【日本】金融庁、「ITレジリエンスに関する分析レポート」2026年版発行。前年から大幅修正

　金融庁は7月30日、「金融分野におけるITレジリエンスに関する分析レポート」の2026年版を発表した。2025年版から全体構成を大きく組み替え、本文も86ページから110ページへと大幅に増加した。

　金融庁は、2019年以降、金融機関において発生したシステム障害及びサイバーインシデントに関する分析レポートを継続的に公表している。2025年版は、システム障害、サイバーセキュリティ、クラウドサービス事業者との対話、オペレーショナル・レジリエンスを主要な柱としていたのに対し、2026年版では、システム障害に加えて、ITガバナンス、AIによる脅威、顧客口座の不正利用、クラウド演習、サードパーティリスクを重点的に扱う構成へ移行している。

　システム障害分析の年次更新では、2025年度に報告された約1,600件のうち、ソフトウェア障害が39.2%、管理面・人的要因が29.3%を占め、両者で全体の約7割に達したことが新たに示された。2025年版で中心的に取り上げられていた標的型ソーシャルエンジニアリングによる暗号資産流出、証券口座への不正アクセス、セキュリティソフト更新不具合等の2024年度事例は、本文の主要事例から削除され、2025年度に発生した事案へ置き換えられている。

　新たな事例として、委託先のネットワーク機器の脆弱性を悪用したランサムウェア被害、金融機関のシステムへの侵入と顧客情報流出の可能性、電話とフィッシングサイトを組み合わせたボイスフィッシング、IoTボットネット等を用いたDDoS攻撃が加筆された。特にボイスフィッシングについては、AIによる偽音声、自動音声と偽担当者を組み合わせた誘導、即時振込の悪用が背景として説明され、顧客への注意喚起だけでなく、認証、取引モニタリング、相談受付、職員訓練を組み合わせる必要性が示されている。 　 　非意図的な障害についても事例が全面的に更新された。外国送金の新電文方式への対応では、複雑な仕様変更の過程で関係者の認識が一致せず、不要な処理が組み込まれたうえ、無影響確認テストが不十分だったため、送金処理と対外電文が滞留した。外部ストレージサービスの電源喪失によって決済が停止した事例からは、委託先の障害であっても影響範囲を早期に特定し、自動的に切り離せる仕組みが必要だとされた。海外データセンターでは、再委託先が未承認で作業し、冗長化された全機器へ誤設定を配信したため、冗長構成そのものが同時に機能を失った。さらに、災害対策環境の試験が本番ATMに影響し、経営への報告や顧客対応も遅れた事例が追加された。技術的な冗長化だけではレジリエンスにならず、変更管理、承認、再委託先統制、切替試験、指示系統まで含めて実効性を検証すべきという主張が強められている。

　最大の追加ポイントは、新設された「ITガバナンス高度化に係る実態把握」。一部の地域銀行へのアンケートとヒアリングを基に、IT戦略、ITコスト、IT人材、共同センターの利用と統治が分析された。IT戦略は経営戦略とおおむね関連付けられているものの、3年間の中期計画を超える長期構想、投資効果とリスクを同時に評価する仕組み、クラウドやAIを前提とするシステム構造の刷新には課題が残っている。重点施策ではIT人材の育成が61.1%、生成AI・データ活用が55.6%と高い一方、戦略のKPIを設定している銀行は半数にとどまっていた。

　ITコストについては、2025年時点で周辺・サブシステムの保守維持費が34.4%、基幹系の保守維持費が22.8%を占める一方、前向きな新規開発は14.8%にとどまった。2022年から2025年にかけてITコストが増加した銀行は63.2%で、周辺システムの拡張が継続的な保守負担を生んでいる可能性が指摘された。IT人材では、採用や研修は進展したものの、専門人材の確保困難とシステム部員の高齢化が深刻で、外部出向、共同センター、専門職制度、スキルの可視化、計画的な継承を組み合わせる方向が示された。

　サイバーセキュリティでは、ガイドライン公表後のモニタリング結果として、管理態勢、リスク特定、防御、検知、対応・復旧、サードパーティ管理の実務上の課題が整理されている。さらにAIによって脆弱性探索や攻撃の速度が高まる可能性を踏まえ、フロンティアAIへの対応を経営課題とし、重要サービスの特定、技術的負債の解消、パッチ要員の確保、保守契約の点検、リスクに応じたパッチ適用、多層防御、システム停止を想定したBCP、外部との情報共有を進める内容が加筆された。AIを単なる新しい攻撃手段としてではなく、脆弱性対応に使える時間を短縮し、従来の保守・契約・意思決定の速度そのものを見直させる要因として扱っている点が特徴と言える。

　また、2025年春に証券会社で急増した口座の不正アクセス・不正取引を受け、顧客口座・アカウント対策の章が新設された。フィッシング耐性のある多要素認証、取引モニタリング、ウェブサイトやメールのなりすまし対策、口座連携リスクへの対応、金融機関間の情報共有、顧客への注意喚起と相談対応が業態横断的な課題として位置付けられた。

　クラウドに関しては、金融機関、クラウド事業者、金融庁が共同で行った「クラウド演習の進め方」を掲載。目的設定、参加者、シナリオ、本番進行、評価上の着眼点までを示し、抽象的な留意事項から、障害情報の共有や意思決定を実際に検証するための手順を具体化した。

　補論では、2025年版の耐量子計算機暗号（PQC）移行に関する独立補論が短いコラムへ再編され、代わってバーゼル銀行監督委員会の「健全なサードパーティリスク管理のための諸原則」が新設された。管理対象を外部委託先だけでなく、購買・調達先、データ・サービス連携先、再委託先へ拡張し、全社的な台帳、相互依存関係のマッピング、集中リスク、デューデリジェンス、継続監視、監査権、BCP、出口戦略を経営主導で整備することが求められている。海外調査では、全サードパーティのうち重要な1%から10%程度へ管理資源を重点配分し、共通質問票、リスク評価ツール、共同監査、出口計画の机上試験、共同インシデント演習を活用する実例も追加された。PQCについても、政府が原則2035年までの移行を目指す方針や、暗号利用箇所を一覧化するクリプト・インベントリ構築の実証が追記され、検討段階から実装準備段階へと状況が移ってきていることがわかる。

【参照ページ】「金融分野におけるITレジリエンスに関する分析レポート」の公表について

株式会社ニューラル サステナビリティ研究所