FISC安全対策基準とは？構成・準拠の位置づけ・最新第14版の改訂点を解説

金融機関にシステムやクラウド、サービスを提供する立場で「FISC安全対策基準に対応しているか」と取引先から問われ、何を満たせばよいのか判断に迷っていませんか。金融機関自身のシステム部門でも、FISCの基準が具体的に何を定め、どこまで守るべきものなのかを正確に把握しておく必要があります。

本記事では、FISC安全対策基準とは何かという基本から、基準の全体構造、準拠の位置づけ、最新版の改訂内容、そして対応のために求められる技術的な点検までを整理します。基準の中身を一度で掴み、自社や取引先にとっての対応の次の一歩を判断するための材料としてご活用ください。

FISC安全対策基準とは？正式名称・策定主体・位置づけ

FISC安全対策基準は、正式には「金融機関等コンピュータシステムの安全対策基準・解説書」といい、公益財団法人金融情報システムセンター（FISC）が策定する、金融機関等の自主基準です。金融機関がシステムを開発・導入・運用するうえで必要と考えられる安全対策を基準として示し、基準項目ごとに具体的な事例を交えて解説しています。

基準の策定は、FISCに設けられた学識経験者、金融機関、コンピュータメーカー、クラウド事業者、FinTech企業などの専門家による委員会で審議され、その結果を取りまとめる形で行われています。初版は1985年12月に発刊され、金融機関を取り巻く環境の変化に合わせて改訂が重ねられてきました。通称は「FISC安対」と呼ばれます。

出典・参考資料（1件）

• 出典：「金融機関等コンピュータシステムの安全対策基準・解説書」（第14版）【PDF版】を公表しました｜公益財団法人金融情報システムセンター（https://www.fisc.or.jp/topics/007222.php）

FISC安全対策基準の全体構造｜統制・実務・設備＋監査の区分と約300項目

FISC安全対策基準・解説書は、統制・実務・設備・監査という4つの観点からシステムの安全性に関する管理策を示しています。このうち監査は、本体とは別に「金融機関等のシステム監査基準」として刊行されており、安全対策基準の本体は実質的に統制・実務・設備の3つの基準で構成され、これに監査基準が併置される関係です。

各区分が大枠で何を扱うかは、次のとおりです。解説記事によれば、基準全体は約300項目に及ぶ標準的な指針としてまとめられています。

※上記は各区分の大枠の位置づけです。

各区分で具体的に扱われる対策の例としては、統制基準では社内規程やセキュリティ管理体制の整備・外部委託先の管理、実務基準ではアクセス管理・データの暗号化やバックアップ・ログの監視といった技術的な対策、設備基準では施設やデータセンターの物理的な安全対策などが挙げられます。

「約300項目」という規模はベンダーの解説にもとづく目安で、改訂によって小項目が新設・見直しされるため版によって変動します。個々の基準項目の正確な内容は、解説書本体で確認する必要があります。

出典・参考資料（4件）

• 参考資料：FISC｜Amazon Web Services（https://aws.amazon.com/jp/compliance/fisc/）
• 参考資料：システムリスク管理｜PwC Japanグループ（https://www.pwc.com/jp/ja/knowledge/column/risk-consulting/system-risk-management.html）
• 参考資料：FISC安全対策基準とは｜OBC 360°（https://www.obc.co.jp/360/list/post436）
• 参考資料：FISC安全対策基準（用語解説）｜NRIセキュア（https://www.nri-secure.co.jp/glossary/fisc）

FISC安全対策基準への準拠は義務か任意か

FISC安全対策基準は金融機関等の自主基準であり、この基準そのものに法的な強制力はありません。一方で、金融庁の監督指針が安全対策基準を参考資料として挙げており、実質的には金融機関のシステムリスク管理で広く参照される基準になっています。法的な義務ではないものの、対応が実質的に求められる基準と捉えるのが実態に近い位置づけです。

金融庁の「主要行等向けの総合的な監督指針」は、システムリスクに関する項目のなかで、参考資料として次のように安全対策基準を挙げています。

（参考）　システムリスクについての参考資料として、例えば「金融機関等コンピュータシステムの安全対策基準・解説書」（公益財団法人金融情報システムセンター編）などがある。

主要行等向けの総合的な監督指針（III－３－７ システムリスク）｜金融庁（https://www.fsa.go.jp/common/law/guide/city/03c2.html）

ここで示されているのは「参考資料」としての位置づけであり、監督指針が準拠を義務づけているわけではありません。ただし、監督当局がシステムリスク管理の着眼点として参照している以上、金融機関にとっては事実上の目安として対応を検討する価値が高い基準といえます。

