効果を疑問視する声も

“10億ドル詐取未遂”の再発防止へ、SWIFTが加盟銀行のセキュリティコントロール義務化（2/2 ページ）

公開 2016年10月05日 15時00分

[TechTarget]

印刷する

　SWIFTのヤワー・シャー会長は「これは長期的な取り組みであり、業界全体の努力と投資、ならびに監督機関との積極的な連係が必要になるだろう」と述べている。

　「サイバー脅威の増大には、業界全体が一致団結して対処する必要がある。だからこそ、SWIFTの理事会が全会一致で新たなフレームワークを承認するとともに、SWIFTの『Customer Security Programme』のさらなる発展に向けた取り組みを続けているのだ」とシャー氏は発表文に記している。

　新しいセキュリティコントロールの義務化に対しては、疑問の声も上がっている。SWIFTによると「会員はセキュリティフレームワークに規定されたコントロールの順守を毎年示すことが求められる」という。だがSWIFTは自ら強制力を行使することはなく、「順守違反会員にはそれぞれの監督機関が対応する」と述べている。

　ライタン氏はこの種のポリシーの実効性に疑問を呈している。

　「これは現時点でSWIFTが実施できる最善策だと思うが、その効果は疑問だ。サイバーセキュリティ標準の強制力が弱い新興市場の場合は、なおさらそうだ。SWIFTも銀行業界も、この種の強制力を行使するのに必要なスタッフを抱えていない。SWIFTが、このようなグローバルなサイバーセキュリティの強制と監査を担当するスタッフを確保するには、かなりの資金が必要になるだろう」とライタン氏は語る。

　バシエール氏によると、セキュリティコントロール標準の強制を監督機関に任せるのでは、標準の意味がなくなるという。銀行監督機関の性格は国によって大きく異なる。規定を順守しない銀行に対して厳しい措置で臨む監督機関もあれば、ほとんど何もしない機関もあるというのがその理由だ。「SWIFT自らがセキュリティプランを執行し、順守違反に対しては厳しい措置を講じるべきだ。そうすることで、実施と強制の質の一貫性が保証されるのだ」（バシエール氏）

　Strategic Cyber Venturesのトム・ケラーマン最高経営責任者（CEO）によると、SWIFTがサイバー犯罪者コミュニティーに今後15カ月間もの潜伏を許すというのは、ばかげているという。「SWIFTは、そのエコシステムに対して積極的にサイバーセキュリティを義務付ける必要がある。順守違反の会員に対しては、除名とまではいかなくとも、少なくとも罰則を科すべきだ。不断の努力がなければ、サイバーセキュリティは決済システムに体系的なリスクをもたらすだろう」（ケラーマン氏）

　またSWIFTは、国際決済の改善に向けた「Global Payments Innovation」（GPI）構想の実証試験の第1段階を完了したと発表した。「国際決済のスピード、透明性、エンドツーエンドの追跡」を改善することがその狙いだ。「エンドツーエンドの決済追跡を盛り込んだGPI構想は、大きな改革を実現する。この決済追跡サービスは、SWIFTが運用するグローバルトラッキングデータベースを利用し、クラウド上でホスティングされる」とSWIFTは記している。

　エンドツーエンドの決済追跡の改善に対する評価の声はまちまちだ。Gartnerのライタン氏は「これはスタートだ。SWIFT加盟銀行の間でセキュリティ意識が高まるのは良いことだが今後もSWIFTのメッセージングシステムに対するハッキングが続くと予想される。SWIFTはもっと効果的なセキュリティ施行方式を打ち出す必要があるだろう」と慎重な見方をしている。

　バシエール氏は、この取り組みがSWIFTのセキュリティの改善につながると、楽観的な見方をしている。「取引のログを両側で記録するというのは、セキュリティの改善に向けた大きな一歩だ。これは実質的にモニタリングソリューションだ。不正な取引が完了する前に、それを検知できる可能性が大幅に高まるだろう。バングラデシュ中央銀行への攻撃では、それができなかった」とバシエール氏は話す。