きらやか銀行、ASM導入で外部露出資産を可視化　潜在的脆弱性の特定と是正を迅速化

　きらやか銀行は、サイバー攻撃の対象となる領域を管理するASM（Attack Surface Management）ソリューション「SLING」を採用した。3月5日、SLINGのグループ会社でサイバー脅威インテリジェンスを提供するKELAが発表した。インターネット上に露出するIT資産や潜在的な脆弱性に加え、ダークウェブ上の侵害情報までを包括的に可視化し、攻撃者視点に基づいた実効性の高いリスク管理体制を構築した。

　きらやか銀行は、山形県と宮城県を基盤とする地域金融機関だ。これまでも境界型防御やエンドポイントセキュリティ（EPP／EDR）の導入、定期的な脆弱性診断といった堅実な対策を講じてきた。しかし、従来の診断対象は銀行側が把握している公開システムに限定されており、未把握の資産を含めた網羅的なリスク評価には課題を感じていた。金融機関を標的としたランサムウェア攻撃や情報窃取が相次ぐ中、自社が認識していない資産が侵入口になるリスクを重く見て、外部から見た攻撃対象領域の可視化に踏み切った。

　ソリューションの選定にあたっては、KELAのパートナーであるビヨンドブルーが提供するセキュリティリスク可視化サービス「Secure Check」を採用した。SLINGを選定した主なポイントは、エージェントのインストールが不要でドメイン情報の入力のみで利用を開始できる導入の容易さと、ダークウェブ監視を組み合わせた包括的なリスク可視化機能だ。また、金融機関向けの開発支援実績を持つビヨンドブルーによる国内サポート体制も評価の決め手となった。

　SLINGは、KELAが蓄積してきたサイバー犯罪アンダーグラウンドの脅威インテリジェンスを基盤としている。単なる表面的な脆弱性情報だけでなく、攻撃者フォーラムや侵害データの流通状況など、従来は把握が困難だった領域まで調査対象とする点が特徴だ。これにより、攻撃者の視点から実際に悪用される恐れのあるリスクを特定できる。

　Secure Checkの導入後、きらやか銀行ではミドルウェアの脆弱性や不要なポートの開放など、これまで認識できていなかったリスクの検出に至った。検出されたリスクはSLINGのスコアリング機能によって影響度に応じた優先順位付けがなされ、計画的な是正対応が可能になった。また、ダークウェブ監視機能を通じて同行に関連する複数のメールアドレスが確認された際も、該当アカウントの停止や外部サービスの無効化などの迅速な措置を講じ、二次被害を未然に防ぐことに成功した。

　これらの検出結果や対応状況は、CSIRT活動の一環としてシステム部門やリスク管理部門、経営層へ定期的に共有されている。客観的な外部評価に基づく説明が可能になったことで、セキュリティを事業継続リスクとして捉えるガバナンスの強化にもつながっている。

　きらやか銀行は今後も、外部視点による定点観測を継続し、自社のリスク状況を把握し続ける方針だ。さらに多層防御の観点から、監視・対応を外部委託するMDRや、脅威ベースのペネトレーションテスト（TLPT）の実施など、次の段階となるセキュリティ施策の検討も進めていく。

ニュースリリース