銀行に求められるものは何でしょうか。
便利なアプリや使いやすいサービスを思い浮かべる人もいるかもしれません。しかし、多くの人が銀行に期待しているのは、もっと基本的なことかもしれません。
お金が安全に守られていること。
必要なときにサービスが利用できること。
情報が適切に管理されていること。
私たちは普段、それらを特に意識することなく銀行を利用しています。けれども、その「当たり前」は自然に成り立っているわけではありません。
サイバー攻撃の手法は日々高度化し、金融機関を取り巻くリスクは複雑さを増しています。そうした環境のなかで、お客さまの資産や情報を守り、サービスを安定して提供し続けることは、銀行にとって重要な責務のひとつです。
その役割を担っているのが、SBI新生銀行グループのグループC-SIRT運営室です。サイバー攻撃の兆候を24時間365日監視し、有事に備えたルールや手順の整備、全社的な訓練や啓発活動などに取り組んでいます。
グループC-SIRT運営室の小野 浩貴さんも、その一人です。
小野さんは、もともとシステム開発の仕事に携わっていましたが、前職でサイバーセキュリティ業務を担当することになった当初は、「正直、自分にできるだろうかという不安があった」と振り返ります。しかし経験を重ねるなかで、その考えは変わっていきました。
「金融機関にとって、お客さまからお預かりした資産や情報を守ることは非常に重要な責務です。その根幹を支えるサイバーセキュリティの仕事に、大きな意義を感じるようになりました」
システムを止めないこと。
情報を守ること。
お客さまが安心してサービスを利用できる状態を維持すること。
今回は、グループC-SIRT運営室の取り組みと小野さんの仕事を通して、普段は見えない「銀行の安心・安全」の舞台裏をご紹介します。
語る人：
株式会社SBI新生銀行 グループC-SIRT運営室 室長代理 小野 浩貴さん
※部署、役職はインタビュー当時
「銀行のシステムは、お客さまの資産や生活、さらには社会経済活動そのものを支える重要なインフラの一部です。そのため私たちは、『システムが動いていて当たり前』というお客さまの期待を裏切らないことを常に意識しています」
グループC-SIRT運営室では、サイバーセキュリティに関するグループ戦略の立案、サイバー攻撃に関する情報収集や分析、有事に備えたルール整備や訓練などを担っています。目的は、サイバー攻撃を未然に防ぐこと、そして万が一の場合でも影響を最小限に抑えることです。
サイバー攻撃というと、被害が発生したニュースを思い浮かべる人が多いかもしれません。しかし小野さんたちの仕事は、そうしたニュースになる前の段階にあります。
例えば、企業や自治体がサイバー攻撃を受けたという報道があれば、その内容を詳しく確認します。
どのような手口だったのか。 どのシステムが狙われたのか。 同じような状況がSBI新生銀行グループにも存在しないか。
必要に応じて関係部署とも連携しながら確認を進め、対策の検討につなげていきます。
「被害が発生した事案を見るときは、『当行だったらどうか』という視点で考えます。同じような攻撃が発生する可能性はないか、確認すべきことはないかを調べています」
また、グループC-SIRT運営室は、専門のセキュリティオペレーションセンター（SOC）とも連携しながら、24時間365日の監視体制を維持しています。サイバー攻撃の兆候が検知された場合には、夜間や休日であっても状況を確認し、必要な対応を判断します。
「サイバーセキュリティの世界では、何も起きないことが一番良い状態です。そのためには、常に最悪の事態を想定しながら準備し続けることが欠かせません。『もし起きたらどうするか』を考えることが重要です」
新しい攻撃手法に関する情報収集。システムの脆弱性確認。世の中で発生した事例の分析。社内の点検や改善活動。
どれも華やかな仕事ではありません。
しかし、こうした積み重ねがあるからこそ、お客さまは普段と変わらずサービスを利用することができます。ニュースにならない「何も起きない日常」の裏側には、多くの備えと確認があります。
「攻撃を受けて被害が発生すると注目されますが、被害が起きていないということは、その裏でさまざまな活動が行われているということでもあります」
誰も見ていない場所で行われる確認や改善の積み重ね、その一つひとつが、お客さまの資産や情報、そして日々の安心を支えています。
サイバーセキュリティの話になると、多くの人は最新のシステムや高度な技術を思い浮かべるかもしれません。
もちろん技術は重要です。しかし、小野さんはそれだけでは十分ではないと話します。
「どれだけ優れたシステムを導入していても、最終的には人が使います。だからこそ、従業員一人ひとりの意識や行動がとても重要なんです」
巧妙に作られたメールを開いてしまう。偽サイトに情報を入力してしまう。何気ない行動が攻撃のきっかけになることもあります。だからこそ、システムを守ることと同じくらい、人への働きかけが重要になります。
グループC-SIRT運営室では、従業員向けの啓発活動にも力を入れています。
そのひとつが「C-SIRT通信」（*）です。
2022年にSBI新生銀行へ入行した小野さんが立ち上げたこの取り組みは、サイバーセキュリティに関する情報を社内向けに発信するものです。専門用語が多くなりがちなテーマだからこそ、なるべく分かりやすく、親しみやすく伝えることを意識しているといいます。
「前職でも似た取り組みをしていました。文章だけではなかなか読んでもらえません。少しでも興味を持ってもらえるよう、イラストを入れたり、身近な事例を取り上げたりしながら工夫しています」
(*) サイバー攻撃の最新手口や金融犯罪への注意喚起、従業員向け訓練の結果などをまとめ、社内イントラネットを通じて定期的に配信している情報発信コンテンツ
目指しているのは、知識を増やすことだけではありません。
