金融機関や金融サービスを手がける企業の情報システムには、外部からの攻撃や障害に備えた安全対策を、客観的な物差しに照らして点検することが求められます。その物差しとして国内で最も広く参照されてきたのが、FISC（金融情報システムセンター）がまとめる「安全対策基準」です。
一方で、FISCがどういう組織なのか、安全対策基準への準拠は法律上の義務なのか任意なのか、基準にはどこまでの範囲が書かれているのかといった点は、用語だけが先行して曖昧なまま使われがちです。クラウド事業者が掲げる「FISC準拠」という表記をどこまで信頼してよいのか、判断に迷う担当者も少なくありません。
本記事では、FISCという組織と「安全対策基準」が何を定めた文書かという定義から、準拠の位置づけ（義務か任意か）、基準の構成と最新版、クラウド利用時の考え方までを整理します。そのうえで、自社システムが基準の安全水準を満たしているかを点検・強化するための具体的な手段として、脆弱性診断・セキュリティ診断サービスの選択肢も紹介します。
目次
一括ダウンロードする
FISC（金融情報システムセンター）とは
FISC（金融情報システムセンター）は、金融機関の情報システムに関する技術・利活用・管理態勢・脅威と防御策などを調査研究し、その成果をガイドラインやレポートとして公表する公益財団法人です。英語表記「The Center for Financial Industry Information Systems」の頭文字をとってFISC（フィスク）と呼ばれます。
FISCは1984年（昭和59年）11月に、当時の大蔵大臣の許可を得て財団法人として設立され、2011年（平成23年）4月に内閣総理大臣の認定を受けて公益財団法人へ移行しました。会員には銀行・保険・証券などの金融機関に加え、コンピュータメーカーや情報処理会社など幅広い業種が含まれ、公式サイトによると会員数は679機関（2026年3月末日現在）にのぼります。
こうした活動の代表的な成果物が、後述する「金融機関等コンピュータシステムの安全対策基準・解説書」であり、国内の金融機関がシステムの安全対策を検討する際の実務的な拠りどころとして広く使われています。
出典・参考資料（1件）
FISC安全対策基準とは
一般にFISC安全対策基準と呼ばれる文書の正式名称は、「金融機関等コンピュータシステムの安全対策基準・解説書」です。FISCが策定・刊行しているもので、金融機関のコンピュータシステムに求められる安全対策を基準項目として示し、それぞれに具体例や考え方を交えて解説した文書にあたります。実務では「安対（あんたい）」と略されることもあります。
この基準は、金融機関が自らのシステムの安全対策を点検・整備する際のチェックリスト的な役割を果たします。あわせて、システムを受託するシステムインテグレーターやクラウド事業者が、金融業界向けのサービス水準を説明する際の共通言語としても用いられています。策定主体がFISCであることは、後述する金融庁の監督指針でも「（公益財団法人金融情報システムセンター編）」と明記されています。
FISC安全対策基準への準拠は義務か任意か（金融庁の監督指針との関係）
結論から言うと、FISC安全対策基準は法律で準拠が義務づけられた規制ではなく、FISCが策定する自主的な基準です。ただし、金融庁が公表する監督指針のなかで、システムリスクやセキュリティに関する参考資料として明示的に挙げられており、金融機関にとっては事実上の拠りどころとして機能しています。
たとえば「主要行等向けの総合的な監督指針」では、システムリスク管理に関する記述のなかで、次のように安全対策基準が参考資料として挙げられています。
（参考）システムリスクについての参考資料として、例えば「金融機関等コンピュータシステムの安全対策基準・解説書」（公益財団法人金融情報システムセンター編）などがある。
出典：主要行等向けの総合的な監督指針｜金融庁
ここで重要なのは、監督指針が安全対策基準を「参考資料の一例」として挙げている点です。準拠そのものを条文で義務づけているわけではなく、唯一絶対の基準として指定しているわけでもありません。したがって、「法的な強制力はないものの、金融庁の監督のなかで参照される自主基準」と理解するのが正確です。
ここでは主要行等向けの監督指針を例に挙げましたが、自社が主要行以外の業態であれば、該当する業態の監督指針でも同様に参考資料として挙げられているかを確認しておくと安心です。
また、かつてシステムリスク管理で参照された金融検査マニュアルは2019年（令和元年）12月に廃止されており、現在の公的な拠りどころは監督指針にあたります。
出典・参考資料（1件）
FISC安全対策基準の構成（統制・実務・設備・監査などの観点と300を超える項目）
