世界の金融の現場で鍛えられたインシデントレスポンス——日本の金融機関の対応力を次の水準へ

システム障害やサイバー攻撃が事業の継続を揺さぶる時代、金融機関のインシデント対応には、復旧の速さだけでなく、監査に耐えるクオリティが求められています。より高度なインシデント対応を実現するためには、何に取り組めばよいのでしょうか。

今回ゲストに迎えたのは、ゴールドマン・サックス、モルガン・スタンレー、JPモルガンという世界最大級の金融機関でプラットフォームとセキュリティに携わり、現在はFujitsu LaunchpadでHead of Security & Platformを務めるAlex Sayle氏です。SIGQ代表 金築 敬晃との対談を通して、グローバル金融の現場で培われたインシデント対応の考え方と、日本の金融機関が強化すべきポイントについて探ります。

グローバル金融機関におけるインシデント対応の水準とは

金築：グローバルの金融機関におけるセキュリティやインシデント対応の実務において、ほかの業界と比べて特徴的な点があるとすれば、それは何でしょうか。

Alex：強く印象に残っているのは、「絶対に問題を隠すな」と言われ続けたことです。例えば不正防止では、不正を発見して報告した人に責任を負わせるのではなく、組織全体の問題として扱います。重要なのは犯人探しではなく、不正が起こり得た仕組みや構造に目を向け、より大きな不正の発見や再発防止につなげることです。これはインシデント対応においても同様で、金融におけるリスク管理全般に共通する考え方です。インシデントの兆候に気付いたら、現状を速やかに報告し、手を挙げ、声を上げる。そうすれば、仮にインシデントの直接のきっかけが本人であったとしても、個人の責任追及ではなく、「問題 vs 私たち」という構図になります。

金築：多くの日本企業ではどうしても個人の責任を追及してしまいがちですが、根本的に違うのですね。

Alex：はい。グローバル金融の世界では「Who」ではなく「What」や「When」にフォーカスします。例えば、危険なボタンを押してしまったら、ボタンを押した人が悪いのではなく、そのボタンが押せる状態にあったこと自体が問題だと考えます。現在のSREにも通じる、個人を責めず仕組みから学ぶ考え方ですが、金融業界では20年ほど前からこうした姿勢が根付いていました。

金築：大規模な金融機関のインシデント対応が、事業会社と決定的に違う点はどこにありますか。

Alex：一つ目は、インシデントは「常に起こるもの」として組織が動いていることです。24時間対応するコマンドセンターがあり、担当者間の引継ぎを前提として体制が組まれています。二つ目は、リスクをゼロにすることを目指すのではなく、常に何かが壊れている前提で、優先順位をつけながら対応する文化です。三つ目は、必ずミスが起きる前提でプロセスを設計することです。金融当局からは、インシデント発生の原因と再発防止策を厳しく追及されます。「次は気をつけます」では許されないので、仕組み化して対応する必要があるのです。

金築：なるほど。経営層への報告に加えて、規制当局への報告義務もあるとなると、インシデント対応のプロセスが複雑になりますね。しかも、こうした外部への報告と並行して、現場では原因の究明や復旧といった技術的な対応も進めなければなりません。このような複雑なインシデント対応のプロセスを、どのように運用しているのでしょうか。

Alex：まず初動で最も重要なのは、現状を正確に把握することです。事象を起こした側、影響を受けた側、さらにその先にいる顧客まで含めて、影響範囲がどこまで広がっているのかを確認します。そのために必要な関係者を集めることが、コマンドセンターの大きな役割です。

次に、コマンドセンターの指揮の下、関係者への連絡を担う担当者と、復旧作業を担う担当者を明確に分けます。復旧担当者がステークホルダーとのやり取りに追われてしまうと、本来の復旧作業に集中できないからです。連絡担当者が「次の状況報告は1時間後」といった形でタイムラインを明確にしておけば、それまでの問い合わせを抑え、復旧担当者は作業に専念できます。

また、コマンドセンターには、対応に必要な人員を招集する権限もあります。例えば、対応の途中で専門的な知識が必要になれば、コマンドセンターが適任者を探し出してアサインします。このように、大規模なインシデント対応では、全体をファシリテートするコマンドセンターの役割が重要になります。

金築：インシデントには、大きく分けてセキュリティインシデントとシステム障害がありますが、先ほどの対応プロセスは共通なのでしょうか。それとも、インシデントの種類によって分けているのでしょうか。

Alex：初動対応は同じです。インシデントが発生した時点では、それがセキュリティ起因なのかシステム障害なのか、分からないことも多いからです。ただし、途中でセキュリティインシデントだと判明した場合、最初のマイルストーンが変わります。通常のインシデントであれば復旧が目標ですが、セキュリティインシデントでは封じ込めがゴールです。その際、ログの取得、侵入経路の特定、フォレンジックの証拠保全がより重要になります。入り口は同じでも、マイルストーンに応じて、次の対応ステップが変わっていくのです。

金築：「監査に耐えるインシデント対応」という言葉がありますが、特に金融業界では、その重要性が高いと思います。金融の文脈において「監査に耐える」とは、どのような状態を指すのでしょうか。例えば、対応のタイムラインや証跡、意思決定の経緯などを、どの程度の粒度で記録しているのか教えてください。

