株式会社群馬銀行 松村 真人様 インタビュー

学ぶほど強くなる専門性─銀行を支える登録セキスペの価値

地方銀行におけるサイバーセキュリティの重要性は年々高まり、高度化する攻撃からお客様の資産と情報を守るためには、専門性に根ざした確かな判断と継続的な技術理解が欠かせません。
銀行全体のセキュリティ管理を担う松村真人様は、CSIRTの立ち上げに携わったことを機に登録セキスペ資格を取得。最新の知見を学び続ける国家資格保持者として、リスク評価、インシデント対応、行員教育まで幅広く業務に活かしています。

Q 現在の所属・役職、リスク統括部門での主な役割を教えてください。

現在、私はリスク統括部システムリスク管理室に所属し、スペシャリスト職としてサイバーセキュリティ管理業務に従事しています。サイバーセキュリティに関わるシステム導入の企画、規程・マニュアルの整備、行員への教育などを通じて、銀行全体のサイバーセキュリティ体制の維持・強化に取り組んでいます。

Q 登録セキスペ資格を取得した理由/きっかけと、資格取得後の変化を教えてください。

登録セキスペ資格を取得した理由は、もともと基本情報技術者試験・応用情報技術者試験に合格しており、次のステップを考えていた時期に、銀行内のCSIRT立ち上げに携わったことがきっかけでした。自身のキャリア形成を見据えて専門性を高めるため、情報セキュリティスペシャリスト試験に挑戦し、合格後は登録セキスペとして体系的かつ最新知見に基づく研修を継続的に受講しています。これにより、業務における専門性と実践力の一層の向上に大きく寄与していると感じています。
また、国家資格を保有し、専門職として業務に携わることで、プロフェッショナルとしての自覚を持ちながら意欲的に仕事に取り組むことができています。

Q 地方銀行の情報セキュリティで、最重要リスクの優先順位について教えてください。

銀行は、お客様に預金・融資・為替などのインフラサービスを提供する重要な役割を担っています。これらのサービスを安定的に提供し続けること、そして当行を信頼してご利用いただくお客様の大切なご預金や情報を守ること。この2点を最優先としたリスク対応が必要であると考えています。

Q 金融庁等のガイドライン対応で、現場として難易度が高いと感じる点はありますか？

ガイドラインについては、経営陣を含む管理態勢の整備から、サイバー攻撃に対する検知・防御・復旧など、これまで監督指針や取り組み方針で示されてきた内容がより具体化されたものが多く、既に対応できている部分もあります。一方で、「対応が望ましい」とされる項目の多くは高度な取り組みであり、すべてを網羅するには相当なリソースが必要となるため、ロードマップを作成し、計画的に対応しています。
また、委託先を含めたセキュリティ確保としてサードパーティ管理が定められており、従来のサイバーセキュリティの枠組みにとどまらず、外部委託先管理を基盤とした、より広く深い管理強化が求められている点についても難しさを感じています。

Q リスク評価で登録セキスペの知見が生きた具体例を教えてください。

登録セキスペの年次オンライン講習では、毎年最新の動向を踏まえたカリキュラムが組まれています。各種ガイドラインやフレームワークが紹介され、丁寧に解説されているため、後から見返す際には要約とあわせて背景を深く理解することができ、リスク評価をはじめとしたさまざまな場面で役立っています。

Q インシデント対応体制とエスカレーションの体制について教えてください。

私たちCSIRTは、全体の取りまとめ役として中心的な役割を担い、SOC機能を持つシステム部門をはじめ、広報部門・営業部門など多くの部門と連携しながら対応体制を整備しています。また、定期的に演習を実施し、手順の確認や実効性の向上に努めています。
セキュリティ関連のイベントが発生した際には、関係者を集めたチャット上で迅速に情報共有を行います。そのうえで、調査を進めながら深刻度に応じて適切にエスカレーションを実施しています。小さな事象であっても、まずは情報共有を徹底することが重要であると考えています。

Q フィッシング／ビジネスメール詐欺（BEC）対策の教育・技術の組み合わせは何ですか？

不審メールに関する訓練を継続的に実施することで、メール利用者全体への継続的な教育を行っています。また、世間で流行している手口や、当行で実際に確認された事例については、適宜情報を発信し、注意喚起を徹底しています。
技術的な対策としては、不審メールの受信を未然に防ぐ仕組みや、不正な操作を検知するシステムを整備しており、教育と技術の両面から、不審メールによる被害の防止に努めています。

Q 銀行の安全を支える“縁の下の力持ち”として、どのような責任感ややりがいを感じていますか？

近年、多くのサイバー攻撃事案が社会全体で発生しており、サイバーセキュリティ分野の重要性と存在感は一層高まっています。それに伴い、私たちサイバーセキュリティ担当者に求められる役割や責任も大きくなっていると感じています。
サイバー攻撃は日々高度化・巧妙化しており、継続的な対応体制の評価や整備が不可欠です。私たちの部門が機能しなければ、タイムリーな情報収集や評価、迅速な対応ができず、結果として銀行全体が大きなリスクに晒される可能性があります。

Q 登録セキスペを目指す方に向けた、学習やキャリアのアドバイスをお願いします。

セキュリティ分野は技術の発展とともに、その基盤を支えるための高度な知識や対応力が求められますが、昨今、セキュリティ業界は人材不足が指摘されています。
セキュリティに関心のある方は、ぜひ登録セキスペの資格取得にチャレンジし、キャリアの第一歩を踏み出してください。そして、安心・安全な社会づくりに共に貢献していきましょう。