金融機関は、金融庁が定めた「金融機関等コンピュータシステムの安全性に関する基準」（FISC基準）への対応が法的義務です。FISC基準は、情報セキュリティ コンプライアンスの中でも厳格な要求を持ち、システム対策、組織・運用対策、要員対策の3大要素で構成され、定期的に改定されています。本記事では、FISC基準の概要、実装要点、監査対応について解説します。
FISC基準の要件と概要
FISC基準の3大要素
システム対策：
- 基本的な保護機能（アクセス制御、暗号化）
- 情報の信頼性確保（バックアップ、冗長性）
- システムの独立性確保
組織・運用対策：
- セキュリティ組織体制
- セキュリティポリシー策定
- インシデント対応体制
要員対策：
- セキュリティ研修
- 雇用契約での秘密保持義務
- 退職時のアクセス削除
2026年版 情シスが直面するIDガバナンス5大課題
2026年に情シスが直面するIDガバナンスの5つの主要課題を分析。SaaS増加、リモートワーク常態化、コンプライアンス強化などへの対応策を提示します。
セキュリティ・システム対策
アクセス制御とログ管理
FISC基準では、システムアクセスの厳格な制御と監査ログ記録が必須です。
実装項目：
- ユーザーアカウント管理
- 特権ユーザーアクセス制御（PAM）
- 詳細なログ記録と保存
暗号化と通信セキュリティ
システム間の通信は暗号化を実施し、データ盗聴を防止します。
セキュリティポリシーと体制構築
FISC基準では、セキュリティ組織体制の整備が重須要です。Chief Information Security Officer（CISO）を設置し、セキュリティに関する経営判断を担わせることが推奨されています。金融機関では、情報セキュリティ委員会を設置し、定期的にセキュリティ施策の進捗を審議することが一般的です。
セキュリティポリシーの体系は、「情報セキュリティ基本方針」（経営層が定める基本的スタンス）→「セキュリティ管理方針」（部門別・機能別の詳細方針）→「実行手順書」（個々の業務に関わる具体的手順）→「チェックリスト」（遵守状況の確認方法）という階層構造が有効です。これにより、経営の意図が正確に現場に伝わり、ポリシーの実効性が確保されます。
特に、FISC基準では「セキュリティ体制の継続性」も要求されており、経営層交代時のセキュリティ施策の継続、セキュリティポリシーの定期見直し（最低1年ごと）、新しい脅威への対応が求められています。
認証・認可・アクセス制御の実装
FISC基準での中核的な要求事項は、システムアクセスの厳格な制御です。すべてのシステムユーザーに対して、一意のユーザーIDを付与し、パスワード管理ポリシー（定期的な変更、複雑性要件、再利用禁止）を適用することが必須です。
特権ユーザー（管理者）のアクセス制御は、一層厳格です。管理者アカウントの利用は必要最小限に制限し、すべての管理者アクティビティはログに記録される必要があります。多要素認証（MFA）の導入により、ID・パスワード盗取リスクを軽減し、セキュリティ体制を強化できます。
ロールベースアクセス制御（RBAC）により、各ユーザーの職務に必要な権限のみを付与し、過度なアクセス権限の付与を防止します。定期的な権限棚卸し（最低年1回）により、不必要な権限が保有されていないことを確認することも重要です。
また、FISC基準では「退職者のアクセス削除」も重要な要件で、退職日に速やかにすべてのシステムアクセス権限を削除することが求められています。これにより、元従業員による内部脅威を防止します。
監査ログとコンプライアンス監視
FISC基準は、すべてのシステムアクセス、データ操作、設定変更に対する詳細な監査ログ記録を要求しています。ログには、以下の情報を含める必要があります：
- ユーザー認証ログ：ログイン成功・失敗、ログアウト、セッション開始・終了時刻
- データアクセスログ：ファイル・レコード単位のアクセス（読み取り、更新、削除）、アクセス権限の変更
- システム操作ログ：OS・アプリケーションへのコマンド実行、システム設定の変更
- セキュリティイベントログ：セキュリティ対策機能の動作（ファイアウォール遮断、ウイルス検知等）
ログの保存期間はFISC基準で最低1年（重要性の高いログは3年以上）と定められています。また、ログの改ざん防止として、ログは管理者からのアクセス変更不可領域に保管することが推奨されています。
