Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

金融サービスにおけるセキュリティ、プライバシー、コンプライアンス

Last reviewed 2026-10-28 UTC

このドキュメント（Google Cloud Well-Architected Framework: 金融サービス（FS）の視点）では、 Google Cloudでの金融サービス（FS）ワークロードのセキュリティ、プライバシー、コンプライアンスの要件に対応するための原則と推奨事項の概要について説明します。この推奨事項は、復元力とコンプライアンスに優れたインフラストラクチャの構築、機密データの保護、顧客の信頼の維持、複雑な規制要件への対応、サイバー脅威の効果的な管理に役立ちます。このドキュメントの推奨事項は、Well-Architected Framework のセキュリティの柱に沿っています。

クラウドコンピューティングのセキュリティは、金融サービス機関にとって重要な懸念事項です。金融サービス機関は、顧客の詳細情報や財務記録など、大量の機密データを管理しているため、サイバー犯罪者にとって非常に魅力的です。セキュリティ侵害の結果は、多大な金銭的損失、長期的な評判の低下、多額の規制上の罰金など、非常に深刻です。そのため、FS ワークロードには厳格なセキュリティ管理が必要です。

包括的なセキュリティとコンプライアンスを確保するには、お客様（FS 組織）と Google Cloudの間の責任の共有を理解する必要があります。 Google Cloud は、物理セキュリティやネットワークセキュリティなど、基盤となるインフラストラクチャの保護に責任を負います。お客様は、データとアプリケーションの保護、アクセス制御の構成、セキュリティサービスの構成と管理を担当します。セキュリティへの取り組みをサポートするため、Google Cloud パートナーエコシステムでは、セキュリティ統合とマネージドサービスを提供しています。

このドキュメントのセキュリティに関する推奨事項は、次の基本原則にマッピングされています。

安全性を重視した設計を実装する

Payment Card Industry データセキュリティ基準（PCI DSS）、米国の Gramm-Leach-Bliley Act（GLBA）、さまざまな国の金融データ保護法などの金融規制では、セキュリティを最初からシステムに統合することが義務付けられています。設計によるセキュリティの原則では、開発ライフサイクル全体にセキュリティを統合して、最初から脆弱性を最小限に抑えることが重視されています。

Google Cloudの FS ワークロードにセキュリティバイデザインの原則を適用するには、次の推奨事項を検討してください。

Identity and Access Management（IAM）できめ細かいロールベースアクセス制御（RBAC）を使用して最小権限の原則を適用し、必要な権限のみが付与されるようにします。RBAC の使用は、多くの金融規制における重要な要件です。
VPC Service Controls を使用して、 Google Cloud 内の機密性の高いサービスとデータの周囲にセキュリティ境界を適用します。セキュリティ境界は、規制で義務付けられているように、機密データとリソースをセグメント化して保護し、データの引き出しや不正アクセスを防止するのに役立ちます。
Terraform などの Infrastructure as Code（IaC）ツールを使用して、セキュリティ構成をコードとして定義します。このアプローチでは、初期デプロイフェーズからセキュリティ管理を組み込むため、一貫性と監査可能性を確保できます。
Cloud Build を使用して、静的アプリケーションセキュリティテスト（SAST）を CI / CD パイプラインに統合し、アプリケーションコードをスキャンします。自動化されたセキュリティゲートを確立して、コンプライアンスに準拠していないコードのデプロイを防ぎます。
Security Command Center を使用して、セキュリティ分析情報のための統合インターフェースを提供します。Security Command Center を使用すると、規制違反につながる可能性のある構成ミスや脅威を継続的にモニタリングし、早期に検出できます。ISO 27001 や NIST 800-53 などの標準の要件を満たすには、ポスチャー管理テンプレートを使用します。
本番環境のデプロイで特定された脆弱性の減少と、セキュリティのベストプラクティスに準拠している IaC デプロイの割合を追跡します。Security Command Center を使用すると、脆弱性とセキュリティ標準へのコンプライアンスに関する情報を検出して表示できます。詳細については、脆弱性の検出結果をご覧ください。

ゼロトラストを実装する

最新の金融規制では、厳格なアクセス制御と継続的な検証の必要性がますます強調されています。これらの要件は、内部と外部の脅威や悪意のある行為者からワークロードを保護することを目的としたゼロトラストの原則を反映しています。ゼロトラストの原則は、すべてのユーザーとデバイスの継続的な検証を提唱しています。これにより、暗黙の信頼が排除され、ラテラルムーブメントが軽減されます。

