金融庁 金融機関のサードパーティ・サイバーセキュリティリスク管理強化に関する調査 (2026.04.03)

こんにちは、丸山満彦です。

金融庁が、「金融機関のサードパーティ・サイバーセキュリティリスク管理強化に関する調査」報告書等を公表しています。重要性が高まっているサードパーティのサイバーセキュリティリスク管理について、米国・EU・英国の大手銀行及び大手保険会社における先進的な管理手法を調査したものです...まとめたのは、デロイトです

● 金融庁

・2026.04.03 「金融機関のサードパーティ・サイバーセキュリティリスク管理強化に関する調査」報告書等の公表について

・・[PDF] TPCRM調査報告書概要

・・[PDF] TPCRM調査報告書

・・[PDF]（参考）DORA TPCRM関連規則の概要

・・[PDF]（参考）DORA本文和訳

・・[PDF]（参考）【英訳】TPCRM調査報告書概要

・・[PDF] （参考）【英訳】TPCRM調査報告書

エグゼクティブサマリの太字部分を中心に...

米国・EU・英国大手金融機関は...

• サードパーティのサイバーセキュリティリスクはサードパーティリスク管理のフレームワークの中で管理すべき一つのリスクドメインとして整備されており、管理対象とするリスクドメインの専門部署としてサイバーセキュリティ部門が組み込まれて対策を推進している

というのを前提に...

• サードパーティの分類は、そのサードパーティが提供するサービスが金融機関にとってどの程度重要かといった重要度や、その取引が持つ固有リスクレベルに基づき分類
  
  
• 管理対象とすべきサードパーティは、各国の各法令・ガイドライン等に基づきクラウドサービスプロバイダー等を含めすべてのサードパーティとの取り組みを対象とし、リスクベースで管理方法に軽重を付けている
  
  
• 可視化して管理している範囲は、運用における実効性の観点から 4th パーティまでとしている金融機関が多い
  
  
• Nth パーティのリスクの低減はいずれの金融機関もサードパーティの委託先管理能力の評価で担保
  
  
• 重要なサードパーティの判定基準は、...そのサードパーティに問題が生じた際にすぐさま金融機関の事業継続・サービス提供能力に影響を与えるサードパーティを重要なサードパーティとして選定
  
  
• サードパーティを利用する業務やその目的に応じた固有リスクが極めて大きいサードパーティを重要としている傾向
  
  
• サードパーティの集中リスクについては、...どの程度依存しているか、...地域に集中が生じていないか、...Nth パーティに業務が集中していないか、といったオペレーショナルレジリエンスの観点で管理
  
  
• TPRM ツールを用いてデータを可視化して効果的に管理
• 期中モニタリングでは、...サードパーティの対応状況を継続的に確認
  
  
• リスクスコアリングツールやダークウェブモニタリング等のサイバー脅威インテリジェンスを用いた確認
  
  
• 業界における質問票の共有の枠組みを活用し、業務効率化
  
  
• サードパーティとの基本契約の契約条項に監査権を盛り込み確保
  
  
• サードパーティが最低限遵守すべきセキュリティコントロール要件や現地調査の権限も契約条項に含めている
  
  
• サードパーティの出口戦略・出口計画については...出口戦略にて...契約を終了するか代替案に切り替え継続するか等の基本方針を整理し、出口計画にて代替案への切り替えにおける移行手順等の詳細を取りまとめている
  
  
• 出口計画については定期的な机上テストを行い必要に応じて計画の更新を行い、実効性を確保
  
  
• サードパーティにサイバーインシデントが発生した場合を想定して、...詳細手順を整備
  
  
• 代理店・ブローカーは、TPRM とは別のプログラムで管理している事例が多く
  
  
• 代理店・ブローカーのセキュリティ対策についても保険会社による評価・管理が行われていた
  

経済産業省のSCS制度も金融庁等とも連携し、標準乱立にならないようにしないといけないですよね...