金融サービスにおける業務の回復力構築：あなたの船は航海に耐えうる状態ですか？

シェルビー・フローラは最近、米国と英国の金融サービス企業の取締役会に所属する複数の社外取締役に対し、ある単純な質問を投げかけた。

彼らの機関が理事会に、復旧環境のテスト頻度を増やすためやネットワーク全体の可視性向上のための資金を求めてきたことはありますか?

彼らは全員「ノー」と答えた。

アクセンチュア・セキュリティのマネージングディレクターでありUKIA金融サービスセキュリティ責任者であるフローラ氏は、金融サービスセキュリティリーダー向けの 最近のセキュリティ意識特別関心グループ(SASIG)ウェビナー の終盤にこのやり取りを共有しました。また、彼女はディレクターたちに脅威の状況がどれほど速く変化しているかを心配しているかどうかも尋ねた。全員が「はい」と答えた。彼女が最高執行責任者が主導するレジリエンス強化策を支持するかどうか尋ねたところ、彼らは再びイエスと答えた。

そのやり取りは、今日の金融業界の多くが置かれている状況を的確に捉えている。銀行や保険会社は長年にわたり、業務の回復力強化のための枠組みを構築してきたが、少なくとも一部の取締役会は、次の段階への資金提供の準備ができているようだ。欠けているのは、攻撃者が侵入した後もその計画が機能するという証拠に裏付けられた要求だ。その証拠は三つの習慣から得られます。攻撃を防ぐために依存関係を十分にマッピングすること、 サイバーレジリエンステスト を日常的な訓練として実施すること、そして最高執行責任者(COO)が背後に立つ明確な計画を取締役会に提示することです。

優れた文書管理は銀行の存続を支えるものではない

文書化は重要です。これは、脅威主導のテストからプルデンシャル規制庁(PRA)の 重要なビジネスサービスに対する期待に至るまで、銀行が従うあらゆるフレームワークの基盤となっています。

問題は、文書は誰かが設計した環境を記述するのに対し、攻撃者は現在存在する環境の中を移動するということだ。

その二つのイメージは、時とともに次第に乖離していく。ほとんどの銀行業務環境は、数十年にわたるプロジェクト、買収、そして回避策を経て成長してきたものであり、あらゆる変化が複雑さを増す。

複雑さは隙間を生み出し、その隙間こそが攻撃者が環境を横断したり、上位の環境へ移動したりするための道を見つける場所となる。イングランド銀行の CBESTテーマ別調査 結果は年々同じ弱点を強調しており、Illumioは 2025年のCBEST報告書の分析でこのパターンを解き明かしました。

複雑さは、最悪の日に何が起こるかを左右する。ライブインシデント中は、依存関係が完全に理解されず、可視性が部分的に欠け、ランブックがネットワーク上の内容と一致しない「戦争の霧」の中で作業します。その不確実性がためらいを生み、対応者は封じ込め行動が攻撃自体よりも大きな混乱を引き起こすのではないかと懸念します。

冷静に振り返ってみると、正しい判断は往々にして明白に見えるものだ。その瞬間、遅延は攻撃者に拡散に必要な時間を与えてしまう可能性がある。

金融サービスにおけるサイバーレジリエンスのための、海上航行に適したフレームワーク

司会者がどの投資を優先すべきかと尋ねると、フローラはミズーリ州で過ごした幼少期を思い出した。当時、週末といえば湖でボート遊びをするのが定番だった。彼女によると、ボートの操縦を学ぶことは安全点検から始まり、決して終わりはない。なぜなら、優秀な船長は常に船の点検、修理、改良を続けるからだ。

彼女のたとえ話は、CISO（最高情報セキュリティ責任者）にとってのチェックリストとしても機能する。

桟橋を出る前に安全点検を実施してください。

どの旅も、まずは明らかな漏れがないかを確認することから始まる。セキュリティの観点から言えば、強力なコアコントロールと安定したパッチ適用、そして重大な脆弱性を一切残さないことを意味します。それはまた、使用済み技術に関して毅然とした態度を貫くことも意味する。

フローラ氏は、攻撃者は依然として旧式のソフトウェアに存在する古い脆弱性を多用していると指摘した。なぜなら、古い、パッチが適用されていない脆弱性は、新しい脆弱性よりも悪用しやすいからである。支援を受けられないシステムには、退職後の資金計画が必要である。

船体に隠れた漏れがないか点検する

適切なメンテナンスは、弱点がどこにあるかを把握することから始まります。つまり、どのシステムが互いに通信し、何が何に依存しているかをマッピングする必要があるということだ。重要なシステムは通常よく知られているが、その背後には意外な依存関係が存在することが多い。

第三者も同様に厳しく監視されるべきだ。サプライヤーがどのようなアクセス権を持っているか、そのアクセス権がどこに繋がっているか、そしてそれらのシステムに何が依存しているかを把握していれば、サプライヤーの侵害が発生する前に、その影響範囲を予測することができます。同じマップで通常のトラフィックが示されているので、チームは早期に ラテラルムーブメント を察知できます。

穴を現代的な素材で塞ぐ

ダクトテープで船体を繋ぎ止められるのは、ほんの一時的なものだ。多くの銀行はネットワークトポロジーを中心にセグメンテーションを構築し、ゾーン間に配置されたファイアウォールを通すトラフィックを強制しました。ファイアウォールは依然として重要な境界線で重要な役割を果たしていますが、それを広範な内部セグメンテーションに拡張すると、資本コストや運営コストが急速に増加します。

