サイバーインシデントは、コロナ禍後の経済回復を支える革新を頓挫させかねない。
悪意ある行為者が、世界の金融システム全体で進む急速なデジタル変革を悪用している。
中央銀行、金融規制当局、民間セクターは、金融システムの保護に関する責任の所在をより明確にするために連携すべきである。
カーネギー国際平和財団が主導し、世界経済フォーラムと協力する官民パートナーシップは、世界の金融システムをサイバー脅威からより良く保護するための国際戦略の青写真を策定した。
最後に、コーヒー代を非接触型決済ではなく現金で払ったのはいつでしょうか。過去6か月の間に銀行の支店に足を運んだでしょうか。それとも、多くの人と同じように、ノートパソコンの前に座ったまま銀行取引をすべて済ませているでしょうか。新型コロナウイルスの感染拡大は私たちの習慣を変え、場合によっては恒久的なものとなる変化をもたらすとともに、世界の金融システム全体でデジタル変革を加速させました。
決済はキャッシュレス化が進んでいます、銀行取引の大半はオンラインに移行し、フィンテックの革新により、私たちが利用する金融企業の数は大幅に増えました。国境を越えた貿易金融でさえ、Contourのようなブロックチェーン基盤を通じて、ますますデジタル化が進んでいます。
新型コロナウイルスのパンデミックによる「デジタル配当」は脆弱です。サイバーインシデントは容易に信頼を損ない、社会的に価値のある革新を頓挫させかねません。サイバーセキュリティは、これまでになく不可欠なものとなっています。
2020年4月、金融安定理事会（FSB）は次のように警告しました。「サイバーインシデントは、世界の金融システムの安定に対する脅威となる」。同理事会は次のように述べています。「近年、金融機関およびその事業環境に大きな影響を及ぼした大規模なサイバーインシデントが複数発生している。大規模なサイバーインシデントは、適切に封じ込められなければ、重要な金融インフラを含む金融システムを深刻に混乱させ、金融の安定性にさらに広範な影響を及ぼしかねない。」
2020年6月、フォーラムのサイバーセキュリティ・デジタルトラスト・プラットフォームは、世界が備えるべき必然的な事態として、「サイバー・パンデミック」の可能性を提起しました。サイバー・パンデミック。規模や経済を混乱させる可能性の点で、新型コロナウイルスのパンデミックは、2017年のWannaCry ランサムウェア攻撃のような、制御不能な大規模サイバーインシデントと実際に多くの共通点があります。この攻撃は急速かつ制御不能に拡散し、銀行、通信事業者、医療機関に影響を及ぼし、医療処置の中止や、患者を病院に搬送する途中で救急車の経路変更を余儀なくさせたと報じられました。
世界の金融システムは、サイバー攻撃に対して特に脆弱です。金融サービス企業は資金が保管される場所であることは明らかですが、経済と私たちの生活を動かし続ける重要インフラの重要な一部でもあります。金融システムは、利益を目的とするサイバー犯罪者にとって主要な標的です。さらに、国家の金融システムは、敵対国家間の攻撃の正当な標的とみなされるようになっています。
これは世界的な問題です。悪意ある行為者は、北米、欧州、その他の高所得国の金融機関を標的にするだけでなく、多くの場合、低所得国および低中所得国の保護の弱いソフトターゲットも攻撃しています。
フィンテックは世界的な流行語となっていますが、デジタル金融サービスへの動きは、低所得国および低中所得国で特に顕著です。これらの国では、銀行口座を持たない人々への金融サービスの提供が最優先課題となっています。G20による大規模な投資に後押しされた過去10年間の金融包摂の推進により、多くの国がデジタル金融サービスへと一足飛びに移行しました。デジタルサービスは金融包摂を前進させる一方で、悪意あるハッカーにとっても標的の多い環境であり、新たなマネーロンダリングのリスクをもたらし、あらゆる形態の国境を越えた犯罪行為の温床にもなっています。
組織をサイバー攻撃から守るためのコストは高く、対応は国境や業界のサブセクターごとに分断されています。サイバー攻撃者による脅威は、その出所を問わず、金融システム全体に共通のリスクをもたらすものであり、官民が協力して管理しなければなりません。
サイバー攻撃から私たちを守るのは誰の仕事なのか？
「国家安全保障、法執行機関、規制当局を含む政府機関間、ならびに産業界、学術界、NGOとの間で、サイバーセキュリティに関する分断を減らし、連携を改善することが急務です。サイバーセキュリティリスクが高まり続けるなか、サイバーレジリエンスの向上と維持に関しては、決して手を緩めることはできません。サイバー脅威から世界の金融システムをより良く保護するための国際戦略の提言を実行するため、この重要な取り組みを引き続き進めていくことを期待しています。」
– チェリ・F・マクガイア、カーネギー国際平和財団非常勤研究員、元スタンダードチャータードPLCグループ最高情報セキュリティ責任者
「サイバー脅威から世界の金融システムをより良く保護するための国際戦略」は、世界の金融システムの保護を次の戦略的優先分野にわたって総合的に捉えた、この種の初の枠組みおよびロードマップです。
1. 戦略的要請
役割と責任を明確にし、さまざまなサイロや関係するステークホルダーの間により多くの連携の仕組みを構築すること。
2. 主要な提言
サイバーレジリエンス：金融セクターをサイバー脅威から守るため、運用面でのサイバーレジリエンスと集団的防御を強化すること。
