市場インフラも同様の証拠問題に直面

金融市場インフラ、取引所、クリアリングハウス、決済システムは、物理的レジリエンスのフレームワークとサイバーセキュリティ義務の両方の対象となるケースが増えています。重要インフラに指定されるほどの運営者は、多くの法域で同時に重要事業体としてサイバーセキュリティ要件の対象にもなります。物理的側面は、目に見える、検証可能な証拠が生じるため、相応の注目を集めます。一方、サイバー側は遅れがちです。

クリアリングハウスや取引所運営者にシステムの安全性を尋ねれば、ほぼ必ず「はい」と答えるでしょう。しかし、その証拠を記録で示してほしいと求めると、自信は急速に薄れていきます。本記事では、重要な金融インフラのサイバー側で証拠のギャップがなぜこれほど一般的なのか、そしてそのギャップを埋めるために実際に必要なことは何かを解説します。

エグゼクティブサマリー

重要な市場インフラ運営者が直面するコンプライアンスの範囲は、実際に拡大しています。物理的レジリエンス要件に加え、同じ運営者が重要事業体に該当することでサイバーセキュリティ義務も課されるようになりました。物理的側面は、目に見える、検証可能な証拠が生じるため、相応の注目を集めます。サイバー側は、必要とされる証拠、すなわちデータアクセスやシステム活動の継続的かつ検索可能な記録の作成が事後では困難なため、遅れがちです。これらの分野のリスクおよびコンプライアンス責任者にとって、実務上の優先事項は、失敗がインシデントや規制当局によって初めて明るみに出るまで見えないために投資が後回しにされがちな義務側の証拠ギャップを埋めることです。

主なポイント

1. 重要な金融インフラは、物理的義務とサイバー義務の双方を同時に負うようになっています。 重要インフラに指定された運営者は、通常サイバーセキュリティ規制上も重要事業体として分類されます。
2. 物理的レジリエンスは可視性があるため、サイバーレジリエンスよりも実証が容易です。 バックアップデータセンターや警備員の交代は直接検証できますが、アクセス制御は現場を歩いても確認できません。
3. 記録のないサイバーレジリエンスへの信頼は、レジリエンスではなく単なる仮定です。 誰が何にアクセスしたかを具体的に説明できない運営者は、実証された管理ではなく、インシデントが起きていないことに依存しています。
4. 規制当局は一度きりの評価ではなく、継続的な証拠をますます求めています。 一度提出したリスク評価では、実際のインシデント後に監督当局が求める質問には答えられません。
5. 重要な金融インフラ運営者に必要な証拠は、すべての重要事業体に必要な証拠と同じですが、より厳格な審査の下に置かれます。

なぜ重要な金融インフラは物理的・サイバー両方の義務を負うのか

重要インフラに該当する運営者は、その指定によって一つではなく二つの並行した義務が発生するケースが増えています。

物理的レジリエンスとサイバーレジリエンスは別個の義務として規制される

物理的レジリエンスのフレームワークは、災害や破壊行為、物理的な妨害に対する重要サービスの継続性に焦点を当てています。登録、影響評価、施設自体の保護措置などです。サイバーセキュリティ義務は、同じ運営者が重要事業体に分類されることで適用され、全く異なるリスクに焦点を当てます。インシデント報告、情報システムのリスク管理、技術的・組織的セキュリティ対策の証拠などです。どちらか一方を十分に満たしていても、もう一方に脆弱性が残ることがあります。

規制の厳格化が運営者の証拠管理の実態を上回るペースで進む

指定基準の拡大でより多くの市場インフラが対象となり、物理・サイバー両監督当局の連携も進む中、運営者への実務的な期待値も高まっています。単に管理策を持つだけでなく、何かが起きた際にその管理策がどのように機能したかを、具体的かつタイムスタンプ付きで説明できることが求められます。多くの運営者は、より低い審査水準に合わせて証拠管理を構築しており、現在求められる水準に追いついていません。

なぜ物理的証拠は簡単でサイバー証拠は難しいのか

この二つの義務の非対称性は、どちらをより重視するかではなく、どちらが自然に証拠を生み出し、どちらが証拠を生み出すために意図的な設計を必要とするかにあります。

境界線は歩けても、アクセスログは歩けない

物理的なセキュリティ対策やバックアップデータセンター、警備員の交代などは、検査官が直接観察して確認できます。サイバーレジリエンスには同等の「現場確認」はありません。取引・決済システムへのアクセスが本当に管理・監視・記録されていたかは、記録を調べて初めて確認できますし、その記録も、システム自体が最初から継続的に記録を残す設計でなければ存在しません。

インシデントがないことは管理の証拠ではない

多くの運営者は、今のところ問題が起きていない事実を実証された管理の代わりとして静かに扱っています。これは非常に危険な置き換えであり、インシデントや規制調査が実際に起きた瞬間に崩壊します。特定の期間に何が起きたかを示すよう求められた場合、その答えとなる記録が既に存在している必要があります。

サイバー証拠ギャップを埋めるために本当に必要なこと

このギャップを埋めるには、より良いポリシーを作成することが主眼ではありません。機密性の高い業務データや顧客データを扱うシステムが、ポリシーで謳われている証拠を実際に生成しているかどうかが重要です。

機密データに関わるすべてのシステムでの継続的なログ取得

運営者の証拠ギャップは、コンプライアンスへの意欲の問題ではなく、運用トラブル対応用に設定されたログや、負荷時に制限されたログ、あるいは出来事全体を一元的に集約できていないログが原因です。機密データを扱うすべてのチャネルで継続的かつ完全なログを取得することで、インシデント調査は推測の再構築ではなく、記録の検索作業に変わります。

証拠は規制当局に求められる前に準備されていなければならない

インシデントを調査する監督当局は、どのデータが誰に、どの権限でアクセスされ、どのような管理策が講じられていたかを具体的に尋ねます。既存の記録から即座に回答できる運営者と、記録が存在しない・短時間で集約できない理由を説明しなければならない運営者とでは、根本的に立場が異なります。

必要になる前に証拠基盤を構築する

重要な市場インフラ運営者にとって、実務上の優先事項は、物理的レジリエンスと同じ厳格さでサイバー側の義務を監査することです。すなわち、機密データを扱うすべてのシステムでログが継続的かつ完全に取得されているか、生成された記録が迅速に検索できるか、規制当局から具体的な要求があった際に実際に満たせるかを確認することです。

データコントロールプレーンが重要な金融インフラに必要な証拠をどう提供するか

サイバーレジリエンスを主張ではなく実証するには、機密データが通過するすべてのチャネルで、すべてのアクセス・送信・共有・ダウンロードを継続的に、かつオンデマンドで検索可能な形で記録するガバナンスレイヤーが必要です。

Kiteworksのデータコントロールプレーンは、すべてのチャネルのあらゆるアクションにデータ認識型のゼロトラスト・コントロールを適用し、それぞれを改ざん防止かつ制限のない監査ログとして記録、SIEMツールに直接連携します。これにより、機密データが「いつ」「誰の権限で」「何が起きたか」を正確に示す継続的かつ検索可能な記録を運営者に提供します。シングルテナントでの導入、オンプレミス、自社運用クラウド、専用ホスティングなど、証拠基盤を運営者自身の管理下に置くことができます。

自社のサイバー証拠管理がこのような厳格な審査に耐えうるかを確認したい運営者は、カスタムデモを予約し、継続的かつチャネル横断的な監査証拠が自社の重要インフラ環境にどう適用されるかを体験できます。