【クレジットカード会社・地域金融機関】サイバー対処能力強化法の施行で、インシデント対応はこう変わります

2025年5月に成立した、いわゆる「サイバー対処能力強化法」（正式名称：重要電子計算機に対する不正な行為による被害の防止に関する法律）の官民連携部分が、2026年10月に施行されます。基幹インフラ15分野には「金融」と「クレジットカード」がそれぞれ独立した分野として含まれており、指定を受けた事業者には、システム資産の届出とサイバーインシデントの政府への報告が法律上の義務として課されることになります。

もっとも、この法律の「効き方」は、メガバンクや大手カード会社と、地方銀行・信用金庫とでは異なります。指定されるのは規模基準を満たす事業者に限られるため、地域金融機関の多くは直接の指定対象には入らないとみられるからです。

では地銀・信金は無関係かといえば、まったくそうではありません。金融庁が2024年10月に策定した「金融分野におけるサイバーセキュリティに関するガイドライン」は地域金融機関を含む幅広い金融機関等を対象としており、求められるインシデント対応の実質は、指定の有無にかかわらず同じ方向を向いています。本稿では、クレジットカード会社と地域金融機関それぞれの立場から、何が義務で、何を準備すべきかを整理します。

法律で義務になること：届出とインシデント報告

強化法の直接の対象となるのは、経済安全保障推進法に基づいて指定される特定社会基盤事業者（基幹インフラ事業者）で、令和8年4月1日時点で全分野合計257者が指定されています。金融とクレジットカードはいずれも制度発足当初からの対象分野で、金融庁は令和5年11月17日に金融分野の特定社会基盤事業者の指定を公示し、その後も追加指定を重ねています。自社（自庫）が指定対象かどうかは、金融庁・経済産業省の告示で確認できます。

指定された事業者に、強化法は次の義務を課します。基幹業務に関わる情報システムのうち「特定重要電子計算機」に該当するものについて、ベンダー名や製品情報などを政府に届け出ること。そして、サイバー攻撃を受けた際にインシデント報告を行うことです。

報告の枠組みについて、内閣府の有識者会議に示された施行に向けた考え方（案）では、報告は二段階とされています。インシデントを認知したら速やかに「速報」を出し、30日以内に「詳報」を提出する。いずれも、その時点で把握している事項だけを報告すればよく、初動で完璧な原因分析を求められるわけではありません。報告対象は不正アクセスなどの「特定不正行為」の痕跡だけでなく、それに繋がる事象も含まれます。予兆段階から報告義務が動き出す設計です。

クラウド利用時の扱いも整理されています。SaaSや（ミドルウェア・OSに係る）PaaSの場合は、クラウド事業者から通知があった時点で「認知」とみなされます。罰則については、届出義務に違反して監督官庁の是正命令に従わない場合は200万円以下の罰金、資料提出などの求めに応じない場合は30万円以下の罰金が規定されています。

そして金融業界で特に重要なのが、指定外の事業者・事業体への波及です。特定重要電子計算機の運用を受託するITベンダーやグループ会社、システム構成によっては委託先が保有する機器も対象になりうると指摘されています。勘定系を共同センターに委ね、ネットバンキングや決済処理を外部ベンダーのサービスに依存する形態が主流の地域金融機関、そして処理業務の委託・受託が幾重にも連なるカード業界では、「自社は指定されていないが、指定事業者と同じシステムに乗っている」「指定事業者の委託先である」という関わり方が、むしろ普通に起こります。

地域金融機関：金融庁ガイドラインが実質的なスタンダードです

地銀・信金にとっての実務上の中心は、強化法よりもまず、金融庁が令和6年10月4日に策定した「金融分野におけるサイバーセキュリティに関するガイドライン」です。対象は主要行等から中小・地域金融機関、保険会社、資金移動業者、暗号資産交換業者まで幅広く、監督指針で原則的な記載にとどまっていたサイバーセキュリティ管理の着眼点を具体化したものです。

このガイドラインは、すべての金融機関等が実施すべき「基本的な対応事項」と、規模・特性等を踏まえて実践が望まれる「対応が望ましい事項」の二層で書かれており、地域金融機関は自らの規模に応じて対応水準を設計できます。インシデント対応の観点で押さえたいのは次の点です。

