ログイン

トップ

アウェアネス

PhishAI

AI SOC

株式会社ヤグラ

サービス一覧

会社概要

記事

ホワイトペーパー

セミナー

用語集

ニュース

インシデント速報

お問い合わせ

資料ダウンロード

株式会社ヤグラ

Insight

金融機関に求められるセキュリティ運用：金融庁ガイドライン・FISC安全対策基準とSOC

迎 健太

2024年10月の金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」を起点に、FISC安全対策基準・金融ISACとの関係、求められる「検知と対応」をSOCでどう満たすか、地域金融機関のセルフアセスメントが示す現実、AI SOCの適合性を解説します。

金融庁ガイドライン・FISC安全対策基準と金融機関のSOC

金融機関のセキュリティ運用は、この数年で「各社の自主的な取組み」から「監督当局が枠組みを示し、その実効性を継続的に確認する領域」へと性格を変えつつあります。2024年10月に金融庁が公表した「金融分野におけるサイバーセキュリティに関するガイドライン」は、その転換点となる文書です。本記事では、同ガイドラインの要点と、FISC安全対策基準や金融ISACとの関係を整理したうえで、ガイドラインが求める「検知と対応」をSOC（Security Operation Center：セキュリティの監視・分析・対応を担う専門組織）でどう満たすか、そして人材と予算に制約のある地域金融機関にとって現実的な選択肢は何かを解説します。

金融機関を取り巻く脅威環境と規制の動向

まず脅威環境を確認します。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等」によると、2025年に警察庁が把握したランサムウェア被害の報告件数は226件で、依然として高水準で推移しています。被害組織の約6割を中小企業が占め、侵入経路はVPN機器が6割以上でした。1か月未満で復旧できた組織は全体の5割強にとどまり、調査・復旧費用が総額1,000万円以上となった組織も5割を超えています（警察庁, 2026）。

金融機関に直接関わる数字もあります。同報告書では、2025年のインターネットバンキングに係る不正送金の発生件数は4,747件、被害総額は約103億9,700万円で、その手口の約9割がフィッシングでした。また、2024年12月下旬から2025年1月上旬にかけて、交通機関や金融機関等の重要インフラ事業者においてDDoS攻撃によるとみられる被害が相次いで発生したことも記録されています（警察庁, 2026）。IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威の1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」、3位は「AIの利用をめぐるサイバーリスク」でした（IPA, 2026）。金融機関は、自組織への直接攻撃だけでなく、顧客を狙うフィッシングと、委託先・共同センター・クラウドといったサードパーティ経由の侵害を同時に想定する必要があります。

こうした環境を背景に、金融庁は2024年10月4日、「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しました。従来から各業態の監督指針にはサイバーセキュリティ管理やシステムリスク管理に関する定めがありましたが、同ガイドラインは監督指針等とは別に「更に詳細な」指針として策定されたものです。公表と同時に、主要行等、中小・地域金融機関、保険会社、金融商品取引業者等をはじめとする各業態の監督指針も一括して改正され、即日適用されました（金融庁, 2024）。2025年7月には、NISCの再編に伴う形式的な一部改正も行われています（金融庁, 2025）。

金融庁ガイドラインの要点

位置づけ、適用対象、二段階の対応事項

ガイドラインは「第1節 基本的考え方」「第2節 サイバーセキュリティ管理態勢」「第3節 金融庁と関係機関の連携強化」の三部構成で、第2節は「管理態勢の構築」「リスク特定」「サイバー攻撃の防御」「サイバー攻撃の検知」「インシデント対応及び復旧」「サードパーティリスク管理」の六つの領域に分かれています。適用対象は、主要行等、中小・地域金融機関、保険会社、金融商品取引業者等、資金移動業者、暗号資産交換業者、農漁協系統金融機関など、監督指針等にサイバーセキュリティ管理の定めがあるほぼすべての業態です（金融庁, 2024）。

