NTTデータは9月30日、地銀共同センターを利用する地方銀行13行と、サイバーセキュリティ対策の共同施策に着手したと発表した。IT資産情報と脆弱性情報を一元管理する共通基盤を整備し、参加行共通の運用プロセスやナレッジ共有、専門家による判断支援を組み合わせる。一定の条件下では、脆弱性管理にかかる一連の運用作業時間を約9割削減できると試算している。

地銀13行で脆弱性対応の共助型運用モデルを構築

今回の施策には、京都銀行、千葉興業銀行、岩手銀行、池田泉州銀行、あいち銀行、福井銀行、青森みちのく銀行、秋田銀行、四国銀行、鳥取銀行、西日本シティ銀行、大分銀行、山陰合同銀行の13行が参加する。

参加行は、IT資産と脆弱性の情報を管理する共通基盤に加え、共通の運用プロセス、参加行間で共有するナレッジ、NTTデータの専門家による判断支援を組み合わせる。これにより、脆弱性の検知・把握から判断・対応、知見の共有、次の判断・運用への適用というサイクルを参加行全体で回す、共助型のセキュリティ運用モデルを構築するとしている。

  • 地銀共同センターにおける共助型セキュリティ運用モデル

    地銀共同センターにおける共助型セキュリティ運用モデル

本施策は、地銀共同センターが2026年3月に発表した「新たな共助モデル」を具体化するものであり、NTTデータが進める、地域金融機関の経営変革と地域社会の持続可能な発展を支援する取り組み「ARISING」のユースケースにも位置付けられる。

IT資産と脆弱性情報を自動で突合、対応優先度を判定

IT資産と脆弱性情報を管理する共通基盤は、NTTデータの「金融総合セキュリティサービス」で提供する防御領域のソリューションを活用して整備を進める。この共通基盤では、各行のIT資産情報と脆弱性情報を一元管理し、両者を自動で突合する仕組みとなっている。システムの重要度や脆弱性の深刻度に応じ、リスクベースで対応優先度を判定することで、対応が必要なIT資産の特定を迅速化するとしている。

NTTデータの試算では、5サイトを対象に月200件の脆弱性情報を検知する条件において、人手で管理する場合と比べて一連の運用作業時間を約9割削減できる見込みだ。実際の削減効果は、各行のシステム環境や運用条件などによって異なる。

また、初期構築の一部も共通化する。各行の初期導入費用は最大3割削減できると試算するが、実際の削減割合はシステム環境や個別要件によって変わる。

対応プロセスとナレッジを参加行で共有

取り組みでは、地銀共同センターで培ったシステム共同運用の枠組みを活用し、参加行のリスク評価基準を共有・整理する。運用フローと運用規定も参加行共通で整備し、脆弱性への対応プロセスの標準化を図る。

各行が脆弱性対応を通じて得た知見や改善事例は、コミュニティやワーキンググループを通じて共有。事例は個別の銀行や対象システムを特定できない形に一般化し、対応優先度の判定や対応ルールの改善に使えるナレッジとして蓄積する。

蓄積したナレッジは参加行全体に還元する方針だ。NTTデータは、他行の実践知を活用することで、各行における調査や検討の負荷を軽減すると説明している。

専門家がパッチ適用などの判断を支援

施策の一環として、金融機関向けのセキュリティ運用で培ったNTTデータのノウハウと、参加行の知見を活用し、参加行の判断プロセスを支援する「脆弱性対応共同アドバイザリ（以下、共同アドバイザリ）」の提供も予定している。

共同アドバイザリでは、パッチ適用に伴うリスクと、パッチを適用しない場合のリスクを評価するとともに、推奨する対応方針の検討も支援する。複数行が分析と判断支援を共同利用することで、専門人材を集約的に活用し、各行の対応判断を迅速化する考えだ。

共通基盤、運用プロセス、ナレッジ共有、共同アドバイザリの各取り組みは、2026年度内に順次開始する予定である。

SBOM管理や耐量子計算機暗号への展開も検討

NTTデータは今後、整備した基盤と蓄積したナレッジを活用し、SBOM管理、PQC（耐量子計算機暗号）対応、サードパーティーリスク管理などへの展開を検討する。

人材育成やインシデント対応訓練を含め、予防・防御から検知・対応、復旧まで対象領域を広げることも検討する。拡充する領域は、参加行のニーズに応じて決めるとしている。