英FCAがサイバーインシデント報告を厳格化——金融機関に12カ月の準備期間

英国金融行動監視機構（FCA: Financial Conduct Authority）が、サイバーインシデントおよびサードパーティIT障害に関する報告規則の厳格化を正式に発表した。新規則は2027年3月に施行され、FCA規制対象のすべての金融機関に12カ月の準備期間が与えられる。2024年7月に世界中の金融機関を巻き込んだCrowdStrike障害を直接的な契機として、英国はサプライチェーンリスクを含む包括的なサイバーレジリエンス体制の構築を金融業界に求める。

これは単なるルール改定ではない。従来の「自社システムのインシデント報告」に加え、サードパーティ（外部委託先）のIT障害も報告対象に含める点が画期的だ。クラウドサービスやSaaSプロバイダーへの依存が進む金融業界にとって、サプライチェーン全体の可視化が法的義務となる。

FCA新規則の背景——CrowdStrike障害が突きつけた現実

2024年7月19日、サイバーセキュリティ企業CrowdStrikeのFalconセンサー更新プログラムの不具合により、世界中で約850万台のWindowsデバイスがブルースクリーン（BSOD）に陥った。航空会社、銀行、病院、小売業者が一斉に業務停止に追い込まれ、被害総額は**推定54億ドル（約8,100億円）**に達したとされる。

英国金融セクターも深刻な打撃を受けた。大手銀行のオンラインバンキングが停止し、証券取引所の決済システムに遅延が発生、保険会社の顧客対応窓口が機能不全に陥った。しかし、この障害はサイバー攻撃ではなくソフトウェアの不具合であったため、従来のインシデント報告フレームワークでは「報告義務なし」と判断する金融機関もあった。

FCAはこの事態を深刻に受け止めた。サイバー攻撃であれソフトウェア障害であれ、顧客に重大な影響を与える事象は等しく報告・対処されるべきだ——この考えが今回の規則厳格化の根幹にある。

FCAは2024年後半からコンサルテーションペーパー（CP）を公表し、業界からの意見を募集。2025年から2026年にかけて最終規則の策定を進め、2026年3月に正式なポリシーステートメント（PS25/3）として公表に至った。

新規則の核心——何が変わるのか

報告対象の拡大

従来のFCA報告フレームワークでは、主にサイバー攻撃やデータ侵害が報告対象だった。新規則では以下が追加される。

• サードパーティIT障害: クラウドプロバイダー、SaaSベンダー、決済インフラ提供者などの外部委託先で発生した障害
• 重大なオペレーショナルインシデント: サイバー攻撃に限らず、システム障害、設定ミス、ソフトウェアバグなど顧客に重大な影響を与える事象
• サプライチェーン連鎖障害: 一つのサードパーティ障害が複数の金融機関に波及するケース

報告の迅速化

新規則では、重大なインシデントを認識した時点から**速やかに（as soon as practicable）**FCAへ初回報告を行い、その後に詳細な経緯・影響範囲・根本原因分析をフォローアップ報告する二段階制を採用する。

対象企業の範囲

FCA規制対象のすべての金融機関が対象となる。具体的には以下のセクターが含まれる。

セクター	具体例	推定対象企業数
銀行・住宅金融組合	大手銀行、チャレンジャーバンク、ビルディングソサエティ	約300社
保険会社	生命保険、損害保険、ロイズ市場	約500社
資産運用会社	ファンドマネージャー、ウェルスマネジメント	約2,000社
決済サービス	電子マネー発行者、決済処理業者	約1,200社
証券・投資会社	ブローカー、ディーラー、アドバイザー	約5,000社
フィンテック	ネオバンク、暗号資産関連、レンディングプラットフォーム	約800社

