それはきっと起こるでしょう。 ある中堅企業の財務担当者は、CEOから「緊急」と記された機密メールを受け取り、進行中の買収案件の頭金として750,000 ドルを海外の銀行口座へ送金するよう指示されました。
そのような取引が進められていることを知り、上層部の指示に異議を唱えることを避けたかった会計担当者は、すぐにその指示に従い、その日は帰宅しました。
翌朝、財務担当者は、CEOからの激怒した電話で目を覚ましました。CEOは、なぜ自分の個人的な承認なしに、これほど巨額の資金が支払われてしまったのかと問い詰めてきました。 その日の午後遅く、この混乱が によるスピアフィッシング 詐欺によるものであり、資金が盗まれたことが明らかになると、その会計担当者は解雇されました。
企業において、財務担当者は通常、あまり注目されることはありません。 彼らは通常、財務という仕組みの表には見えない「歯車」のような存在であり、社内外への支払いを処理し、財務業務が円滑かつ効率的に機能するよう支えています。 しかし最近、財務管理システム（TMS）がオンライン化されるにつれ、財務取引は世界中に公開されるようになり、ハッカーの標的となるようになりました。
その結果、多くの財務担当者は、思いがけず「サイバー犯罪対策担当者」という新たな役割を担うことになっています。
エコノミスト・インテリジェンス・ユニットとドイツ銀行が共同で発表した『 』レポート（ ）によると、「財務省が保有する個人および企業のデータ、支払いを実行し多額の現金を移動させる権限、そしてしばしば複雑な組織構造が相まって、サイバー犯罪者にとって魅力的な標的となっている」とのことです。
企業の財務部門に対するハッキングは、いつ起こってもおかしくない状況です
財務担当者が関与した注目度の高い攻撃の多くは、政府機関を標的としてきました。 しかし、だからといって、企業の財務担当者が影響を受けないというわけではありません。 金融専門家協会（AFP）が実施した「 」調査（ ）によると、2021年には企業の 71％が支払い詐欺の攻撃またはその未遂の被害に遭っており、 70％近くがビジネスメール詐欺（BEC）の標的となっており、特に買掛金部門が最も被害を受けやすいことが報告されています。
「どこかに、必ず誰かがいて、あなたのシステムに侵入する方法を見つけ出すでしょう。」 会計担当者は、そのような事態が発生した際にどう対応するかをあらかじめ計画しておく必要があります。”ナレシュ・アガルワル氏（企業財務担当者協会 政策・技術担当副部長）
英国の企業財務担当者協会（ACT）の政策・技術担当副部長であるナレシュ・アガルワル氏は、こうした攻撃の多くは一般の人々の目にはほとんど留まらないものの、企業の財務担当者が、公共部門の同僚たちを悩ませてきた大規模なハッキングの被害に自部門が遭うのは時間の問題に過ぎないと述べています。
「いかなる組織も攻撃から完全に身を守れると考えるのは誤りです」とアガルワル氏は述べています。 「私たちが繰り広げるこの猫とネズミのようなセキュリティの駆け引きにおいて、どこかに、必ず誰かが、あなたのシステムへの侵入方法を見つけ出すことになるでしょう。」 「会計担当者は、 そのような事態が発生した際に、 どのような対応を取るかを事前に計画しておく必要があります。」
アガルワル氏は、財務担当者は資金の「門番」として、リスク管理を行う傾向が本来備わっていると述べています。 残念ながら、技術やセキュリティのバックグラウンドを持つ人は比較的少ないのです。
財務担当者の間でサイバーセキュリティへの意識が高まっています
サイバー攻撃の高度化が進み、財務管理システムが企業の資金源への「デジタル高速道路」と化すのを防ぐ必要性が切実になっていることから、状況は変わりつつあります。
実際、 （2022 ACT ）が実施した世界規模の調査 （「Treasurers on High Alert」）において、財務担当者は、インフレ、新型コロナウイルス感染症（COVID-19）、地政学的な不確実性、環境問題などを上回り、サイバーセキュリティを最大の懸念事項として挙げました。 調査対象となった財務担当者の80％が、所属組織がサイバーセキュリティ技術に投資していると回答しました。これは、 2021年の 72％から増加した数値です。
[関連記事：取締役会や経営陣に真剣に受け止めてもらうためのサイバーリスクの伝え方]
財務担当者は通常、自社が導入するセキュリティソリューションを決定することはありませんが、その多くがサイバー保険の購入決定に関与しています。 10年ほど前の状況と比べると、こうした購入に際して、財務、業務、セキュリティの各部門の責任者との連携をますます深めています。 また、経営陣および の取締役会から技術投資の承認を得る責任も分担しています。。
リスクと闘い、実績を積み重ねる
アガルワル氏によると、最も有能な企業の財務担当者は、 のリスク管理について上級管理職と定期的に連携・コミュニケーションを図るだけでなく、将来のサイバー攻撃に備えて、各部門の役割と責任を計画し、明確化する支援も行っているとのことです。 さらに、彼らは経営陣や取締役会に対し、導入したセキュリティ対策や実施した侵入テストについて、随時報告を行っています。 要するに、彼らは協力的で、コミュニケーションを重視しています。
「財務チームは決して孤立して活動してはなりません」とアガルワル氏は強調します。 「この金融リスク管理の分野において、彼らが主導的な役割を果たすことが重要です。」 「つまり、たとえその背後にある技術的な詳細をすべて理解していなくても、サイバーリスクを十分に理解する必要があるということです。」
組織がハッキングを未然に防ぎ、万が一発生した場合の被害を最小限に抑えるために、『 』の「Endpoint」 に取材に応じた財務担当者は、以下の対策を推奨しています。
1. 世界的な安全保障政策の策定にご協力ください。 ACTによると、財務担当者は、サイバーセキュリティの責任者らと連携し、一貫性のあるセキュリティポリシー、特に決済に関連するポリシーを策定し、徹底させるべきです。 ポリシーには、従業員がだまされて第三者の口座へ送金してしまうようなスピアフィッシングの被害を防ぐため、一連のデジタル上のチェック・アンド・バランスを盛り込む必要があります。 アガルワル氏は、政策の一環として、多額の出金を確定する前に精査を行う「支払担当責任者」を設置することも考えられると述べています。
2。 IT部門が財務機能を優先するよう確保してください。 IT部門の責任者は、自社のシステムにアクセスするユーザー数が最も多い部署に、最も多くの注意を向けることがよくあります。 But Royston Da Costa, assistant group treasurer at Ferguson, a $23 billion plumbing and heating company, says cybersecurity leaders should be just as concerned about protecting critical assets like a company’s treasury as they are about its endpoints.
