8月第2週の仮想通貨｜金融庁、仮想通貨のサイバー攻撃報告様式を統一

日本の金融庁は7日、暗号資産（仮想通貨）交換業者を含む金融機関のサイバー攻撃被害の報告様式を統一する改正案を公表した。

サイバー攻撃の報告フォーマットを統一

金融庁が発表した「主要行等向けの総合的な監督指針」などの改正案は、システム障害やサイバーセキュリティ事案の報告手続きを抜本的に見直すものだ。

これまで金融機関は、サイバー攻撃を受けた際に金融庁独自のフォーマットで報告を行っていた。今回の改正では、政府全体で進められているサイバー攻撃被害の報告様式統一化の動きに合わせ、省庁共通のフォーマットへと移行する。

近年、サイバー攻撃の件数は増加傾向にあり、複数の省庁への報告が事業者の重荷になっていた。この取り組みは、被害を受けた組織の報告負担を軽減し、政府の対応を迅速化することを目的としている。

対象となるのは、銀行や保険会社、証券会社といった伝統的な金融機関だけではない。仮想通貨取引所や資金移動業者、電子決済手段等取引業者なども広く含まれている。

今回の改正に伴い、仮想通貨取引所がシステム障害やハッキング被害に遭った際も、他の金融機関と同じ共通フォーマットを用いて金融庁に報告することになる。

仮想通貨ビジネスが主流の金融規制と歩調を合わせ、金融分野全体で一貫した対応が求められる形だ。

新たな報告様式と今後のスケジュール

新たな報告様式は、事案の性質に応じて3つのカテゴリーに明確に分類されている。

具体的には、「DDoS攻撃事案共通様式」と「ランサムウェア事案共通様式」に加え、新たに「その他サイバー攻撃等事案共通様式」が設けられた。

金融機関は事案を認識した際、直ちに金融庁へ事実を報告した上で、該当する様式を用いて詳細な報告書を提出する必要がある。

また、ランサムウェア事案の共通様式は、個人データ漏えいに関する報告書としても兼用できる仕組みとなっている。

サイバーセキュリティと個人情報保護の規制を調和させ、複数の報告義務を一本化することで、実務的な負担を減らす工夫が見られる。

一方で、制度の移行には柔軟な経過措置も用意されている。経済安全保障推進法に基づく「特定社会基盤事業者」に指定されていない事業者は、2027年3月末まで従来の報告書を引き続き使用することが可能だ。

重要な社会インフラを担う事業者から優先的に新制度を適用し、段階的な移行を目指している。

金融庁は本改正案について、9月7日までパブリックコメントを募集している。寄せられた意見を踏まえ、最終的な制度設計が進められる見通しだ。