サイバー犯罪により、今後5年間で銀行は推定3,500億ドルの損失を被る可能性があります。
大手銀行では、このリスクへの取り組みは依然として途上にあることが多いです。
業界は、サイバーセキュリティに関する共通の言語と枠組みを採用する必要があります。
サイバーリスクは、警告もなく、非常に激しい勢いで私たちに忍び寄ってきたように感じられます。
パームパイロットをドッキングステーションで同期させる必要があった時代や、電子メールの添付ファイルで感染するウイルスが時折問題となった時代から、私たちは大きく前進してきました。長年にわたり、利便性とコスト効率を求める絶え間ない取り組みの中で、極限までの接続性と極限までの自動化を取り入れてきました。
しかし、銀行が顧客を非対面のeチャネルへと誘導し続ける一方で（そして時には脅すことさえある）、オンライン詐欺や窃盗による過去最大規模の損失が明らかになっています。さらに、専門家だけでなく私たち全員が、この脅威との戦いにおいて徴兵された兵士のような役割を求められています。
Accenture社による報告書によると、Accentureでは、ビジネスリーダーの10人中ほぼ8人が、関連するセキュリティ上の課題への対応よりも速いペースで新技術を導入していると考えています。また、今後5年間で銀行セクターがサイバー犯罪によって失う価値は、ほぼ3,500億ドルに達する可能性があると推計しています。
さまざまな分野で公に知られている事例としては、海運会社マースクへのNotPetya攻撃、英国の国民保健サービス（NHS）へのWannaCry攻撃、SWIFTネットワークを介したバングラデシュ中央銀行の準備金の盗難、そしてソニー映画スタジオの機密データへのハッキングなどがあります。
モノのインターネット（IoT）を通じて接続される機器が増え、外部の専門業者が提供するサービスも増えたことで、攻撃や不備の潜在的な侵入口は単純に増えています。デジタル成熟度、能力、「サイバーハイジーン」の習慣が多様な私たちの間では、システムの回復力が最も脆弱な部分によって損なわれかねません。
同時に、当局間の国際協力の基盤は特に厳しい状況にあるようです。世界金融危機の最中であった2009年4月、G20各国政府は、強固で包括的かつ効果的な行動計画で結束しました。これとは対照的に、一部の攻撃への国家の関与が疑われる中、各国はサイバー関連の問題に慎重な姿勢を取る「frenemies（敵でもあり友でもある存在）」として行動しています。
一方では脅威インテリジェンスのシームレスな共有の必要性があり、他方ではデータを国境内に留めたいという要望があり、両者の間には対立があります。市民のプライバシーと国家との関係に対する文化的な考え方の違いも存在するかもしれません。最後に、攻撃者がデジタルツールを非常に機敏に活用するため、サイバー脅威は極めて動的であるように見えます。例えば、量子コンピューティングによって現在の暗号化方式を破ることが容易になる可能性があります。
このような荒れた環境に加え、国際的なレベルでの安全保障体制が未整備に見えることは、金融サービス部門にとって新たなリスク管理上の課題をもたらしています。サイバー事象は、金融の流れが依拠するデータの完全性を損なうことなどを通じて、信頼の喪失を引き起こす可能性があります。それは次いで、銀行の取り付け騒ぎ、流動性の凍結、市場価格の急落を引き起こしかねません。これがシステム全体の危機に発展するかどうかは、Jon Danielssonらが主張するように、規制当局の慎重な対応次第となるでしょう。
Bank of America の最高業務・技術責任者であるCatherine Bessant氏の言葉を借りれば、言葉：「脅威は非常に大きく、取締役会にとって難しいのは、それがモデル化しにくいことです。過去が前触れではないリスクなのです。」
信用リスクや市場リスクとは異なり、オペレーショナルリスク（サイバーリスクはその一部）は、その枠組みがより曖昧になりがちです。エクスポージャーは、損失の発生頻度の確率分布と、別途、損失の規模を基準に定量化されます。
プロセスのすべての段階では、データ（内部および外部）、前提条件、そしてリスク委員会による主観的な見積もりが必要となります。だからこそ、アプローチと枠組みの定性的な側面が極めて重要なのです。机上での図上演習の必要性も同様です。
規制当局は、金融機関に対し、標準的なチェックリストへの準拠よりも脅威への耐性を重視した、「設計段階からの安全性」を備えたシステムの構築を期待しています。取締役会、経営陣、その他の主要ポストのメンバーの役割と責任は、明確かつ曖昧さなく明文化されなければなりません。サイバー関連業務に従事する職員は、必要な能力を備えている必要があります。一部の法域では、特定のサイバー認証制度が導入されています。
外部委託業務の契約の枠組みとガバナンスには多くの注目が集まっており、取りこぼしがないよう確保することが求められています。また、規制当局は、フィンテック系スタートアップによるイノベーションを阻害しないよう、サービスプロバイダーの規模と重要性に応じて規制負担を調整することにも熱心です。
大手の伝統的な銀行にとって、サイバーリスクに対する組織設計と文化的な方向性は、依然として途上にあります。コンプライアンス担当者は業務部門と法務部門のどちらに所属すべきでしょうか。「three lines of defence（三線防御）」の間で、十分な分離、コミュニケーション、相互牽制が確保されているでしょうか。最高情報セキュリティ責任者（CISO）は、組織図の中で必要な職位や地位を備えているでしょうか。CISOは技術、法務、または犯罪捜査の経験を持つ人物でしょうか。取締役会や経営陣は、新商品、新市場、コスト削減策がサイバーリスクへの影響に照らして事前に検証されなければならないことを理解しているでしょうか、それとも後付けの検討事項でしょうか。
銀行内、銀行間、そして銀行と規制当局の間における情報共有の規範とはどのようなものでしょうか。銀行から規制当局へのインシデント報告は、多くの地域で義務付けられています。これには、根本原因分析と、得られた教訓に関する事後検証報告書の提出が含まれる場合があります。しかし、その他の連絡経路には欠落があります。法域をまたぐ規制当局間、規制当局から銀行へ、そして銀行間（おそらく認識されている汚名のため）です。2018年のBISによるサイバーレジリエンスに関する報告書によれば、「法域内におけるあらゆる種類の情報共有の取り決めの完全な採用は、依然として例外的である」とされています。
最後に、銀行は、統制の分類、リスク分類、指標、そしてサイバーリスク統制環境の指標として機能しうる具体的な項目一覧の体系を、継続的に洗練させる必要があります。そのダッシュボードには、サイバーインシデント対応マニュアル、復旧計画、パスワードや暗号化ポリシーに至る脆弱性スキャン、トレーニング実績、ヒヤリハット事象などの項目が含まれる可能性があります。
残念ながら、サイバーリスクは今後も続きます。このリスクに対する共通の言語、収束した枠組み、そして高まった認識を早期に採用できればできるほど、このリスクに対する防御と回復力を強化する準備が整うでしょう。