FCAの規制対象企業は合計で約5万社以上に上り、ロンドンのシティを中心に英国金融業界のほぼ全体をカバーする。

以下の図は、新規則におけるインシデント報告フローと施行スケジュールを示しています。

この図のとおり、サードパーティ障害もサイバー攻撃と同じフローで報告対象となる。12カ月の準備期間を活用し、社内の報告体制を整備する必要がある。

サードパーティリスク管理——新規則の最大の焦点

新規則で最も注目すべきは、サードパーティIT障害の報告義務化だ。これが金融機関に求める実務上の変革は大きい。

なぜサードパーティが焦点なのか

現代の金融機関は、ITインフラの多くを外部に依存している。調査会社ガートナーの推計によると、大手金融機関のITシステムの**60〜70%**がサードパーティサービスに依存している。クラウドインフラ（AWS、Azure、GCP）、コアバンキングシステム（FIS、Temenos）、サイバーセキュリティツール（CrowdStrike、Palo Alto Networks）、データ分析基盤（Snowflake、Databricks）——これらのいずれかが停止すれば、金融サービスに直接的な影響が及ぶ。

CrowdStrike障害はまさにこのリスクを顕在化させた。セキュリティソフトの更新という日常的なオペレーションが、グローバル規模の金融サービス停止を引き起こした。問題は、多くの金融機関がサードパーティのインシデントを「自社の責任範囲外」と捉え、報告義務があるとは認識していなかった点にある。

金融機関に求められる具体的対応

FCA新規則のもとで金融機関が整備すべき体制は以下のとおりだ。

1. サードパーティ依存関係のマッピング: すべての重要なサードパーティを特定し、依存関係を可視化する
2. インシデント検知体制の構築: サードパーティ障害を自社で速やかに検知する監視システムの導入
3. 報告判定基準の策定: どのレベルの障害がFCA報告対象となるかの社内基準を明文化
4. サードパーティとの契約見直し: インシデント発生時の通知義務、情報提供義務を契約に盛り込む
5. 定期的なテスト: サードパーティ障害を想定したシナリオテスト・訓練の実施

各国の規制動向との比較

英国FCAの新規則は、グローバルなサイバーレジリエンス規制強化の流れの一環だ。以下の図で主要国・地域の規制を比較する。

この比較表が示すとおり、各国がそれぞれのアプローチでサイバーインシデント報告義務を強化している。特にEUのDORA（Digital Operational Resilience Act）は2025年1月にすでに施行されており、英国FCAの新規則はDORAとの整合性も意識した設計となっている。

EU DORAとの主な違い

項目	英国FCA新規則	EU DORA
初回報告期限	速やかに（具体的時間指定なし）	4時間以内
サードパーティ範囲	FCA規制対象企業が利用するすべてのサードパーティ	ICTサードパーティサービスプロバイダー
直接監督	FCAがサードパーティを直接監督する権限なし	欧州監督当局がCTPを直接監督
テスト義務	推奨（今後義務化の可能性）	TLPT（脅威ベースペネトレーションテスト）義務化
罰則	FCAの執行権限に基づく制裁金	売上高の最大2%の制裁金

英国の規則はEU DORAと比較すると報告期限の面ではやや柔軟だが、「サードパーティ障害」を広範に捉えている点が特徴的だ。

日本の金融機関への影響——対岸の火事では済まない

直接的影響：英国拠点を持つ日本の金融機関

メガバンク3行（三菱UFJ、三井住友、みずほ）はいずれもロンドンに拠点を持ち、FCA規制の対象だ。大手証券（野村、大和）、保険会社（東京海上、MS&AD、SOMPO）もロイズ市場への参加やロンドン拠点での業務を通じてFCA規制下にある。これらの企業は2027年3月までに新規則への対応を完了する必要がある。

間接的影響：日本国内の規制強化への布石

金融庁は2024年にサイバーセキュリティガイドラインを改訂し、サードパーティリスク管理の重要性を強調している。しかし、現時点ではインシデント報告に関する法的義務は存在せず、あくまでガイドラインベースの運用だ。

ただし、英国FCA・EU DORA・米国CIRCIAと主要金融規制当局が相次いでインシデント報告義務を法制化する中、日本の金融庁がこの流れに追随しないと考えるのは楽観的すぎる。実際、金融安定理事会（FSB）は2023年にサイバーインシデント報告の国際的な収斂を推奨するレポートを公表しており、日本もこの枠組みに参加している。

