銀行業界の案件で気をつけたい規制とセキュリティのルール｜監督指針・FISC・個人情報

銀行の案件で守るルールの土台は、金融庁の監督指針が求めるシステムリスク管理、金融情報システムセンター（FISC）の安全対策基準、金融分野の個人情報保護のガイドラインの3つです。どれも直接の宛先は銀行ですが、銀行はこれらを踏まえて社内の規程を作り、外部の委託先にも守らせます。

フリーランスが現場で求められるのは、条文の解釈ではありません。アクセス権限の範囲を守る、情報を持ち出さない、異常に気づいたらすぐ報告する、という行動です。この記事では、2026年10月時点で各機関の公開ページから確かめた内容と、それが現場のルールにどうつながるかを整理します。個別の解釈が必要な場面では、発注側の担当部門や専門家に確かめてください。

金融庁の監督指針は「システムリスク」を定義している

金融庁は、銀行を監督するときの着眼点を「総合的な監督指針」にまとめています。大手の銀行向けの「主要行等向けの総合的な監督指針」と、中小・地域の金融機関に向けた「中小・地域金融機関向けの総合的な監督指針」があり、2026年10月時点の金融庁のページでは、どちらも令和8年10月の版が掲載されています。システムリスクの項目は、主要行等向けではIII-3-7-1、中小・地域金融機関向けではII-3-4-1です。

主要行等向けの監督指針は、システムリスクを、システムのダウンや誤作動などの不備によって顧客や銀行が損失を被るリスク、そしてコンピュータが不正に使われることで損失を被るリスクと定義しています。

そのうえで、主な着眼点として次の項目を挙げています。

1. システムリスクに対する認識等
2. システムリスク管理態勢
3. システムリスク評価
4. 情報セキュリティ管理
5. サイバーセキュリティ管理
6. システム企画・開発・運用管理
7. システム監査
8. 外部委託管理
9. コンティンジェンシープラン
10. 障害発生時の対応

このうち、フリーランスの働き方に直接関わるのは、情報セキュリティ管理、外部委託管理、障害発生時の対応の3つです。

情報セキュリティ管理：権限は必要な範囲だけ

情報セキュリティ管理の着眼点には、次のような項目があります（主要行等向けの監督指針による）。

• 職員の権限に応じて必要な範囲に限ってアクセス権限を与え、アクセスの記録を保存・検証しているか
• 開発担当者と運用担当者、管理者と担当者を分けるなど、職責を分離して相互に牽制しているか
• 暗証番号やパスワード、クレジットカード情報などの機密情報について、暗号化やマスキングのルールを定めているか
• 機密情報の保有・廃棄、アクセス制限、外部への持ち出しを、業務上の必要性を踏まえて厳しく扱っているか
• 外部委託先を含む全役職員にセキュリティ教育を行っているか

現場で「開発者は本番環境に触れない」「本番データは加工したものしか使えない」「作業の記録を残す」といった決まりがあるのは、こうした着眼点を踏まえて銀行が規程を作っているためです。面倒に感じても、決まりの理由を知っていれば、手順を省かずに済みます。

外部委託管理：委託先任せにしないことが求められている

外部委託管理の着眼点では、銀行に対して、選定基準に基づいて委託先を選ぶこと、委託契約に役割分担と責任、監査の権限、再委託の手続き、サービスの水準などを定めること、二段階以上の委託も含めてリスクを管理すること、委託業務を定期的にモニタリングすることなどを求めています。

これは、フリーランスの契約にも反映されることがあります。たとえば、再委託の禁止や事前承認、作業の報告、監査への協力、秘密保持の条項です。銀行から何段階か先の委託先として参画する場合でも、銀行のルールが契約を通じて届いていると考えておくと、条項の意味を読み取りやすくなります。契約の秘密保持の条項は秘密保持契約の記事で扱っています。

障害発生時の対応：報告を遅らせない

障害発生時の対応の着眼点では、最悪のシナリオを想定しておくこと、経営に重大な影響を及ぼす障害は取締役へ速やかに報告し、報告者の判断で過小に報告せず最大のリスクを伝える体制とすることなどが挙げられています。また、監督指針は、決済の機能に遅延や停止が生じるおそれがある障害やサイバー攻撃の事案について、銀行に当局へ直ちに報告することを求めています。

現場で働く一人として大切なのは、異常に気づいたら、自分の判断で小さく見積もらずに、決められた連絡の経路ですぐに伝えることです。自分の作業が原因かもしれないときほど、早く伝えるほうが影響を小さくできます。

サイバーセキュリティのガイドライン

金融庁は、2024年10月4日に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表し、同日から適用しています。主要行等向けの監督指針のサイバーセキュリティ管理の着眼点は、取締役会等がこのガイドラインを踏まえた態勢を整えているかを挙げています。