安全対策基準は、単一のチェック項目ではなく、複数の観点に分けて多数の基準項目を整理した構成になっています。クラウド事業者やシステムインテグレーターが公開しているFISC対応の解説ページでは、基準項目を統制・実務・設備・監査といった観点に分類して紹介しているのが一般的です。
以下は、これらの公開解説で用いられている観点の整理です。正確な区分名や項目数は版によって見直されるため、最新の内訳は後述する最新版の解説書で確認してください。
| 観点 | 統制基準 | 実務基準 | 設備基準 | 監査基準 |
|---|---|---|---|---|
| 主な内容 | 経営層の関与や管理態勢、リスク管理など、安全対策を組織として統制するための基準 | システムの企画・開発・運用・保守といった各工程で実施すべき具体的な対策 | 建物・設備・ネットワークなど、システムを支える物理的な環境面の対策 | 安全対策が有効に機能しているかを点検・評価するための観点 |
※上記は公開されているFISC対応解説で用いられる観点の整理です。正確な区分・項目は最新版の解説書をご確認ください。
項目数についても版ごとに増減しますが、Microsoftが公開するFISC対応の解説では、安全対策基準に「300を超えるコントロール」が含まれるとされています。基準が組織の管理態勢から設備、監査までを広くカバーしており、点検すべき対象が多岐にわたることがうかがえます。
出典・参考資料（2件）
FISC安全対策基準の版の変遷と最新版
安全対策基準は一度作られて終わりではなく、技術や脅威の変化に合わせて改訂を重ねてきました。近年の改訂では、金融機関によるクラウドサービスの利用やサイバー攻撃への対応が大きなテーマになっています。Microsoftの解説によると、クラウド利用とサイバー攻撃対策に関する改訂は2015年に発行された補足改訂で追加されたとされています。
FISCの刊行物案内で確認できる範囲では、執筆時点（2026年10月29日確認）で販売されている最新版は第14版です。版は数年おきに改訂されており、他社の解説ページでは第9版や第8版を前提にした説明も残っているため、参照する際はどの版に基づく記述かを確認することをおすすめします。自社で基準を参照する場合は、最新版の解説書で現在の項目を確認するのが確実です。
クラウド利用時にFISC安全対策基準をどう満たすか（責任共有の考え方）
自社システムをクラウド上で動かす場合、安全対策基準が求める項目のすべてを自社だけで担保するわけではありません。クラウド事業者が管理する範囲と、自社が設定・運用で管理する範囲に分かれるためです。AWSやMicrosoftなどのクラウド事業者は、この分担を「責任共有モデル（共同責任モデル）」として整理し、どこまでを事業者側が対応し、どこからが利用者側の責任かを示しています。
この「責任共有モデル」という呼称は、FISC自身が定義した用語ではなく、クラウド事業者が安全対策基準の実務を自社サービスに当てはめて整理した枠組みです。FISC側の拠りどころとしては、「金融機関等におけるクラウド導入・運用に関する解説書」などが刊行されています。クラウドを利用する際は、事業者が対応している範囲を確認したうえで、自社の設定・運用でカバーすべき範囲を切り分けることが出発点になります。
「FISC準拠」表記をどう読むか（事業者の対応表は自己評価）
クラウドサービスやシステム製品の資料で「FISC安全対策基準に準拠」といった表記を目にすることがあります。ここで押さえておきたいのは、FISCは準拠を審査・認証する機関ではないという点です。Microsoftの解説でも、次のように明記されています。
規制では、このフレームワークへの準拠は必要ありません。また、FISC は監査やその他の検証を行いません。
出典：金融情報システム センター (FISC)｜Microsoft Compliance
このように、事業者が掲げる「FISC準拠」は、第三者の認証を受けたことを示すものではなく、各社が安全対策基準に照らして自社の対応状況を整理・公表した自己評価にあたります。対応表そのものを否定するものではありませんが、どの項目にどう対応しているのか、自社の利用形態で残る責任は何かを、提示された資料の中身まで確認する姿勢が欠かせません。
一括ダウンロードする
自社システムが基準の安全水準を満たしているか点検・強化する
安全対策基準の内容を理解したら、次に気になるのは「自社のシステムが実際にその水準を満たしているか」です。
安全対策基準は管理態勢（統制）から実務・設備・監査まで広い範囲に及ぶため、点検の手段も一つではありません。管理態勢や規程の整備状況は内部監査や第三者によるアセスメントで、システムそのものに技術的な弱点が残っていないかは脆弱性診断・ペネトレーションテストで、というように領域ごとに適した方法があります。
本記事では、このうち技術面の点検にあたる脆弱性診断・セキュリティ診断を取り上げます。
