みゅとすの衝撃 3/3(短期集中連載)：ゼロトラスト政策やラストリゾートプロトコルの即時実行を提言する

このテーマは、3回構成で短期集中連載しました。Bマガジン所属。本稿は締めの3/3です。前回は、日本の金融IT構造の特異性と、Mythosがもたらす現実のリスクについて解説しました。多重下請け体制が責任所在の曖昧さやセキュリティ統制の困難を生み、Mythos級の自律的攻撃に対して構造的な脆弱性を露呈しやすいことを、具体的な脅威シナリオと現場の声からお伝えしました。Mythosの衝撃は、単なる危機ではありません。日本の金融業界が長年抱えてきた構造的課題を根本から見直し、より強靭で先進的なシステムへと進化させる大きな機会でもあります。本稿では、Mythos時代に生き残るための即時対応策と中長期的な構造改革を提案します。また、政策・規制の動きを踏まえ、5〜10年後の金融業界像を描きながら、「対応せざるを得ない」から「自ら進化する」への意識変革を呼びかけます。

AIを“盾”に変えろ　Mythos時代に求められる金融DXの本質的転換

Mythos級の攻撃を前提とした防御体制への切り替えが、まずは急務です。従来の脆弱性診断やペネトレーションテストは、人間が想定する範囲の脅威を対象としており、AIが瞬時に最適な攻撃パスを探索する状況では陳腐化します。直ちにMythosレベルの能力を想定した診断手法への移行を進めましょう。具体的に、AIを活用した自動脆弱性探索ツールの導入や、脅威インテリジェンスを基にした動的テストの頻度を高めることが有効です。

次に、取締役会レベルでのサイバーリスク議論の義務化です。MythosのようなAI脅威は、技術部門だけの問題ではなく、経営全体の戦略課題です。定期的な取締役会でのリスク報告をルール化し、経営陣がリスク許容範囲を明確に定め、予算配分や人材配置に責任を持つ体制を構築してください。メガバンクの一部ではすでに動き始めていますが、中小金融機関を含め全社的に浸透させる必要があります。

特に重要な提言は、日本版「Project Glasswing」の創設です。アンソロピックのProject Glasswingは、防御目的に限定してMythosの能力を信頼できる企業に提供し、世界で最も重要なソフトウェアを守る取り組みです。日本でも、金融庁、FISC（金融情報システムセンター）、日本銀行、業界団体（全国銀行協会や日本証券業協会など）が連携した官民共同の枠組みを早期に立ち上げるべきです。

この日本版プロジェクトでは、Mythos級のAIを国内の重要金融インフラの脆弱性診断と修正に限定活用し、参加金融機関に利用クレジットを提供します。また、オープンソースセキュリティ団体への貢献も組み込み、透明性を確保します。自民党がすでに「AI対AI」の対策を政府に要請している動きとも連動させ、迅速な制度設計が望まれます。

さらに、以下にお示しする3つの具体策の即時意思決定と推進が、サバイバルのための肝になります。

① ゼロトラスト・アーキテクチャへの全面移行（Zero Trust by Design）
従来の「境界防御」モデルは、Mythos級攻撃が内部ネットワークへの侵入を前提とするため、根本的に崩壊します。「Never Trust, Always Verify」（一度も信頼せず、常に検証する）原則を徹底し、すべてのアクセスを常時検証します。マイクロセグメンテーションにより、侵入後の横移動（ラテラルムーブメント）を封じ込め、特権アクセス管理（PAM）を動的制御に切り替えます。

日本の金融機関では勘定系システムとのレガシー統合が障壁になりやすいため、3〜5年での段階的移行ロードマップを策定し、クラウドネイティブな部分から先行実施することをおすすめします。

② サイバーレジリエンス特化型の演習制度の法制化（Cyber Resilience Testing Mandate）
英国のCBESTやEUのTIBER-EU（DORA法で実質義務化）に相当する、脅威インテリジェンス主導型の侵入テスト（TLPT：Threat-Led Penetration Testing）を日本でも制度設計すべきです。金融庁はすでにTLPTの実証事業や事例還元を進め、「金融分野におけるITレジリエンスに関する分析レポート」などで実効性向上を促していますが、現行の金融庁検査はコンプライアンス確認に偏りがちで、実践的な攻撃シミュレーションが不足しています。

Mythos級を想定したレッドチーム演習を年次で義務付け、その結果を取締役会への報告と連動させます。単なる技術テストを超え、決済停止や信用収縮といった社会インフラへの波及シナリオまで織り込んだ設計が不可欠です。経営陣の積極的な関与と、ブルーチームへの事前非通知を原則とすることで、真のレジリエンスを強化できます。