Alex：重要なのは、その場にいなかった人が後から経緯を追跡できること。そして、緊急時であっても何らかのプロセスを踏んでいたという証跡が残っていることの2点です。

規制当局へのレポートでは、非常に詳細なタイムラインが求められます。具体的には

• 発生した事象と時刻

• 影響範囲

• 復旧作業の内容

• 復旧時刻

• 作業担当者とその権限

といった粒度で記録しなければなりません。当然、詳細な作業ログを取る必要があります。

さらに注意が必要なのが、緊急時の対応プロセスをあらかじめ明文化し、遵守しなければならないという点です。医療の文脈であれば、人命優先で、プロセスから逸脱した対応が認められる場面もあるかもしれません。しかし金融ではそうではありません。緊急事態を装った不正もあり得るため、緊急時であっても手順に従うことが求められるのです。

だからこそ、緊急時にしか使わないはずの仕組みを、普段から使える状態に保っておくことが、金融におけるインシデント対応の要となるのです。

AIに任せる作業、人間による判断～AI時代におけるインシデント対応

金築：インシデント対応へのAIエージェントの活用が始まっています。セキュリティ責任者として、AIに任せてよい部分と人間が行うべき部分の線引きはどこにありますか。

Alex：AIと協働する業務プロセスには、人間の監視の下でAIに自律的に作業させる「ヒューマン・オン・ザ・ループ」と、ある段階で必ず人間が判断を下す「ヒューマン・イン・ザ・ループ」という考え方があります。セキュリティやインシデント対応は、まだ後者のように、人間が必ず介在することを前提としています。つまり、情報の収集、整理、選択肢の提示まではAIに任せてよい部分です。しかし、リスクを伴う意思決定は人間が担わなければなりません。

金築：一方で、AIエージェントの技術は急速に進化しています。インシデント対応のあり方は、今後どのように変わっていくとお考えですか。

Alex：インシデント対応において「ヒューマン・オン・ザ・ループ」を実現できるかどうかは、最終的にはAIに責任を持たせられるかにかかっています。しかし現実には、技術的な課題や業務プロセスへの統合だけでなく、法規制の影響も大きいでしょう。

例えば、医療分野でAIの活用が進んでも、現時点では医師が最終的な判断を下すという原則が残っています。そうした中で、金融業界が先んじて「AIに判断を任せてもよい」と言えるようになるのかは、難しいところです。

金築：関連して、インシデント対応におけるAIエージェントの重要なユースケースの一つに、レポーティングがあります。例えば、AIが生成した報告書やタイムラインを、監査や規制当局への報告に利用することは可能なのでしょうか。

Alex：現在のプロトコルでは、最終的な報告書は人間が判断したものとして提出することが求められています。つまり、「人間が精査した」という承認や証跡を残さなければならないことが、AIを活用するうえでのボトルネックの一つになっています。

この状況を変えるには、まず行政側が、一定の範囲でAIによる報告を認める必要があります。例えば、判断の根拠となるソースを明示することを前提に、速報についてはAIが生成したものでも認めるといった形です。そのうえで提出側も、まずAIが生成した速報を提出し、最終報告書については人間が内容をレビューして必要な修正を加えるなど、段階的にAIを活用するプロセスへ移行していくことが考えられます。

金築：AIエージェントが人間を補助するユースケースについてはどうでしょうか。大手金融機関は、24時間365日のインシデント対応体制を整えています。一方で、FinTech企業や地方銀行などでは、同様の運用体制を構築することが難しいケースも多いと聞きます。こうした組織にとって、インシデント対応の水準を引き上げる手段として、AIは現実的なツールなのでしょうか。

Alex：AI活用の可能性は大いにあります。インシデント対応は非常に属人化しやすいものだからです。その業務の質は、所属する環境の良し悪しや、積んできた経験の質と量に左右されます。しかし小規模な組織では、未経験の担当者が突然インシデント対応を任されることも多いでしょう。そういった人たちにこそ、AIによってベストプラクティスを届けることに価値があります。AIが情報を整理して選択肢を示し、人間の判断を支援することで、少ない人数でもより高度な対応ができるようになるはずです。

金築：いわゆるAIハーネスですね。そしてインシデント対応の水準が、在籍してきた環境やどのマネージャーの下で経験したかに強く依存するという点も、重要な指摘だと思いました。

Alex：一度でも良いチームに所属した経験のある人は、やはり対応が上手です。しかし日本では、そうした経験を持つ人材の母数が少ないことに加えて、人材の流動性が低いことも課題です。

海外の金融機関では、複数の銀行を渡り歩いてキャリアを形成する人も多く、ある組織で得た優れた知見や経験が、転職を通じて次の組織へと伝播していきます。一方、日本では人材の流動性が低いため、そうした循環が起こりにくい構造があります。

