コラム
【速報】サイバーリスクへの対応を強化するための「保険会社向けの総合的な監督指針」等の一部改正（案）に対するパブリックコメントの結果が公表されました。
サイバーリスクへの対応を強化するための監督指針改正がなされ、パブリックコメントが７月１７日公表されました。
保険会社向けの監督指針ではありますが、保険代理店も、今回の監督指針改正案とパブリックコメントを注意して読む必要があります。
今回は保険代理店が特に注意すべき点について確認をしたいと思います。
１ 監督指針改正案
改正案では、インターネットを利用した非対面取引について、不正アクセスやフィッシング詐欺への対策が大幅に具体化されています。
https://www.fsa.go.jp/news/r8/sonota/20260717-2/02.pdf
例えば、次のような対応が示されました。
「フィッシング詐欺対策については、メールやSMS（ショートメッセージサービス）内にパスワード入力を促すページのURLやログインリンクを記載しない」
「重要な操作時におけるフィッシングに耐性のある多要素認証（例：パスキーによる認証、PKI（公開鍵基盤）をベースとした認証）の実装及び必須化」
このほか、ログイン通知、アカウントロック、振る舞い検知、ログの保存、不正アクセスが疑われる場合の遮断なども対策例として掲げられています。
改正案は、さらにリスク分析、対策の実施、効果検証、見直しというPDCAサイクルを機能させることも求めています。
２ パブコメで明確に「代理店も対象」と述べられている。
保険代理店にとって最も重要なのは、パブリックコメントのNo.9です。
【№９】
「本改正で求められる管理態勢の適用範囲は、保険会社に限定され、代理店には適用されないという理解でよいか。」【金融庁の考え方】
「保険会社に限らず保険代理店等についても対象となりますが、規模や業務特性を踏まえ、態勢整備を求めることとなります。」
今回のサイバーリスクへの対応は（も）、規模に応じて代理店にも適用されることが明示されています。大規模な保険会社と小規模な保険代理店に、まったく同じシステムや管理態勢を一律に求めるものでもありません。代理店の規模、取扱業務、顧客との連絡方法、自社が管理するウェブサイトやシステムの有無などに応じた対応が求められます。
３ 顧客から頼まれたURL送付も、当然に許されるわけではない
顧客から「手続き画面を送ってほしい」と依頼された場合や、満期更新、事故受付、住所変更、保険金請求などの案内として、メールやSMSでURLを送る場面があります。
パブリックコメントでも、次のような質問が寄せられました。
【№２９】
「事故受付や契約手続き等※においてメールでのURL案内が不可欠な場面がある。こういったものは、改正案にある「法令に基づく義務を履行するために必要な場合など、その他の代替的手段を採り得ない場合」に該当するという理解でよろしいか。それとも、「顧客の財産を安全に管理することが求められる」インターネット取引には該当しないという理解か。※事例
①保険金支払手続きや問い合わせ対応で、保険金支払いの流れや一般的な事故・保険の知識が掲載されたURL が記載されたメールを送信する
②自動車保険の契約更新などの更新日に合わせた手続きご案内メールに、手続き入口ページのURLを記載する
③お客様の行動起点（例：WEBサイトでの申込み手続き完了直後に送るメールなど）で送信する
④顧客との通話中または通話直後に、顧客専用ページへのログインリンクのメール・SMSを送信する
【金融庁の考え方】
「原則として、メールやSMS（ショートメッセージサービス）内にパスワード入力を促すページのURLやログインリンクを記載すべきではないと考えます。」
さらに、RCSやLINEなどの企業公式アカウントについても、パブリックコメントへの回答では、URLやログインリンクを送って遷移させることを極力控え、代替手段を検討することが望ましいとされています（№６４）。したがって、「公式LINEから送っているから問題ない」「顧客から頼まれたから問題ない」と単純に判断することは避けるべきでしょう。
改正案はURLを含むすべての連絡を一律に禁止しているわけではありません。中心となるのは、パスワード入力を促すページやログイン画面への誘導です。
