公開日： ｜更新日：
巧妙化するサイバー攻撃から顧客データや重要なインフラを守るため、堅牢なシステムの構築に直面して悩んでいませんか。金融機関には、金融庁ガイドラインやFISC基準が求める高い水準のセキュリティが不可欠です。侵入を前提としたレジリエンスの確保と、多要素認証（MFA）などを徹底する統合認証システムの実装に向けた要点を紐解きます。
なぜ金融機関に対して、これほどまでに厳格な認証基準が要求されているのでしょうか。企業活動への深刻な影響やサプライチェーン攻撃のリスクが高まる中、侵入されることを前提としたレジリエンス（回復力）の確保が喫緊の課題となっているからです。
金融機関が保有する膨大な資金や顧客情報を狙った、ランサムウェア等のサイバー攻撃被害が急増しています。さらに、自社の防壁を高めるだけでは不十分です。セキュリティの脆弱な外部委託先等を経由して侵入されるサードパーティリスク（サプライチェーン攻撃）への警戒と、委託先の特定・評価が強く求められています。
こうした脅威に対抗するため、金融庁はガイドラインへの形式的な準拠ではなく、有事の際にも事業を継続できる「実効性のあるレジリエンス」を求めています。一度の認証突破でシステム全体を掌握されないよう、ゼロトラストの考え方に基づき、複数の防御壁を設ける多層防御の徹底が不可欠です。
統合認証システムの実装において、具体的にどのような認証方式や管理体制を整えるべきか迷う方も多いはずです。強固なシステムを構築するためには、パスワードの集中管理や多要素認証の全数適用が主要な要件となります。
リモートアクセスや重要システムへの接続において、多要素認証（MFA）の導入は必須です。フィッシング等の巧妙な脅威に耐えうるよう、強固なパスワードポリシーの適用と合わせて、認証情報を強固に保護する仕組みの強化が急務と言えます。
システムの管理者権限を持つ特権アカウントの厳格な管理も重要です。アクセス権限を明確に可視化し、一元的なログ管理を行うことが求められます。「最小権限原則の一貫した適用」というゼロトラストの考え方を徹底し、不要な権限を与えないアクセス管理を実践しなければなりません。
金融庁ガイドラインに加えて、統合認証システムの実装に直結する関連基準の理解も欠かせません。FISC安全対策基準や金融庁の監督指針とどのように連携し、要件を満たしていくかを確認します。
FISC安全対策基準の第13版では、金融庁のサイバーセキュリティガイドラインやオペレーショナル・レジリエンスへの対応が明確に反映されました。脅威環境に適応する形で、統合システムにおける安全対策や継続的な監視の重要性がより強く打ち出されています。
金融庁の系統金融機関向けの総合的な監督指針では、固定式のID・パスワードのみに頼らない認証方式が明示されています。複数経路による認証、ハードウェアトークン、電子証明書の別媒体格納など、具体的なセキュリティ対策事例が提示されており、これらの技術を活用したアクセス制御の導入が有効です。
金融機関のセキュリティ対策は、各種ガイドラインへの形式的な対応に留まっては意味がありません。MFAの全数適用や厳格な特権ID管理を組み込んだ、実効性のある統合認証システムの導入が急務です。最新のサイバー脅威から顧客情報を守り抜くため、自組織のシステム要件を早期に見直し、強固な認証基盤の構築へ動き出しましょう。
アカウントと生産性を守る
Withコロナ時代の
情報セキュリティ必須概念
クラウドサービスの普及やワークスタイルの変化によって、これからの情報セキュリティはシステマチックな運用が求められます。
アカウントのセキュリティを高めながら、運用者と利用者双方の利便性を高めるためには「統合認証基盤(統合認証システム)」の概念を理解しておかなければなりません。
