市場インフラも同様の証拠問題に直面

金融市場インフラ、取引所、クリアリングハウス、決済システムは、物理的レジリエンスの枠組みとサイバーセキュリティ義務の両方の対象となるケースが増えています。重要インフラに指定されるほどの運営者は、多くの法域で同時に重要事業体としてサイバーセキュリティ要件の対象にもなります。物理面は目に見える証拠が生じ、検証も容易なため、相応の注意が払われます。一方、サイバー面は遅れがちです。

クリアリングハウスや取引所運営者に自社システムの安全性を尋ねると、ほぼ必ず「はい」と答えます。しかし、それを記録で証明してほしいと求めると、自信は急速に揺らぎます。本記事では、重要な金融インフラのサイバー面で証拠のギャップがなぜこれほど一般的なのか、そしてそのギャップを埋めるために実際に必要なことを解説します。

エグゼクティブサマリー

重要な市場インフラ運営者は、実際にコンプライアンスの対象範囲が拡大しています。物理的レジリエンス要件に加え、同じ運営者が重要事業体として該当するため、サイバーセキュリティ義務も課されるようになりました。物理面は目に見える証拠が生じるため、相応の注意が払われます。サイバー面は、必要とされる証拠、すなわちデータアクセスやシステム活動の継続的で検索可能な記録を事後に作成するのが困難なため、後回しにされがちです。これらの分野でリスクやコンプライアンスを担当するリーダーにとって、実務上の優先事項は、失敗がインシデントや規制当局によって初めて可視化されるまで見過ごされやすい義務の側面、すなわちサイバー面の証拠ギャップを埋めることです。

主なポイント

1. 重要な金融インフラは、物理的およびサイバーの両方の義務を同時に負うようになっています。 重要インフラに指定された運営者は、通常サイバーセキュリティ規制上の重要事業体にも分類されます。
2. 物理的レジリエンスは可視性があるため、サイバーレジリエンスよりも証明しやすい。 バックアップデータセンターや警備員の巡回は直接検証できますが、アクセス制御は現場を歩くだけでは確認できません。
3. 記録のないサイバーレジリエンスへの信頼は、レジリエンスではなく仮定に過ぎません。 誰が何にアクセスしたかを具体的に説明できない運営者は、コントロールを実証するのではなく、インシデントが発生していないことに依存しています。
4. 規制当局は一度きりの評価ではなく、継続的な証拠を求める傾向が強まっています。 一度提出したリスク評価では、実際のインシデント後に監督当局が求める質問に答えられません。
5. 重要な金融インフラ運営者に必要な証拠は、すべての重要事業体に必要な証拠と同じですが、より厳格な監査の下にあります。

なぜ重要な金融インフラは物理的・サイバーの両義務を負うのか

重要インフラに該当する運営者は、その指定によって1つではなく2つの別個かつ並行した義務を負うことが増えています。

物理的レジリエンスとサイバーレジリエンスは別個の義務として規制される

物理的レジリエンスの枠組みは、災害や破壊行為、物理的な妨害に対する重要サービスの継続性に焦点を当てています。具体的には、登録、影響評価、施設自体の防護措置などです。一方、同じ運営者が重要事業体として該当することで課されるサイバーセキュリティ義務は、まったく異なるリスクに焦点を当てます。インシデント報告、情報システムのリスク管理、技術的・組織的セキュリティ対策の証拠などです。片方を十分に満たしても、もう片方にはリスクが残る場合があります。

監査の厳格化は多くの運営者の証拠管理の進化より速い

指定基準の拡大により、より多くの市場インフラが対象となり、物理・サイバー両監督当局の連携も進む中、運営者への実務的な期待値も高まっています。単にコントロールを持つだけでなく、何かが起きた際にそのコントロールがどう機能したかを、具体的かつタイムスタンプ付きで説明できることが求められます。多くの運営者は、より低いレベルの監査を前提に証拠管理を構築しており、現在求められる水準に追いついていません。

なぜ物理的証拠は容易でサイバー証拠は難しいのか

この2つの義務の非対称性は、どちらをより重視しているかではなく、どちらが自然に証拠を生み出し、どちらが証拠を生み出すために意図的な設計を要するかにあります。

敷地は歩けても、アクセスログは歩けない

物理的なセキュリティ対策やバックアップデータセンター、警備員の巡回は、監査人が現場を直接見て検証できます。サイバーレジリエンスには同様の「現場確認」はありません。取引や清算システムへのアクセスが実際に制御・監視・記録されていたかは、記録を調べて初めて確認できます。そして、その記録は、システム自体が最初から継続的に記録を取得するよう設計されていなければ存在しません。

インシデントがないことはコントロールの証拠ではない

多くの運営者は、まだ何も問題が起きていない事実を、コントロールが実証されている証拠の代わりに扱いがちです。しかし、これはインシデントや規制当局の調査が発生した瞬間に崩壊する危険な置き換えです。特定の期間に何が起きたかを示すよう求められた場合、その答えは既に記録として存在していなければなりません。

サイバー証拠ギャップを埋めるために本当に必要なこと

このギャップを埋めるには、より良いポリシーを作ることが主目的ではありません。機密性の高い業務データや顧客データを扱うシステムが、ポリシーで存在すると謳われている証拠を実際に生成していることを確保することが本質です。

機密データに関わるすべてのシステムでの継続的なログ取得

運営者の証拠ギャップは、コンプライアンス意欲の問題ではなく、運用上のトラブルシューティング用に設定されたログ、負荷時に制限されたログ、あるいは出来事を一元的に把握できるよう相関されていないログが原因です。機密データを扱うすべてのチャネルで継続的かつ完全なログを取得することで、インシデント調査は推測の再構築ではなく、記録の取得作業に変わります。

証拠は規制当局に求められる前に用意されていなければならない

インシデントを調査する監督当局は、「どのデータが、誰によって、どの権限でアクセスされ、どのようなコントロールがあったのか」といった具体的な質問をします。既存の記録から即座に答えられる運営者は、記録が存在しない、または短時間で集約できないと説明する運営者とは根本的に異なる立場に立てます。

必要になる前に証拠基盤を構築する

重要な市場インフラ運営者にとって実務上の優先事項は、物理的レジリエンスと同じ厳格さでサイバー面の義務を監査することです。すなわち、機密データを扱うすべてのシステムでログが継続的かつ完全に取得されていること、その記録が迅速に検索できること、そして監督当局から具体的な説明を求められた際に実際に満たせる内容であることを確認することです。

データコントロールプレーンが重要金融インフラに必要な証拠をどう提供するか

サイバーレジリエンスを「主張」ではなく「証明」するには、機密データが通過するあらゆるチャネルでのアクセス、送信、共有、ダウンロードをすべて継続的に、かつオンデマンドで検索可能な形で記録するガバナンス層が必要です。

Kiteworksのデータコントロールプレーンは、あらゆるチャネルのすべてのアクションにデータ認識型のゼロトラスト・コントロールを適用し、各アクションを改ざん不可能かつ制限のない監査ログとして記録し、セキュリティ情報イベント管理（SIEM）ツールに直接連携します。これにより、機密データが「いつ」「誰の権限で」「何が起きたか」を正確に記録した継続的かつ検索可能な証拠を運営者に提供します。シングルテナント型のオンプレミス、自社クラウド、専用ホスティングなど、証拠基盤が運営者自身の管理下に置かれることも特徴です。

自社のサイバー証拠管理がこのような監査に耐えうるかを確認したい運営者は、カスタムデモを予約し、継続的かつクロスチャネルな監査証拠が自社の重要インフラ環境にどう適用できるかを体験できます。