【解説】CRI Profileアセスメントでよく検出される3つの課題と対策のポイント｜金融機関向け

皆さんは「CRI Profile」をご存じでしょうか。

CRI Profileとは、米国の非営利団体CRI（Cyber Risk Institute）が公開している、金融機関に特化したサイバーセキュリティフレームワークです。事業規模に応じて評価対象の要件を絞り込める「Tier」の考え方や、年1回程度という更新頻度の高さが特徴で、欧米の金融機関を中心に採用が進んでいます。2024年10月4日に金融庁より公表された『金融分野におけるサイバーセキュリティに関するガイドライン』^[i]において、実質的かつ効果的な対応を行うにあたっての参照先として挙げられていることもあり、近年は日本国内の金融機関においても注目が高まっています。

※なお、CRI Profileに関する詳細は、以下の別記事もご参照ください。

CRI Profileとは？｜金融機関向けサイバーセキュリティリスク評価フレームワーク

CRI Profile v2.0での更新ポイント｜金融機関向けサイバーセキュリティリスク評価フレームワークを解説

本記事をお読みいただいている金融機関様の中には、『金融分野におけるサイバーセキュリティに関するガイドライン』を基にした対策状況の評価と課題への対応が一巡し、今後の評価でCRI Profileの活用を検討されている方も多いのではないでしょうか。

NRIセキュアは、2022年12月にCRIと日本初の公式イノベーター契約を締結して以来、多数の金融機関様に対してCRI Profileを活用したアセスメント支援を実施してきました。その中で、業態や規模を問わず共通して検出されることが多い「よくある課題」が見えてきています。

本記事では、CRI Profileを用いたアセスメント活動において特によく検出される3つの課題――「サプライチェーン管理」「セキュア・バイ・デザイン」「脅威インテリジェンス」――について、具体的な課題とその解決に向けた対策のポイントを解説します。

CRI Profileアセスメントで特によく検出される3つの課題

多数の金融機関様に対してCRI Profileを活用したアセスメント支援を実施する中で、特に課題が検出されるケースとして多いのが、以下の3つの領域です。

アセスメント時に特に課題が検出される項目と課題の内容

次章より、3つの課題それぞれについて、課題の詳細と解決に向けた対策のポイントを解説します。

課題①：サプライチェーン管理

課題の背景

システム開発・運用の外部委託、クラウドサービスの利用、フィンテック企業とのAPI連携等、金融機関のサプライチェーンは複雑化・多様化の一途をたどっており、サードパーティへの依存の増大に伴い、そのリスク管理の難度も高まっています。

金融庁が公表した『「金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査」報告書』^[ii]においても、サードパーティのみならず再委託先等の「4thパーティおよびそれ以降」まで含めたICTサプライチェーンの考え方が整理して示されており、管理対象の広がりが課題として浮き彫りになっています。

金融庁におけるICTサプライチェーンの考え方

出典：金融庁「金融セクターのサードパーティ・サプライチェーンのサイバーリスク管理に関する調査報告書」
を基にNRIセキュアにて作成

このサプライチェーン管理の領域においては、特に「管理すべき範囲」と「管理方法」の2点を具体的な課題として抱えている金融機関様が多いのが実情です。

課題①-1：「自社が管理すべき範囲」が定まらない

サプライチェーンを構成するすべての委託先、サービスプロバイダ、あるいは4thパーティ（再委託先）およびそれ以降までを、すべて自社にて直接管理・評価することは困難です。

例えば、CRI Profile v2.2の要件ID.AM-08.06では、すべてのサードパーティに対する最低限のセキュリティ要件として「データの取得から返却または破棄に至るまでのライフサイクル全体において、データの利用、アクセス、保管、ならびに地理的な所在に関する制限を含めていること」が求められています。

ただし、すべてのサードパーティおよび関連する4thパーティ等に対して本要件への準拠状況を自社評価すると、評価に必要な工数が膨大となり、運用上大きな負担が生じます。

課題①-1への対策ポイント：要件ごとの現実的な対象範囲を定義する

NRIセキュアがアセスメントをご支援する際は、他社事例や想定されるリスクを考慮した上で、CRI Profileの要件ごとに「どの範囲のサードパーティを自社で直接管理する対象とすべきか」という定義を具体的に設定するよう助言しています。これにより、現実的かつ効果的な管理を実現しやすくなります。