最新版は第14版｜改訂の経緯と原文の入手先

FISC安全対策基準・解説書の最新版は、2026年3月25日に公表された第14版です。ベンダーの解説記事のなかには第12版を最新として紹介しているものもありますが、現在はすでに第13版・第14版が公表されているため、対応を検討する際は最新版を基準に確認することが大切です。

第14版の主な改訂点と前版からの経緯

第14版では、次の4点の内容が反映されました。近年の技術動向と当局のガイドラインを取り込む改訂が中心です。

• AIの安全対策に関する改訂：官公庁や各協会・団体が公表したAI・生成AIに関するガイドラインやレポートの情報収集・分析を行い、その内容を基準に反映
• サイバーセキュリティに関する改訂：官公庁や各協会・団体が公表したサイバーセキュリティに関するガイドラインやレポートの内容を基準に反映
• 耐量子計算機暗号（PQC）に関する改訂：金融庁が2024年11月に公表した「預金取扱金融機関の耐量子計算機暗号への対応に関する検討会 報告書」で示された移行の留意点や対応時期などを反映
• システム障害事例・各種ガイドラインを受けた改訂：システム障害事例に関連する文書や各種ガイドラインを分析し、基準項目とその解説に反映

前版である第13版は2025年3月21日に公表されました。この版では、経済安全保障推進法の特定社会基盤事業者に求められる対応、オペレーショナル・レジリエンス（金融庁が2023年4月に公表した基本的な考え方）、金融庁が2024年10月4日に公表した「金融分野におけるサイバーセキュリティに関するガイドライン」、AI・生成AIの安全対策などが取り込まれています。

第14版のサイバーセキュリティ関連の改訂は、こうした前版までの流れを引き継いだものです。

出典・参考資料（2件）

• 出典：「金融機関等コンピュータシステムの安全対策基準・解説書」（第14版）【PDF版】を公表しました｜公益財団法人金融情報システムセンター（https://www.fisc.or.jp/topics/007222.php）
• 出典：「金融機関等コンピュータシステムの安全対策基準・解説書」（第13版）【PDF版】を公表しました｜公益財団法人金融情報システムセンター（https://www.fisc.or.jp/topics/006665.php）

原文（解説書・PDF版）の入手先

基準の原文は、FISCの「FISCガイドラインPDF版」のページから入手できます。FISCの会員は無料でダウンロードでき、一般（非会員）はダウンロードに購入手続きが必要です。基準の章立てや個別の基準項目といった本体の内容は一般には公開されていないため、詳細を確認するには会員でのダウンロードか購入が前提となります。

同ページには、安全対策基準・解説書のほか、「金融機関等のシステム監査基準」「金融機関等におけるTLPT実施にあたっての手引書」「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」など、関連する手引書や解説書も掲載されています。

出典・参考資料（1件）

• 出典：FISCガイドラインPDF版｜公益財団法人金融情報システムセンター（https://www.fisc.or.jp/publication/guideline_pdf.php）

FISC安全対策基準の対象と一般企業での活用

FISC安全対策基準が主に対象とするのは、銀行をはじめとする金融機関等です。金融庁の監督指針でも、主要行や中小・地域金融機関などがシステムリスクやセキュリティ対策を検討するうえでの参考文書として挙げられています。一次的な対象は金融機関ですが、金融機関にシステムやサービスを提供する企業も、取引を通じて間接的にこの基準と関わることになります。

金融機関にシステムやクラウド、サービスを提供する一般企業にとっても、FISC安全対策基準は重要な参照先です。取引先の金融機関から対応状況を確認される場面があるため、自社のサービスやセキュリティ体制が基準の考え方に沿っているかを点検する指針として活用できます。基準に沿った体制を整えておくことは、金融機関との取引における信頼の裏づけになります。

クラウド・外部委託における安全対策

金融機関のシステムでもクラウドサービスの利用や外部委託が広がっており、FISCはこうした領域についても別冊の「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」を公開しています。クラウドや外部委託を利用する場合は、自社だけで安全対策が完結しないため、委託先・提供事業者との責任の分担を明確にしておくことが重要になります。

クラウド事業者は一般に、責任共有モデルという考え方で利用者との責任範囲を整理しています。たとえばAWSは、利用者が自社の環境で責任共有モデルにもとづき対策を実施し、事業者と利用者それぞれの責任の範囲を明確に定義する必要があると説明しています。

クラウドを利用する金融機関や、金融機関向けにクラウドを提供する企業は、どこまでを自社が担い、どこからを事業者が担うのかを確認したうえで、不足する対策を補う必要があります。

