のウェルズ・ファーゴ（）で情報セキュリティ担当上級副社長を務めるティム・モリス氏は、同銀行が地元の講堂で大規模なセキュリティチームを対象に実施した48時間にわたるサイバー攻撃シミュレーションを大いに楽しんでいました。
「各セキュリティ部門から計 100 名ほどが集まりました」と、モリス氏は、自身が監督した長時間にわたるセッションについて語っています。そのセッションでは、単純なメールによるフィッシング攻撃 から、高度なランサムウェア攻撃に至るまで、レッドチームによる攻撃シミュレーションが行われました。 「分散型サービス拒否攻撃から大規模なデータ流出の試みに至るまで、想像しうるあらゆる種類のセキュリティインシデントや攻撃を再現しました。」 彼は笑いながら言いました。「2日も経てば、みんなかなり疲れてしまうでしょう。」
何十年、いや何世紀にもわたり、銀行や保険会社は、顧客の機密性の高い財務情報の守護者としての役割を果たしてきました。 現在、 金融テクノロジー（ 、通称「フィンテック」）の時代において、給与の振込や住宅ローンの返済から、モバイル取引プラットフォームやビットコインの保有に至るまで、そのデータはほぼすべてデジタル化されています。 ビジネス上の利害関係も、はるかに大きくなっています。
「フィンテック企業においては」とモリス氏は述べます。「データこそが製品なのです。」 それは、お客様にとっての生計の糧なのです。 「預金やポートフォリオが盗まれた場合、それは評判に甚大な損害を与えます。」
テクノロジーの進歩と、パンデミックによるリモートワークの普及のおかげで、フィンテック・ネットワークは今や、消費者、Eコマース、投資家によるほぼすべての取引に深く浸透しています。 フィンテックの支持者であれ懐疑論者であれ、その規模は今後さらに、はるかに大きくなっていくでしょう。 The sector’s global e-commerce volume will be $3.61 trillion this year, up from $348.7 billion in 2010, and is estimated to reach $6.07 trillion in just five years, according to Ascential’s Money20/20 report.
「フィンテック企業にとって、データこそが製品なのです。」 ポートフォリオが盗まれた場合、それは評判に甚大な損害をもたらします。”ティム・モリス氏、ウェルズ・ファーゴ元情報セキュリティ担当上級副社長
サイバーセキュリティ上の脅威も高まるでしょう。 一貫して、あらゆる業界の中で、銀行業界がサイバー犯罪によるコストの最大の負担を強いられてきました。 2019年には、アクセンチュアの「 第9回年次サイバー犯罪コスト調査」（ ）において、残念なことに第1位となってしまいました。 それ以来、状況はさらに悪化の一途をたどっており、パンデミックやリモートワークの影響により、2021年（ 2020） には、世界全体のサイバー犯罪による被害総額が1兆ドル近くまで急増しました。 Last year’s cyberattack on the digital banking app Dave, in which hackers stole the personal data of about 7.5 million dave.com users, shows the vulnerabilities the fintech sector faces.
多くの批評家にとって、オンライン決済、保険、融資プラットフォームを支えるアルゴリズムは、それらの安定性と信頼性における重要な課題となっています。 「実際にはそうではない」とモリス氏は述べています。 本当に重要なのは、これらの企業がデータをどのように管理しているか、そしてデータを保護するシステムの堅牢性です。
王室の宝物
Moshe Katri is managing director of equity research at Wedbush Securities, a wealth management and investment firm with some 6,000 clients and $4.2 billion under management. カトリ氏は、フィンテック企業が革新的であるからといって、必ずしもより高いリスクを負っているわけではないと述べています。
実際、フィンテック企業のような消費者向けビジネスで、仮想通貨取引所や株式取引プラットフォームなど、変動の激しい分野で事業を展開している企業は、セキュリティ対策を何層にも強化する傾向があります。 「彼らが最も避けたいのは、情報漏洩によって信頼が揺らぐことです」とカトリさんは言います。
当然のことながら、現在ノースカロライナ州の Tanium でテクノロジーストラテジストとして勤務しているモリス氏は、ネットワーク全体にわたる可視性がデータセキュリティの鍵であると述べています。 それを実現するためには、フィンテック企業は、 自社のネットワーク上にいくつのエンドポイント が存在するか、それらの エンドポイントがどのように構成されているか、 どの ソフトウェアが 実行されているか、そしてそのソフトウェアにパッチが適用され、最新の状態にあるかどうかを把握する必要があります。 そうして初めて、攻撃対象範囲を特定し、最重要資産を保護することができるのです。 少し一歩引いて考えると、フィンテック企業は、攻撃者から見て自社がどのように映っているのかについても把握しておくべきだと、彼は述べています。
自信を持って取り組んでください