日本企業が今すぐやるべきこと

英国での規則施行を待たずとも、以下のアクションは今すぐ着手すべきだ。

1. サードパーティの棚卸し: 自社が依存するITサービスプロバイダーのリストを作成し、重要度を分類する
2. インシデント対応計画の更新: サードパーティ障害を含むシナリオに対応した計画に改訂する
3. 契約条件の見直し: サードパーティとの契約にインシデント通知条項が含まれているか確認する
4. パスワード・認証基盤の強化: 全社的な認証管理の一元化は基本中の基本だ。1Passwordのようなエンタープライズ向けパスワードマネージャーを導入し、サードパーティサービスへのアクセス認証情報を一元管理することで、インシデント発生時の影響範囲特定が格段に速くなる

CrowdStrike障害から学ぶ教訓

2024年のCrowdStrike障害は、FCA新規則の直接的な触媒となったが、そこから得られる教訓は規制対応にとどまらない。

単一障害点（SPOF）の危険性

CrowdStrike Falconは世界中の金融機関で標準的に採用されていたため、一つの更新プログラムの不具合が業界全体に波及した。「ベストオブブリード」のセキュリティ製品を選定したはずが、結果的に業界全体の単一障害点を作り出していたのだ。

ソフトウェアサプライチェーンの透明性

CrowdStrike障害後、ソフトウェア部品表（SBOM: Software Bill of Materials）への関心が急速に高まっている。自社システムがどのサードパーティコンポーネントに依存しているかを把握するSBOM管理は、FCA新規則への対応においても重要な基盤となる。

テスト・検証プロセスの見直し

CrowdStrikeの更新がグローバル展開前に十分にテストされていなかった問題は、金融機関自身のテスト体制にも問いかけを投げかける。サードパーティの更新を自社環境に適用する前に段階的なテスト（カナリアリリース、ブルーグリーンデプロイメント）を実施する体制が求められる。

12カ月の準備期間——何を優先すべきか

FCAは金融機関に12カ月の準備期間を設けた。この期間で優先すべきアクションを時系列で整理する。

フェーズ1（2026年3〜6月）: 現状把握とギャップ分析

• 現行のインシデント報告体制と新規則の要件を比較し、ギャップを特定
• サードパーティ依存関係のマッピングを開始
• 経営層への報告と予算確保

フェーズ2（2026年7〜9月）: 体制構築

• インシデント報告のプロセス・手順書を策定
• 報告判定基準を策定し、社内周知
• サードパーティとの契約条件見直しを開始
• 監視ツール・システムの導入

フェーズ3（2026年10〜12月）: テストと訓練

• サードパーティ障害を想定したシナリオテストを実施
• FCAへの報告プロセスの模擬演習
• 経営層を含むエスカレーション訓練

フェーズ4（2027年1〜3月）: 最終調整

• テスト結果に基づく改善
• 全社員への最終周知・教育
• 2027年3月の施行日に向けた最終確認

まとめ——サイバーレジリエンスは「コスト」ではなく「投資」

英国FCAのサイバーインシデント報告規則厳格化は、CrowdStrike障害という痛い教訓を制度的な改善に結びつけた好例だ。サードパーティIT障害を報告対象に含めるという判断は、現代のIT環境の現実を正確に反映している。

日本の金融機関を含むグローバルな金融プレーヤーにとって、以下の3つのアクションが急務となる。

1. サードパーティ依存関係の完全な可視化: どのサービスに依存し、そのサービスが停止した場合にどの業務が影響を受けるかを明確にする。認証情報の一元管理には1Password Businessのようなツールが有効だ
2. インシデント報告体制のグローバル整合: 英国FCA、EU DORA、米国CIRCIAの各規則に対応できる統一的な報告フレームワークを構築する
3. 定期的なテスト・訓練の実施: サードパーティ障害を想定したシナリオテストを少なくとも年2回実施し、報告プロセスの実効性を検証する

サイバーレジリエンスへの投資は、規制対応コストではなく、顧客の信頼を守るための戦略的投資だ。2027年3月の施行日まで12カ月——準備を始めるなら今だ。