金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」が求めるアクセス管理と ID 管理

金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」で、ID とアクセスの管理の中心は 2.3.1「認証・アクセス管理」です。2.3.1 は、権限を必要最小限にし、承認した個人にだけ付けるよう求めています。アカウントは作成から終了まで管理し、定期的に棚卸し(何があるか一覧にすること)をします。ID とパスワードを管理し、重要なシステムに外から入るときは多要素認証を使います。使った人を特定し、操作の記録と結びつけることも求めています。ログの管理、監視、取引先の管理の節にも、アクセスに関わる項目があります。

どんな文書で、誰に当てはまるか

ガイドラインは令和 6 年 10 月 4 日に作られ、同じ日から適用されています。令和 7 年 7 月 4 日に一部改正されました。内閣サイバーセキュリティセンターが国家サイバー統括室に改められたことに合わせた技術的な修正です。対象は、監督指針等(金融庁が業態ごとに定める監督の指針など)にサイバーセキュリティ管理の定めがある「金融機関等」です。銀行、保険会社、金融商品取引業者、暗号資産交換業者などのほか、金融商品取引所も含まれます。ガイドラインは、銀行法などの業法が求める業務の健全で適切な運営に、サイバーセキュリティの確保も含まれるとしています。

各節の項目は、「基本的な対応事項」と「対応が望ましい事項」に分かれています。前者は、金融機関等が一般に行う必要のある基礎的な事項です。後者は、事故が起きたときに地域の経済などへの影響が大きい金融機関等で行うことが望ましい取組みです。大手の金融機関などが参考にすべき進んだ取組みも含みます。ガイドラインは、どちらも一律の対応を求めるものではないとしています。そのうえで、自社のリスクを見積もり、それに見合った対策を取ること(リスクベース・アプローチ)を求めています。

意見募集では、特権 ID(管理者用アカウント)の管理を含む認証・アクセス管理を、システムやツールで行う必要があるかが問われました。金融庁は、必要かどうかは個々の状況によると答えています。

2.3.1「認証・アクセス管理」が求めること

2.3.1 には基本的な対応事項が 8 つあり、対応が望ましい事項はありません。人ごとの ID とアクセスの管理に当たるのは、そのうち①〜⑤の 5 つです。残りの 3 つのうち、⑥は第三者による不正を防ぐ取組み(メールの送信元の確認など)、⑧は重要な部屋への出入りの管理です。⑦は一度のログインで複数のサービスに入れる仕組みなど、システム同士のつなぎ目の安全の話なので除きます。

1. 認証とアクセス権の付与について方針と規程を作り、定期的に見直す(①)。踏まえる観点は 4 つです。権限を必要最小限にし、職務を分けることも考えに入れる(たとえば申請する人と承認する人を分ける)。アカウントの「ライフサイクル(作成、使用、終了)」を管理し、定期的に棚卸しと操作の記録の見直しをして、権限のない人の不正使用を防ぐ。特権アカウント(管理者用アカウント)の利用を厳しく制限する。例は多要素認証、操作のダブルチェック、アカウントの時間制限です。外部委託先によるアクセス権の利用を管理する。
2. アクセス権は、業務上の正当な必要があり、承認され、教育・研修を受け、管理されている個人にだけ付与する(②)。
3. ID とパスワードなどの認証情報を管理する(③)。例は、初期パスワードの変更、パスワードの強さの条件、ID の自動失効、システム責任者による定期的なアクセスの見直しです。
4. アクセスを許す前に、その人の権限が適切かを確かめる。そして、アクセスした人を特定できるようにし、処理内容を記録して、その人の操作と対応させる(④)。
5. システムや情報の重要度に応じて、ログインの確かめ方を決める。重要なシステムに外から入るときは、多要素認証(パスワードに加えてもう 1 つの方法で本人を確かめること)を使う(⑤)。

記録を何年残すかなど、ほかの公的な文書との比較は管理者用アカウントの監査で示せるようにしておく記録にまとめています。

ほかの節でアクセスに関わる項目

2.1.2 は、経営陣がサイバーセキュリティの規程を整え、少なくとも年に 1 回見直すことを求めています。規程に含める事項の例に、認証・アクセス管理とログ管理があります。2.3.4.2「ログ管理」は、記録を取り、監視し、保存する手続を定めることを求めます。手続に含める事項の例は、記録する内容、記録を見られる人の制限、改ざんの防止、保存期間などです。運用担当者の作業の記録が適切かを、定期的に、または必要に応じて確かめることも求めています。

外からの接続については、2.3.4.4 の⑤があります。テレワークや、システムの提供会社による保守で、外から入れるシステムを絞って適切に管理するよう求めています。その例に、利用者の認証と、通信内容を含む記録の取得・保存・監視を挙げています。2.4.1「監視」は、役職員のいつもと違うアクセスの仕方と、外部の事業者による保守作業などのアクセスを監視の対象に挙げています。

取引先の管理は 2.6「サードパーティリスク管理」(取引先から来る危険の管理)にあります。ここでいう取引先には、外部委託先のほか、クラウドなどのサービスの提供会社も含まれます。2.6 はまず、金融機関等にサービスを提供する取引先は、金融機関等の管理に必要な支援をすべきだとしています。金融当局が業法に基づき、特に必要なときは外部委託先に報告を求め、立入検査をする権限を持つことにも触れています。

そのうえで、取引先を管理する台帳には、管理項目の例として、取引先が自社のシステムに持つアクセスの範囲を挙げています。重要度に応じて契約などに書く項目の例には、監査権限や、取引先の役職員が守るルールがあります。取引を終えるときには、データの廃棄と、自社システムへのアクセスを遮断する手順を整えるよう求めています。

共有のアカウントはどう読めるか

ガイドラインにも意見募集への回答にも、共有のアカウントを名指しした記述はありません。ただ、②は権限を「個人に対してのみ」付与するとし、④はアクセスした人を特定して操作と対応させるよう求めています。1 つの ID を複数の人で使うと、システムの記録には ID しか残らず、誰が操作したかを記録からは区別できません。共有を続けるなら、使った人を別の手段(たとえば、誰がいつ使ったかを書く貸出の記録簿)で特定できるようにしておく必要があると読めます。

人が辞めるときの扱いも変わります。担当者が個人の ID を持っていれば、退職の日にその ID を止めればアカウントの終了になります。共有の ID は残る人が使い続けるので止められず、パスワードを変えて配り直さない限り、辞めた人も入れる状態が続きます。共有の ID で①の無権限者による不正使用を防ぐには、人が辞めるたびにこの変更と配り直しを続けることになります。

どこから確かめるか

ガイドラインの項目を自社の点検に置き換えると、次のようになります。

1. 社内で使っているシステムと外部サービスごとに、アカウントの一覧を作る。誰が使えるか、管理者用か、複数人で使っているかを書く。一覧がなければ棚卸しも見直しもできないためです。
2. それぞれのアクセス権に、誰が承認したかの記録があるかを見る。②が承認された個人にだけ付与するよう求めているためです。
3. 退職、異動、委託の終了のときに、誰がどの ID を止めるかを手順にする。共有の ID は、パスワードを変えて配り直す手順まで書く。①がアカウントの終了の管理を、③が ID の自動失効を挙げているためです。
4. 操作の記録から、操作した人までたどれるかを確かめる。あわせて、誰がいつその記録を見直すかを決める。④と 2.3.4.2 が求めるためです。
5. 取引先の台帳に、取引先が持つアクセスの範囲を書く。取引の終了時にアクセスを止める手順も書く。2.6 が台帳の管理項目の例に挙げ、終了時の手順を求めているためです。