国際規範：国連やその他の関連プロセスを通じて、金融セクターに関連する国際規範を強化し、何が不適切な行為とみなされるか、すなわち悪意ある活動がどの時点で一線を越えたといえるのかを明確にするとともに、違反に対して行為者に責任を問い、規範が免責によって損なわれることを防ぐこと。
集団的対応：悪意ある行為者の活動を妨害し、金融機関に対する将来の攻撃をより効果的に抑止するため、集団的対応を促進すること。
この分野では、集合的な情報共有の強化が特に大きな価値をもたらします。世界の銀行決済の基幹インフラを形成する組織であるSWIFTのカスタマーセキュリティプログラム責任者、ブレット・ランカスター氏は次のように述べています。「組織が攻撃者から身を守るためには、適切なタイミングで得られる関連性の高い情報が極めて重要です。こうした情報は、日々の脅威行為者との戦いに役立つとともに、新たな手口の特定、情報の共有、リアルタイムでの新たな防御策の構築を通じて、金融サービス業界を強化するための、コミュニティの連携の強さを示す真の証です。」
3. 支援のための取り組み
サイバーセキュリティ人材：人材の供給の限界や多様性の欠如といった課題に対処するため、効果的な人材モデルを評価・拡大し、構想を行動に移すために必要なサイバーセキュリティ人材を育成すること。
能力構築：支援を求める金融機関に向けて、中核となる3つの柱すべてにわたる能力構築の取り組みを調整し、拡大すること。
デジタル変革／金融包摂：この分野における金融包摂と、過去10年間のG20の成果を守ること。
世界の金融システムはデジタルインフラへの依存を高めているにもかかわらず、サイバー攻撃からシステムを保護する責任を誰が負うのかは不明確です。
中央銀行は、業界横断および国境を越えた連携を強化し、リスクを特定する対応を進めています。イングランド銀行の「CBEST」インテリジェンス主導型テスト枠組みと、欧州連合の脅威インテリジェンスに基づく倫理的レッドチーミング（CBESTインテリジェンス主導型テスト枠組みと、欧州連合の脅威インテリジェンスに基づく倫理的レッドチーミング（TIBER-EU）枠組みは、官民が相互防護のために協力すれば、サイバーリスクを特定し、軽減できることを示す2つの例です。
金融サービス業界は、「サイバーリスク研究所」の金融サービス・サイバーセキュリティ・プロファイルを通じて、効果的なサイバーセキュリティ管理策の導入を円滑にするために協力してきました。サイバー防衛同盟、サイバー脅威同盟、世界経済フォーラムの「サイバー犯罪対策パートナーシップ」、FS-ISACといった業界連携は、サイバー脅威に対抗するための連携を強化するとともに、サイバー犯罪者のコストを引き上げる官民連携を強化することを目指しています。
既存の取り組みによって体制は維持されていますが、国のサイバーセキュリティに関する責任は、多数の公的機関に複雑に分散していることがよくあります。業界主導の取り組みも依然として分断されています。こうした状況が生む隙間を、サイバー攻撃者は利用し、実際に突いています。
フォーラムがリーダーのサイバーリスク理解とデジタルレジリエンス強化を支援する方法
サイバーセキュリティセンターは、リーダーが集まり、進化するサイバーリスクとその システミックな影響を理解するための信頼できるプラットフォームを提供しています。相互接続が進むデジタル社会において、理解と信頼の構築に重点を置いています。
セクターを越えた連携と知見の共有を可能にすることで、同センターは、パートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
ネットワーク型の脅威に対するネットワーク型の対応
金融、国家安全保障、外交の各コミュニティの間の乖離は特に顕著です。世界の金融システムを保護する役割と権限について不確実性が続いていることで、責任の空白が生まれ、リスクが拡大するとともに、金融システムに対するサイバー攻撃による現実世界での潜在的な損害も増大しています。この不確実性の一部は、現在の地政学的状況と高水準の不信感に起因しており、それが国際社会の連携を妨げています。
世界の金融システムをより良く保護するには、国際的な連携と創造的な発想が求められます。サイバー脅威から世界の金融システムをより効果的に保護するため、11月18日に公表された報告書「サイバー脅威から世界の金融システムを守るための国際戦略」は、2021年から2024年の期間に実施される支援策を伴う提言を示しています。
本報告書は、政府、中央銀行および金融監督当局のコミュニティ、業界、その他の関連組織の200を超える主要ステークホルダーとの協議に基づいています。また、カーネギー国際平和財団が2020年のミュンヘン安全保障会議で開催し、金融システムに対するサイバー攻撃を想定したサイバー戦争ゲームや、IMFと共催した、中央銀行総裁を対象とするサイバーセキュリティと金融システムに焦点を当てたハイレベル円卓会議から得らた知見も反映しています。
今すぐ行動が必要であり、本青写真は、金融システムを保護するための役割と責任の明確化、国際協力を促進するための措置、そしてサイバー攻撃のリスクに対処する能力を確保するため、取り組みの分断を減らすための提言への道筋を示すものです。
2021年に公平で包摂的な経済回復を確実にするためには、世界の金融システムをサイバー攻撃から守ることが重要です。ここでの連携は、医療や重要な国家インフラなど、他の重要セクターにとってのモデルとなり得ます。
