---

日本企業を狙ったランサムウェア被害の報道が続く中、第74回金融ウェビナーでは「金融機関のサイバーセキュリティ 2026 ―不透明なリスクを『経営の判断基準』に落とし込むには―」をテーマに解説をしました。

近年、ランサムウェア被害の拡大やAIを悪用した攻撃の高度化など、金融機関を取り巻くサイバーリスクはかつてなく複雑化しています。もはや「対策をしているか」ではなく、「どの水準まで対応すべきか」を経営課題として判断することが求められています。

本レポートでは、アクセンチュアのセキュリティおよび金融領域の専門家が登壇したウェビナーから、最新の脅威動向、日本の金融機関が陥りやすい構造的課題、そして投資と人材確保の要諦について要点を抜粋してお届けします。

高度化するサイバー攻撃と「三重の脅迫」の脅威

まずセキュリティ日本統括の藤井からは、サイバーセキュリティリスクの最新動向と2026年に向けた主要トレンドが解説されました。

現在、ランサムウェア攻撃は従来の「二重の脅迫（データの暗号化と情報暴露）」から、さらに悪質な「三重の脅迫」へと進化しています。オンプレミス環境やSaaSから情報を盗み出し、その情報を元に「顧客の顧客（エンドユーザー）」に直接連絡をしてプレッシャーをかける手口が確認されています。エンドユーザーから直接クレームが入ることで、企業は身代金支払いの強い圧力を受けることになります。

こうした被害が拡大する背景には、「効率化を優先しすぎたIT運用」と「セキュリティ対策」とのギャップがあります。ネットワークの細分化（マイクロセグメンテーション）など厳密なセキュリティ対策は、現場の運用負荷を上げるため敬遠されがちです。また、DXやクラウド活用、M&Aによってシステム環境が複雑化し、全体像の把握が遅れることが、有事の際の復旧を遅らせる致命的な原因となっています。

藤井は、2026年の金融セキュリティを定義するトレンドとして、「生成AIの活用（諸刃の剣）」「サイバー攻撃と詐欺的な不正の境界の消失」「サプライチェーンリスクの拡大」「量子AI時代の暗号レジリエンス」の4つを挙げました。

特にAIの普及は、攻撃者にとって強力な武器となっています。攻撃者はAIを活用してより高度な偵察や攻撃を仕掛けてきており、防御側も人海戦術や既存ツールへの依存から脱却し、AIを活用した防御態勢へシフトしなければ防ぎきることは困難です。さらに、従業員が契約外のAIエージェントに機密情報を入力してしまう「シャドーAI」のリスクなど、AIエージェント特有の新たな脅威への対応も急務となっています。

サイバーセキュリティ課題の全体像と「一丁目一番地」

続いて大井田より、金融業界に特化したサイバーセキュリティのフレームワークである「CRIプロファイル」をベースにした、日本の金融機関によくある構造的課題が解説されました。

CRIプロファイルは、各国の金融規制監督当局の期待事項を実装可能なレベルに落とし込んだもので、約300問の評価項目からなります。この指標で評価すると、国や子会社ごとに方針がバラバラになる「ガバナンスの欠如」、アラートが多すぎて重要なものを見逃す「検知の課題」、リストア手順が未検証で復旧できない「復旧の課題」などが浮き彫りになります。

大井田は、これらの根本的な問題として以下の2点を強調しました。

1つ目は「守るべき資産の把握不足」です。事業部門が独自に導入した「EUC（エンドユーザーコンピューティング）のブラックボックス化」や、部門ごとにサイロ化されたシステム、海外拠点の管理不足などにより、自社が持つIT資産の全体像を正確に把握できていないケースが散見されます。

2つ目は「体制の準備不足」です。必要なログの取得・分析不足や、脆弱性情報と自社システムの相関分析ができていないこと、また有事の際のグループ会社間の責任分界点が未整理であることなどが挙げられます。

これらの課題を解決するための「一丁目一番地」は、IT資産管理台帳の整備と棚卸しです。自社にどのようなシステムやリスクが存在するのかを正確に把握することがすべての起点となります。その上で、中長期的には「One Policy, One Architecture, One Operation」を掲げ、グループ全体でポリシーやITインフラ、運用を極力シンプルに統一していくことが重要です。事業会社による過度なカスタマイズを防ぎ、統制を効かせることが求められます。

経営を動かすセキュリティ投資と人材確保の要諦

課題を抜本的に解決するためには、適切な「投資」と「人」が不可欠です。山下は、JCIC（日本サイバーセキュリティ・イノベーション委員会）のデータを引用し、約80%のマネジメント層が「セキュリティ投資が不十分」、約75%が「人材が不足している」と認識している現状を指摘しました。

投資の妥当性を経営層に説明するためには、客観的なベンチマークの活用が有効です。例えば、大企業の金融機関におけるセキュリティ投資の目安として「売上高の0.6%」「全従業員に対するセキュリティ人員0.8%」といったデータがあります。売上1兆円なら年間60億円以上、従業員5000名なら40名以上が定常的に必要という計算になります。この数値を絶対的な正解とするのではなく、自社の現状と比較し、ギャップがある場合はその理由が適切かどうかを検証するための「経営の判断基準」として活用することが重要です。

また、枯渇するサイバー人材問題に対しては、「人材を増やす対策」と「業務を低減・削減する対策」の両輪を回す必要があります。

「人材を増やす対策」としては、外部調達と内製化戦略の明確化が挙げられます。ニッチなサイバー人材を獲得・定着させるためには、事業戦略と紐づいたキャリアパスの提示や、魅力的な評価制度の構築といったリテンション強化が不可欠です。

「業務を低減・削減する対策」としては、AIによる業務の効率化・高度化が鍵となります。NISTのNICEフレームワークに照らし合わせると、将来的には多くのセキュリティタスクがAIによって代替可能になると予測されています。例えば、脆弱性管理業務における各部門からの問い合わせ対応をAIで自動応答化するなどの「クイックウィン（早期の成功体験）」を積み重ねることが推奨されます。単に既存のプロセスにAIを当てはめるのではなく、AI活用を前提とした業務の再設計を行うことが、限られた人材で防御態勢を維持・強化する最大のポイントとなります。

総括

ウェビナーではAIの登場によってサイバーセキュリティを取り巻く環境が加速度的に変化していること。日本の金融機関の主要な課題は守るべき資産やリスクの全体像が十分に可視化されていないことなどが示されました。

サイバーセキュリティにおいて理想論を語れば切りがありませんが、アクセンチュアは日本の金融機関が置かれている制度・組織・ITの現実を踏まえながら、経営が判断できる状態を段階的に整える伴走型の支援を行っています。

サイバーセキュリティは単なるコストではなく、事業の継続性と信頼を支える「経営基盤」そのものです。まずは自社のIT資産を正確に把握するという現実的な一歩を踏み出し、AIを活用した防御態勢の構築と業務の再設計を進めること。そして、客観的な指標を用いて経営層と密なコミュニケーションを図り、不透明なリスクをコントロール可能な経営課題へと昇華させていくことが、2026年の金融機関の重要なミッションとなるでしょう。

 

金融サービスブログでは、金融機関の皆さまに役立つような、最新の動向や弊社のインサイトをいち早くご紹介しております。是非ご覧下さい。

金融サービスブログ financialservicesblog.accenture.com/jp