同じ着眼点には、インターネットバンキングなどの非対面取引について、固定のIDとパスワードだけに頼らない認証、取引に使う機器とは別の経路での取引の認証、不正なログインや異常な取引を検知して利用者に速やかに連絡する体制などが例として挙げられています。チャネル系の案件で認証や不正対策の要件が細かいのは、こうした背景があるためです。案件の種類との関係は銀行のIT案件の記事で整理しています。

FISCの安全対策基準：公開範囲で分かること

FISC（公益財団法人 金融情報システムセンター）は、1984年11月に設立され、金融情報システムに関する調査研究を行い、その成果を「金融機関等コンピュータシステムの安全対策基準」などのガイドラインとしてまとめています（FISCの公式ページによる）。

安全対策基準・解説書は、金融機関等が情報システムを開発・導入・運用するうえで必要と考えられる安全対策を基準として示し、基準項目ごとに事例を交えて解説するものです。1985年12月に初版が出され、2026年10月時点の最新版は2026年3月発行の第14版です。FISCは第14版の改訂のポイントとして、次の4点を挙げています。

• AI・生成AIの安全対策について、官公庁や各団体のガイドライン等を分析して反映
• サイバーセキュリティについて、官公庁や各団体のガイドライン等を分析して反映
• 耐量子計算機暗号（PQC）について、金融庁が2024年11月に公表した検討会の報告書を踏まえ、移行の留意点や対応時期を反映
• システム障害の事例や各種ガイドラインを分析し、基準項目と解説に反映

基準の本文は刊行物として提供されており、公開されたページから個々の基準項目の中身までは確かめられません。そのため、この記事では基準の具体的な項目には触れません。参画先が安全対策基準を踏まえた規程を持っている場合は、その規程の内容を参画先の説明で確かめてください。

金融分野の個人情報保護ガイドライン

銀行の顧客情報の扱いには、個人情報保護法に加えて、個人情報保護委員会と金融庁が定めた「金融分野における個人情報保護に関するガイドライン」がかかります。主な内容は次のとおりです（個人情報保護委員会のページに掲載のガイドラインによる）。

なお、個人情報保護委員会のページには、令和9年4月1日に施行される版も掲載されています。内容の変更が案件に関わる場合は、施行日と改正点を発注側に確かめてください。

フリーランスにとって大切なのは、自分が銀行から見て委託先（またはその先の再委託先）として監督される立場だと理解することです。個人情報を扱う業務の契約で確かめることは個人情報を扱う業務の契約の記事、フリーランス自身が事業者として守ることは個人情報保護法の記事で扱っています。

現場で気をつけたい5つの行動

規制の中身を踏まえて、銀行の案件でフリーランスが気をつけたい行動をまとめます。具体的な決まりは参画先の規程が優先します。

1. 与えられた権限の外に出ない：作業に必要な範囲を超えるデータや環境に、許可なく触れない
2. 情報を持ち出さない：資料、データ、画面の写しを、許可された場所と端末の外に出さない。私用の端末やクラウドサービスに保存しない
3. 作業の記録を残す：本番に関わる作業は、決められた手順と承認に沿って行い、記録を残す
4. 異常はすぐに報告する：障害や不審な挙動、誤送信などに気づいたら、決められた経路ですぐに伝える
5. 教育と誓約に参加する：参画時のセキュリティ教育や誓約書の手続きを、形だけにしない

貸与された端末の使い方は貸与PCの記事、万一情報を漏えいしてしまったときの対応は漏えい時の対応の記事で整理しています。

よくある質問

フリーランスもFISCの安全対策基準を読んでおく必要がありますか？

全文を読んでいなくても参画はできます。安全対策基準は金融機関等に向けた基準で、現場では、それを踏まえて銀行が作った規程や手順に従うことが求められます。基準の本文は刊行物として提供されているため、必要な場合は参画先の規程の説明で中身を確かめるのが現実的です。

監督指針は銀行向けのものなのに、なぜ委託先まで守る必要があるのですか？

監督指針は、銀行に対して外部委託先の管理を求めているためです。銀行はその内容を委託契約や規程に反映し、委託先、さらにその先の委託先にも守らせます。フリーランスが守る義務は、主に契約を通じて生じると考えておくと分かりやすくなります。具体的な義務の範囲は、契約書と参画先の規程で確かめてください。

規制の解釈に迷ったときはどうすればよいですか？

自分で結論を出さず、発注側の担当者やコンプライアンス部門に確かめてください。フリーランスとしての契約上の責任に関わる場合は、弁護士などの専門家に相談することをおすすめします。業界の規制を業務知識として身につける考え方は業界知識の記事で扱っています。