金融業界におけるインターネット分離の推進とマルウェア対策

銀行や損保といった金融機関における組織内ネットワークのセキュリティ基準はFISCによって定められています。マルウェア感染や不正アクセスなどの脅威を防ぐために、取引情報や電子カルテといった重要なデータを扱う内部ネットワークとインターネット接続環境にある外部ネットワークは分離して運用しなくてはいけません。FISCが求めるセキュリティ基準を満たすためには、ネットワーク分離環境でデータを安全に伝送できるソリューションが必要です。

金融機関のネットワークはマルウェアや不正アクセスなどを筆頭とするサイバー犯罪に狙われています。オンラインのネットバンキングを不正利用される被害は年々増加推移しており、各金融機関はネットを介した脅威から重要なデータを守るための対策を講じなくてはいけません。
今回は、金融機関で求められるネットワークのセキュリティ基準、内部と外部でネットワークを分離して運用する必要性、従来のネットワーク分離における課題を解決するソリューションなどを解説します。

金融業界におけるネットワークのセキュリティ基準はFISCが定めている

銀行・証券・損保といった金融業界におけるネットワークのセキュリティ基準は、内閣府所管の非営利団体であるFISC（公益財団法人金融情報システムセンター）によって定められています。

FISCは、金融業界におけるネットワークのセキュリティ調査およびレポート公開、ガイドラインの公布などの活動を行っている機関です。各種金融機関で使われているCPUシステムの不正アクセスや、マルウェア感染による情報の漏えい・損失といった脅威を防除することを目的としています。

ネットバンキングにおける不正送金被害額は10億円超！

不正アクセス・マルウェア・フィッシングといった脅威に晒されるのは、個人が保有する電子的なリソースに限りません。金融機関のネットバンキングシステムや情報伝送システムも数多くの被害に遭っています。

警察庁が発表したデータによると、2017年度におけるネットバンキングにまつわる不正送金事犯の発生件数は425件で被害額は約10億8,100万円という結果でした。［※1］
サイバー犯罪全体の検挙件数は引き続き増加しており、検挙件数は9,014件で相談件数は約13万件と高水準で推移しています。［※1］

FISCが定めるセキュリティ基準を満たすことが望ましい

IoT製品の増加に伴いインターネットの脅威がさらに身近なハザードとなりつつある昨今、膨大な個人情報および機密性が高いデータを扱う金融機関で高水準なセキュリティ対策を講じることは必須といえるでしょう。

金融庁はFISCが求めるセキュリティ基準に則って検査を行っており、金融機関においてシステムリスクの具体的な検証を行い問題の解決を図る際は、FISCが示す金融機関等コンピュータシステムの安全対策基準・解説書をもとに確認することが定められています。［※2］

総務省も金融機関向けのネットワークセキュリティにまつわるプレスにてFISCが示すガイドラインを指標として主要な対応項目を取り上げており、金融機関に対してFISCが定める要件をもとにしたセキュリティ対策の構築を呼びかけています。FISCが求める主要なセキュリティ基準は次のとおりです。 [※3]

• 伝送データの漏えいを防止する対策を講じること
• 外部ネットワークからの不正アクセス防止・およびアクセス可能なデバイスを最小限に留めること
• 不正アクセスの監視機能を設けること
• マルウェアやウイルスの侵入を防止・検知する対策を講じること
• スパムメールおよびホームページ閲覧などの不正使用を防止する機能を設けること

［※1］警察庁：広報資料 平成29年度中におけるサイバー空間をめぐる脅威の情勢等について[pdf]
［※2］金融庁：金融検査マニュアル[pdf]
［※3］総務省：金融機関におけるネットワークについて[pdf]

FISCのセキュリティ基準を満たしてマルウェア感染や不正アクセスといった脅威からデータを守るためには、ネットワーク分離によるデータ伝送のスキームを構築しなくてはいけません。

具体的には、不特定多数のノードがオンライン環境にアクセスする外部、機密情報といった重要なデータを送信する内部それぞれのネットワークを分離し、相互のアクセスを制御することで脅威の侵入を検知・防除して情報漏えいなどのリスクヘッジを行うセキュリティ対策です。

金融機関において機密情報保持などに利用される内部ネットワークと、外部のオンライン環境へ接続するネットワークの相互がリンクされた状態だと、デバイスがマルウェアやウイルスに感染した際の被害が深部まで拡散するリスクがあります。それぞれの組織内ネットワークを分離するスキームに加えてセキュリティソフトなどを導入することで、脅威の侵入を浅層で検知・防除することが可能です。

さらにUSBメモリやDVDといった外付けメディアによってデータを不正に窃取されるなどの内部で起こりうる脅威を防ぐため、システムログや利用者の権利制限・承認といったアクセス履歴の管理も併用して行います。

こうしたネットワーク分離の必要性はFISCの安全対策基準でも示されており、内外のネットワークを物理的に隔離することで不正利用や情報漏えいのリスクを低減して安全な組織内ネットワークを構築できます。

安全なネットワークを得るためには適切なソリューションの導入が必要

インターネットを隔離しつつアクセス履歴を管理して安全なデータ伝送を可能にする従来のスキームは、リンクケーブルや中間サーバを設置するといったアプローチが主流でした。

しかし従来のアプローチはログ取得における課題や導入・運用コストが高い点に加え、データの閲覧・編集などを行う権限の申請および承認といった作業工数も多くなるため管理者の業務が煩雑になりがちです。

コストを抑えつつマ安全な組織内ネットワークを得るためには、ネットワーク分離環境でデータを安全に伝送可能かつ管理者の業務負担とならないソリューションを導入しなくてはいけません。

「Crossway/データブリッジ」の導入でネットワーク分離の課題を解決可能

NTTテクノクロス社の手がける「Crossway/データブリッジ」はネットワーク分離環境における安全なデータ伝送をサポートするソリューションであり、コストを低減しながら組織内ネットワークに高水準なセキュリティを築けます。

「Crossway/データブリッジ」は内部ネットワーク（送信端末）から外部ネットワーク（受信端末）に向かうデータのみを伝送できるセキュリティ機器です。

データを伝送する際は送信端末と受信端末の間に「Crossway/データブリッジ」を設け、本品と各端末をUSBケーブルで接続して行います。内部と外部それぞれのネットワークは本品によって送信端末と受信端末が接続されている間のみ行われるため、マルウェアやウイルスなどが外部から内部へ侵入することはありません。

またデータ量に応じて伝送方式を手動あるいは自動から選択でき、意図せず不正なプログラムが仕組まれたファイルを開いた際の感染を防ぐために、ウイルスチェック機能や無害化フィルターも備えられます。

データ伝送が完了した後はUSBケーブルを抜くか「Crossway/データブリッジ」の電源を落とす、または一定時間が経過すると内包データが自動で削除されるため、重要なデータが外部へ漏えいするリスクを低減可能です。

さらに利用履歴が自動で記録されるため内部の不正利用抑止につながり、伝送可能なデータや操作可能なユーザーを制限する機能なども備えているため、権限を細かく設定すれば申請・承認の業務工数を大幅にカットできます。

「Crossway/データブリッジ」は導入実績豊富でトライアルも用意されている

高いセキュリティが求められている金融業界において、組織内ネットワークの安全性向上を図り顧客から信頼を得るためには、インターネットの分離に加えて管理者の業務負担を減らせるソリューションが必要です。

また、本品は2週間のトライアルも用意されています。導入効果を確かめたい場合はぜひ利用してみてはいかがでしょうか。