■ - ikepyonのだめ人間日記

うーん、こんな答弁をやっていたとは。
http://www.shugiin.go.jp/itdb_kaigiroku.nsf/html/kaigiroku/009515920040317011.htm?OpenDocument
注目すべきは中塚議員と銀行のトップの答弁。

○中塚委員　(省略）まず、一番初めに三木参考人にお伺いいたしますが、あなたの会社では、そしてまた、本日招致をいたしております四大メガバンクと言われるような大銀行において、セキュリティー責任者というものを会社に置いていらっしゃるのかどうか、お答えを願います。
○三木参考人　お答えいたします。　情報セキュリティーの専門統括部署といたしまして、私どもでは、情報セキュリティ管理室、こういうのを設置しております。そうしまして、そこの室長が行内全体の管理統括の責任者ということになっております。加えまして、そのもとに、各部署ごとのセキュリティー責任者ということで、これは、部長、室長、支店長、支社長、そういう場所の長を任命しております。　各銀行とも、ほぼ同様にセキュリティー責任者を置いているものと認識しております。　以上でございます。
○中塚委員　そのセキュリティー責任者は、システム運用管理、外部に委託されていると思うんですが、外部に委託をしたシステム運用管理会社とは別に、あなたの銀行のセキュリティーに関してちゃんとしたアドバイスを受けていらっしゃいますか。要は、第三者からのそういうアドバイスを受けているかどうかということについてのお尋ねです。
○三木参考人　お答え申し上げます。　セキュリティーにフォーカスいたしました外部監査、これは定期的に受けておりまして、アドバイスを受けております。そして、その外部監査の結果でございますけれども、これは、セキュリティー責任者が報告を受けまして、内容を分析の上、委員会あるいは経営会議に報告されております。　以上でございます。
○中塚委員　(省略)　そのＣＳＩ、ＦＢＩの出したレポートというものに基づいて、これまたアメリカにＳＡＮＳインスティチュートというセキュリティーの会社がありますけれども、そのＳＡＮＳとＦＢＩがトップ二十脆弱性というものを発表しています。　というのは、これはＳＡＮＳとＦＢＩの規定するネットワークの脆弱性に関する優先検証事項二十項目というものがあるわけなんですけれども、その優先検証事項二十項目というものに基づいて、日本の会社が上場三千社に対してネットワークの脆弱性を調査し、評価した結果というものがありますが、それについては御存じでしょうか。
○三木参考人　お答え申し上げます。　ただいまの御質問の件につきましては、寡聞にして内容を私は詳細存じておりません。また、後半の御質問につきましても、調査、評価については詳しい内容は承知しておりません。　ただし、先ほど申しました責任者が、その点で重要なものであれば私ども報告をもらうことになっております。　以上でございます。
○中塚委員　極めて重要なものなんですね。　（省略）今、お手元にお配りをしましたのは、アイ・サイナップ社という会社が、二〇〇三年の一月初めに、上場三千社に対して、先ほど申し上げましたＳＡＮＳ、ＦＢＩによる警告を基準に脆弱性を調査し評価したレポートの結果です。三千社分あるんですけれども、本日は、金融機関、特に参考人でお越しをいただいております四行について評価した部分だけを抜き取ってあります。　この見方なんですけれども、かぎのかかっているマークと、かぎの外れているマークがあるのがおわかりいただけるというふうに思います。そして、このかぎのかかっているマーク三つが安全です。かぎのかかっていないマーク三つはもうぼろぼろ、ネットワークに関しては極めて脆弱であるというふうな結果になっているわけなんです。　この結果を見ますと、まず、みずほさんはかぎ一個ですね。というわけで、これではとても安全だと言えるような状況ではないということです。そして、ＵＦＪホールディングスはかぎの外れたのが一個ということですから、それよりもなおネットワークが脆弱であるという結果が出ておりますし、東京三菱、今お答えをいただきました三木参考人の銀行にいたしましても、かぎが一つ外れておるということになっています。また、三井住友フィナンシャルもかかったかぎが一個だけというふうなことになっているわけなんです。　この結果を見て、まず、みずほの前田社長、どういうふうな御感想をお持ちになりますか。
○前田参考人　今初めて拝見したんですが、私ども、ネットワークのセキュリティーに関しましては、万全な手当てをしていると自負をいたしております。　ただ、どういう調査、どういう目的でやられたか、私ども存じておりませんので、この御指摘、どの部分が弱いかというのは、我々、中で見まして、改善するものは改善したいと思います。　以上でございます。
○中塚委員　続いて、席の順に、三木参考人、そして寺西参考人、西川参考人に同様の質問をいたします。
○三木参考人　私どもも、これは初めて拝見いたしましたけれども、外部の監査コンサルタントから評価は受けております。　そして、セキュリティー対策というのは本当に重要なことでありますが、完全ということはないということでございますので、また、技術の発達に伴いましてアタックの方も非常に高度化、巧妙化してまいりますので、セキュリティー対策を今後とも充実していかなければならないと痛感しております。　以上でございます。
○寺西参考人　お答えいたします。　私どもも、原則、毎年外部監査によってシステム全般のセキュリティーについては監査を受けておりますし、また、インターネット等からの外部の攻撃を受ける可能性のあるシステムにつきまして疑似ハッキングといったようなこともやってございます。　ただ、こういう評価があるということも、これは事実でございますので、さらにこういったものに磨きをかけてまいりたい、かように考えているところでございます。　以上、お答え申し上げました。
○西川参考人　私もこの調査資料は初めて拝見いたしました。　技術的な細かい点まで承知はいたしておりませんが、要すれば、システム面の技術が日進月歩で進んでまいっております状況下、そしてまたコンピューターウイルスも同様に進化していくという状況下にありまして、企業のセキュリティーバージョンの陳腐化リスクというものを経営としてどう判断してリスクコントロールしていくかということかと思います。　そういう意味で、こういったレポートも参考にしつつ、また、必要に応じて外部のコンサルティング会社の助言等も得つつ、優先順位をつけて対応していくということが肝要かと思っております。
○中塚委員　前田参考人、ネットワークは万全だとか、やや安全だとかいうふうには言わない方がいいと思うんですね。（省略）今、いろいろ御答弁ありましたけれども、こういう結果を踏まえての御答弁だったわけですが、次に、前田参考人に伺いますけれども、今、あなたの銀行で、セキュリティー問題で何が起きているのかということを把握していらっしゃるのか、そしてまた、その問題について対処をしていらっしゃるのかどうか、お答えいただけますか。
○前田参考人　お答え申し上げます。　私どものグループでは、私ども持ち株会社でございますが、それぞれ子会社、子銀行、たくさんの会社がございます。同じルールでセキュリティーに関してのチェックをいたしております。また、外部の専門機関によりますシステム監査、それから外部からの侵入テスト等を実施いたしておりまして、当然、それに備えた対策を実施いたしております。　銀行本体のシステム部門、勘定系のところ、こういうところに今まで侵入されたことはもちろんございませんが、ネットワークで外とつながっているのももちろんございます、そういうところに関していろいろな侵入があるという事実も十分承知しておりますし、それに対する対策も、都度適切な対策を打っているところであります。　以上であります。