• 経営陣の責任が明記されていること

  サイバーセキュリティリスクへの対応は経営陣の仕事として位置付けられ、専門人材の配置や予算配分といった資源配分、サードパーティからもたらされるリスクを含めた組織横断的な報告・連絡・協議ルートや指揮命令系統の整備が求められています。規程類は少なくとも年1回見直すこと、KPI・KRIによる状況把握といった、継続的なマネジメントの仕組みも盛り込まれています。

• 危機管理体制の整備

  サイバー攻撃を受けた際の報告・広報体制の確立や、組織内CSIRTなどの緊急時対応チームの設置が求められます。コンティンジェンシープランには復旧計画までを含め、Webサイト改ざんやマルウェア感染といった攻撃類型ごとに策定することが推奨されており、FISC（金融情報システムセンター）の手引書が参照先として挙げられています。

• 従来の当局報告との連続性

  金融機関にはもともと、監督指針等に基づきシステム障害等の発生時に当局へ報告する実務があります。金融庁は地域金融機関向けにサイバーセキュリティセルフアセスメント（CSSA）も実施しており、自庫の対策状況を業界水準と比べる材料は揃っています。強化法の速報・詳報は、指定事業者にとってはこの報告実務の上に重なる新しい層であり、指定外の金融機関にとっても、「認知から報告までの速度」という同じ物差しが業界標準になっていくと捉えるべきでしょう。

なお、2024年末から2025年初にかけては、国内の金融機関や航空会社を狙ったDDoS攻撃が相次ぎ、インターネットバンキングの一時的な障害が報じられました。侵入を伴わない攻撃でも顧客向けサービスは止まり、当局報告と顧客対応は発生します。「侵害の証拠が出てから動く」のではなく、サービス影響が出た時点で報告・広報のフローが回り始める体制が必要です。

クレジットカード：不正利用対策と重なり合うインシデント対応

カード業界には、強化法以前から独自の規制の蓄積があります。割賦販売法第35条の16は、クレジットカード番号等取扱業者に対し、カード番号等の適切な管理のために必要な措置（番号等適切管理措置）を義務付けており、2021年の法改正ではQRコード決済事業者等が追加されるなど、対象は7類型の事業者に広がっています。この義務の実務上の指針が、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」で、2025年3月に6.0版へ改訂されました。

背景にあるのは被害の深刻化です。クレジットカードの不正利用被害額は2024年に555.0億円と過去最高を更新し、その9割以上を、漏えいやフィッシングで窃取されたカード情報を使う「番号盗用」が占めています。ガイドラインはEC加盟店の脆弱性対策やEMV 3-Dセキュアの導入を進めており、カード会社・PSPには加盟店への助言や情報提供の役割が求められています。

参考：https://www.j-credit.or.jp/customer/5countermeasures-creditcard_fraud/

カード会社のインシデント対応が他業界と違うのは、「システムの復旧」と「不正利用の抑え込み」という二正面作戦になる点です。加盟店やPSPでカード情報が漏えいすれば、自社システムが無傷でも、不正利用のモニタリング強化、対象会員への通知、カードの差し替え、加盟店・ブランドとの連携という対応が一斉に走ります。強化法の報告対象になるのはオーソリゼーションや決済処理を担う基幹システムへの攻撃が中心になるとみられますが、現場のインシデント対応としては、法定報告・割賦販売法上の対応・ブランドルール上の報告・会員対応が同時並行することを前提に、フローを設計しておく必要があります。

金融ならではの論点：委託構造と「認知」の設計

金融とクレジットカードに共通する急所は、システムの委託構造の深さです。共同センター、勘定系ベンダー、決済ネットワーク、クラウド上のSaaS、つまり自社の外側で起きたインシデントが、自社のサービス停止や情報漏えいに直結します。

強化法の考え方（案）がクラウド事業者からの通知時点を「認知」とみなすとしていることの意味は重く、ベンダーや共同センターからの障害・侵害通知を、誰が、どの窓口で受け、何時間以内に報告判断のラインに乗せるのかという「通知の受け口」の設計が、報告義務を果たせるかどうかを事実上決めます。委託契約やSLAに通知条項が入っているか、通知先が退職者のメールアドレスのままになっていないか。地味ですが、ここが最初の点検ポイントです。

