システム監査技術者 2025年 午後1 問01

　A銀行は、以前から個人預金者（以下、顧客という）向けにインターネットバンキングによるサービス（以下、IBサービスという）として、口座残高、入出金明細などの照会サービス、及び振込、振込状況確認などの決済サービスを提供している。数年前からオープンAPIを利用してIBサービスの利便性向上を図っており、顧客はフィンテック事業者が提供するスマートフォンやタブレット向けのアプリケーションソフトウェア（以下、アプリという）からIBサービスを利用できるようになった。 　 〔オープンAPIを利用したIBサービスの概要〕 　A銀行がAPIを公開し、フィンテック事業者が提供する通帳、家計簿、決済などのアプリが、顧客の操作に応じてA銀行のIBサービスにオープンAPI経由でアクセスして結果を顧客に返す。当該アプリによるIBサービスへのアクセスは、A銀行とオープンAPI利用契約を締結したフィンテック事業者に対して、A銀行がアクセストークンを発行することによって許可される。アクセストークンは、A銀行のIBサービス利用に係る顧客との同意に基づく許可証であり、これによってフィンテック事業者のアプリがアクセスできるIBサービスの範囲が決定される。 　 〔金融オープン・イノベーションの推進〕 　現在、インターネット経由で銀行口座の情報を取り扱うサービスを提供するフィンテック事業者には、電子決済などの代行業者（以下、電代業者という）としての登録が義務付けられている。また、銀行には努力義務として、オープンAPIを活用してセキュリティを確保しつつ電代業者との協業や連携を促進するオープンAPI態勢の整備が求められている。 　 〔A銀行のオープンAPI態勢〕 　A銀行のIBサービスに係るオープンAPI態勢は、次の各機能から構成される。 (1) IBサービスの企画・改善 　リテール業務部は、オープンAPI経由で顧客に提供するIBサービスを企画する。また、電代業者からの要望などを参考に、新規IBサービスの企画や現行IBサービスの改善を検討する。企画及び改善の内容は、IBサービス要件定義書にまとめられる。オープンAPIに係る新規公開、仕様変更及び廃止の通知は、実施の1か月前までにA銀行のホームページに掲載されるとともに、オープンAPI利用契約を締結している電代業者に送られる。 (2) オープンAPIの設計・開発・保守 　情報システム部は、IBサービス要件定義書を基にオープンAPI仕様書を作成し、オープンAPIの開発及び保守を行う。当該仕様書は、処理の詳細、処理を制御するパラメータと指定可能値、接続方法などを記載したものであり、オープンAPIの仕様変更やバグ修正に伴って改訂される。 (3) オープンAPIの運用 　情報システム部は、オープンAPI運用手順書に沿って、新規公開及び廃止を含めて運用を行う。運用ではオープンAPIが稼働するサーバ（以下、APIサーバという）の負荷状況、接続遮断などの各種イベントの発生状況、オープンAPI経由のアクセス状況が監視される。また、その結果は月次でオープンAPI運用報告書にまとめられ、情報システム部内で回付される。 (4) オープンAPIの接続審査 　情報システム部は、公益財団法人金融情報システムセンター発行の“API接続チェックリスト”を基に、A銀行独自のAPI接続チェックリスト（以下、チェックリストという）を作成している。公開しているAPIに対する電代業者からのオープンAPI利用申請があった場合には、チェックリストを用いて、電代業者における情報セキュリティ対策の状況、認識している課題、課題への対応計画などについて審査を行う。そして、顧客情報の安全な提供が可能であることを確認した上でオープンAPI利用契約を締結する。 　 〔システム監査の実施指示〕 　内部監査部長は、オープンAPI利用契約を締結する電代業者が増加してきたことから、オープンAPI態勢の各機能が有効に働かない場合に電代業者及び顧客に及ぼす影響を懸念した。そして、オープンAPI態勢の各機能の状況について監査を行うようシステム監査チームに指示した。 　 〔予備調査の結果〕 　システム監査チームは、オープンAPI態勢の各機能を担うリテール業務部及び情報システム部に対して予備調査を実施し、把握した状況を表1にまとめた。

〔本調査の結果〕 　システム監査チームは、本調査を実施し、指摘事項及び改善提案を次のようにまとめた。 (1) オープンAPI運用報告書が情報システム部内での回付にとどまっており、オープンAPI態勢において有効利用されていない。当該報告書にはオープンAPI経由のアクセス状況が記載されているので、他に有効利用できる余地がある。 (2) オープンAPI態勢における電代業者との協業や連携の促進の観点からは、セキュリティの確保だけでなく、電代業者におけるアプリ管理への影響を抑えるために、次の事項を考慮する必要がある。 　(a) オープンAPIの仕様変更が頻繁に発生しないような設計にすること 　(b) オープンAPIの仕様変更が行われた場合、それによって電代業者がIBサービスを利用できなくなることを防ぐこと (3) APIレート制限値を超えた場合には、エラーメッセージがアプリに返され、オープンAPIへの接続が一時的に遮断されるが、APIサーバの能力に余裕がある状態でも接続が遮断される事象が発生している。DDoSなどのサイバー攻撃や不正アクセスの検知、及びそれに伴う接続遮断の形跡がないので、APIサーバで設定されているAPIレート制限値が適切でない可能性がある。不要な接続遮断によるIBサービス提供の中断を避けるために、APIレート制限値のチューニングが必要である。 (4) チェックリストによる審査に時間を要しており、契約の可否判断が遅れる傾向にあるので、IBサービスの利用開始に関して、直接的には電代業者、間接的には顧客に影響を及ぼすおそれがある。チェックリストの各確認項目を同等に取り扱うのではなく、アクセストークンに基づくリスクベースアプローチによって、審査の効率向上を図る必要がある。