サイバーリスクと不正：その意味と、貸し手がさらされる理由

共通の用語

金融安定理事会は、2018年にサイバー用語集を公表し、2023年に改訂しました。金融セクターにおけるサイバーセキュリティとサイバーレジリエンスについて、理事会、基準設定主体、当局、そして民間の参加者の取組みを支えるためのものです。始めるには、そのうち6つの定義で足ります。

• サイバーセキュリティ：サイバー空間を通じて、情報や情報システムの機密性、完全性、可用性を保つこと。
• サイバーイベント：情報システムの中で観察できるあらゆる出来事。
• サイバーインシデント：悪意のある活動によるものかどうかを問わず、情報システム、またはそれが処理、保存、送信する情報のサイバーセキュリティに悪影響を与えるサイバーイベント。
• 脆弱性：1つ以上の脅威に付け込まれうる、資産や統制の弱点、隙、欠陥。
• サイバー脅威：1つ以上の脆弱性に付け込み、サイバーセキュリティに悪影響を与える可能性のある状況。
• サイバーレジリエンス：サイバー脅威やその他の関連する環境の変化を予測してそれに適応し、サイバーインシデントに耐え、それを封じ込め、そこから速やかに回復することによって、組織がその使命を果たし続ける能力。

これらの定義から2つのことが分かります。インシデントは攻撃である必要はありません。データを漏らしたりシステムを止めたりする誤りも含まれます。そして、レジリエンスは予防よりも広い概念です。インシデントの間も業務を続け、そこから回復することを含みます。

発生の確率と影響

同じ用語集は、サイバーリスクを、サイバーインシデントが起きる確率とその影響の組み合わせと定義しています。1種類のインシデントについて、1年間を対象にこの組み合わせを数字で表す簡単な方法の1つが、予想損失です。

例（説明のためのもので、通貨は問いません）：顧客データの漏洩は、1年に起きる確率が5パーセントで、起きれば200万の損失になるとします。予想損失は、0.05掛ける200万で、年10万です。貸付システムが1日止まる障害は、確率が20パーセントで、損失は30万とします。予想損失は年6万です。漏洩のほうが上位になりますが、この2つの数字は違いも隠しています。障害のほうが起きやすい一方、漏洩はまれではあるものの、損失は7倍近くになります。予想損失はリスクに順位をつける出発点であり、最悪の場合を十分に測るものではありません。

1種類のインシデントによる1年間の予想損失 ＝ その年に起きる確率 × 起きた場合の損失。

なぜ金融セクターはさらされているのか

国際通貨基金は、2024年4月の国際金融安定性報告書の1章をサイバーリスクにあてました。金融セクターは大きくさらされており、すべてのインシデントのおよそ5分の1が金融機関に影響していること、インシデントは過去20年間、とりわけ2020年以降に大きく増えていること、そして少なくとも25億米ドルに達するような、企業にとっての極端な直接損失のリスクが高まっていることを示しています。また、間接的な損失は、企業が報告する直接の損失よりもかなり大きくなる傾向があると付け加えています。

報告は、インシデントがなぜより大きな混乱を招き、1つの企業を越えて広がりうるのかを説明しています。決済サービスやカストディ業務といった重要なサービスで市場の集中度が高く代わりが利きにくいこと、そして共通の第三者のIT提供者に依存していることです。サイバー攻撃のあと、米国の比較的小さな銀行から、小幅ながらある程度続く預金の流出があったことを見いだす一方で、サイバー攻撃による大きな取付けはまだ起きていないと述べています。提言の中では、監督当局は金融機関のサイバーセキュリティの管理について取締役に責任を負わせるべきであり、企業は対応と復旧の手順を整え、テストすべきだとしています。

不正：サイバーリスクが顧客と出会うところ

すべての損失が、貸し手のシステムへの侵入から生じるわけではありません。多くは顧客を通じて、あるいは顧客になりすました誰かを通じて生じます。次の4つの種類を区別しておくと役に立ちます。

• 申込み時の本人の偽装：盗んだ、借りた、または作り上げた本人情報で申し込み、返済するつもりがないもの。
• アカウントの乗っ取り：犯罪者が本物の顧客のアカウントに入り込み、その顧客の名義で借りたりお金を引き出したりするもの。
• 詐欺：本物の顧客がだまされて、自ら借り入れたり、犯罪者にお金を送ったりするもの。
• 内部不正：職員や代理人が、与えられたアクセスを悪用するもの。

金融活動作業部会は、エグモント・グループとインターポールとともにまとめた2023年の報告で、サイバー空間を利用した詐欺を、報告される件数と世界的な広がりの両面で近年急激に拡大している、国境を越えた大規模な組織犯罪と説明しています。その収益はしばしば速やかに別の法域へ移されること、そしてこうした犯罪が大きな金銭的損失をもたらし、デジタルの仕組みへの信頼を損なうことを指摘しています。報告は3つの優先事項を挙げています。国内での官民の連携、国際的な協力、そして啓発と報告を通じた検知と予防の強化です。デジタル貸付の不正については、この講座の第4回で改めて取り上げます。

取組みを組み立てる6つの機能

米国国立標準技術研究所は、2024年2月26日にサイバーセキュリティフレームワークの2.0版を公表しました。あらゆる規模と分野の組織が使えるようにつくられており、サイバーセキュリティの成果を6つの機能にまとめています。

• 統治：組織のサイバーセキュリティのリスク管理の戦略、期待、方針が定められ、伝えられ、監視されている。
• 特定：組織が現在抱えるサイバーセキュリティのリスクが理解されている。
• 防御：組織のサイバーセキュリティのリスクを管理するための安全策が使われている。
• 検知：サイバーセキュリティへの攻撃や侵害の可能性が見つけられ、分析されている。
• 対応：検知されたサイバーセキュリティのインシデントについて行動がとられている。
• 復旧：サイバーセキュリティのインシデントの影響を受けた資産と業務が元に戻されている。

フレームワークは統治を中心に置いています。統治が、組織がほかの5つの機能をどう実行するのかを方向づけるためです。この講座の残りの回も、これらの機能に沿って進みます。第2回で統治、第3回でアクセスとデータの保護、第4回で不正、第5回で対応と復旧、第6回でテストと情報共有を扱います。