マイクロセグメンテーション は、必要な場所、つまりワークロードの近くにポリシーを適用するため、攻撃者が移動できる距離を制限するのが実用的です。それは現代の開発にも適している。チームはセグメンテーションポリシーをコードとして作成し、CI/CDパイプラインを通じて展開できるため、新しいアプリケーションは初日からセキュリティが組み込まれてローンチされます。

腐った木材を鋼鉄に交換する

修理によっては、再構築が必要になる場合もある。イングランド銀行は、高額のポンド建て決済を行うリアルタイム・グロス決済サービスの刷新に数年を費やした。これは、基幹インフラに対する計画的なアップグレードがどのようなものかを示す好例である。

そういったプロジェクトには時間と費用がかかるが、結果としてシステム全体をより強固なものにする。各機関は、自社の基幹取引を支える老朽化したプラットフォームのうち、どれが同様の改修を受ける準備ができているかを決定する必要がある。

救命ボートの使い方が自然にできるようになるまで練習しましょう。

きちんと整備されたボートでも浸水する可能性があるので、救命ボートはきちんと機能しなければならない。バンクにとって、救命ボートは復旧環境であり、休止状態からすぐに動き出す場合にのみ役立ちます。

サイバーレジリエンステストが真価を発揮するのはまさにここだ。フローラは、ある大規模な多国籍機関に対し、2か月ごとの検査について尋ねていたにもかかわらず、2週間ごとに封じ込めと復旧のテストを行うよう助言したと語っています。

彼女の理由は単純だった。技術の領域は日々変化し、脅威の状況もそれに伴って変わっている。また、新たな脆弱性を発見してから最初に確認された脆弱性に至るまでの期間は、2018年の2年以上から数日に短縮されたと推定しています。

こうしたテストは大変そうに聞こえるかもしれないが、その多くは自動化できる。制御が適切なタイミングで実行されることを確認するチェックは自動的に実行できるため、人々は意思決定のリハーサルに専念できる。

これらのリハーサルは、セキュリティチームだけでなく経営陣、そしてシナリオ演習に参加したい取締役会メンバーにも及ぶべきです。目標は筋肉の記憶であり、誰も一年で最も悪い日に初めて インシデント対応 計画を読むことがないようにすることです。

水位が上昇した際に誰が舵を取るかを決めよ

承認を待たずに重要資産を隔離するシステムによる自動封じ込めは魅力的な目標です。

AI駆動の推奨は改善を続けており、信頼スコアは回答者がより迅速かつ的確な判断を下すのに役立ちます。しかし今のところ、特にたった一日の不運が経済全体に波及する可能性がある業界においては、人間の介入は依然として重要である。

自動化への移行には、2つの側面での取り組みが必要です。

• 技術的な作業。封じ込めは、政策制御が可能な場合にのみ実現可能です。買収によって構築された環境は、適切な場所に執行拠点が欠けていることが多い。
• 統治業務。最高執行責任者、最高リスク責任者、リスク委員会、および規制当局は、どのような対応が適切か、そして誰が決定権を持つのかについて、事前に合意しておくべきである。

また、前提の侵害(assum-breach)マインドセットから始めるのも役立ちます。Illumioの著名なソリューションアーキテクト、ラッセル・グッドウィン氏が述べたように、重要なシステムであっても侵害される可能性があるため、すべての計画は攻撃者が次にどこに向かうかを考慮しなければなりません。

フローラの経験では、AIによる加速攻撃に最も迅速に備えている機関は、COOが主導するものです。COOはリスク、技術、セキュリティを一体となって監督し、CIO、CTO、CISO、コミュニケーションリーダーが一つのチームとして働く道を切り開くことができます。

フローラは、インシデント中に過剰なコミュニケーションなんてものは存在しないと付け加えました。最悪の事態は、たいていの場合、どの決定を下すべきか、そして誰がその決定権を持つのかについての混乱に起因する。

実用主義こそが、そのチームを前進させているのだ。まずは重要なビジネスサービスから始め、次に犯罪組織や国家主体がどのように攻撃を起こすかという脅威主導の視点を加えましょう。

アーキテクチャチームは新しいアプローチに対して慎重な姿勢をとることがあるため、限定された環境でのパイロット運用によって、規模を拡大する前に制御と義務を検証することができる。一度にすべてを保護しようとすると、プログラムは分析麻痺に陥り、停滞してしまう。

業務の回復力は、状況が落ち着くのを待ってはくれない。

フロンティアのAIモデルはサイバー攻撃の経済学を変えつつあります。脆弱性を発見して悪用するのに必要な時間とスキルは低下し続けているため、侵入はより迅速に行われるようになるだろう。機械のような速度での復旧は、金融機関が標準的に守る標準となりつつあります。

フローラが話を聞いた取締役たちは既に懸念を抱いており、COO主導の計画を支持する準備ができている。彼らは誰かが尋ねるのを待っている。依存関係を明確に示し、頻繁かつ現実的なテストの記録を提示できるCISOは、証拠を携えてその要求を行うことができる。彼らが早く行動を起こせば起こすほど、紙の上の計画は、浸水が始まったときに沈まない船へと変わる。

視聴 SASIGウェビナー全文 オンデマンド。方法を学ぶ 金融機関 Illumioによって侵害を封じ込め、運用の強靭性を強化することができます。