20 年前に同社に入社した当初、ダ・コスタ氏は、当時わずか4名の従業員しかいなかった自身の部署のために、最高水準のセキュリティサポートを求めていました。 ITチームは当初、その依頼を却下しました。 「私たちは『誰のものでもない土地』へと追いやられてしまいました」と彼は振り返ります。 「彼らの考えを変えるのに、かなり時間がかかりました。」
[関連記事：サイバー攻撃に対処するよりも予防するほうが得策であることを示す 5 のグラフ]
結局、ダ・コスタ氏は、主な問題はシステムの利用人数ではなく、財務部門が管理するリスクにあるということを、IT部門に納得させることができました。 「それは彼らにとって大きな気づきとなりました」と彼は言います。 “In those days, we managed about $2.1 billion worth of funds. 「彼らがそれを理解するやいなや、警鐘が鳴り響き、私たちを最優先事項として扱ってくれたのです。」
3。 財務部門に特化したサイバーセキュリティプログラムを策定します。 ドイツ銀行はその報告書の中で、サイバーセキュリティを目標とするのであれば、財務部門は独自のサイバーセキュリティ管理イニシアチブを持つべきであり、理想的には企業戦略と整合させるべきであると指摘しました。また、その戦略は、企業の財務部門の全従業員、企業の取引を処理する銀行、銀行接続ソリューションを提供するSWIFT局、決済ソリューションを提供する自動決済機関、およびクレジットカード決済処理業者など、財務部門と関わる可能性のあるすべての人員やプロセスにまで及ぶべきであると述べています。
4。 最新のテクノロジーを積極的に取り入れましょう。 資金管理システムは、企業のキャッシュフローやリスクを管理する上で極めて重要です。 しかし、何年も前に設計されたシステムには、現代のサイバー脅威を防御するために必要なセキュリティ機能が備わっていない可能性があります。 たとえ新しいシステムであっても、定期的に を更新したり、 のパッチを適用したりしなければ、依然として脆弱性を抱えている可能性があります。
“We managed about $2.1 billion worth of funds. [ITチーム]がそれを把握するやいなや、警鐘が鳴り響き、彼らは私たちを最優先事項として扱ってくれました。”ロイストン・ダ・コスタ、ファーガソン社 グループ財務担当副部長
ACTは、財務部門に対し、TMSの最新バージョンを運用しているかどうか、またシステムの運用とセキュリティ確保に必要な社内ITリソースが十分に確保されているかどうかを定期的に評価することを推奨しています。 財務部門が独自の技術を設計または導入することを決定した場合、ダ・コスタ氏はさらに、将来的に互換性やサポートに関する問題が発生するのを防ぐため、同社のCISOが承認していることを確認するよう推奨しています。
5。 練習、練習、練習。 しかし、たとえ最高かつ最新の技術を用いても、脆弱性は常に潜んでしまうものです。 「サイバーセキュリティにおける最大の弱点は人間であり、それは昔から変わっていません」と、国際的な財務担当者であり、トレーナー、そして経営コンサルティング会社Cugavadiの創設者であるクリス・ヴァン・ダイユル氏は述べています。 「詐欺師たちは、人々を騙す手口がますます巧妙になってきており、十分な準備ができていない財務部門なら、どんなところでも彼らに太刀打ちできません。」
[関連記事：なぜ従業員はサイバーセキュリティポリシーに違反するのか]
セキュリティの専門家によると、特に多くの従業員が在宅勤務を行っている現状において、従業員に対して、安全な決済プロセスについて指導するとともに、 最新のフィッシング攻撃、 ソーシャルエンジニアリング、および マルウェア といった脅威について周知することが極めて重要であるとのことです。 2021 TalentLMSとKenna Securityが実施した の調査（ ）によると、従業員の69％がサイバーセキュリティ研修を修了したと回答した一方で、 61％が事後クイズに不合格となりました。
結局のところ、企業の財務担当者は、自社のサイバーセキュリティにおいて、より積極的な役割を果たさなければなりません。 つまり、率先して行動し、存在感を示し、自ら模範を示すことで、会社の資金を確保するということです。
なぜなら、もし彼らがそうしなければ、他の誰かがそうしてくれるという保証はないからです。 何と言っても、最終的な責任は彼らにあるのですから。