ゼロトラストを実装するには、次の推奨事項を考慮してください。

IAM コントロールと Chrome Enterprise Premium を組み合わせることで、ユーザー ID、デバイスのセキュリティ、ロケーション、その他の要素に基づいてコンテキストアウェアアクセスを有効にします。このアプローチにより、財務データやシステムへのアクセスが許可される前に、継続的な検証が行われます。
Identity Platform（Workforce Identity 連携を使用する場合は外部 ID プロバイダ）を構成して、安全でスケーラブルな Identity and Access Management を提供します。多要素認証（MFA）や、ゼロトラストの実装と規制遵守の確保に不可欠なその他の制御を設定します。
すべてのユーザーアカウント（特に機密データやシステムにアクセスできるアカウント）に MFA を実装します。
ユーザーアクセスとネットワークアクティビティの包括的なロギングとモニタリングを確立することで、規制遵守に関連する監査と調査をサポートします。
Private Service Connect を使用して、トラフィックを公共のインターネットに公開することなく、Google Cloud 内のサービスとオンプレミス環境間のプライベートで安全な通信を可能にします。
VPN トンネルなどのネットワークベースのセキュリティメカニズムに依存するのではなく、Identity-Aware Proxy（IAP）を使用して、きめ細かい ID 制御を実装し、アプリケーションレベルでアクセスを認可します。このアプローチは、環境内でのラテラルムーブメントを減らすのに役立ちます。

シフトレフトセキュリティを実装する

金融規制当局は、積極的なセキュリティ対策を推奨しています。開発ライフサイクルの早い段階で脆弱性を特定して対処することで、セキュリティインシデントのリスクと、コンプライアンス違反によるペナルティの可能性を軽減できます。シフトレフトセキュリティの原則は、早期のセキュリティテストと統合を促進し、修復の費用と複雑さを軽減するのに役立ちます。

シフトレフトセキュリティを実装するには、次の推奨事項を検討してください。

Cloud Build を使用して、コンテナの脆弱性スキャンや静的コード分析などのセキュリティスキャンツールを CI / CD パイプラインに統合することで、開発プロセスの早い段階で自動セキュリティチェックを実行します。
Artifact Registry を使用して、脆弱性スキャンが統合されたソフトウェアパッケージとコンテナイメージの安全な中央リポジトリを提供することで、安全なアーティファクトのみがデプロイされるようにします。仮想リポジトリを使用して、リモートリポジトリよりもプライベートアーティファクトを優先することで、依存関係の混乱攻撃を軽減します。
Security Command Center の一部である Web Security Scanner を開発パイプラインに統合することで、ウェブアプリケーションを自動的にスキャンして一般的な脆弱性を検出します。
ソフトウェアアーティファクトのサプライチェーンレベル（SLSA）フレームワークを使用して、ソースコード、ビルドプロセス、コードの来歴のセキュリティチェックを実装します。Binary Authorization などのソリューションを使用して、環境で実行されるワークロードの来歴を適用します。Assured Open Source Software を使用して、ワークロードで検証済みのオープンソースソフトウェアライブラリのみが使用されるようにします。
開発ライフサイクルで特定され、修正された脆弱性の数、セキュリティスキャンに合格したコードデプロイの割合、ソフトウェアの脆弱性によって発生したセキュリティインシデントの減少を追跡します。 Google Cloud には、さまざまな種類のワークロードでこの追跡に役立つツールが用意されています。たとえば、コンテナ化されたワークロードの場合は、Artifact Registry のコンテナスキャン機能を使用します。

プリエンプティブなサイバー防御を実装する

金融機関は、巧妙なサイバー攻撃の格好の標的です。規制では、多くの場合、堅牢な脅威インテリジェンスとプロアクティブな防御メカニズムが求められます。プリエンプティブなサイバー防御は、高度な分析と自動化を使用して、プロアクティブな脅威の検出と対応に重点を置いています。

以下の推奨事項を参考にしてください。

Mandiant の脅威インテリジェンス、インシデント対応、セキュリティ検証サービスを使用して、潜在的な脅威をプロアクティブに特定して軽減します。
Google Cloud Armor を使用して、ネットワークエッジでウェブエクスプロイトや DDoS 攻撃からウェブアプリケーションと API を保護します。
Security Command Center を使用して、セキュリティの検出結果と推奨事項を集約して優先順位を付けます。これにより、セキュリティチームは潜在的なリスクにプロアクティブに対処できます。
定期的なセキュリティシミュレーションとペネトレーションテストを実施して、予防的な防御とインシデント対応計画を検証します。
セキュリティインシデントの検出と対応にかかる時間、DDoS 軽減策の効果、防止されたサイバー攻撃の数を測定します。必要な指標とデータは、Google Security Operations SOAR ダッシュボードから取得できます。