こうした外部診断を求める動きは、金融機関の現場でも強まっています。金融機関からの相談が増えている背景について、次のような指摘があります。
金融機関、特に銀行様からのご相談が多いのは、2024年10月に金融庁から公表されたガイドラインの影響が大きいと考えています。このガイドラインでは、金融機関において実施していくべきセキュリティ対策について記載されているのですが、脆弱性診断やペネトレーションテストを実施していくこと、ネットワークの対策を強化し監視していくことが求められました。
ここで触れられているのは、FISC安全対策基準とは別に金融庁が2024年（令和6年）10月に公表した「金融分野におけるサイバーセキュリティに関するガイドライン」です。このガイドラインは金融機関に対し、脆弱性診断やペネトレーションテストを含む対策を求めています。
出典・参考資料（1件）
なかでも金融機関向けに攻撃者視点で侵入を試みる手法は脅威ベースのペネトレーションテスト（TLPT）と呼ばれます。通常のペネトレーションテストとの違いや費用の目安は、以下の記事で整理しています。
TLPT（脅威ベースのペネトレーションテスト）とは？費用・金融庁ガイドライン・通常のペンテストとの違いを解説
TLPT（Threat-Led Penetration Test＝脅威ベースのペネトレーションテスト）とは、実在するサイバー攻撃者の手口を再現し、システムだけでなく、それを守る人・組織・プロセスまで含めて、検知や対応の力を実戦形式で試す取り…
ここでは、金融機関や規制業界のシステムを対象にした実績を持ち、脆弱性診断・ペネトレーションテスト・セキュリティ評価などを手がける専門会社を紹介します。いずれも安全対策基準そのものへの準拠を保証するものではありませんが、自社システムの弱点を洗い出し、どこを強化すべきかを可視化する手段として活用できます。
以下は、ここで紹介するセキュリティ診断・評価サービスの比較表です。
| サービス名 | ラック | NRIセキュア | GMOサイバーセキュリティ byイエラエ | SQAT（BBSec） | MBSD（三井物産セキュアディレクション） | NTTセキュリティ・ジャパン |
|---|---|---|---|---|---|---|
| 主な診断手段 | 脆弱性診断／ペネトレーションテスト／TLPT／ソースコード診断 | 脆弱性診断／ペネトレーションテスト／レッドチームオペレーション／ソースコード診断 | 脆弱性診断／ペネトレーションテスト／レッドチーム演習／ASM（継続診断） | 脆弱性診断／ペネトレーションテスト／ソースコード診断（SQAT Core）／アタックサーフェス調査 | 脆弱性診断／ペネトレーションテスト／TLPT／Active Directory診断 | 脆弱性診断／RedTeam・TLPT／セキュリティリスクアセスメント／SCS評価制度アセスメント |
| 対応範囲 | Webアプリ／プラットフォーム（サーバ・ネットワーク）／クラウド・SaaS／スマホアプリ／IoT | Webアプリ／プラットフォーム／スマホアプリ／API／クラウド／ブロックチェーン／IoT・OT | Webアプリ／スマホアプリ／クラウド／ネットワーク／NFT・ブロックチェーン／IoT／AI | Webアプリ／ネットワーク／スマホアプリ／IoT／クラウド | Webアプリ／ネットワーク／スマホアプリ／IoT・OT／Active Directory／AIシステム | Webアプリ／プラットフォーム／IoT・OT |
| 金融・規制業界での対応 | 金融犯罪対策の知見・金融業界の脅威情報を活用したTLPTを提供 | 銀行・証券など金融機関での診断実績（公式明記） NRIグループの専業セキュリティ会社 | 金融を含む幅広い業界に対応 累計診断16,000件超 | 金融を含む幅広い業界に対応 延べ10,300組織・64,280システムの診断実績 | TLPTに対応 公共・政府機関で累計70件以上の診断実績 | RedTeam/TLPT・経産省基準のSCS評価制度アセスメントに対応 NTTグループの専業セキュリティ会社 |
| 提供形態 | ハイブリッド（手動診断主体） | ハイブリッド（手動診断主体） | ハイブリッド（手動診断＋ツールASM） | ハイブリッド（手動診断＋独自自動診断） | ハイブリッド（手動診断主体） | 専門家による診断＋セルフ診断（Qualys・Tenable）を選択可 |
| 詳細情報 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は各社公式サイトで確認できる診断メニュー・対応範囲・提供形態にもとづく一般的な情報です（2026年10月時点）。実際の診断項目・対応可否・費用は案件ごとに異なるため、各社へご確認ください。
ここで取り上げたのは一例です。脆弱性診断・セキュリティ診断サービスの診断方法や費用相場、依頼先の選び方まで含めて幅広く比較検討したい場合は、以下の記事で詳しく解説しています。
1. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）
株式会社ラックは、1995年から脆弱性診断サービスを提供してきた国内のセキュリティ専業企業です。脆弱性を網羅的に洗い出す脆弱性診断と、現実的な攻撃シナリオで実際の影響を確認するペネトレーションテストを区別して提供し、Webアプリ・サーバ・ネットワーク機器・クラウド設定・スマホアプリなど幅広い対象に対応します。
自社で運営するセキュリティ監視センター「JSOC」やインシデント対応の「サイバー救急センター」を持ち、診断から監視・事故対応までを同じ事業者で組み合わせられる点が特徴です。脅威ベースのペネトレーションテスト（TLPT）にも対応しており、金融機関のシステム全体を継続的に点検したい企業に向いています。
2. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）
野村総合研究所グループでセキュリティを専門に手がけるのが、NRIセキュアテクノロジーズ株式会社です。ツールに任せきりにせず、専門トレーニングを修了した国際資格保有の技術者による手動診断を主体としている点を強みとしています。
診断対象はWebアプリケーション・プラットフォーム・スマホアプリ・API・クラウド設定・ソースコードまで幅広く対応します。攻撃者視点のペネトレーションテストやレッドチームオペレーションまでを含む包括的なラインアップが特徴です。金融機関を含む規制業界のシステムを多面的に評価したい場合の選択肢になります。
3. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁するのが、GMOサイバーセキュリティ byイエラエ株式会社です。専門家による手動主体の脆弱性診断・ペネトレーションテストを中核に据え、13種類の診断メニューを公開しています。
手動の診断に加え、公開資産の攻撃面を継続的に把握するASM（攻撃面管理）ツール「GMOサイバー攻撃ネットde診断」や、SOC・フォレンジック・インシデント対応、セキュリティコンサルティングまでを提供しています。ホワイトハッカーによる手動診断で深く検証したい企業に適しています。
4. SQAT（脆弱性診断サービス／株式会社ブロードバンドセキュリティ）
SQAT（エスキュート）は、株式会社ブロードバンドセキュリティが提供する脆弱性診断サービスの総称です。同社は2000年創業のセキュリティ専業企業で、SQATでは手動診断と独自開発の自動診断を組み合わせたハイブリッド方式を採用すると公式に説明しています。
同社はセキュリティ監査・コンサルティング、脆弱性診断、情報漏えいIT対策を主力サービスとしており、SQATはその脆弱性診断ブランドにあたります。手動と自動のバランスを取りながら、コストと精度の両面で診断範囲を調整したい企業に向いた選択肢です。
5. 脆弱性診断サービス（三井物産セキュアディレクション株式会社／MBSD）
三井物産セキュアディレクション株式会社（MBSD）は、脆弱性診断やセキュリティ監視、脅威情報の調査・分析などを手がけるセキュリティ専業企業です。自社のセキュリティアナリストが調査・分析業務の経験を活かして診断にあたる体制を敷いています。
Webアプリケーション・ネットワーク・スマホアプリの脆弱性診断やペネトレーションテスト、脅威ベースのペネトレーションテスト（TLPT）まで幅広く手がけています。漏えい情報をダークウェブ上で確認するモニタリングやインシデント対応支援も提供しており、診断とその後の対応を一貫して相談したい企業に適した選択肢です。
6. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
エヌ・ティ・ティ・セキュリティ・ジャパン株式会社（NTTセキュリティ・ジャパン）は、脆弱性診断・アセスメント・RedTeam・感染端末特定を柱にした診断サービス群を提供しています。専門家が複数のツールを組み合わせて網羅的に診断する方式と、顧客自身が継続的に脆弱性を把握するセルフ診断を選べる構成が特徴です。
攻撃者視点で侵入を試み、人・プロセス・技術の観点から攻撃への耐性を評価するRedTeam／TLPTも同じカテゴリ内で提供しています。NTTグループのセキュリティ専業会社として、金融機関を含む大規模システムの評価まで相談先を探す企業の有力な候補となります。料金は要問い合わせです。
まとめ
FISC（金融情報システムセンター）がまとめる「金融機関等コンピュータシステムの安全対策基準・解説書」は、法的な強制力を持つ規制ではなく自主的な基準ですが、金融庁の監督指針で参考資料として挙げられ、金融機関のシステム安全対策の事実上の拠りどころとなっています。