③ サイバーセキュリティ版「ラストリゾート」プロトコルの整備（Systemic Cyber Crisis Protocol）
Mythos級インシデントでは、個別金融機関の対応だけでは限界があります。日本銀行・金融庁・主要金融機関が連携する「サイバー版最後の貸し手」機能として、決済系統の緊急切り離し手順、代替決済チャネルの事前確保（即時グロス決済のフォールバック設計）、有事の情報開示ルールを事前に合意しておく必要があります。

平時から官民共同のサイバー危機対応センター（仮称：J-CSOC）を設置し、指揮命令系統を明文化します。これにより、システミックリスクの連鎖を断ち、市場全体の安定を確保できます。金融庁のサードパーティリスク管理調査（デロイト トーマツ サイバー合同会社に委託、2026年4月3日公表）でも指摘された集中リスクや期中モニタリングの課題を踏まえ、官民連携を強化することが重要です。

これらの即時対応は、今日から着手可能なものが多く、経営トップの強いリーダーシップが鍵となります。

中長期的な構造改革

即時対応と並行して、中長期的な構造改革を進めなければなりません。最大の課題である多重下請け体制の見直しが急務です。一次ベンダーから三次下請けまでの複雑なサプライチェーンを簡素化し、内製化を進めるとともに、クラウド移行を加速させましょう。金融庁の調査でも、海外先進事例を参考にした抜本改革の必要性が示されています。

人材投資も抜本的に強化します。AIセキュリティ専門家の育成を国家プロジェクトレベルで推進し、金融機関は予算の一定割合をサイバー人材に充てる目標を設定してください。外部委託依存から脱却し、自社でAIを活用した防御システムを構築できる体制を整えることが競争力の源泉になります。

攻撃激化を想定した「金融業界もAIフル活用」の姿勢が重要です。Mythosを悪用する攻撃に対して、防御側のAIを積極導入しましょう。AIによる異常検知、自動対応、予測防御を組み合わせた「AI対AI」の体制を構築すれば、攻撃のスピードに追いつけます。Project Glasswingの知見を日本版で活かし、防御AIの共同開発を業界で進めることも有効です。

政策・規制の動きと業界全体への提言

金融庁は「金融分野におけるサイバーセキュリティに関するガイドライン」を公表し、TLPTの実施を「対応が望ましい事項」として位置づけていますが、Mythos対応として早期のアップデートが必要です。サードパーティリスク管理の強化やTLPTの実効性向上を「基本的な対応事項」に格上げし、ゼロトラストやレジリエンス演習を具体的に位置づけるべきです。

国際協調も欠かせません。米国のProject Glasswingとの連携を模索し、情報共有や共同研究を進めましょう。G7やFSB（金融安定理事会）の場でも、AI駆動型サイバー脅威への対応を議題に挙げる動きが期待されます。

危機をバネに、より強靭で先進的な金融インフラを構築すれば、日本の金融業界は国際競争力を高められます。レガシーシステムの刷新を通じて、コスト効率とセキュリティを両立した次世代プラットフォームが生まれる可能性があります。

結論・将来展望

Mythosは、深刻な脅威であると同時に、日本の金融業界構造を根本から見直す貴重な契機です。前2回でお伝えした技術的衝撃と構造的脆弱性を踏まえ、業界全体が「対応せざるを得ない」状況から「自ら進化する」意識へシフトすることが求められます。

5〜10年後の金融業界像は、AIネイティブなシステムが標準となる世界です。ゼロトラストが徹底され、すべての取引・決済が常時検証のもとで行われ、マイクロセグメンテーションにより被害を局所化します。サイバーレジリエンス演習は日常業務に組み込まれ、Mythos級攻撃を想定した「AI対AI」の攻防が日常化します。官民連携のJ-CSOCが機能し、システミック危機にも迅速に対応できる体制が整います。

多重下請けから脱却した内製・クラウド中心の構造は、開発スピードを向上させ、新たな金融サービスを生み出します。顧客データは強固に守られ、信頼が競争力の基盤となります。

金融機関の皆さまに申し上げます。Mythosの衝撃を恐れるだけではなく、積極的に向き合い、構造改革を推進してください。取締役会での議論から始め、日本版Project Glasswingの創設を後押しし、ゼロトラスト移行やレジリエンス演習の法制化を業界の声として発信しましょう。

この連載を通じてお伝えしたように、Mythosはサイバー攻撃の大きな質的転換点を象徴します。しかし、真の転換点は、金融業界のご担任各位がどう行動するかです。危機を機会に変え、より安全で先進的な金融システムを日本から世界へ発信する——その決断の時が、今訪れています。