情報共有の枠組みとしては、金融ISACやセプターといった業界の仕組みが以前から機能しています。強化法施行後は、国への法定報告と業界内の情報共有が並走することになるため、どの情報を誰の判断でどこへ出すのか、平時に整理しておくと有事の混乱を減らせます。

施行までに何をしておくか

まず、自社（自庫）が特定社会基盤事業者に指定されているか、告示で確認します。指定されていれば、届出対象となりうる特定重要電子計算機の棚卸しと、速報・詳報を期限内に出すための報告フロー整備が直近の課題です。経済安保推進法の事前審査対応で作った設備リストがあれば、出発点として使えます。

指定されていない場合も、やるべきことの中身はほとんど変わりません。金融庁ガイドラインの「基本的な対応事項」と自組織の現状のギャップを洗い出し、CSIRT・コンティンジェンシープラン・報告広報体制を整える。共同センターやベンダーからの通知を受けて動く訓練を一度回してみる。カード事業者であれば、漏えい対応と不正利用対応が同時に走るシナリオで、割賦販売法・個人情報保護法・ブランドルール・（該当すれば）強化法という複数の報告先を1枚の対応フローに落とし込んでおく。報告制度が増えるほど、「一度記録すれば各制度の報告に展開できる」記録の一元化が効いてきます。

最後に、経営陣の関与です。金融庁ガイドラインがサイバーセキュリティを経営の責任として明記したとおり、インシデント対応計画の承認と訓練への参加は、システム部門ではなく経営の仕事です。速報・詳報という期限付きの報告制度が動き出す前に、その位置づけを組織として確認しておきたいところです。

法律の細部は施行までに政省令や運用ルールで詰められていく部分が残っており、本稿で「案」と記した事項は今後変わる可能性があります。最新の情報は、内閣府（サイバー安全保障担当・経済安全保障担当）、金融庁、経済産業省の公表資料でご確認ください。

そこでIncident Lake

ここまで見てきたとおり、金融・クレジットカードのインシデント対応は、報告先の多さが際立つ世界です。監督当局への報告、強化法の速報・詳報、個人情報保護委員会への報告、ブランドや業界団体への連絡、そして顧客・会員への告知——対応の最前線で不正利用を止め、サービスを復旧させながら、これらを期限内に、矛盾なく出し続けるのは、人手だけでは限界があります。

Incident Lakeは、この一連の流れを支えるインシデント管理プラットフォームです。インシデントが起きた際の報告から復帰までの対応、レポートの作成や管理までを自動化し、担当者が本来集中すべき「被害を止め、顧客を守ること」に時間を使えるようにします。速報・詳報のような期限付きの報告が制度として動き出す今だからこそ、報告と記録の仕組みを人の頑張りに頼らない形に変えておくことをおすすめします。

参考資料

• 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（令和6年10月4日） https://www.fsa.go.jp/news/r6/sonota/20241004/18.pdf

• 金融庁「金融分野におけるサイバーセキュリティ対策について」 https://www.fsa.go.jp/policy/cybersecurity/index.html

• 金融庁「金融分野における経済安全保障対策」（特定社会基盤事業者の指定告示） https://www.fsa.go.jp/news/r5/economicsecurity/231117infrastructure.html

• 経済産業省「『クレジットカード・セキュリティガイドライン』が改訂されました」（6.0版、2025年3月） https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html

• 経済産業省「クレジットカード不正利用被害の状況について」（加盟店における不正利用対策の在り方に関する検討会 第1回資料、2025年4月） https://www.meti.go.jp/shingikai/mono_info_service/measures_against_fraud/pdf/001_01_04.pdf

• 内閣府「基幹インフラ役務の安定的な提供の確保に関する制度」 https://www.cao.go.jp/keizai_anzen_hosho/suishinhou/infra/infra.html

• 内閣府政策統括官（サイバー安全保障担当）「サイバー対処能力強化法（官民連携）の施行に向けた考え方の案」（令和7年12月） https://www.cao.go.jp/cybersecurity/kaigi/pdf/04shiryo05.pdf

• 日経クロステック「サイバー対処能力強化法が10月施行、取引先から排除のリスクも」（2026年） https://xtech.nikkei.com/atcl/nxt/column/18/00989/042300207/