基準は統制・実務・設備・監査などの観点から多数の項目を整理しており（公開されている解説では300を超えるとされます）、クラウド利用時には事業者と自社の責任分担を切り分ける視点が欠かせません。事業者が掲げる「FISC準拠」は第三者認証ではなく自己評価である点も、資料を読むうえで押さえておきたいポイントです。
基準の内容を理解したうえで自社システムの実態を点検するなら、専門家による脆弱性診断・セキュリティ診断で弱点を客観的に可視化するのが近道です。診断の方式や費用相場、選び方は比較しながら、自社の規模・予算・求める精度に合う依頼先を検討してください。
一括ダウンロードする
よくある質問（FAQ）
Q. FISC安全対策基準とは何ですか？
A. FISC安全対策基準とは、公益財団法人金融情報システムセンター（FISC）が策定する「金融機関等コンピュータシステムの安全対策基準・解説書」の通称です。金融機関のコンピュータシステムに求められる安全対策を基準項目として示し、それぞれに具体例や考え方を交えて解説した文書で、実務では「安対（あんたい）」と略されることもあります。
Q. FISC安全対策基準への準拠は義務ですか？
A. FISC安全対策基準への準拠は、法律で義務づけられたものではなく、FISCが定める任意の自主基準です。ただし、金融庁が公表する監督指針のなかでシステムリスクに関する参考資料として挙げられており、金融機関にとっては事実上の拠りどころとして機能しています。「法的な強制力はないが、金融庁の監督のなかで参照される自主基準」と理解するのが正確です。
出典・参考資料（1件）
Q. 事業者がうたう「FISC準拠」は第三者の認証を受けたという意味ですか？
A. 事業者が掲げる「FISC準拠」表記は、第三者認証を取得したことを示すものではなく、各社が安全対策基準に照らして自社の対応状況を整理・公表した自己評価です。FISCは準拠を審査・認証する機関ではなく、Microsoftの公式解説でも「FISCは監査やその他の検証を行いません」と明記されています。
対応表を確認する際は、どの項目にどう対応し、自社の利用形態で残る責任は何かまで読み解くことが重要です。
出典・参考資料（1件）
Q. FISC安全対策基準の最新版は何版ですか？
A. FISC安全対策基準・解説書の最新版は、本記事の確認時点（2026年10月29日）で、FISC公式の刊行物案内で販売されている第14版です。版は技術や脅威の変化に合わせて数年おきに改訂されており、他社の解説ページでは第9版や第8版を前提にした説明も残っているため、参照する際はどの版に基づく記述かを確認することをおすすめします。
出典・参考資料（1件）
Q. FISC安全対策基準・解説書はどこで入手できますか？
A. FISC安全対策基準・解説書は、FISCの刊行物として有償で販売されており、FISC公式サイトの「刊行物ご案内」から購入できます。基準の本文や詳細な項目は、刊行物の購入や会員向けサービスを通じて参照する形になっており、一般にはこの刊行物の購入が主な入手経路です。無料で全文が公開されている文書ではない点に留意してください。
Q. クラウドを利用する場合、FISC安全対策基準のどこまでを自社で担保する必要がありますか？
A. クラウド利用時は、安全対策基準が求める項目のうち、クラウド事業者が管理する範囲を除いた、自社の設定・運用に属する部分を自社で担保する必要があります。AWSやMicrosoftなどの事業者は、この分担を「責任共有モデル（共同責任モデル）」として整理しています。事業者が対応している範囲を確認したうえで、残る自社側の責任範囲を切り分けることから始める必要があります。
Q. FISC安全対策基準はPCI DSSやISMS（ISO/IEC 27001）とどう違いますか？
A. FISC安全対策基準は、第三者審査による認証制度を持たない任意の自主基準である点が、認証を取得して適合を対外的に証明できるPCI DSSやISMS（ISO/IEC 27001）との大きな違いです。PCI DSSやISMSが審査機関の認証取得をゴールにできるのに対し、FISCは審査・認証を行わないため、FISC安全対策基準への対応状況は各社の自己評価にとどまります。
また、金融機関のコンピュータシステムの安全対策を幅広く対象とする点も、カード決済データの保護を目的とするPCI DSSや、情報セキュリティマネジメント全般を対象とするISMSとは目的・範囲が異なります。
セキュリティ診断・脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、脆弱性診断・セキュリティ診断サービスの最新資料を無料で一括請求できます。診断の対象範囲・方式・費用感・サポート体制などを、各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
