2023年2月16日（木）開催 FINANCE FORUM「巧妙化するサイバー攻撃とセキュリティ体制の強化」＜アフターレポート＞

2023/03/302024/03/29

2023年2月16日(木)セミナーインフォ主催 FINACE FORUM「巧妙化するサイバー攻撃とセキュリティ体制の強化」が開催された。加速度的にデジタル化が進む中、サイバー空間においても、様々な変化が起こっており、組織化・洗練化されたサイバー攻撃や、ランサムウェア攻撃が多発している。こうした中で、金融機関においても、経営層の積極的な関与の下、組織全体でサイバーセキュリティの実効性を向上させ、対策を講じていく事が求められている。本フォーラムでは、金融庁、GMOあおぞらネット銀行、ふくおかフィナンシャルグループにご登壇いただき、取組方針や事例をお話しいただくと共に、その他企業から、有益なテクノロジーをご紹介いただいた。

金融機関におけるソフトウェア・サプライチェーン・セキュリティとサイバーリスク対策

【講演者】: 日本シノプシス合同会社; ソフトウェア・インテグリティ・グループ; マネージング・プリンシパル
大森　健史　氏

＜金融システムに対するサイバー脅威＞

経済安全保障推進法が成立した背景にあるのは、サイバー攻撃が基幹産業における危機の引き金になるという懸念だ。

2020年2月には欧州中央銀行総裁クリスティーヌ・ラガルド氏が「サイバー攻撃が深刻な金融危機を引き起こす可能性がある」とし、2020年4月には金融安定理事会（FSB）も同様の懸念を表明した。

また「すべてのビジネスはソフトウェア・ビジネス」という考え方がある。2019年にはMicrosoft社CEOのSatya Nadella氏が「すべての会社はソフトウェア会社です。デジタル企業のように考え、運営し始める必要があります。」と警鐘を鳴らしている。

実際に自動車、医療、金融システム等のビジネスは、膨大なソフトウェアで構築されている。ソフトウェアに対するサイバー攻撃は、ビジネスリスクに直結する。そのため基幹産業は、ソフトウェア会社であるという認識のもと対処する必要がある。

●金融業界におけるトレンド

COVID-19によるパンデミックの影響で、金融業界のデジタル・トランスフォーメーション（DX）が加速した。在宅勤務が当たり前になったほか、なるべく家から出ない習慣がつきオンライン金融サービスの需要が高まっている。

これに伴いモバイル決済が普及したが、テクノロジー系企業や流通系企業が参入したため競合が増える結果となった。DXにより最新テクノロジーを活用した新たなサービスが導入され間口が広がったことから、新たな攻撃の手口がうまれ攻撃対象領域も拡大している。

●UX（顧客体験）向上のために

ウェブサイトやモバイルアプリでバンキングサービスを利用する顧客に向けて、UX（顧客体験）を向上させることも重要な施策だ。

そこで個々に合わせた機能・環境の提供、ITに不慣れな顧客など個々に合わせた適切な支援の提供を検討したい。実現のためには、パーソナライゼーションやAIなど新技術の迅速な取り込みが必要になる。そのため、基幹系システムでは考えにくいものの、それ以外の領域ではオープンソース・ソフトウェア（OSS）の利活用が進んでいる。

ほかにも同業他社が提供しているものと同程度の機能を、同じようなタイミングで提供していくことが最低限必要になる。さらにエンドユーザーから指摘があれば、バグの修正など迅速な問題解決を行うことも重要だ。

そこで、継続的インテグレーション・継続的デプロイメント（CI/CD）やアジャイルをベースにした高速開発やリリース頻度の向上も必要になる。なお勘定系システムのような大規模なシステムになると、ウォーターフォール・モデルでの開発になることが多い。

●デジタル化された金融サービスがもたらすリスクの例

業務効率を向上させリスク管理の改善を促進するために、人工知能（AI）や機械学習（ML）を取り入れるケースが多いが、リスクも存在する。

たとえば従来のモデルに比べてロジックが難解なため、管理が複雑で難しい。自社で人材を確保することが困難なため、AI/MLモデルの開発はアウトソースがほとんどだ。その結果、データ・セキュリティ、プライバシー、マネー・ロンダリング、顧客保護の領域でリスクが高まる。

またAI/MLモデルの展開においては、大規模データセットの使用やサードパーティとの接続、クラウドの使用が含まれることが多く、複数のサイバー・リスクが生じる可能性がある。

＜ソフトウェア・サプライチェーン・リスク管理＞

金融業界では、自社のIT子会社も含め他社に開発を委託している部分が多い。さらにOSSの利活用や外部サービスの利用も増えている。

このような状況の中、「ソフトウェア・サプライチェーン」が重要視されている。ソフトウェア・サプライチェーンとはソフトウェア開発サイクル全体を通じて関与するあらゆるものを指し、広義にまで範囲を広げると以下が含まれる。

受託開発業者、システム・インテグレータ（システム一括請負企業）
商用ソフトウェア（COTS）
オープンソース・ソフトウェア（OSS）
開発ツール、開発フレームワーク
アプリケーション、サービス運用アウトソーシング
運用ツール

●サプライチェーンのリスク

サプライチェーンのリスクの1つとして、Log4 Shell などに代表されるOSSの脆弱性が挙げられる。しかし脆弱性は、OSSに限らずソフトウェア全体に見られる。そのため脆弱性があるからOSSを使わないのではなく、脆弱性へ対処することが肝要だ。

また2021年5月12日にバイデン大統領令（Executive Order 14028）発令の契機となったのが、ITパフォーマンス監視システム「Orion」を提供するSolarWinds社のサイバーセキュリティ侵害事例だ。ITリソース管理のために連邦政府機関を含む30,000以上の官民組織に使用されていたことから、大騒ぎになった。

攻撃者はSolarWinds社のネットワークに侵入し「Orion」に悪意のあるコード（バックドア）を注入、そのまま定期バッチに含まれて配信されたことでさらなる侵害を許した。そこで「ソフトウェア・サプライチェーンのセキュリティの強化」は、バイデン大統領令のSection4に明記されている。これを受け「NIST SP800-161r1」と「NIST SP800-218（SSDF）」が作成された。