出典・参考資料（2件）

• 出典：FISC｜Amazon Web Services（https://aws.amazon.com/jp/compliance/fisc/）
• 出典：FISCガイドラインPDF版｜公益財団法人金融情報システムセンター（https://www.fisc.or.jp/publication/guideline_pdf.php）

FISC安全対策基準と他の基準・認証との関係

セキュリティに関する基準や認証はFISC安全対策基準のほかにも複数あり、それぞれ守備範囲や位置づけが異なります。重複した対応を避け、自社に必要なものを見極めるために、主な基準・認証との関係を整理します。

FISC安全対策基準は国内金融に特化した自主基準である一方、ISMSやSOC 2は業種を問わない国際的な枠組みです。これらは排他的な関係ではなく、FISC対応を進めるうえで、ISMSで整備した管理策やSOC 2で確認した委託先の統制状況を活用できる場面もあります。自社がどの基準を満たすべきかは、取引先の要件や扱う情報の種類にもとづいて判断します。

たとえばクレジットカード情報を扱う場合に関わるPCI DSSについては、PCI DSS準拠の対象事業者・12要件・進め方をまとめた解説記事で、自社が対象になるかと必要な対応を確認できます。

出典・参考資料（5件）

• 参考資料：ISMS適合性評価制度｜一般社団法人情報マネジメントシステム認定センター（https://isms.jp/）
• 参考資料：ISMAP（政府情報システムのためのセキュリティ評価制度）（https://www.ismap.go.jp/）
• 参考資料：SOC 2（SOC for Service Organizations）｜AICPA（https://www.aicpa-cima.com/topic/audit-assurance/audit-and-assurance-greater-than-soc-2）
• 参考資料：NIST Cybersecurity Framework｜NIST（https://www.nist.gov/cyberframework）
• 参考資料：PCI Security Standards Council（https://www.pcisecuritystandards.org/）

FISC対応で求められる技術的点検｜脆弱性診断・ペネトレーションテスト（TLPT）

FISC安全対策基準への対応では、規定や体制の整備だけでなく、システムの安全性を実際に点検する技術的な取り組みも欠かせません。FISCは安全対策基準・解説書とあわせて「金融機関等におけるTLPT実施にあたっての手引書」を刊行しており、脅威ベースのペネトレーションテスト（TLPT）への関心が金融業界で高まっていることがうかがえます。

この関心の高まりの背景には、金融機関を所管する当局の動きがあります。診断サービスの現場からは、金融機関からの相談が増えている理由について次のような声が聞かれます。

TLPT（Threat-Led Penetration Test）は、実在の攻撃者が使う手口を模倣し、組織の検知・対応を含めてサイバー攻撃への耐性を評価する実践的なテストです。

これに加えて、Webアプリケーションやネットワークの脆弱性診断、ペネトレーションテスト、社内ネットワークのリスク診断など、どこに弱点があるかを事前に洗い出す点検も、安全対策を実効性のあるものにするうえで重要です。こうした技術的な点検は、専門の診断サービスに依頼して実施するのが一般的です。

TLPTにかかる費用の目安や、金融庁ガイドラインでの位置づけ、通常のペネトレーションテストとの違いは、次の記事で詳しく整理しています。

ここでは、FISC対応の文脈で求められる脆弱性診断・ペネトレーションテスト・ネットワークリスク診断を担うサービスを紹介します。まず、各サービスの診断内容を一覧で比較します。

※料金・診断内容は各社の公式情報および独自インタビューにもとづく2026年11月時点の目安です。最新の内容は各社にご確認ください。

FISC対応に役立つ脆弱性診断・ネットワーク診断サービス

紹介するサービスは、求める点検の内容によって選び方が変わります。社内ネットワークに潜むリスクを可視化したいならネットワークリスク診断、Webアプリケーションやソースコードの弱点を洗い出したいなら脆弱性診断が向いています。攻撃者視点で検知・対応体制まで評価したいなら、ペネトレーションテストやTLPTが選択肢になります。

料金は、定期的な脆弱性診断であれば数十万円規模から、範囲が広く高度なペネトレーションテストやTLPTは数百万円以上と幅があります。目的と対象範囲に照らして選びましょう。以下では、FISC対応で検討したいサービスを順に紹介します。

1. セキュア・レントゲン（株式会社クワッドマイナージャパン）

セキュア・レントゲンは、株式会社クワッドマイナージャパンが提供するネットワークリスク診断サービスです。ネットワークを流れる通信を100%フルパケットでキャプチャし、専門のアナリストが分析することで、外部からの脅威だけでなく、すでに内部に侵入・潜伏しているリスクまで洗い出します。同社はこれを「ネットワークの人間ドック」と表現しています。