実務上、最も重要なのは、各項目が「基本的な対応事項」と「対応が望ましい事項」の二段階で書かれている点です。ガイドラインは前者を「いわゆるサイバーハイジーンと呼ばれる事項その他の金融機関等が一般的に実施する必要のある基礎的な事項」と定義し、後者を、インシデント発生時に地域社会・経済等に大きな影響を及ぼしうる先において実践することが望ましい取組みや、大手金融機関及び主要な清算・振替機関等が参照すべき優良事例と位置づけています。同時に、いずれについても「一律の対応を求めるものではなく」、自組織の事業環境・経営戦略・リスク許容度を踏まえてリスクを特定・評価し、リスクに見合った低減措置を講じる「リスクベース・アプローチ」を採ることが求められると明記されています（金融庁, 2024）。金融庁の検査・モニタリングも規模・特性に応じたリスクベースで行う方針であり、地域金融機関が「望ましい事項」をすべて機械的に満たす必要はありませんが、なぜその水準を選んだのかを説明できる状態にしておくことが求められます。

経営陣の関与と責務

ガイドラインは、サイバーセキュリティを経営陣の責任として明確に位置づけています。取締役等の役員は、自組織の規模・特性・リスクに鑑みてサイバーセキュリティ管理態勢が不十分なことに起因して損害が生じた場合、「善管注意義務違反や任務懈怠による損害賠償責任を問われ得る」と明示されている点は、経営層に説明する際の重要な論点です。基本的な対応事項としては、取締役会等がサイバーセキュリティ管理の基本方針を策定し必要な管理態勢を整備すること、少なくとも年1回はレビューを行うこと、複数年計画を含む取組計画を策定すること、CISO（Chief Information Security Officer：最高情報セキュリティ責任者）等を経営陣の責任において任命し、少なくとも年1回はリスク状況や進捗の報告を求めることなどが挙げられています。対応が望ましい事項としては、年2回以上のKPI・KRI報告、経営陣に日常的に直接レポートできる立場へのCISO配置、リスクアペタイト（リスク選好度）とリスクトレランス（リスク耐性度）の設定などが示されています（金融庁, 2024）。

サイバーハイジーンと防御

「基本的な対応事項」の中核がサイバーハイジーン、すなわち日常的な衛生管理にあたる基礎的対策です。ハードウェア・ソフトウェアの台帳管理、脆弱性管理とパッチ適用、多要素認証を含む認証・アクセス管理、ログの取得・監視、マルウェア対策、データ保護・暗号化、ランサムウェアを想定したバックアップなどが該当します。パッチ適用については具体的な日数は定められておらず、「システムの重要度、リスク又は脆弱性の深刻度に基づいたパッチ適用等の対応期限を設定」することが求められています。ログ管理については、「ログの取得・監視・保存のための手続を策定し、定期的にレビューすること」とされ、保存期間や保存方法を手続として定めることが求められますが、一律の保存年数は示されていません（金融庁, 2024）。

サードパーティリスク管理

ガイドラインが独立した節を設けたのがサードパーティリスク管理です。ここでいうサードパーティは、システム子会社やベンダー等の外部委託先、クラウド等のサービス提供事業者、業務提携先、API連携先など、業務上の関係や契約等を有する他の組織を広く含みます。基本的な対応事項として、サードパーティを一元的に管理する統括部署の設置、台帳の整備、取引開始前のデューデリジェンス、契約・SLAへの役割分担・責任分界、監査権限、再委託手続、インシデント発生時の対応及び報告、脆弱性診断の実施・報告などの明記、リスクの重大性に応じた継続的モニタリング、取引終了時のデータ廃棄やアクセス遮断を含む管理プロセスの整備などが列挙されています（金融庁, 2024）。後述するとおり、SOCの外部委託やAI SOCの導入も、この節の管理対象になります。

検知、インシデント対応、復旧、演習

本記事の主題である検知と対応について、ガイドラインは次のように定めています。検知（2.4）では、基本的な対応事項として、アノマリ（異常値）やIoC（Indicator of Compromise：侵害の痕跡）などサイバー攻撃の端緒を検知するための「監視・分析・報告に係る手続等を策定し、必要に応じて見直す」こと、クラウドサービスも監視の対象に含めること、検知した端緒がインシデントに該当するかを影響範囲・重要度を含めて分析し、速やかにしかるべき責任者へ報告することが求められています。監視対象としては、未承認機器の接続や不審な挙動、ネットワークへの不正侵入や異常なデータ転送、通常と異なるアクセスパターン、外部サービスプロバイダによる保守作業などが挙げられています。そのうえで、「常時監視（24時間365日）を行うこと」と、SIEM等のツールで複数の監視情報を集約し相関関係を含めてリアルタイムに分析することは、「対応が望ましい事項」として位置づけられています（金融庁, 2024）。

