FISC安全対策基準（第14版）に準拠するためのThales製品ソリューション

第14版（2026年3月）の改訂ポイント

第14版における改訂の概要としては、AIの安全対策、サイバーセキュリティや耐量子計算機暗号（PQC）に関する改訂が主となります。金融機関等のシステム部門への影響が大きい3つの論点を取り上げ、Thales社製品でどのように対応できるかをご説明します。

注目ポイント①　耐量子計算機暗号（PQC）への移行

第14版では、量子計算機の実用化を見据えた耐量子暗号（PQC）への備えが明確に求められています。具体的には以下の様な内容です。

• 自社および委託先システムを含め、どの情報資産でどの暗号方式が使われているかを把握し、一覧化しておくこと
• 影響度の高いシステムから優先的に、PQCへの切り替え計画とロードマップを作成すること
• 量子コンピュータの実用化（2030年代半ば）が迫っているため、速やかに移行への対応を開始すること
• 将来のアルゴリズム変更に対応しやすいよう、暗号機能をアプリケーションから切り離した構成（いわゆるクリプト・アジリティ）を確保しておくこと

あわせて、現時点では復号困難な暗号化データを収集・保管しておき、暗号解読に利用可能な水準の量子コンピュータの登場後にまとめて解読するHNDL攻撃（Harvest Now, Decrypt Later）への備えについても言及されています。「いま盗まれたデータが、将来復号される」という前提に立つと、対応の先送りが難しい要件であることがお分かりいただけるかと思います。

この要件に対して有効なのが、暗号処理と鍵管理をアプリケーションから切り離す構成です。Thales社CipherTrust Managerは、暗号鍵の生成から配布・保管・失効・更新・廃棄までのライフサイクルを一元管理でき、どのシステムでどの鍵・どの暗号アルゴリズムが使われているかを可視化できます。これはそのままPQC移行の第一歩である「暗号インベントリの作成」の下地となります。また、暗号処理をCipherTrust ManagerやLuna HSM、High Speed Encryptor（HSE：インラインネットワーク暗号化装置）といった基盤側に寄せておくことで、将来PQCアルゴリズムへ切り替える際にアプリケーションの改修を最小限に抑えられ、クリプト・アジリティを確保できます。

注目ポイント②　AIの安全対策

AI 利用に関する方針・運用管理・技術的対策・教育の4つの観点が整理されています。生成AIやRAG（検索拡張生成）を含めたAI活用について、以下の様な内容が求められています。

• AIの機密性・完全性
• 可用性を維持するための合理的な安全対策を講じること
• 利用方針と体制に関するルールを整備し、運用状況を継続的に把握すること
• 個人情報や機微情報へのアクセス制御、プライバシー保護、セキュリティ対策を設計段階から組み込むこと（プライバシー・バイ・デザイン／セキュリティ・バイ・デザイン）
• 利用者や開発・運用担当者に対する教育や注意喚起を計画的に実施すること

AI活用の入口はデータです。Thales社製品では、CipherTrust Data Discovery and Classification（DDC）やCipherTrust DSPMソリューション（Data Security Posture Management（※））により、学習データやRAGに取り込む前の段階で機密データ・個人データを発見・分類し、CipherTrust TokenizationやCipherTrust Transparent Encryption（CTE）で仮名化・マスキング・暗号化を施したうえでAIに渡すことができます。さらにImperva API SecurityやWeb Application Firewall（WAF）、Advanced Bot Protection（ADP）によりAIアプリケーションおよびAPIを保護し、Data Activity Monitoring（DAM）でベクトルデータベースを含むデータ層へのアクセスを継続的に監視できます。「AIに何を渡してよいか」をデータ側で統制することが、実装レベルの解と考えます。

　（※）今後リリース予定の製品です。現在はThales製品代理店のみがβ版を利用可能です。

注目ポイント③　サイバーセキュリティ／クラウド統制の強化

第14版では、見直し対象となった項目は多岐にわたります。
保存されているデータの保護、アクセス履歴の管理、外部ネットワーク経由の侵入対策、コンピュータウイルス等への備え、アクセス権限付与・見直し手続の明文化、はシステム監査体制の整備といった具合に、既存要件の表現や観点がアップデートされています。特に、本番移行の判断にあたって外部委託先側の準備状況を確認することも追記されており、委託先を含めた統制の強化が意識されているといえます。
さらに、クラウド利用時の暗号鍵管理に関しても、確認すべきポイントが具体的に示されています。暗号鍵の所有主体が金融機関等側にあること、クラウド事業者が鍵を勝手に利用しない契約・仕組みになっていることを前提に、鍵の利用権限を必要最小限の担当者にとどめ、すべての鍵利用について監査ログを取得・保全することが求められています。また、クラウド事業者が提供する暗号化機能だけではリスク低減が不十分なケースもあり得ることを踏まえ、重要度の高い情報については金融機関等が自ら暗号化を行う選択肢も想定すべきである、と一歩踏み込んだ内容となっています。
Thales社CipherTrust Managerであれば、クラウド上のデータに対しても暗号鍵をオンプレミスで保持するBYOK／HYOKの構成が取れるため、クラウド事業者と自組織の役割分離を明確にしたうえで、鍵の利用に対する権限設定・アクセス管理・監査ログ出力を自組織側でコントロールできます。CTE（透過暗号）を組み合わせれば、システム管理者や特権ユーザーであっても復号できないポリシーを実装でき、ファイルに対して柔軟なアクセス制御機能を設けることが可能です。

