SERIES

Series 02｜サードパーティ・サイバーリスク管理

全3回中3回・更新中

金融機関の業務は、委託先・再委託先・共通クラウドという多層の依存の上に成り立っています。しかし契約が届くのは一次委託先まで。その先で起きた侵害や停止も、顧客に説明し当局に報告するのは金融機関自身です。本シリーズは全3回で、委託先が弱点になる構造、質問票で終わらせない評価プロセス、そして4th Partyと集中リスクへの備えを扱います。金融庁ガイドライン、バーゼル委の諸原則、欧州DORAという一次情報を軸に、実務に落とせる形で整理します。

このシリーズの記事

第1なぜ委託先が金融機関のサイバーリスクの弱点になるのか委託先経由の侵害やサービス停止は、もはや「相手先の事故」では済みません。金融機関の業務は委託先・再委託先・共通クラウドという多層の依存の上に成り立っており、自社の管理が届く範囲はその一部にすぎないからです。本稿では、依存の連鎖がどう侵害経路になるのかを整理したうえで、委託先が弱点になる4つの構造的な理由を解説します。あわせて、金融庁ガイドライン、バーゼル委の12原則、欧州DORAが共通して求めている水準を確認し、「委託したら終わり」から抜け出すための最初の3つの打ち手を示します。
第2委託先セキュリティ評価を「質問票だけ」で終わらせない方法年1回の質問票を配り、返ってきた回答を保管する。多くの金融機関の委託先評価はここで止まっています。しかし質問票が答えるのは「規程があるか」までで、実際に運用されているかには届きません。本稿では、委託先が止まったときの業務影響から重要度を分ける方法、評価の深さを3段階に設計する考え方、第三者認証報告書の読み方と限界、契約条項への落とし込み、そして是正のトラッキングと再評価までを一連のプロセスとして解説します。
第34th Party・クラウド集中リスクまでどう管理するか委託先の評価が一通り回るようになると、次に突き当たるのが「その先が見えない」という壁です。再委託先、共通のクラウド基盤、業界で共用されているサービス。契約相手ではないため直接は管理できず、しかし止まれば自社の業務が止まります。本稿では、依存マップの作り方から、個社レベルとシステミックの2つの集中リスクの見分け方、停止許容度の決め方、そして計画的終了に備えるExit Planと計画外終了に備えるExit Strategyの違いまでを整理します。