インシデント対応及び復旧（2.5）では、サイバー攻撃を想定したインシデント対応計画とコンティンジェンシープラン（復旧計画まで含む）を攻撃の種別ごとに策定し、対応の優先順位や目標復旧時間・目標復旧水準を定めておくことが基本とされています。対応プロセスは、初動対応（検知・受付・トリアージ、対応要否の判断、CISO等・経営陣への報告）、分析（事前にログ等の証跡を保全し、保全したログに対して分析を行う。検知から復旧までの記録を残す）、顧客対応・広報（規制当局等への速やかな報告、必要に応じた公表、金融ISACやJPCERT/CC等への攻撃技術情報の共有）、封じ込め（事前に権限者を明確化し、封じ込めと証拠保全のいずれを優先するかを判断）、根絶、復旧（業務再開の判断権限者の明確化、バックアップ自体の改ざん・感染の可能性への留意）と整理されています。あわせて演習・訓練（2.2.5）では、定期的な演習・訓練の実施と業界横断的な演習への参加、経営陣・CISO等・業務部門の責任者が自ら関与すること、顧客に深刻な影響を与えかつ現実に起こりうるシナリオを含めること、対応計画の有効性を定期的に検証し見直すことが基本的な対応事項とされています（金融庁, 2024）。

FISC安全対策基準・金融ISAC・業界横断演習の位置づけ

FISC安全対策基準との関係

金融機関の実務では、金融庁ガイドラインとあわせて、公益財団法人金融情報システムセンター（FISC）が編纂する「金融機関等コンピュータシステムの安全対策基準・解説書」（以下、FISC安全対策基準）が一般に参照されています。金融庁ガイドラインも、参照すべき関連ガイドラインとして、サイバーセキュリティ戦略本部が決定した「重要インフラのサイバーセキュリティに係る行動計画」および「安全基準等策定指針」、FISC安全対策基準、NIST Cybersecurity Framework、The Cyber Risk Institute Profileの四つを明示的に挙げています。またコンティンジェンシープランについては、FISCの「金融機関等におけるコンティンジェンシープラン（緊急時対応計画）策定のための手引書」を参照するよう示しています（金融庁, 2024）。

両者の役割分担を大づかみに言えば、金融庁ガイドラインは「監督当局が金融機関に求める管理態勢の枠組み」を示すもの、FISC安全対策基準は「システムの設計・運用・監査における具体的な対策項目」を示すものと整理できます。多くの金融機関では、システム部門の内部統制やシステム監査、委託先・クラウド事業者の評価においてFISC安全対策基準の各項目への対応状況を確認する運用が定着しており、監督当局のガイドラインが「何を達成すべきか」を、FISC安全対策基準が「どのような対策で達成するか」を補完する関係にあります。FISC安全対策基準は継続的に改訂されているため、最新版の具体的な項目は同センターの公式情報で確認することをお勧めします。

金融ISACとDelta Wallという「共助」

ガイドラインは自組織の態勢整備だけでなく、業界としての情報共有も重視しています。一般社団法人金融ISACは、ガイドラインの説明によれば、我が国の金融機関によるサイバーセキュリティに関する情報の共有及び分析を行い、金融システムの安全性の向上を推進することを目的として2014年8月に設立された組織です。ガイドラインは、金融ISAC等が支援する技術的課題への対応、ベストプラクティスの共有、最新の攻撃動向や脆弱性情報の分析などの知見を積極的に活用することが望ましいとし、インシデント発生時には、攻撃者のTTP（Tactics, Techniques and Procedures：戦術・技術・手順）等の攻撃技術情報を、機密情報を除いたうえで金融ISACやJPCERT/CC等の情報共有機関に共有することを求めています（金融庁, 2024）。金融ISAC自身も、情報共有・分析に加え、危機対応訓練や会員向けの合同演習、ワーキンググループ活動を行っていることを公表しています（金融ISAC）。