AI を安全かつ責任を持って使用し、セキュリティに AI を活用する

AI と ML は、不正行為の検出やアルゴリズム取引などの金融サービスのユースケースでますます使用されるようになっています。規制により、これらのテクノロジーを倫理的、透明、安全に使用することが求められています。AI は、セキュリティ機能の強化にも役立ちます。AI を使用する際の推奨事項は次のとおりです。

Gemini Enterprise Agent Platform を使用して、安全で管理された環境で ML モデルを開発してデプロイします。モデルの説明可能性や公平性の指標などの機能は、責任ある AI に関する懸念に対処するのに役立ちます。
Google Security Operations のセキュリティ分析と運用機能を活用します。これは、AI と ML を使用して大量のセキュリティデータを分析し、異常を検出して、脅威への対応を自動化します。これらの機能は、全体的なセキュリティポスチャーを強化し、コンプライアンスモニタリングを支援します。
セキュリティや倫理に関する考慮事項など、AI と ML の開発とデプロイに関する明確なガバナンスポリシーを確立します。
セキュア AI フレームワーク（SAIF）の要素に沿って、AI システムのセキュリティとリスクの懸念に対処するための実践的なアプローチを提供します。
AI を活用した不正行為検出システムの精度と有効性、セキュリティアラートの誤検知の減少、AI を活用したセキュリティ自動化による効率の向上を追跡します。

規制、コンプライアンス、プライバシーのニーズに対応する

金融サービスは、データ所在地要件、特定の監査証跡、データ保護基準など、さまざまな規制の対象となります。機密データを適切に識別、保護、管理するために、金融サービス組織には、堅牢なデータガバナンスポリシーとデータ分類スキームが必要です。規制要件を満たすために、次の推奨事項を検討してください。

Assured Workloads を使用して、機密性の高い規制対象のワークロードのデータ境界を Google Cloud に設定します。これにより、FedRAMP や CJIS などの政府や業界固有のコンプライアンス要件を満たすことができます。
Sensitive Data Protection を実装して、財務情報などの機密データを特定、分類、保護します。これにより、GDPR や CCPA などのデータプライバシー規制に準拠できます。
Cloud Audit Logs を使用して、管理アクティビティとリソースへのアクセスの詳細を追跡します。これらのログは、多くの金融規制で定められている監査要件を満たすために不可欠です。
ワークロードとデータに Google Cloud リージョンを選択する場合は、データ所在地に関連する現地の規制を考慮してください。 Google Cloud グローバルインフラストラクチャを使用すると、データ所在地の要件を満たすのに役立つリージョンを選択できます。
Cloud Key Management Service を使用して、保存中および転送中の機密性の高い財務データの暗号化に使用される鍵を管理します。このような暗号化は、多くのセキュリティおよびプライバシー規制の基本的な要件です。
規制要件に対処するために必要な管理を実装します。コントロールが想定どおりに機能することを確認します。外部監査人による管理の検証を再度行い、ワークロードが規制に準拠していることを規制当局に証明します。

セキュリティイニシアチブに優先順位を付ける

セキュリティ要件の幅広さを考慮すると、金融機関はリスク評価と規制要件に基づくイニシアチブを優先する必要があります。次の段階的なアプローチをおすすめします。

強固なセキュリティ基盤を確立する: Identity and Access Management、ネットワークセキュリティ、データ保護など、セキュリティのコア領域に重点を置きます。この重点は、堅牢なセキュリティポスチャーの構築に役立ち、進化する脅威に対する包括的な防御を確保するのに役立ちます。
重要な規制に対処する: PCI DSS、GDPR、関連する国内法などの主要な規制へのコンプライアンスを優先します。これにより、データ保護が確保され、法的リスクが軽減され、お客様との信頼関係が構築されます。
高度なセキュリティを実装する: ゼロトラスト、AI 駆動のセキュリティソリューション、プロアクティブな脅威ハンティングなどの高度なセキュリティプラクティスを段階的に導入します。

効果的な運用

信頼性

金融サービスにおけるセキュリティ、プライバシー、コンプライアンス コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。