機器をミラーリング方式で設置するため業務ネットワークへの影響を抑えられ、診断は最短1カ月で完了します。脆弱性診断やペネトレーションテストで入口・出口を固めていても、突破された後の内部リスクは見えにくいという課題に応える位置づけです。脆弱性診断などと組み合わせて内部の状況を可視化したい金融機関に適しています。

2. Hi AUDIT（株式会社TECHFUND）

株式会社TECHFUNDが提供するHi AUDITは、ツールによる自動診断と専門家による手動診断を組み合わせたセキュリティ診断サービスです。Web3のスマートコントラクト監査を主力としながら、フィンテック領域での実績が厚く、Webアプリケーションなどの脆弱性診断・ペネトレーションテストにも対応しています。

金融・フィンテックの領域では、放置すれば数千万円から数億円規模の被害になり得た脆弱性を事前に発見した事例が複数あるとしています。脆弱性を報告して終わりにせず、攻撃を受けたときの事業への影響まで整理して説明し、修正が完了するまで追加料金なしで伴走する方針も特徴です。金融関連のサービスを開発・運用する企業に向いています。

3. CoWorker 脆弱性診断サービス（CoWorker株式会社）

CoWorker株式会社の脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせる点が特徴です。診断メニューは、ソースコードを読み取る静的診断、稼働中のWebアプリケーション・APIを対象とした動的診断、実際の攻撃を想定したペネトレーションテストの3種類をそろえています。

料金は、ソースコード診断が15万円から、動的診断がAPIのエンドポイント数に応じて30万円から、Webペネトレーションテストが60万円から、ネットワークペネトレーションテストが100万円からと公表されています。AIの活用で診断スピードを高めているため、年に1回だけでなく、四半期ごとなど定期的な診断を比較的手の届く価格帯で依頼したい企業に向いています。

こうした定期的な診断が必要とされる背景には、攻撃側の変化があります。

4. 脆弱性診断・セキュリティ診断サービス（株式会社ラック）

株式会社ラックは、1995年から診断サービスを提供してきた老舗で、脆弱性診断からペネトレーションテスト、TLPTまでを体系的に扱っています。Webアプリケーション診断やプラットフォーム診断に加え、情報システムペネトレーションテスト、そして脅威ベースのペネトレーションテストであるTLPTを独立したメニューとして用意している点が特徴です。

攻撃側の知見に加え、セキュリティ監視センターJSOCやサイバー救急センターで培った防御・対応のノウハウを併せ持ち、金融機関のTLPT事例も公開しています。情報システムペネトレーションテストは700万円から、TLPTは1,000万円程度からと公表されており、高度な疑似攻撃によって検知・対応体制まで評価したい金融機関に適しています。

5. セキュリティ診断（脆弱性診断・ペネトレーションテスト）／NRIセキュア（NRIセキュアテクノロジーズ株式会社）

NRIセキュアテクノロジーズは、NRIグループのセキュリティ専門企業として、Webアプリケーションやプラットフォームの脆弱性診断から、ペネトレーションテスト、攻撃者視点で検知・対応体制を評価するレッドチームオペレーションまでを幅広く提供しています。ペネトレーションテストの提供事業者としてCREST認定を受けている点も、サービスの裏づけになっています。

ペネトレーションテストは800万円から、レッドチームオペレーションは1,200万円からと公表されており、対象の懸念事項や環境をヒアリングしたうえで個別にシナリオを設計します。脆弱性の洗い出しから、組織の検知・対応力まで段階的に評価したい金融機関に向いた選択肢です。

6. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

GMOサイバーセキュリティ byイエラエは、多数のホワイトハッカーを擁し、手動を主体とした脆弱性診断・ペネトレーションテストを強みとする専門企業です。Webアプリケーションやスマホアプリ、クラウド、ネットワーク、IoT機器まで幅広い対象に対応し、累計の診断件数は16,000件を超えると公表しています。

ツールでは見つけにくい巧妙な脆弱性も熟練の専門家が手動で検出するため、重要なシステムを深く点検したい場合に適しています。あわせて、外部に公開した資産の脆弱性を継続的に可視化するASM（攻撃面管理）ツールも提供しており、スポットの診断と継続的な監視を組み合わせられる点も特徴です。

ここで取り上げたのはFISC対応の文脈で検討したい診断サービスですが、脆弱性診断サービスを診断方法・費用相場・選び方から幅広く比較して自社に合う依頼先を見極めたい場合は、次のまとめ記事もあわせてご覧ください。