演習面では、金融庁が主催する金融業界横断的なサイバーセキュリティ演習「Delta Wall」が、業界全体のインシデント対応能力の更なる向上を目的として毎年実施されています。2025年10月に実施されたDelta Wall 2025には177の金融機関が参加予定とされており、名称は自助・共助・公助の三つの視点と防御の壁（Wall）に由来します（金融庁, 2025）。ガイドラインが業界横断的な演習への参加を基本的な対応事項としていることを踏まえると、こうした演習で見つかった課題を自組織のインシデント対応計画とSOCの運用手順に反映させるサイクルを回すことが、実務上の要点になります。

「検知と対応」の要求をSOCでどう満たすか

ここまでの要求事項を日々の運用として実装する主体がSOCです。SOCとは？役割・Tier体制・24時間365日運用の基本と限界で解説しているとおり、SOCはログやアラートを監視し、脅威を検知・分析し、インシデント対応につなげる組織機能で、内製・共同利用・外部委託のいずれの形態でも構成できます（用語の定義は用語集：SOCも参照ください）。ガイドラインの各項目をSOCの機能に読み替えると、次のような対応関係になります。

  • 監視・分析・報告の手続策定（2.4）：監視対象、検知ルール、エスカレーション基準、報告先を定めたSOC運用手順書。クラウドや委託先による保守アクセスも監視対象に含めます。

  • 常時監視とSIEM等によるリアルタイム相関分析（2.4、望ましい事項）：24時間365日のアラート監視体制と、EDR・ネットワーク・認証・クラウドのログを集約するSIEM基盤。

  • ログの取得・監視・保存手続（2.3）と証跡保全（2.5）：取得対象ログの特定、保存期間・改変防止のルール、インシデント時にログを保全してから分析する手順。

  • 初動対応・トリアージ・経営陣への報告（2.5）：アラートの一次判定、業務影響に基づく優先順位付け、CISO等への報告基準。

  • 封じ込め・根絶・復旧（2.5）：端末隔離やアカウント停止などの権限者を事前に定めた対処手順と、システム部門・業務部門との連携。

  • 演習・訓練（2.2）：SOCの検知から経営判断までを通した机上演習・実機演習と、結果に基づく手順の見直し。

このうち多くの組織で最初に課題となるのが、「常時監視」と「証跡が残る対応」です。夜間・休日に発報したアラートを誰が見て、誰が隔離を判断するのかが曖昧なままでは、ガイドラインが求める「速やかにしかるべき責任者に報告」も「事前に権限者を明確にしておく」も実現できません。この論点は夜間・休日のセキュリティ体制はなぜ回らないのかで詳しく扱っています。また、検知から復旧までの記録を残すことは、監督当局への報告や内部監査、再発防止のための事後分析の前提であり、SOCの「調査の過程を記録する」機能がそのまま規制対応の証跡になります。検知から封じ込めまでの具体的な手順はインシデント初動対応とSOCの連携：検知から封じ込めまでの実務ランブックで解説しています。

地域金融機関の現実：セルフアセスメントが示す到達点と課題

ガイドラインの水準と現場の実態には、どの程度の差があるのでしょうか。金融庁と日本銀行は、金融機関に「サイバーセキュリティセルフアセスメント（CSSA）」の実施を求め、その集計結果を業界に還元する取組みを2022事務年度から行っています。2024年4月に公表された2023年度の集計結果は、地域銀行99先、信用金庫254先、信用組合145先の計498先を対象としたもので、地域金融機関の実像を把握できる貴重な一次情報です（金融庁, 2024）。

検知・監視の面では、24時間365日の監視を行うSOCを設置済みの先が68.1%（前回62.7%）と増加傾向にある一方、SOCは設置しているものの常時監視ではない先が16.1%、設置予定のない先が9.4%ありました。インシデント対応では、マルウェア感染時に直ちに切り離すルールを整備している先が94.6%と高水準であるのに対し、休日・夜間の対応手順を整備している先は50.0%にとどまります。ログ管理についても、取得すべきログを特定している先が74.5%、保管期間のルールがある先が68.3%、ログの改変を禁止するルールがある先が57.9%と、ガイドラインの基本的な対応事項に相当する項目で3〜4割の先に未整備が残っています。コンティンジェンシープランは攻撃別に策定している先が95.0%、訓練・演習を実施済みの先が83.7%に達していますが、外部委託先への攻撃を想定している先は42.7%、目標復旧時間を設定している先は33.6%でした（金融庁, 2024）。

