株式会社NTTデータ経営研究所は9月17日、「金融分野におけるサイバーセキュリティに関するガイドライン」に伴うグループ会社対応についての考察記事を発表した。同社 金融政策コンサルティングユニット シニアコンサルタントの秋田壮一朗氏が執筆している。
金融庁が2024年10月に発表した「金融分野におけるサイバーセキュリティに関するガイドライン」では、サイバーセキュリティ管理態勢を整備する上で、金融機関がグループを形成している場合、金融機関本体とともに傘下のグループ会社にも、サイバーセキュリティ管理態勢の整備が求められている。
同記事では、「金融分野におけるサイバーセキュリティに関するガイドライン」を踏まえ、グループ会社を含めたサイバーセキュリティ対応において、金融機関が打つべき手について考察している。
同ガイドラインでは、グループ会社に対し下記3点が要請されている。
1．金融業を営むグループ会社もガイドラインを遵守すること
2．傘下のグループ会社の態勢整備
3．脆弱性対応の範囲の中に含める
同記事では、必要となる具体的な対応について、同ガイドラインで求められる「整合性のある態勢」の中核が、グループ会社のガバナンス（権限・責任・監督・モニタリングの枠組み）と、そのガバナンスを担保する規程類にあることから、まずはグループ共通の規程類を整備することが必要であるとし、規程類の整備方針を具体化する形で、ガイドラインの枠組みに沿い、銀行同様に「ガバナンス」「規程類」「体制」「技術的対策」を整えていく必要があるとしている。
同記事では、グループ会社での体制整備において特に障壁となるものとして、サイバーセキュリティ人材の確保（育成や採用）と、コストセンターであるがゆえの経営資源制約を挙げ、どのように対応すべきか解説している。
