GCashのチーフリスクオフィサーであるIngrid Rose Ann Beroña氏によると、サイバー脅威がより高度で破壊的になるにつれ、それに対抗するためには協調的なリーダーシップと明確なコミュニケーションが求められている。

Globe Fintech Innovations Inc.（Mynt）が運営するGCashは、フィリピン最大のモバイルウォレットプラットフォームであり、年間数十億件の取引を処理し、数千万のユーザーにサービスを提供している。バングコ・セントラル・ng・ピリピナス（フィリピン中央銀行）が小売取引の大半のデジタル化を推進していることなども背景に、国内でのデジタル決済の普及が加速する中、GCashのようなプラットフォームの安全性は金融システム全体にとってますます重要になっている。

サミットの第2回パネルディスカッションで発言したBeroña氏は、組織がサイバー危機にどう備え、どう対応すべきかについて詳述した。現在の役職において、同氏はビジネス保証マネジメント、事業継続、組織のレジリエンスを含むGCashの企業全体のリスクガバナンスフレームワークを統括している。

3本の柱からなるサイバーセキュリティフレームワーク

Beroña氏は、GCashがサイバーセキュリティ戦略の基盤とする3つの重要な柱として、不正防止のための技術投資、詐欺に対する第一線の防御としての顧客教育、そして官民両部門にまたがるパートナーシップの構築を挙げた。

最初の柱は、技術を活用してセキュリティ統制を強化し、進化するサイバー脅威に積極的に対抗することである。「私たちは、コンシューマーがアプリ内で安全に利用できるよう多くのセキュリティ統制を構築してきました。信頼とセキュリティが私たちの最優先事項だからです」と同氏は述べた。

これらの統制の1つがGCash DoubleSafeであり、これはセルフィースキャンを用いてユーザーアカウントを不正アクセスから保護するセキュリティ機能である。モバイルウォレットユーザーを標的とするソーシャルエンジニアリング攻撃が増加し続ける中、このような生体認証による保護は東南アジアのフィンテックプラットフォーム全体でますます一般的になっている。しかし、Beroña氏は、サイバー犯罪者が人間の行動を巧みに利用することに成功した場合、どんなに高度な技術でもユーザーを完全に守ることはできないと強調した。

「システム、技術、アプリにどれほど多くの鍵をかけたとしても、その鍵を渡してしまえば、詐欺師は依然として侵入できます。GCashや他の金融機関がMPINやOTPを決して求めない理由の1つはここにあります」と同氏は述べた。

3つ目の柱は、企業、規制当局、法執行機関、技術パートナー間の協力を重視するものである。Beroña氏は、GCashが今年前半にサイバー犯罪調査調整センター（CICC）と合同で実施した違法ギャンブルの取り締まりを挙げ、この作戦で当該活動に関与した3,200のマーチャントが閉鎖されたと述べた。

「私たちはみな、共にこの問題に直面しています。民間部門、政府、さらには外部パートナーが連携して詐欺やサイバー攻撃と戦い、デジタル空間における誰もが安全であることを確保する必要があります」と同氏は主張した。

危機対応：迅速に、明確に、簡潔に

脅威の防止に加え、Beroña氏はサイバーインシデントを含むあらゆる危機に対応する際の組織の3つの指導原則として、迅速であること、明確であること、簡潔であることを挙げた。これらの原則は、迅速な封じ込めと透明性のあるステークホルダー・コミュニケーションを優先する、広く認知されたサイバーセキュリティ・インシデント対応フレームワークと一致している。

「迅速であることとは、必ずしも問題を即座に解決することを意味しません。インシデントの存在を迅速に認識することを意味します。識別と認識こそが、危機管理指令センターまたは危機管理プログラムを起動するボタンだからです」と同氏は説明した。

2つ目の原則は、検証済みの事実と依然として調査中の情報を区別することで明確にコミュニケーションを行うことである。「人々は事実が何であるかを理解し、事実とまだ調査中のものを区別できなければなりません」と同氏は述べ、透明性により組織は顧客、規制当局、メディア、その他のステークホルダーと責任を持ってコミュニケーションを行えるようになると指摘した。

「3つ目の原則は、簡潔であり、行動に向けて取り組むことです。人々は自分が何をすべきか、どのように責任を遂行すべきか、問題が発生している間にどのように適切にエスカレートすべきかを理解する必要があります」とBeroña氏は続けた。

危機対応司令官の役割

GCashにおいて、危機対応司令官の役割はこれらと同じ3つの価値に基づいている。Beroña氏によれば、この人物は技術的調査自体を主導するのではなく、組織の全体的な対応を調整する任務を担う。この調整と技術的調査の分離は、運用上の是正と戦略的意思決定を区別する確立されたインシデント対応の実践を反映している。

「危機対応司令官は、第一に機敏な意思決定能力、第二に非常に優れたコミュニケーション能力、第三に非常に優れた調整能力を持つ経営幹部であるべきです」と同氏は述べた。

危機対応司令官は、インシデント対応チーム、経営陣、コーポレート・コミュニケーション間の調整を監督し、意思決定者が正確な情報を受け取り、確立された対応手順が遵守されることを確保すると、同氏は付け加えた。

Beroña氏はまた、推測や噂が公式コミュニケーションに取って代わる前にインシデントを認識することの重要性も強調した。「インシデントを認識することは非常に重要であり、タイミングも同様に重要です」と同氏は述べた。「もしコンシューマーがすでに問題の影響を経験しており、噂が広まっているなら、それは認識が遅れていることを意味します。」

組織は調査が完了するまで公にコミュニケーションを行うのを待つべきではないと、同氏は主張した。「コンシューマーやその他のステークホルダーに対して外部に伝える際、完全なストーリーや説明は必要ありません。『問題は確かに存在しますが、心配する必要はありません。私たちはすでに対応しており、何らかの措置を講じている』と言うことに何の問題もありません」とBeroña氏は述べた。

— Jomarc Angelo M. Corpuz