）につながる視点を提示する。

EYが大手の金融サービス企業に所属する81名のサイバーセキュリティ責任者に聞いたところ、インシデントの発生件数が少なく、また検知や対応に要する時間も大幅に短縮できる企業には共通点があることが分かった。「セキュリティ先駆企業」が実行する「5つのアクション」とは何だろうか？