だからこそ、AIを活用して優れた事例や知見を広く届けることで、経験の差を埋めていく必要があるのではないでしょうか。

インシデント対応力の底上げのために～日本の金融機関が取り組むべきこと

金築：すでに一定のインシデント対応体制を持つ大手金融機関が、グローバル水準やAI時代への対応を見据えて、次に強化すべき領域はどこでしょうか。特に、日本の大手金融機関では、高度な対応体制を整えていたとしても、ベンダーに依存している部分も多いと思います。内製が主流の海外と比較して、どのような課題があるとお考えでしょうか。

Alex：実は、内製か外部ベンダーかにかかわらず、高度で複雑なシステムほどサイロ化は避けられません。ブラックボックス化した領域を可視化し、それぞれの責任の所在を明確にしていくことが、どの組織にとっても今後の課題です。そのためには、個々のベンダーやチームが、自分たちのシステムについて説明できるAIやドキュメントを整備し、AIに理解しやすい接点を作っていくことが欠かせません。システムに問題が起きたとき、いきなり担当者を呼び出すのではなく、まずAIに問い合わせる。そしてAIが状況を把握し、本当に必要な場合だけ担当者につなぐという形です。

特にベンダーが関わる場合は会社をまたぐやり取りになるので、問い合わせ程度でも時間とお金を浪費しかねないと、連絡をためらう人も出るかもしれません。また、会社間で責任の押し付け合いが起きたりすることもあります。AIを経由することで、そうした組織間のしがらみを減らしていけるのではないでしょうか。

金築：ただ、複数のベンダーが関わるプロジェクトでは、特定のベンダーが開発したインシデント管理ツールを、他のベンダーにも使ってもらうのは現実的には難しいですよね。

Alex：難しいと思います。逆に言えば、Incident Lakeのように第三者のスタートアップが提供するツールだからこそ、特定のベンダーとの利害関係がなく、顧客のための中立的な場として機能できる面もあるのではないでしょうか。

金築：一方、大手と同規模の投資や人員の確保が難しい金融機関もあります。限られたリソースの中で、防御や復旧など、どこに重点を置くべきだとお考えですか。

Alex：リソースが限られている組織ほど、AIを活用するためにデータを集約する必要があります。しかし、インシデントのたびに「どのデータを、どこまでAIに渡すのか」迷っていたら、対応の遅れにつながります。AIによるインシデント対応の高度化を実現するためには、データの分類と利用範囲を整理し、AIが利用できるデータの基準を明確にすることに先んじて取り組む必要があります。

金築：Alexさんは「コンプライアンスは足かせではなく武器である」と発信されています。一方で、インシデント対応への投資は、何も起こらなければ効果が見えにくいものです。そのため、起こるかどうか分からないものに、なぜコストをかけるのかという声も出てくると思います。こうした投資の必要性を経営層に理解してもらい、巻き込んでいくためには何が必要でしょうか。

Alex：現場と経営層では、使う言葉も関心事も異なります。ですから、経営層への話し方を学ぶことが必要になります。

経営層は基本的にコストを抑えたいものです。技術やシステムの話をそのまま伝えるのではなく、「対応しなければどのようなリスクがあるのか」「対応することで、どのような市場に参入できるのか」といった経営の視点で説明できなければなりません。

例えば、コンプライアンスやセキュリティは、企業の成長段階によって意味が変わります。スタートアップがエンタープライズ市場へ進出すると、顧客からセキュリティやコンプライアンスへの対応を求められるようになります。そのとき、あらかじめ必要な対応を済ませ、「証跡もあります」と示せれば、競合より早く商談を進められます。つまり、コンプライアンスは成長を加速させる武器になります。

一方、企業規模が大きくなれば、インシデントは「起こるかどうか」ではなく「いつ起こるか」という問題になります。特に高度な攻撃型AIの普及によって、そのリスクはより高まっています。十分な備えがなければ、風評被害やそれに伴う財務上の損失など大きなリスクを負うことになります。

まとめると、小さな組織にとってコンプライアンスは成長のための武器であり、大規模組織にとっては、避けられないリスクから自社を守るための防具です。

セキュリティやインシデント対応への投資の必要性を理解してもらうには、こうしたビジネス側の言葉で説得することが欠かせません。

金築：最後に、日本の金融機関や、それを支えるベンダー企業でインシデント対応に携わる読者の皆さまへ、メッセージをお願いします。

Alex：小さなことから始めて、それを妥協せず続けてほしいと思います。まずはデータの所在と用途、そして鮮度を把握することから始めてください。スモールスタート・自動化・継続の3点が、AI時代のインシデントに備えるうえで、重要なポイントです。

優先すべきは、停止が許されない中核業務を見極めたうえで、障害発生時の意思決定者や緊急連絡網、復旧手順といった体制を明確にしておくことです。その土台を整えた段階で、負荷の大きい情報集約や連絡調整のフェーズへAIを組み込んでいくアプローチが現実的でしょう。

大切なのは、データを一時的な「点」で終わらせないことです。継続的に取得していけば、点と点がつながって「線」になります。データを継続的に取得していくと、さまざまなデータの「線」が組み合わさって「面」になります。面として捉えられるようになれば、どこに脆弱性や問題があるのか、どこから情報が流出したのかといった全体像も見えやすくなります。

金築：とても勉強になりました。本日はありがとうございました！