要件の対象となるサードパーティの範囲の例

課題①-2：「管理方法」がアンケート依存で客観性に限界がある

管理範囲が定まっても、次に「サードパーティおよび関連する4thパーティ等のセキュリティ対策状況をどのように確認するか」という課題が残ります。日本におけるICTサプライチェーンの管理方法は、質問票を送付して自己評価してもらうアンケートベースのチェックが主流です。

手軽である一方、相手先の主観的な自己申告に依存するため客観性が低く、管理の実効性が十分とは言えない状況が多く見られます。

課題①-2への対策ポイント：複数手法の併用

NRIセキュアがアセスメントをご支援する際は、アンケートベースのチェックに加えて、重要な業務を委託している、または重要な情報を取り扱っている委託先においては、以下のような手法を併用することで、確認結果の客観性を高めるよう助言しています。

• 公開情報を活用した客観的評価（OSINT等）：セキュリティレーティングサービス等を活用し、外部から観測可能な事実に基づいてサードパーティのセキュリティ状態を評価する
• エビデンスベースのチェック：アンケート回答の裏付けとなる資料や実施状況を示すデータの提出を求め、自己申告の信頼性を高める
• SBOM管理等のソフトウェア管理の精緻化：納入物に含まれるソフトウェアコンポーネントを可視化し、脆弱性リスクを継続的に管理する

CRI Profileが求めるICTサプライチェーンリスク管理の全体感

ここまで「サードパーティ管理における対象範囲の定義と管理方法におけるポイント」を解説してきましたが、仮に適切に評価ができたとしても、それだけでサイバー攻撃の被害を確実に防げるわけではありません。CRI Profileには、評価と併せて確認・管理すべき以下のような要件が存在します。

「評価して終わり」ではなく、契約・体制・訓練までを含めたライフサイクル全体でのサプライチェーンリスク管理が求められている点がポイントです。

ICTサプライチェーンリスク管理において求められる対応内容の例

課題②：セキュア・バイ・デザイン

課題の背景

2つ目の課題は、開発プロセスにおけるセキュリティの確保に向けた考え方、いわゆる「セキュア・バイ・デザイン」の実現です。

これまでのシステム開発では、開発標準でセキュリティ要件を規定し、チェックリストで遵守状況を可視化し、リリース前にセキュリティ診断を実施し、運用時はWAFで攻撃を検知・防御する——という形でセキュリティを担保するケースが多く見られました。これらは現在でも基本となる重要な対策です。

しかし、DXの拡大に伴い、例えば以下のような「従来のセキュリティ対策では不十分な場面」が増えています。

• サービス連携や、これまで実績のないアーキテクチャ等の新技術を導入する際、事前のルール整備だけでは対策が追いつかない
• 要件やユースケースが頻繁に変更されるDXプロジェクトでは、リリースのたびに外部専門家によるセキュリティ診断を実施することが難しい場合がある

また、そもそも「脆弱性を見つけるフェーズが遅ければ遅いほど、修正の手戻りコストが大きくなる」という問題もあります。テスト工程でのセキュリティ診断で重大な問題が見つかった場合、設計まで遡った改修が必要となり、改修コストの増加やリリース遅延が発生します。低コスト・短期間での開発が求められるDXにおいては、この「後工程で見つけて直す」やり方では対応しきれなくなっているのです。

課題：セキュアなシステム開発ライフサイクルの実現

CRI Profile v2.2の要件PR.PS-06.01では、「従来型およびアジャイル型双方の開発プロジェクトの全工程において、セキュアコーディング、コードレビュー、アプリケーションセキュリティテスト等のセキュア・バイ・デザインのベストプラクティスを取り入れた、内製ソフトウェア向けのセキュアシステム開発ライフサイクルの実施」を求めています。

しかしながら、金融機関様によっては「リリース前に診断だけ実施している」状態となっていることも多く、この状態では上述の要件を十分に満たしているとは評価しにくいのが実際のところです。