まとめ

FISC安全対策基準は、公益財団法人金融情報システムセンターが策定する、金融機関等の自主基準です。統制・実務・設備の3基準に監査基準を併せた構成で、約300項目にわたって金融情報システムの安全対策を示しています。法的な強制力はないものの、金融庁の監督指針が参考資料として挙げており、金融機関にとっては実質的に対応が求められる基準といえます。

最新版は2026年3月に公表された第14版で、AI・サイバーセキュリティ・耐量子計算機暗号などの改訂が反映されています。対応を検討する際は最新版を基準にし、規定・体制の整備に加えて、脆弱性診断やペネトレーションテスト、ネットワークリスク診断といった技術的な点検を組み合わせることが、実効性のある安全対策につながります。自社や取引先の状況に合わせて、まずは必要な診断から着手していきましょう。

よくある質問（FAQ）

Q. FISC安全対策基準とは何ですか？

FISC安全対策基準は、公益財団法人金融情報システムセンター（FISC）が策定する、金融機関等のシステムの安全対策に関する自主基準です。正式名称は「金融機関等コンピュータシステムの安全対策基準・解説書」で、1985年12月の初版以来、金融機関がシステムを開発・導入・運用するうえで必要と考えられる安全対策を、基準項目ごとに具体的な事例を交えて示しています。

Q. FISC安全対策基準への準拠は義務ですか？

FISC安全対策基準への準拠は、法律で義務づけられたものではなく、金融機関等の自主基準という位置づけです。

ただし、金融庁の「主要行等向けの総合的な監督指針」がシステムリスクの参考資料として本基準を挙げているため、金融機関にとっては事実上の目安として対応が求められる基準といえます。取引先の金融機関からFISC対応を問われる一般企業にとっても、基準に沿った体制を整えておくことが取引上の信頼につながります。

Q. FISC安全対策基準の最新版は第何版ですか？

FISC安全対策基準・解説書の最新版は、2026年3月25日に公表された第14版です。第14版では、AIの安全対策、サイバーセキュリティ、耐量子計算機暗号（PQC）、システム障害事例・各種ガイドラインを受けた改訂が反映されました。

前版の第13版は2025年3月21日に公表されています。解説記事のなかには第12版を最新として紹介しているものもあるため、対応を検討する際は最新版で確認することが大切です。

Q. FISC安全対策基準は一般企業も対象になりますか？

FISC安全対策基準が主に対象とするのは銀行をはじめとする金融機関等ですが、金融機関にシステムやクラウド、サービスを提供する一般企業にとっても重要な参照先です。取引先の金融機関から対応状況を確認される際に、自社のサービスやセキュリティ体制が基準の考え方に沿っているかを点検する指針として活用できます。

Q. FISC安全対策基準はISMSやISMAPと何が違いますか？

FISC安全対策基準は、国内の金融機関等を対象にした金融情報システムの安全対策の自主基準であり、ISMSやISMAPとは守備範囲が異なります。

ISMS（ISO/IEC 27001）は業種を問わない情報セキュリティマネジメントの国際規格、ISMAPは政府調達向けにクラウドサービスを評価・登録する制度です。これらは排他的な関係ではなく、ISMSで整備した管理策をFISC対応に活用できる場面もあります。自社がどの基準を満たすべきかは、取引先の要件や扱う情報の種類にもとづいて判断します。

Q. クラウドを利用する場合、FISC対応で何をすべきですか？

クラウドを利用する場合は、責任共有モデルにもとづいて事業者と利用者それぞれの責任範囲を明確にし、自社が担う部分の対策を補うことが重要です。クラウドや外部委託では自社だけで安全対策が完結しないためで、FISCも別冊として「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」を公開しています。委託先・提供事業者との責任の分担を確認したうえで、不足する対策を補いましょう。

Q. FISC対応では何を点検すればよいですか？

FISC対応では、規定や体制の整備に加えて、脆弱性診断・ペネトレーションテスト・ネットワークリスク診断といった技術的な点検を組み合わせることが、実効性のある安全対策につながります。

FISCは「金融機関等におけるTLPT実施にあたっての手引書」も刊行しており、脅威ベースのペネトレーションテスト（TLPT）への関心が金融業界で高まっています。こうした技術的な点検は、専門の診断サービスに依頼して実施するのが一般的です。

セキュリティ診断サービスの料金・資料を一括チェック

MCB FinTechカタログでは、FISC対応で検討したい脆弱性診断・ペネトレーションテスト・ネットワークリスク診断サービスの最新資料を無料で一括請求できます。診断対象や料金を比べて、自社に合うサービスを効率的に選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。