最大の制約は人材です。同調査では、セキュリティの各機能について人材を「十分に確保できていない」と回答した先が機能別に62.7〜82.9%を占め、人材育成計画を策定している先は18.3%、複数年度の計画を策定している先は21.5%でした。サードパーティリスク管理でも、重要なサードパーティを統括部署で一元管理している先は58.6%で、リスク管理を行っていない先が12.1%ありました。金融庁は総括として、多くの地域金融機関が対策の実効性向上に向けた取組みを着実に進めている一方、「サイバーセキュリティ人材の確保・育成やサードパーティリスクの管理については、なお課題を抱えている」と評価しています（金融庁, 2024）。

この現実を踏まえると、地域金融機関が単独で高度な24時間SOCを内製することは、多くの場合、人材面でも費用面でも現実的ではありません。ガイドライン自身も、協同組織金融機関について共同センターへの委託や中央機関等による業務補完・支援の集約を通じた業態内の相互扶助に言及し、人材確保についても外部からの採用や外部人材の活用だけでなく内部人材の育成も考慮することを求めています（金融庁, 2024）。実務上の選択肢は、共同センターやグループのSOC機能を活用する、MSS（Managed Security Service）やMDR（Managed Detection and Response）などの外部監視サービスを利用する、あるいはAIエージェントによる自律的な調査を組み合わせて少人数で運用する、といった組み合わせになります。内製と外部委託それぞれの費用・人材・品質・スピードの比較はSOCの内製と外部委託（MSS/MDR）を徹底比較で整理しています。いずれの形態でも、監視を外部に委ねても管理責任は金融機関に残り、委託先はガイドライン2.6のサードパーティとして、デューデリジェンス、契約上の報告義務、継続的モニタリングの対象になることを忘れてはなりません。

AI SOCは金融機関の要求に適合するか：監査証跡・説明可能性・人的工数

ここで、AIエージェントがアラートを自律的に調査・対処するAI SOCが、金融機関の要求事項とどう整合するかを整理します。AI SOCの仕組みと従来型SOCとの違いはAI SOCとは？仕組み・従来型SOCとの違い・導入メリットをわかりやすく解説で解説していますので、ここではガイドラインの観点に絞ります。

第一に、監査証跡と説明可能性です。ガイドラインは、分析は保全したログに対して行い、検知から復旧までの対応内容や収集ログの一覧を記録として残すことを求めています。AIエージェントによる調査は、どのログを参照し、どの根拠でアラートを真陽性・偽陽性と判定し、どの対処を実施したかが、人による調査よりも一貫した形式で記録されやすいという性質があります。ただしそれは、調査の過程と判断根拠を人が追跡・検証できる形で提示する設計になっていることが前提です。金融機関がAI SOCを評価する際は、「判定結果」だけでなく「判定に至った根拠と参照データ」を内部監査や監督当局に説明できるか、記録が改変されない形で保存されるかを確認する必要があります。

第二に、常時監視と人的工数です。ヤグラAI SOCは、一流アナリストの調査手法を再現したAIエージェントが、EDR・SIEMのアラートを24時間365日自律的に調査・対処するサービスです。AIによる一次調査で担当者の負担軽減を支援し、効果は自社のアラートを用いて、調査率や手動分析時間、対応に要する工数から検証します。EDR・SIEM・ID管理製品など100以上のセキュリティ製品と連携し、自社開発のサービスとしてMicrosoft Sentinelなどの既存製品と連携すること、コンテキストメモリで自社環境を学習し調査精度が向上していくことも特徴です。先に見たセルフアセスメントの結果、すなわち常時監視ではないSOCが16.1%、休日・夜間の対応手順が整備されている先が半数という現状に対して、限られた人員で夜間を含むアラート調査を支える体制を作る手段として、AI SOCは適合性が高いと考えられます。ヤグラは地域金融機関をはじめとする金融機関を主要顧客の一つとしており、こうした規制産業の運用要件を前提にサービスを提供しています。

