このページの内容
委託先への照会の観点
金融庁は「金融分野におけるサイバーセキュリティに関するガイドライン」（2024 年 10 月）を公表し、サードパーティ（委託先など）のリスク管理にも触れています。事件のときの照会では、次の観点を加えます。
| 観点 | 聞くこと |
|---|---|
| 取引への影響 | インターネットバンキング・決済などの取引が止まるおそれがあるか |
| 認証の仕組み | お客様の認証（MFA など）に関わる部分が対象か |
| 再委託先 | 委託先がさらに任せている事業者が対象の製品を使っているか |
| 報告の取り決め | 契約で決めた事件の報告の期限と窓口 |
照会の文面委託先への照会メールの例文 →
お知らせ文の注意点
| 注意点 | 理由・書き方 |
|---|---|
| 取引の状況を先に書く | 使える取引・止まっている取引を分けて書く |
| 装った連絡への注意 | 事件の後は、事件を装ったフィッシングが出やすい。「当社から暗証番号を聞くことはない」と書く |
| 確かめた範囲を書く | 確認の範囲と日を添え、言い切らない |
| 当局への対応は書き分ける | 当局への報告の要否は社内と専門家で判断し、お知らせには事実だけを書く |
当社の委託先で、セキュリティの事件が公表されました。{{日付}}時点で、インターネットバンキングを含む当社のサービスは通常どおりご利用いただけます。当社から、メールや SMS で暗証番号やパスワードをお尋ねすることはありません。
お知らせの型お知らせ文のテンプレート →
判断を伴うこと
業界の決まりや法令への適合、個人情報保護委員会などへの報告・通知が要るかどうかは、secubell は判断しません。下の公的機関・業界団体の資料を確かめ、最終判断はお客様と専門家（弁護士など）で行ってください。
よくある質問
- 金融機関では、事件のときに委託先へ何を聞けばよいですか。
- 製品の使用の有無とバージョンに加えて、取引への影響（インターネットバンキング・決済などの取引が止まるおそれがあるか）、認証の仕組み（お客様の認証（MFA など）に関わる部分が対象か）、再委託先（委託先がさらに任せている事業者が対象の製品を使っているか）、報告の取り決め（契約で決めた事件の報告の期限と窓口）を聞くと、金融機関で要る確認がそろいます。
- お知らせ文では、何を最初に書けばよいですか。
- 取引の状況を先に書く：使える取引・止まっている取引を分けて書く。そのうえで、確かめた範囲と日を添えます。
原典・参考にした資料
- 金融庁「金融分野におけるサイバーセキュリティ対策について」
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。