金融機関がクラウドストレージを選定する際は、FISC安全対策基準を参照しつつ、セキュリティだけでなく可用性や委託先管理、監督当局への対応まで含めて確認する必要があります。本記事では、RFIで確認しやすいように「管理体制」「技術的対策」「設備・運用（可用性・レジリエンス）」「委託先管理」の4観点に再整理して解説します。
Contents
FISC安全対策基準とは
FISC（金融情報システムセンター）が策定する「金融機関等コンピュータシステムの安全対策基準・解説書」は、金融機関のシステム安全対策の参照基準として広く用いられています。現行版は第14版で、システム監査基準やコンティンジェンシープラン策定手引書等とあわせてFISCガイドラインサーチに収録されています
出典：FISC
評価の4つの観点：管理・技術・設備・委託先
本記事では、FISC安全対策基準を参照したクラウドストレージ選定のうち、RFIで確認しやすい項目を「管理体制」「技術的対策」「設備・運用（可用性・レジリエンス）」「委託先管理」の4観点に再整理します。※FISC安全対策基準そのものの分類を示すものではありません。
1. 管理体制
FISC安全対策基準は、クラウド利用に関する管理基準策定の際に参照される規格の一つとして位置づけられています。日本銀行の公表資料では、金融機関内部の管理基準の策定にあたり「セキュリティ規格等に則した管理基準を策定すること」「セキュリティ規格の改訂に合わせて管理基準を適時適切に見直すこと」が取組事例として挙げられています。
出典：日本銀行
2. 技術的対策
暗号化、アクセス制御、認証強化など、システムへの不正アクセスやデータ漏洩を防ぐ技術的対策の実装状況を確認します。
3. 設備・運用（可用性・レジリエンス）
日本銀行の公表資料は、クラウド利用の検討項目として「可用性管理」「レジリエンス」を独立した章で扱っています。RFIでは、事業者がシステム性能の確保や障害時の復旧体制についてどのような説明資料を提供できるかを確認します。なお、個別の可用性数値やBCP体制の詳細は事業者への個別確認が必要です。
4. 委託先管理
金融機関特有の観点として、クラウド事業者自身の委託先・再委託先の管理状況まで確認する必要があります。詳細は次章で整理します。
委託先管理で確認すべき質問項目（RFIチェックリスト）
日本銀行の公表資料は、クラウド事業者の委託先管理について以下の取組事例を紹介しています。
- クラウド事業者のSOC2レポート、監査報告書、サービス・セキュリティに関する報告書等を定期的に確認し、稼働実績・セキュリティ管理・運用管理・委託先の統制状況を把握しているか
- ハードウェアの再利用や廃棄時のデータ消去の実施状況をSOC2レポート等で確認できるか
- クラウド事業者のリスク管理体制を実地で確認できる体制（監査権の確保、または詳細な報告書の提供）があるか
- 金融庁検査や日銀考査等、監督当局からの協力要請に事業者が対応できる体制か
- クラウド事業者の再委託先の選定基準・条件・再委託するサービスの範囲を確認できるか
- 再委託先のリストを入手し、不適切な再委託先がないか検証できるか
また、同資料はFISC安全対策基準が定める「統制対象クラウド拠点」（クラウド事業者への統制上必要となるデータへのアクセスが可能な情報処理拠点等で、本社・営業所・データセンター・オペレーションセンター等が候補となる拠点）を把握し、当該拠点に対する監査権を確保するか、代替として詳細な報告書を求められるようにすることを取組事例として紹介しています。RFIでは、事業者にこの拠点情報の開示可否と監査権・報告書提供の可否を確認する項目を含めることが有効です。
証跡・ログで確認すべきポイント
委託先の運用状況を継続的に把握する手段として、操作ログ・証跡機能の有無と保存期間はRFIの確認項目に含めておくべき点です。事業者によって保存期間や証跡の粒度（誰が・いつ・何をしたか）は異なるため、必要な保存年数を満たしているかを個別に確認してください。
よくある質問
Q. FISC安全対策基準の最新版はどれですか。
A. 現行版は第14版です。2026年3月25日にPDF版が公表され、同年3月31日にFISCガイドラインサーチへ収録されています。
出典：FISC
Q. クラウド事業者にFISC対応状況を確認する際、何の資料を求めればよいですか。
A. 日本銀行の公表資料で紹介されている取組事例では、SOC2レポートや監査報告書、サービス・セキュリティに関する報告書等の定期的な確認が挙げられています。
Q. クラウド事業者の再委託先まで確認する必要がありますか。
A. 日本銀行の公表資料の取組事例では、再委託先の選定基準やリストの入手、SOC2レポート等による管理状況の確認が紹介されています。委託先管理の一環として確認項目に含めることが有効です。
まとめ
FISC安全対策基準を参照してクラウドサービスを選定する際は、セキュリティ、可用性・レジリエンス、委託先管理などを確認するとともに、利用するサービス形態に応じて評価項目を整理することが重要です。IaaSとSaaSでは利用企業とクラウド事業者が管理する範囲が異なるため、すべての確認項目を同じように評価するのではなく、自社が管理すべき事項と事業者に確認すべき事項を切り分ける必要があります。
SaaS型のオンラインストレージを選定する場合、データセンター設備やインフラの運用そのものを利用企業が管理するのではなく、事業者がどのようなセキュリティ対策や可用性対策、委託先管理を行っているかを、公開資料やRFIなどを通じて確認します。本記事で整理した観点はRFI作成のたたき台として活用し、最終的には自社の業務・システムの重要度と第14版本文に照らして確認項目を補完してください。
特に、統制対象クラウド拠点、監査権、再委託先、監督当局への協力対応など、自社だけでは確認できない事項については、事業者への確認が必要です。Fleekdriveに関するセキュリティ資料の請求や個別の確認事項については、お問い合わせください。