第三に、忘れてはならないのが、AI SOC自体がガイドライン2.6のサードパーティであるという点です。導入時には、データの所在と保管、アクセス権限、インシデント発生時の報告、監査権限、契約終了時のデータ廃棄などを契約・SLAで明確にし、自組織のインシデント対応計画と演習にAI SOCの運用を組み込むことが求められます。AIが自律的に対処を行う範囲（端末隔離やアカウント停止などの権限）についても、ガイドラインが求める「事前に権限者を明確にしておく」ことの一部として、金融機関側が方針を定めておくべき事項です。

対応チェックリストとまとめ

本記事で扱ったガイドラインの要求事項を、SOC運用の観点から確認するためのチェックリストを示します。自組織の規模・特性を踏まえたリスクベース・アプローチの起点として活用してください。

  1. 取締役会等がサイバーセキュリティの基本方針と複数年計画を策定し、少なくとも年1回のレビューと報告を行っているか。CISO等は経営陣の責任で任命されているか。

  2. 台帳管理、脆弱性・パッチ管理、多要素認証、ログ取得・監視、バックアップなど、サイバーハイジーンの基本的な対応事項が文書化された手続として運用されているか。

  3. 監視・分析・報告の手続が策定され、クラウドと委託先の保守アクセスも監視対象に含まれているか。夜間・休日のアラートを誰が見て誰が判断するかが決まっているか。

  4. 取得すべきログが特定され、保存期間・保存方法・改変防止のルールが定められているか。インシデント時にログを保全してから分析する手順があるか。

  5. 攻撃種別ごとのインシデント対応計画とコンティンジェンシープランがあり、対応の優先順位、目標復旧時間、封じ込めと業務再開の判断権限者が明確か。

  6. 規制当局への報告、顧客への伝達、金融ISAC・JPCERT/CC等への情報共有について、手順と担当が決まっているか。

  7. 経営陣・CISO・業務部門が関与する演習を定期的に実施し、業界横断演習にも参加し、結果を計画と手順に反映しているか。

  8. SOCの外部委託先やAI SOCを含むサードパーティについて、統括部署、台帳、デューデリジェンス、契約上の責任分界・報告義務・監査権限、継続的モニタリングが整っているか。

  9. セキュリティ人材の確保状況を把握し、外部活用と内部育成を組み合わせた育成計画があるか。

金融庁ガイドラインの「基本的な対応事項」と「対応が望ましい事項」は、いずれも組織の規模・特性やリスク評価を踏まえ、リスクに見合う対策を講じることが求められます。検知と対応の領域では、監視・分析・報告の手続とログの証跡管理、攻撃種別ごとの対応計画と権限の明確化が基本であり、24時間365日の常時監視とSIEM等によるリアルタイム分析が望ましい水準として示されています。セルフアセスメントの結果が示すとおり、地域金融機関の多くはこの水準に向かって着実に前進していますが、人材とサードパーティ管理が共通の制約です。共同化・外部委託・AIエージェントの活用を組み合わせ、限られた人員でも「優先順位を付けてアラートを調査し、証跡を残し、説明できる」運用を構築することが、金融庁ガイドラインとFISC安全対策基準の双方に応える現実的な道筋になります。

関連サービス：EDR・SIEMのアラートをAIエージェントが24時間365日自律的に調査・対処し、調査の過程を記録として残す「ヤグラAI SOC」の詳細はこちら。金融機関のセキュリティ運用に関するご相談も承っています。

参考・出典

ヤグラAIセキュリティ

丸わかり資料を

無料でダウンロード

生成AI時代に求められるサイバー環境の変化や

サービスの概要資料についてお送りいたします。

Yaguraの全貌がわかる

資料ダウンロード

ヤグラAIセキュリティ

丸わかり資料を

無料でダウンロード

生成AI時代に求められるサイバー環境の変化やサービスの概要資料についてお送りいたします。

Yaguraの全貌がわかる

資料ダウンロード

ヤグラAIセキュリティ

丸わかり資料を

無料でダウンロード

生成AI時代に求められるサイバー環境の変化やサービスの概要資料についてお送りいたします。

Yaguraの全貌がわかる

資料ダウンロード