とまあ、長々と引用してみた（これって引用の範囲内？）けど、興味深いのは調査会社が公表している脆弱性調査結果をそろいもそろって銀行のトップが知らなかったと答弁していることだ。
これは３つのことが考えられると思う。

調査会社が無断でセキュリティ調査を行ったため、公表された会社は調査を行ったという事実を知らない。
調査会社は該当銀行の担当者と連絡をとって調査を行ったが、結果が酷いものであったのでトップへ報告される途中で調査はなかったものとされ、トップにまで伝わらなかった。
トップは知っていたが、まさか調査結果が公開されるとは思っていなかったので隠そうとした。

まあ、さすがに1はないだろう。これはさすがに不正アクセス禁止法に引っかかるから調査会社としてもやらないだろうし。となると、2か3しかないが、どっちなのだろう？でも、会話の流れから言って本当にトップは知らなかったぽいので、というか知っていて知らないということが有益だとは思えないので3もないだろうな。
2の場合、組織としてセキュリティ体制が全くなっとらんのですが。不祥事が発生したとしても不祥事を隠す体質にあると公言しているようなもんなのですが。このこと言ってて，「内部犯罪で外に流出しないような形の対策を打っておりますので」っていわれてもねぇ。まあ、一応どこも形だけのセキュリティ体制は作っているらしいことがわかるんですが、どうもうまく機能してないような気がするんですけど。まあ、さすがに金融関係は金融庁が厳しいのでそれなりの対策を取っていると信じたいんだけどなぁ。でも、この答弁を見る限りあんまり信じられないなぁ。
やっぱり、トップが技術だとか情報といったものに関心が少ないのは仕方がないのかなぁ。