■ サイバー攻撃が金融機関にもたらす深刻な影響
世間でランサムウェア攻撃や不正アクセス等のサイバー攻撃事案の被害が深刻な問題になっています。
もし金融機関でサイバーインシデントが発生し、預貯金の引き出しや送金ができない、振込が届かないといった業務停止が起きた場合、企業であれば不渡りの問題、個人であれば支払遅延などの問題が起き、企業経営や人生を脅かします。
加えて、サイバーインシデントは顧客情報の漏洩が併せて発生している事案もあり、漏洩した個人情報等を詐欺などに悪用されることも、企業経営と顧客の人生に直接的な損害や不安をもたらします。
こうした事態は、金融機関に対する「顧客の信頼」を根底から揺るがすものであり、絶対に避けなければならないリスクです。
金融機関は顧客と自組織を支えるのみならず、“社会全体”の安心・安全を支える立場であることを、いま一度、認識する必要があります。
金融機関が社会全体を支える立場であることは、「サイバーセキュリティ基本法」において、金融機関が重要社会基盤事業者（重要インフラ事業者）に指定されていることからも明らかです。
■ 金融庁も警鐘：「経営陣の関与」が不可欠
こうした状況を受け、金融庁は令和6年10月4日に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しました。
この中で特に強調されているのが、以下の２点です。
・サイバーセキュリティ管理態勢の構築と運用
・経営陣の関与・理解
つまり、システム担当者任せではなく、組織全体でセキュリティを支える姿勢が求められています。
■ 中小企業のサイバー対策は、いまだ途上
一方、地域金融機関の取引先である中小企業に目を向けると、サイバーリスクへの備えが十分とは言えません。
一般社団法人日本損害保険協会の「中小企業におけるリスク意識・対策実態調査2024」によれば、最も多い対策は32.2％で「ソフトウェアの脆弱性管理・ウイルス対策ソフト導入」です。しかし、「現在サイバーリスク対策を行っていない」企業も28.2％にのぼります。
その理由として挙げられているのは、次のようなものです。
・対策費用の不足
・リスクが発生する可能性は低いと考えている
・具体的な対策方法がわからない
この結果は、リスクマネジメントの専門知識をもつ人材が、採用・教育されていれば十分なリスク管理体制構築も可能かもしれないことを表しています。
■ 金融機関の役割：顧客への“気づき”を提供する
地域金融機関の行職員が、日々の企業訪問や相談対応の中でサイバーセキュリティを話題の一つとして取り上げるだけでも、中小企業の意識を高めるきっかけになります。
金融機関が“資金支援”に加えて“情報支援”を行うことで、地域全体のリスク耐性を高めることができるのです。
■ 万一の時こそ、一人ひとりの対応力が問われる
もしサイバーインシデントが発生した場合、全行職員が冷静かつ慎重に対応することが重要です。SNSなどで安易に情報を発信したり、家族や友人に内情を話すことは、二次被害を招く恐れがあります。
また、顧客対応では「安心を届ける姿勢」が欠かせません。
そのためには、次の6点を意識することが大切です。
・誠実さが伝わる所作を取る
・誠実な言葉で謝罪する
・わかりやすく丁寧に説明する
・質問に誠実に答える
・わからないことは憶測で答えない
・不確かな情報を伝えない
インシデント後の対応は、信頼を取り戻すための最初の一歩であり、軽率な対応は慎むべきです。
■セキュリティ知識は「信頼を築く力」
サイバー攻撃というと、システム部門以外の方にとっては自分の身に無関係で遠い世界の話に思えるかもしれません。しかし、実際に被害が起きたとき、最前線でお客様対応に立つのは、営業店の行職員です。ひとつのメール操作や、ひとつの不用意な発言が、信頼の揺らぎにつながることもあります。
すなわち、営業店にいる一人ひとりが「サイバーセキュリティの担い手」なのです。
「どんな行動が危険なのか」「万一トラブルが起きたとき、どう振る舞えば信頼を守れるのか」──その基本を知っておくことが、自分を、そしてお客様を守る第一歩になります。
株式会社エス・ピー・ネットワーク 総合研究部 著
A5判 296頁
2,530 円（税込）
→本書を用いた動画解説つき通信講座の申込はこちら
→対応試験「金融サイバーセキュリティ３級」の詳細はこちら
※本書は「金融サイバーセキュリティ３級」の公式テキスト＆問題集です。
《サイバーセキュリティ教育・研修 早めに取り組むべき理由》
実は、サイバーセキュリティの知識の習得には時間がかかるという特性があります。なぜでしょうか。
サイバーセキュリティを業務や生活で実践するには、電子データの管理方法や価値、サイバー空間で起きている攻撃の脅威などを適切に理解する必要があります。しかし、電子データもサイバー空間も手に取って触れることができないため、「教えにくさ」「学びにくさ」の問題をクリアして教育、研修を実施しなければなりません。
例えば、扉に鍵をかけることの大切さを教えるとき、鍵と錠の現物を用い、鍵をかけて扉が開かない状態の体感学習を取り入れれば、施錠の大切さを簡単に教えることができます。しかし、サイバーセキュリティの学習はこれが難しく、電子データ等の存在を教える側、教わる側、双方の頭の中で“何かに置き換えて捉える”というひと手間が必要です。
この「わかりにくさ」の理由から、他の分野の教育に比べて時間を要します。
一方で、金融機関の行職員は仕事に就いた瞬間から、サイバーセキュリティの実践が求められます。金融機関では他の分野の研修をないがしろにはできませんが、サイバーセキュリティの教育、研究は、早めに取り組むことをおすすめします。