課題への対策ポイント：開発フェーズを分解してセキュリティ施策を組み込む

NRIセキュアがアセスメントをご支援する際は、システムの重要性やリスクに応じて自社に適した組み合わせを検討した上で、開発ライフサイクルのフェーズごとにセキュリティ施策を分解して組み込むことを推奨しています。

例えば、フェーズごとに以下の表のような施策が考えられます。

開発フェーズ別のセキュリティ施策の例

すべての施策を一律に導入する必要はありません。まずは自社の開発プロセスと照らし合わせ、どのフェーズに施策が不足しているのかを可視化し、システムの重要性・リスクを鑑みて価値検証から始めることが、実効性のあるセキュア・バイ・デザイン定着への近道です。

課題③：脅威インテリジェンス

課題の背景

3つ目の課題は、脅威インテリジェンスの活用です。脅威インテリジェンス（Threat Intelligence）とは、セキュリティの脅威について収集・分析した情報と、それにより得られる知見等の情報の総称を指します。脅威インテリジェンスを活用することにより、従来のセキュリティ対策では見逃されていた高度なサイバー攻撃の検知や、特定の業界・業種を標的としたサイバー攻撃からの防御を期待できます。

なお、脅威インテリジェンスは、現場においては大きく以下の3つに分類して活用されることが一般的です。

脅威インテリジェンスの活用分類

課題：脅威インテリジェンスを有効に活用できていない

昨今、高度なサイバー攻撃による被害が増加していることもあり、これまで以上に脅威インテリジェンスの重要性が強く認識されるようになりました。

CRI Profile v2.2の要件RS.CO-03.01においても、「戦略、戦術、運用の各レベルにおいてサイバーリスクの低減に責任を負う権限を有する職員に対し、サイバー脅威インテリジェンスを安全な手法で提供し、利用可能な状態にすること」が求められています。

これに伴い、脅威インテリジェンスを導入する金融機関も増えています。

ただし、以下のような状態で導入してしまったが故に、有効に活用できていないケースが多く見受けられます。

• 目的や目標を定めずに導入してしまった
• 目的や目標は定めていたものの、具体的にどの情報をどの部署の誰が活用するのかについて関係部署間で認識を合わせずに導入してしまった

課題への対策ポイント：組織に合わせて導入目的・目標を明確にする

脅威インテリジェンスを有効活用するためには、活用の考え方や手法を知るだけではなく、組織に合わせて導入目的・目標を設定することが最も重要です。目的を設定しないまま情報収集を始めてしまうと、情報過多となり有用な分析・活用が困難になります。

インテリジェンス運用には「目的設定→収集→加工→分析→配布」という一般的なプロセスがありますが、起点となる目的の設定を誤ると、その後の努力が成果につながりません。NRIセキュアがアセスメントをご支援する際は、金融機関様のご状況に関わらず（導入検討中、運用開始済みに関わらず）、以下のようなポイントを整理するよう助言しています。

脅威インテリジェンス運用開始時の主な考慮事項

なお、参考までに、金融機関において脅威インテリジェンスを導入する目的としては、例えば以下のような「達成したいこと」が挙げられます。

導入の狙いと目的、結びつく脅威情報の例

このように「達成したいこと」を明確にした上で脅威情報と結び付け、収集→加工→分析→配布と対応を進めていくことが重要です。

さいごに

本記事では、CRI Profileを活用したアセスメントにおいてよく検出される課題として、①サプライチェーン管理、②セキュア・バイ・デザイン、③脅威インテリジェンスの3つを取り上げ、それぞれの詳細と解決に向けた対策について解説しました。「自社もまさにここが課題だ」と思い当たるものがあったのではないでしょうか。

CRI Profileは、今回取り上げた領域のほかにも、ガバナンス、インシデント対応、レジリエンス等、金融機関に必要な対策を網羅した包括的なフレームワークです。評価を通じて弱点を発見し、改善へのロードマップを描くことで、サイバーリスクに強い組織へと着実に前進できます。

NRIセキュアでは、CRI Profileを用いたサイバーセキュリティ対策状況の評価と課題解決を目的とした「CRI Profileを活用したサイバーセキュリティアセスメントサービス」を提供しています。本サービスにご興味がある方は、下記リンクからお気軽にお問い合わせください。

https://www.nri-secure.co.jp/service/consulting/cri_profile