サイバー攻撃がますます高度化し、金融市場の安全性をめぐる懸念が世界的に高まる中、英当局による金融分野を対象としたサイバー演習は今回で7回目となる。

　U.S. Cyber Consequences Unit（US-CCU、サイバー攻撃の結果もたらされる経済・戦略上の影響を米政府に助言する非営利の米調査機関）のスコット・ボーグ代表は2013年9月、「サイバー犯罪集団は次の展開として国際金融市場の操作を狙うだろう」との見方を示した。

　英財務省の最近の報告書によると、英国の金融システムは幾つかの潜在的脆弱性を抱えており、その背景には高度な相互連関性、中央集中型の市場インフラへの依存、複雑なレガシーITシステムといった状況があるという。

　この報告書を受け、イングランド銀行の金融行政委員会（FPC）は、金融システムの中核をなす銀行および組織に対し、潜在的なサイバー攻撃に対する防御戦略の概要を6カ月以内に報告するよう指示した。

　最近では、金融システムを狙う犯罪者のターゲットとして銀行が攻撃されるケースが増えている。

　英Barclays銀行と英Santander銀行は2013年9月、KVM（キーボード、ビデオ、マウス）スイッチを使って銀行のコンピュータを遠隔操作するサイバー犯罪者に攻撃された。

　Santanderへの攻撃は失敗に終わったものの、警察が犯罪グループを突き止めるまでの間に複数の口座から130万ポンドが送金された。

複雑なマルチチャネル

　「英国の金融サービス企業のIT部門にとってはサイバーセキュリティが最優先事項であり、英国で攻撃対応能力のテストが実施されるのは歓迎すべきことだ」と話すのは、富士通UK & Irelandの金融サービス部門で顧客管理ディレクターを務めるドリアン・ウィスコウ氏だ。

　「何年も前のレガシーシステムを使っている銀行もある。また、オンラインやモバイルといった新たな金融チャネルで起きているイノベーションが、複雑なマルチチャネル型ITインフラを作り出している」とウィスコウ氏は語る。

　ウィスコウ氏によると、金融業界の最高情報責任者（CIO）たちは、ユーザーエクスペリエンスを犠牲にすることなくマルチチャネル環境のセキュリティを確保するという困難な課題に直面しているという。

　「重要なのは、金融業界がセキュリティの現状に満足しているのでもなく、問題が大き過ぎて対処できないと考えているわけもないということだ」と同氏は話す。

　米セキュリティベンダー、Impervaのセキュリティ戦略ディレクター、バリー・シュタイマン氏も、今回の演習を歓迎し、「これは、脅威が現実であり、それが増大しつつあり、英国の金融業会にリスクとなっていることを当局が認識したことを示している」と述べている。

危機管理計画

　シュタイマン氏によると、セキュリティコントロール、サイバー攻撃への対応手順および高度な防護プランを策定するための委員会を設立する必要があるという。

　「潜在的なサイバー脅威に対抗するための戦略の確立に向けて、英国の各分野で金融サイバーセキュリティを担当する責任者が力を合わせるということだ。これは、脅威インテリジェンスの最もシンプルかつ効果的な形態だ」とシュタイマン氏は説明する。

　同氏によると、これにより、政府がベストプラクティスの研究に基づいてサイバーセキュリティの状態を判断・規定する手段を確立する可能性があり、金融情報と金融資産のセキュリティ対策の大幅な強化につながるという。

　「これは、PCI DSS（クレジットカード業界におけるセキュリティの国際基準）が不正のリスクを減らすためにクレジットカード会社と決済業者に求めたことでもある。PCI DSSは、クレジットカード情報を保有する企業や大量のカード決済を行う全ての企業にセキュリティ対策を義務付ける上で大きな効果があった」とシュタイマン氏は話す。

　ロンドン警視庁のサイバー犯罪部門の元刑事で、現在はセキュリティ企業の米Damballaのセキュリティ部門でグローバル技術コンサルタントを務めるエイドリアン・カリー氏によると、銀行は高度な脅威に日常的にさらされており、こうした脅威に効果的に対処するのに苦労しているケースが多いという。

　「最も重要なのは早期の発見と封じ込めだ。金融システムは複雑であり、攻撃はセキュリティが強固なネットワークでもすり抜けてしまうからだ。攻撃の多様化、複合化、高度化という傾向は今後も続くため、対策もこの傾向に対応しなければならない」と同氏は語る。

既に侵入されている前提

　米セキュリティ企業NetIQでソリューション戦略を担当するディレクターのジェフ・ウェッブ氏によると、銀行がサイバー攻撃に備えるのは良いことだが、既に防御が破られている可能性があることを認識する必要があるという。

　「心配し過ぎと思えるかもしれないが、ファイアウォールであらゆる侵入を防げるという保証はないので、銀行はサイバー犯罪者が既にネットワークに侵入しているという前提に立つ必要がある」と同氏は語る。

　ウェッブ氏によると、今日のサイバー犯罪者たちのスキルの高さは、正規の従業員とほとんど見分けがつかないという部分にあるという。

　「彼らはいったん企業のネットワークに侵入するとすぐに、自分の権限レベルを特権従業員のレベルまで引き上げようとする。その権限を使って貴重な情報を盗み出すためだ」と同氏は語る。

　このため、銀行のセキュリティに対する脅威を社内と社外に分けて考えるのは時代遅れになってきたという。

　「銀行は、既にネットワークに侵入されているという前提に基づいて対策を講じる必要がある。Waking Shark 2作戦は、日常的に起きている外部からの攻撃に対して準備するのに役立つが、銀行は既に社内にハッカーがいる可能性があるという現実に対処する必要がある。そのためには、誰がいつ何にアクセスするかを監視し、ハッキング行為の証拠を探し出す必要がある」と同氏は話す。