Thales社製品によるカバー範囲

Thales社は、アプリケーションセキュリティ、データセキュリティ、ID・アクセス管理の3領域で包括的なサイバーセキュリティソリューションを提供しています。

FISC安全対策基準の統制基準・実務基準・設備基準・監査基準の4基準に対し、以下のように広くカバーできます。

• 「データの漏えい防止策」に対し、CipherTrust Manager／CTE（透過暗号）の導入により、今あるシステムをそのまま透過暗号化できます。既存システム（アプリケーションやユーザー）に変更なく導入が可能です。
• 「暗号鍵の保護機能・運用管理方法」に対し、鍵の生成から廃棄までのライフサイクルを一元管理。FIPS認証を取得したLuna HSMを組み合わせることで、基準の中で述べられている「耐タンパー性を保有する保護」にも対応できます。
• 「アクセス履歴の管理」に対し、監査ログを確認することで、誰が、いつ、どのファイルへアクセスしたか追跡が可能えす。特権ユーザーによる復号も制御できます。
• PQC移行に対し、PQC Readyな製品群とクリプト・アジリティを確保する構成により、将来のPQC移行にそのまま活かせます。
• 「システム廃棄・廃棄時の情報漏えい防止」に対し、CipherTrust Managerから鍵を削除することでデータのデジタルシュレッディングを容易に実現できます。
• LDT（Live Data Transformation）と呼ばれるオプションを利用することで、初回暗号化時のシステム停止（ダウンタイム）なしで実行できます。

• 暗号鍵のライフサイクル管理
  暗号化／復号化に使われる鍵はCipherTrust Managerで生成し、利用から削除まで鍵のライフサイクルを一元管理できます。鍵の自動ローテーションや有効期限の設定も可能で、本基準で求められている「危殆化時の対応」や「有効期限の管理」に対応できます。
• 多種多様な機能展開
  CipherTrust Managerへコネクタと呼ばれるライセンスを追加することで、あとから様々な機能を利用することができます。ファイルやデータベースの透過暗号（CTE）、KMIP連携によるストレージなど他ベンダー製品で使われる暗号鍵の管理、クラウド上の鍵管理（BYOK／HYOK）、トークナイゼーション（CT）、データの可視化＆レポート（DDC）、シークレット管理、ランサムウェア対策（CTE-RWT）、File Activity Monitoring（FAM）などが提供されており、CipherTrust Managerは統合型のセキュリティプラットフォームと言えます。また、FISC安全対策基準のほか、PCI DSSやFIPS 140-3等の各種レギュレーションにも準拠しています。
• 柔軟な構成でのデプロイ
  物理版（HSM搭載有無が選択可）、仮想版（VMwareやHyper-V等）、クラウド版（AWSやAzure等）が用意されており、様々な環境に配置できます。クラスター構成を組むことで高可用性構成も取れ、クラウド／オンプレミス／異なるクラウド上でのデプロイが可能です。
• PQC（ポスト量子暗号）Readyな製品
  AESやRSA、ECCなどメジャーな暗号アルゴリズムが利用可能ですが、既にPQCアルゴリズム（ML-DSA等）の一部もサポートされています。他社暗号化ソリューションとは異なり、透過暗号（CTE）では初回暗号化という対象全ての暗号作業を行っているにも関わらず、CPU負荷がほぼなく（CTE LDTが使用するCPU使用率の上限値を5～10％等に設定することにより通常運用と変わらない負荷状態を維持）、暗号化に伴うストレージ使用量の増加がありません。

CipherTrust Manager製品（仮想版）は、90日間のトライアルライセンスで透過暗号機能が無償で利用できます。AWS等主要クラウド上での評価も可能です。PoCによる評価を希望される場合にはぜひ弊社までお問合せ下さい。弊社の長年培ったセキュリティ知識と製品ナレッジで、構築支援およびお客様の抱える課題解決をサポートさせて頂きます。

※本ページに記載した基準項目およびその解釈は、FISC「金融機関等コンピュータシステムの安全対策基準・解説書（第14版）」（2026年3月）に基づく弊社の理解であり、準拠を保証するものではありません。実際の適用範囲は、各金融機関等のリスク特性および経営判断に基づきご判断ください。