株式会社栃木銀行「サイバーセキュリティ人材育成プロジェクト」
第2回 足並みをそろえて全加盟行のセキュリティ底上げへ

「第1回 “共助”で挑む、地域金融機関のさらなる安心・安全」はこちら＞

貴重な学びの場となったシミュレーション演習

4回にわたる個人編カリキュラムに続き、2024年10月に実施されたのが組織編カリキュラムです。日立ソリューションズ・クリエイトのカリキュラムは、国立研究開発法人情報通信研究機構(NICT)がオープン化した演習基盤（CYROP: Cyber Range Open Platform）をベースとした、実例に基づいたシミュレーションと実機操作を取り入れた実践的な内容となっています。1日がかりのこの防御訓練には、栃木銀行のCSIRT*²（コンピュータセキュリティインシデント対応チーム）メンバー3名が、他のNEXTBASE加盟行の担当者とともに参加しました。

この演習はインシデント発生時のログ解析から復旧プロセスまで、参加者が主体的に考えるグループ形式で進行。今後発生しうるリアルなインシデントを再現した演習シナリオは、参加者に脅威に対する当事者意識と危機感を芽生えさせたと言います。

演習に参加した栃木銀行のCSIRTメンバーである小川 達也氏は「実機を使った演習は初めてでリアリティがあり、攻撃者の視点から考えることで予防的な対策を検討できるようになりました」とこのカリキュラムの意義を評価。同じくCSIRTメンバーの伊澤 雄太氏も「ウイルスが広がっていく速さなど、経験したことのないサイバー攻撃の実態を肌で感じることができました」と語るように、リアルな学びからの収穫も多くあったようです。
*2 Computer Security Incident Response Team

加盟10行の相互関係を深化させた共同プロジェクト

今回のプログラムから得られた気づきとして「平時からの準備と、知識の継続的なアップデートの重要性を再認識できました」と伊澤氏。小川氏も「いざという時に役立つサイバーセキュリティの“勘どころ”のようなものをつかめたと思います」と振り返り、日々進化する脅威に対応するにはCSIRTからの積極的な情報発信が不可欠だと感じたそうです。

さらに「他部門が新サービスを導入検討する時や、委託先のセキュリティ状況を確認する際に、例えば『IDS*³（不正侵入検知システム）ではなくIPS*⁴（不正侵入防止システム）のほうが適切では？』というように、CSIRTメンバーがこれまで以上に実践的な視点から会話できるようになっています」と語るのは、伊澤氏や小川氏の上長である栃木銀行事務システム部の平出 友仁氏です。

同氏はまた、「今回の全10行による共同学習を通じてNEXTBASEのセキュリティ対策共同検討会がさらに深化し、他行との情報共有も促進されました」と、加盟行が歩調を合わせて金融機関全体のセキュリティレベルの底上げに取り組んでいく意義を説明。他の銀行との交流が深まり、困った時に相談できる仲間ができたことも本プロジェクトの大きな収穫だったと言います。

*3 Intrusion Detection System
*4 Intrusion Prevention System

組織全体で意識を高め、備えて守る企業文化を

栃木銀行はサイバーセキュリティ知識に長けた人材の育成を目的として本プログラムに参加しており、現在進行中のプログラムにはより上位の管理職も参加することで、情報防衛に関する理解促進も図っています。今後は、サイバーセキュリティ体制の一層の強化に向けて、人員増強や有資格者育成、行内規定整備などを進めるとともに、全行的なセキュリティリテラシー向上もめざす方針です。

これついて平出氏は「サイバーセキュリティは自然と戦うようなものです。例えば、天気予報が正確に雨の予報を出したとしても傘なしで出かければぬれてしまう。サイバーセキュリティも同じで、どれだけ強固なシステムを構築しても使う人の意識や行動が伴わなければ意味がありません」と、日々のチェックや想像力を働かせることの重要性を強調。組織全体でサイバーリスクへの理解を深め、高度化・複雑化する脅威について確実に報告・連絡・相談できる企業文化を定着させていきたいと言います。

今後は金融庁が求める「パスキー」（パスワードを使用しない認証技術）など最新セキュリティ技術の提案も日立に期待したいという栃木銀行。あわせて、日立ITユーザ会などを通じてNEXTBASE加盟行だけでなく数多くの金融機関と、サイバーセキュリティという非競争領域での共助の輪を広げていければと展望します。

その期待に応えるべく、日立では高度技術者と経営層による組織的な競争力強化をめざしたセキュリティ人材育成支援などNEXTBASE加盟行のセキュリティレベルの底上げを支援しながら、金融分野全般におけるサイバーセキュリティの強化・確立をめざしていく方針です。そしてこうした施策を通じて、日立はこれからも社会インフラとしての安心・安全な金融システムの実現を追求していきます。