What Drives Cyber Losses at U.S. Banks? Potential Statistical Markers
新たな個別の銀行レベルのデータを用いた本研究は、米国の銀行におけるサイバー損失率が銀行規模とU字型の関係にあり、主に個別的な要因によって駆動されているものの、規模を制御した場合、より収益性が高く効率的な銀行は損失率が低くなる傾向にあることを明らかにしている。
原論文は CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) でライセンスされています。 これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。 免責事項の全文を読む
すべての銀行は、単にお金のためだけでなく、現代の経済を動かし続ける膨大なデータの流れを保管するために、デジタルな金庫を保有しています。これらの金庫を守ることは、サイバー攻撃に対する絶え間ない戦いです。その攻撃は、軽微な不具合から、金融システムの安定を脅かす大規模な窃盗まで多岐にわたります。長年、規制当局や銀行のリーダーたちは、誰が最も脆弱であるのかという懸念を抱いてきました。それは、複雑で広大なネットワークを持つ巨大な金融機関でしょうか、それとも強固な防御を築くためのリソースが乏しい小規模なコミュニティ・バンクでしょうか。この問いに答えるために、研究者たちは、銀行が典型的な年にサイバー脅威によって失う可能性のある金額の平均値を測定する方法を必要としています。「平均年間損失」として知られるこの数値は、リスクを理解するための基準値として機能し、当局がどの程度の保険を購入すべきか、あるいはセキュリティにいくら支出すべきかを判断する助けとなります。しかし、最近まで、これらの潜在的な損失が銀行の規模の拡大や縮小に伴ってどのように変化するかについての明確な全体像はなく、最大の危険が真にどこにあるのかという理解に空白が残されていました。
ダラス連邦準備銀行の研究チームは、詳細な新しいサイバーリスクの推計値と、数千の米国銀行の標準的な財務データを組み合わせることで、この空白を埋めるべく取り組みました。彼らは、データの窃盗やランサムウェアによる要求から、サービスの停止に至るまで、数万件の潜在的なサイバー事案をシミュレートする高度なモデリング・プラットフォームを使用しました。このシミュレーションによる損失データを、現実世界の銀行のパフォーマンス数値とともに統計モデルに投入することで、彼らは何がこれらの損失を増減させる要因となっているのかを特定しようと試みました。彼らの目標は、推測を超えて、サイバーイベントによる財務的損失のリスクが高い、あるいは低いことを示す実際の統計的指標を見つけ出すことでした。
研究者たちは、規模が大きくなれば単純にリスクが高まるという一般的な仮定を覆すパターンを発見しました。リスクが増加または減少していく直線的な関係ではなく、データは明確な「U字型」を明らかにしました。サイバー攻撃による金銭的損失のリスクは、最も規模の小さい銀行と最も規模の大きい銀行において最も高く、中規模の金融機関で最も低くなります。この発見は、銀行の規模が大きくなるにつれてサイバーリスクが単に減少するという考えに異を唱えるものです。最も小さな銀行は、強固なセキュリティシステムに投資するための十分な資金力に欠けることが多く、格好の標的となります。逆に、最大の銀行は、莫大なセキュリティ予算を投じているにもかかわらず、あまりにも複雑で価値の高いデータを保持しているため、攻撃者にとって非常に魅力的で報酬の大きいターゲットであり続けているのです。中規模の銀行は、巨大な機関を脆弱にするような圧倒的な複雑さを伴わずに、効果的に自らを防御するための十分なリソースを備えているという、「スイートスポット」に位置しているようです。
この曲線の形状を超えて、本研究は、銀行の規模がサイバー損失率を予測する上で最も強力な予測因子であることを明らかにしました。銀行の規模を考慮に入れると、他の標準的な財務指標は、なぜある銀行が別の銀行よりも多くの損失を出すのかを説明する力が驚くほど低いことが分かりました。これは、サイバーリスクには、貸借対照表（バランスシート）だけを見て容易に予測できるものではない、各機関に固有の大きな要素が含まれていることを示唆しています。しかし、影響を与える要因の中でも、より収益性が高く効率的な銀行は、損失率が低い傾向にあることが研究者によって判明しました。これは、健全な財務状態と優れた経営体制を持つ銀行は、損失を防ぐためのセキュリティ対策に投資する立場にあるか、あるいは、その業務上の規律がデジタル防御にも及んでいる可能性を示唆しています。
本研究は2023年のデータに基づき、稀に起こる壊滅的な事象（システム全体を揺るがしかねないもの）ではなく、定期的に発生する頻度の高い小規模な事象である「アトリショナル（消耗的な）」損失に焦点を当てています。これらの数値は、銀行の収益のわずか1ベーシスポイント強を平均とする小さなものですが、そこから明らかになるパターンは規制当局にとって重要です。これらの知見は、サイバーリスクに対する「一律の（ワンサイズ・フィッツ・オール）」アプローチでは不十分であることを示唆しています。つまり、監督官は、小規模なコミュニティ・バンクが直面している脅威は、グローバルな巨大企業が直面しているものとは根本的に異なること、そして中間領域が驚くべき安全性を提供していることを認識しなければなりません。人工知能や新しい攻撃手法が進化する中で、これらの基準となる測定値は、金融システムが絶え間ないデジタル脅威に対してどのように持ちこたえられるかを理解するために不可欠であり続けるでしょう。
自分の分野の論文に埋もれていませんか？
研究キーワードに一致する最新の論文のダイジェストを毎日受け取りましょう——技術要約付き、あなたの言語で。