ただし、パブリックコメントへの回答には、ログインを必要としないURLについても、その内容によってはメールやSMSからの遷移を極力控え、代替手段を検討することが望ましいとの考え方が示されています。
４ 多要素認証は原則必須へ
監督指針改正案では、ログインや契約情報・口座情報の変更などの重要な操作について、パスキー等の「フィッシングに耐性のある多要素認証」の実装・必須化が示されました。
金融庁は、新規顧客だけでなく既存を含むすべての登録顧客が対象であり、顧客の希望だけを理由とした例外は原則認めないとの考えを示しています。
一方、システム改修等による段階的な導入は認めつつ、可能な限り早期の対応を求めています。
【№３４】
「フィッシングに耐性のある多要素認証（例：パスキーによる認証、PKI（公開鍵基盤）をベースとした認証）の実装及び必須化（デフォルトとして設定）」との記載について、以下の2点を確認したい。
①認証方式をパスキーのみに限定する趣旨ではなく、今後新たに登録する顧客に対して、パスキーの設定を必須とするという理解でよいか。
②全ての顧客においてパスキーへの移行が完了するまで、既存のID・パスワード方式にワンタイムパスワード等を組み合わせた多要素認証を引き続き併用するという理解でよいか。
【金融庁の考え方】
①パスキーには限りませんがフィッシングに耐性のある多要素認証の必須化を今後新たに登録する顧客のみならず、全ての登録顧客に対して求めるものです。
②システム開発等その他やむを得ない理由による場合に一定の期間を要する場合があることや顧客規模や取引チャネルに応じて段階的に導入していく場合があることは理解できますが、目下の状況を踏まえ、可能な限り早期に対応することが望まれます。
代理店としては、所属保険会社の導入時期や顧客への案内方法を確認することが重要です。
５ 高齢顧客への対応も重要
高齢者や代理店経由の取引では一律の必須化が難しいとの意見が出されました。これに対し金融庁は、顧客の希望だけを理由とする例外は原則認めず、フィッシングに耐性のある多要素認証を必須化することが適切との考えを示しています。もっとも、スマートフォンを持っていないなど、やむを得ない場合には、代替的な認証方法を提供することが想定されています。（Ⅱ－３－１３－２－２―２ （２）（注１））
【№３５】
「フィッシングに耐性のある多要素認証の実装及び必須化」について、「必須化（デフォルトとして設定）」という表現が、実質的な義務化と読める可能性があり、監督運用上の裁量の余地を明確にしていただきたい。 高齢者・法人顧客・代理店経由取引等、一律必須化が困難な利用者層への配慮や、既存基幹システムや外部委託先との連携制約により、短期対応が困難な会社への取り扱いについて、リスクに応じた段階的導入が許容されるのか、代替的な多要素認証の内容・許容期間を本文または注記で明確化していただくことが望ましいと考える。
【金融庁の考え方】
顧客要望による例外を認めることは、顧客がそのリスクを認識していたとしても不正アクセスの隙を与えることにつながりかねず、不正ログイン・不正取引防止の観点においては、原則としてフィッシングに耐性のある多要素認証を必須化することが適切と考えます。 導入につきましては、システム開発等その他やむを得ない理由による場合に一定の期間を要する場合があることや顧客規模や取引チャネルに応じて段階的に導入していく場合があることは理解できますが、目下の状況を踏まえ、可能な限り早期に対応することが望まれます。
代理店としては、高齢顧客への設定支援や分かりやすい説明がポイントです。
ただし、認証コードを聞き取ったり、顧客に代わってログインしたりするのではなく、所属保険会社が用意する代替手段やサポート方法を確認しておく必要があります。
執筆者プロフィール
兼コンプライアンス室長
2008年慶應義塾大学法科大学院卒業、2009年弁護士登録（東京弁護士会）。都内法律事務所・損害保険会社・銀行を経て、株式会社hokanに入社。平成26年保険業法改正時には、保険会社内で改正対応業務に従事した経験を持つ。「「誠実義務」が求める保険実務におけるDXの方向性（週刊金融財政事情 2024.9.17）」、「実務担当者のための今日から始める保険業法改正対応」（保険毎日新聞 2025.5.15～7.3）等を執筆。
hokan®︎の資料はこちら！