サイバー犯罪者 は、フィンテック業界 を標的にしていますが、その理由は他の業界を標的にするのと同じで、手っ取り早く金を手に入れるためです（多くの場合、ランサムウェアを通じて）。 これにより、セキュリティ企業は対応策を講じたり、先を見越したりすることができるようになります。 また、モリス氏によると、攻撃はますます巧妙に見えがちですが、実際にはたいてい、好機を捉えたものであり、綿密に計画されたものであるとのことです。 同氏によると、ランサムウェアは「コモディティ化」しつつあるとのことです。
による適切なサイバーセキュリティ対策 を実践することは、犯罪者による侵入を困難にするための鍵となります。多くの場合、それだけで犯罪者はより脆弱な被害者を探しに行くことになるでしょう。 特に重要な取り組みとしては、ネットワークに接続されているすべてのエンドポイントやデバイスを特定して一覧化すること、リモートワークの普及に伴い急増しているアプリやその他のソフトウェアを管理すること、承認済みソフトウェアの パッチ適用を自動化 （同時に不正なアプリを排除すること）、そしてセキュリティ脅威に対する迅速対応計画を策定することが挙げられます。
モリス氏は、フィンテック企業はセキュリティ対策を早い段階から運用技術に組み込む必要があると述べています。これは「シフト・レフト」と呼ばれるソフトウェアテストの手法です。 これにより、開発サイクルの後半で後付けでテストを行うのではなく、開発の早い段階でテストを優先することになります。 また、セキュリティチームと開発者間の連携を、必須とは言い切れないまでも、より一層促進するものです。
[関連記事：重要な指標の測定：リスク測定と企業の目標・目的との整合]
「私はよく家を例えとして使います」とモリス氏は言います。 「窓やドアの設定を行う過程で、境界や錠前について把握していくことになります。」
多くの小規模企業がひしめくフィンテック業界にとっての課題は、企業がITやセキュリティに関するすべての責任を外部委託したくなる誘惑に駆られることです。 フィンテック企業は、あらゆるニーズを単にベンダーに依存するわけにはいきません。 （最近のサプライチェーン攻撃によって、彼らはそのことを確実に学んだことでしょう。） 一度設定したら、そのまま放置しておくことはできません。 各社は自社のセキュリティ戦略を自ら主導する必要があります。 モリス氏によると、これを独立した組織として運営することは、データリスクに加えて、企業にとって第三者リスクをもたらすとのことです。
「企業は、攻撃者から見て自社がどのように映っているかを把握しておくべきです。」
また、規制当局の意向にも反することになります。 フィンテック企業の情報システムは、自社の業務要件を満たすだけでなく、金融およびセキュリティの規制当局の要件も満たさなければなりません。 また、金融サービスパートナーやスポンサーが定める規定にも準拠しなければなりません。 また、既製品ではいけません。
「必要なのは、画一的なルールやテンプレート化されたルールではなく、本当に優れたルールです」と、会計・コンサルティング会社 BDO（）のコンプライアンス部門を率いるチャック・パイン氏は述べています。同氏のチームは、不正防止およびマネーロンダリング対策の戦略に注力しています。 「それらは、お客様やクライアントのために構築される必要があります。」
進化する脅威
デジタルトランスフォーメーションが加速し続ける環境において、デジタル上の脅威も急速に進化しています。 そのため、フィンテック企業は貴重な顧客データの最も重要な守護者の一つとなっており、この業界が厳格なサイバーセキュリティ対策を維持することの重要性が浮き彫りになっています。
パイン氏によると、フィンテック分野に参入し、コンプライアンスへの取り組みを始めたばかりの企業は、自らが展開している事業の性質上、リスクプロファイルが本質的に高いということを理解していないことが多いとのことです。
[関連記事：欧州での巨額の規制違反罰金が再び急増しています]
フィンテックそのものも、状況が刻々と変化しています。 のように、常にニュースの見出しを独占しているように見える暗号資産（クリプト）は、 投資家に対して「デジタルコイン」という商品と、「 ブロックチェーン」 という新技術を提供する革新的なものであり、理論上は金融サービス業界の基盤そのものを変革する可能性を秘めています。 このプラットフォームの支持者たちは、その暗号化された取引が金融サービスのセキュリティを新たなレベルに引き上げると主張していますが、批判派は、決済の匿名性ゆえに悪用される恐れがあると指摘しています。
ウェドブッシュのカトリ氏によると、暗号資産ベンチャー企業では、規制の導入、あるいは少なくとも監督体制の強化が見込まれることへの対応に、多くの労力が注がれているとのことです。
「仮想通貨はいずれにせよ規制されることになるでしょう」とカトリさんは言います。 「これは業界にとって前向きな出来事となり、ある程度の正当性を与えることになるでしょう。」
基本に立ち返る
データは、フィンテック企業にとって貴重な資産であるだけではありません。 技術革新を促進し、新たな市場を切り拓くことができます。 適切な対策を講じれば、フィンテック企業は成功する可能性が高いでしょう。 しかし、もしつまずきやシステムの不具合、あるいはセキュリティ侵害などが発生すれば、米国の監督当局に対して、取り締まりを強化し、この業界を今日の地位へと導いてきた成長を脅かす可能性のある規制を課すよう、圧力がかかることになるでしょう。
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
モリス氏にとって、その多くは昔ながらのサイバーセキュリティ対策に尽きるのです。 脅威評価を行っている際に、攻撃者がシステムに侵入する可能性のある経路が見つかったとき、「胃のあたりが締め付けられるような感覚になる」と彼は言います。 「でも、誰よりも先に何かを見つけられたという喜びもあります。」