ログの分析には、SIEM（Security Information and Event Management）ツールを活用し、異常なアクセスパターンや侵害の兆候を早期に検知することが有効です。機械学習による異常検知により、既知の脅威だけでなく、新規の攻撃パターンも検知できます。
LOCKED DASによるアイデンティティ管理の統合
LOCKED DASは、FISC基準で要求されるID管理・ガバナンスを統合的に実装するためのIDaaS（Identity as a Service）です。約90個のSaaSコネクタを備え、複数のクラウドアプリケーションへのアクセス制御を一元化できます。
特に金融機関では、オンプレミスのメインフレームシステム、UNIX系システム、クラウドベースの新規アプリケーションなど、多様なシステム環境が存在します。LOCKED DASは、これらの異なるシステムに対する統一的なID管理、アクセス権限管理、アクセス監査ログ記録を実現し、FISC基準への準拠を効率化します。
月額300円/ID という低廉な価格設定により、大規模金融機関であっても、全従業員のID管理をコスト効率よく実装できます。
金融機関のためのID・権限管理の高度化
FISC基準の実装では、ID・権限管理が中核となります。金融機関は、以下のセキュリティ要件を満たす必要があります：
ユーザーアクセス制御
- 各従業員に一意のユーザーIDを付与
- パスワード管理ポリシー（最小8文字、複雑性要件）の実装
- 多要素認証（MFA）の導入
アクセス権限管理
- 最小権限の原則：職務に必要な権限のみを付与
- 定期的な権限棚卸し（最低年1回）：不要な権限を検出・削除
- 権限管理ログ：権限の付与・変更・削除をすべて記録
特権ユーザー管理
- 管理者のアクセスに対する強力な認証（MFA必須）
- 管理者アクティビティの詳細なログ記録
- 定期的な管理者権限の見直し
LOCKED DASは、これらのFISC要件を統合的に実装し、以下を実現します：
- 自動ID管理：HRシステムとの連携により、従業員情報から自動的にID作成・削除
- 属性ベースの権限付与：金融機関内の職務・部門に基づいた自動権限割り当て
- 定期的な権限棚卸し：約90のシステムの権限を統一的に可視化
FISC基準へのコンプライアンス監視
FISC基準への継続的なコンプライアンス対応には、定期的な監視と改善が必要です。
FISC基準の主要な監視項目：
-
パッチ管理
- セキュリティアップデートの適用状況
- 適用期限までの完了確認
-
ログ管理
- ログの記録期間（最低1年）の確認
- ログの改ざん防止対策の確認
-
権限管理
- 権限の定期的な棚卸し実施状況
- 不適切な権限の削除
-
セキュリティ訓練
- 従業員のセキュリティ研修実施状況
- 訓練修了者の比率（目標100%）
LOCKED DAS + LOCKED ATPの組み合わせにより、これらのFISC基準コンプライアンス監視を効率化できます。
金融機関向けセキュリティSOC構築
FISC基準を効果的に実装するには、24時間のセキュリティ監視体制（SOC：Security Operations Center）の構築が推奨されます。
SOC機能：
- リアルタイム脅威検知：SIEM等により異常なアクティビティを自動検知
- インシデント対応：検知されたインシデントに対する迅速な対応
- フォレンジック調査：インシデント発生後の原因究明
ただし、SOC構築には高額な投資と専門人材が必要です。LOCKED等のセキュリティSaaS導入により、マネージドセキュリティサービス（MSS）による外部SOC活用が容易になります。
金融機関のベンダー管理とセキュリティ要件
FISC基準では、金融機関が利用するベンダー（外部サービス提供者）のセキュリティ要件も規定されています。
ベンダー評価項目：
- セキュリティ体制の整備状況
- ISMSやSOC2等の認証取得状況
- セキュリティインシデント対応体制
- 個人情報保護体制
LOCKED等のセキュリティSaaSプロバイダーは、SOC2 Type II認証取得により、金融機関のベンダー評価基準を満たし、導入を加速化できます。
LOCKEDの詳細を見る 企業のセキュリティ対策でお悩みなら、LOCKEDシリーズの無料デモをお試しください。 資料請求・デモ依頼はこちら →