サイバーセキュリティを「IT部門の仕事」ではなく、「自分にも関係すること」と感じてもらうことです。
その変化は、少しずつ現れていると小野さんは感じています。
例えば、標的型メール攻撃を想定した訓練です。
以前は、「忙しいときに送らないでほしい」「IT部門で何とかしてほしい」といった声が寄せられることもありました。ところが最近では、「もっと実践的な内容にしてほしい」「もっと難しくしてほしい」といった意見が増えているそうです。
「ここ1～2年で、従業員の皆さんの意識はかなり変わってきたと感じています。セキュリティは特定の部署だけの問題ではなく、自分たちにも関係することだという認識が広がってきています」
こうした変化は、一朝一夕に起きるものではありません。
情報を発信する。 訓練を実施する。 結果を振り返る。
小さな積み重ねを繰り返しながら、組織全体の対応力を高めていく。その地道な取り組みが、銀行の安心・安全を支える重要な基盤になっています。
サイバー攻撃による被害は、単なるシステム障害では終わりません。サービスが停止すればお客さまに影響が及び、情報漏えいが発生すれば企業への信頼そのものが揺らぎます。だからこそ今、サイバーセキュリティは経営課題として捉えられるようになっています。
小野さん自身も、この数年で経営層の意識が大きく変化してきたと感じています。
「以前に比べて、『当行は大丈夫なのか』『同じような攻撃を受ける可能性はあるのか』といった質問を受ける機会が増えました。サイバーセキュリティが経営レベルの重要テーマになってきていると感じます」
その背景には、社会全体で相次ぐサイバー攻撃事案があります。
国内外では、ランサムウェアなどによって業務停止や顧客対応を余儀なくされた事例も報じられています。金融機関に限らず、多くの企業にとってサイバーリスクは現実の経営リスクとなりました。
SBI新生銀行グループでも、グループC-SIRT運営室は日常的に経営陣との対話を続けています。
その象徴的な取り組みのひとつが、経営陣向けのサイバーセキュリティ研修です。
また、インシデントを想定した訓練には経営層も参加します。
攻撃が発生したとき、どの情報を集めるのか。 誰が判断するのか。 お客さまや社会にどう説明するのか。
実際の事態になれば、技術的な対応だけでは解決できません。経営判断や組織横断の連携が不可欠になります。そのため、平時から訓練を重ねておくことが重要なのです。
小野さんは、デジタル化が進む時代だからこそ、セキュリティの重要性はさらに高まると考えています。
新しいサービスを生み出し、お客さまの利便性を高める。その一方で、安全性が確保されていなければ、お客さまは安心して利用することができません。
「利便性を高めることと、安全性を高めることは別々の話ではありません。お客さまに安心してサービスを利用していただくためには、両方が必要だと思っています」
SBI新生銀行グループがデジタル化を進め、新たな価値の創出を目指すなかで、安心・安全なシステム基盤はますます重要になっています。
攻めのDXと守りのセキュリティ。その両輪がそろって初めて、お客さまに選ばれるサービスを提供し続けることができます。
経営と現場が同じ方向を向いて備え続けることもまた、銀行の未来を支える重要な取り組みの一つなのです。
サイバーセキュリティの仕事に終わりはありません。
今日有効だった対策が、明日も有効とは限らないからです。
攻撃の手法は日々進化し、新しい技術が生まれるたびに、守る側にも新たな対応が求められます。小野さんは、この仕事の難しさであり面白さもそこにあると話します。
現在、SBI新生銀行グループでは次世代システムの構築を進めるなかで、クラウド技術の活用も進めています。
かつて金融業界では、重要なシステムは自社で管理した方が安全だという考え方が一般的でした。しかし近年は、クラウド事業者によるセキュリティ対策の高度化も進み、その考え方にも変化が生まれています。
「クラウドというと不安に感じる方もいるかもしれませんが、大手クラウド事業者はセキュリティにも大きな投資を行っています。脆弱性への対応なども含め、高いレベルの対策を実現できる部分があります」
もちろん、クラウドを利用すれば自動的に安全になるわけではありません。
適切な設定が行われているか。 脆弱性への対応はできているか。 監視体制は十分か。
新しい技術を活用するほど、それに見合った管理や運用が求められます。だからこそ、小野さんたちは日々知識を更新しながら、新しい環境に対応し続けています。
さらに今、大きな変化をもたらしているのがAIです。
生成AIやフロンティアAIは私たちの仕事や生活を大きく変えます。業務効率化や利便性向上への期待が高まる一方で、攻撃する側も同じ技術を活用できるようになります。
「以前であれば専門知識を持つ人しかできなかったことが、AIを使うことで容易になる可能性があります。攻撃する側の能力も高まっていくことを前提に考える必要があります」
だからこそ重要なのは、「起きるかもしれないことに備える」ことです。
小野さんが繰り返し語るのも、その姿勢です。
「サイバーセキュリティの世界は変化がとても速い分野です。だからこそ、継続的に学び、備え続けることが重要だと思っています」
銀行の安心・安全は、最新技術だけで支えられているわけではありません。
システムを見守る人がいる。 新しい脅威を調べる人がいる。 訓練を重ねる人がいる。 組織全体に注意を呼びかける人がいる。
そして、変化に合わせて学び続ける人がいる。
お客さまの目に触れることはほとんどありません。しかし、その積み重ねがあるからこそ、私たちはいつも通りサービスを利用することができます。
銀行の信頼は、見えないところでつくられている。
支えているのは、変化する脅威に向き合いながら、見えない場所で備え続ける人たちの仕事なのです。
