金融庁は、「保険会社向けの総合的な監督指針」を改正し、フィッシング詐欺、不正アクセス、不正取引等から顧客を保護するため、インターネットを利用した非対面取引に関する監督上の着眼点を強化しました。
今回の改正は保険会社だけの問題ではありません。保険代理店においても、顧客へのメール・SMS送信や、クラウドサービスによる書類共有など、日常的な実務を確認する必要があります。
今回の改正における重要ポイント
- 保険代理店も、規模や業務特性に応じた態勢整備の対象となります。
- メールやSMSへのURL記載が、すべて禁止されたわけではありません。
- パスワード入力ページやログイン画面へ直接誘導するURLは、原則として見直しが必要です。
保険代理店も今回の改正の対象となる
保険代理店にとって重要なのは、今回の対応が保険会社だけに限定されていないという点です。
金融庁は、パブリックコメントNo.9において、次のように回答しています。
保険会社に限らず保険代理店等についても対象となりますが、規模や業務特性を踏まえ、態勢整備を求めることとなります。
出典：金融庁「コメントの概要及びコメントに対する金融庁の考え方」No.9（3頁）
したがって、小規模な保険代理店であることや、自社で顧客用システムを開発していないことを理由に、今回の改正と無関係であると整理することは適切ではありません。
もっとも、すべての保険代理店に対して、保険会社と同一水準のシステム構築が一律に求められるものでもありません。自社の規模、顧客への案内方法、使用しているクラウドサービス等を踏まえ、リスクに応じた対応を検討することになります。
メールやSMSへのURL記載が、すべて禁止されたわけではない
今回の改正により、メールやSMSにURLを記載することが、すべて禁止されたわけではありません。
改正後の監督指針が、フィッシング詐欺対策として原則的に記載しないよう求めているのは、主に次のURLです。
- パスワード入力を促すページのURL
- ログインリンク
一方で、商品説明、会社概要、営業時間、事故時の連絡先、一般的なFAQなど、ログインやパスワード入力を必要としない一般公開ページのURLまで、一律に送付できなくなったものではありません。
出典：保険会社向けの総合的な監督指針Ⅱ－3－13－2－2－2（2）
保険会社のマイページURLを顧客へ送る場合
一般的な保険代理店が、独自の契約者用マイページを構築し、住所変更や契約変更等を受け付けているケースは多くありません。
保険代理店の実務で問題となるのは、顧客から次のような依頼を受け、保険会社が運営するマイページやログイン画面のURLを、代理店がメールやSMSで送るケースです。
「保険会社のマイページが分からない」
「ログイン画面のURLをメールで送ってほしい」
パブリックコメントNo.2では、顧客からの依頼に基づいてマイページ等のURLを送る運用について質問されています。
これに対して金融庁は、顧客から依頼された場合であっても、原則としてメールやSMS内に、パスワード入力を促すページのURLやログインリンクを記載すべきではないとの考え方を示しています。
出典：金融庁「コメントの概要及びコメントに対する金融庁の考え方」No.2（1頁）
顧客から依頼されたこと、特定の顧客だけに送ること、保険会社の正規URLであることだけを理由に、ログインリンクをそのまま送ってよいとは整理できません。
保険代理店としては、所属保険会社が定める案内方法を確認したうえで、次のような対応を検討する必要があります。
- 保険会社の公式ホームページからマイページへ進む手順を案内する
- 正規の公式サイトをブックマークしてもらう
- 保険会社の公式アプリからアクセスしてもらう
- 所属保険会社が指定する案内方法に従う
クラウドストレージの「URL＋パスワード」方式も見直し対象
保険代理店では、見積書、設計書その他の顧客書類を安全に送るため、クラウドストレージやファイル転送サービスを利用することがあります。
例えば、次のような運用です。
- 顧客にダウンロード用URLをメールで送る
- 顧客がURLを開く
- 共有パスワードを入力する
- 見積書や設計書をダウンロードする
パブリックコメントNo.6では、顧客のIDやアカウントとひも付かず、パスワードだけを入力するファイル転送サービスについて質問されています。
質問では、個人情報保護のために利用されているセキュアなファイル転送サービスも例として挙げられていますが、金融庁は、この場合についても、原則としてメールやSMS内にパスワード入力を促すページのURLやログインリンクを記載すべきではないと回答しています。
出典：金融庁「コメントの概要及びコメントに対する金融庁の考え方」No.6（2～3頁）
URLを開いた後に共有パスワードを入力して、見積書や設計書をダウンロードする運用は、優先的に確認・見直しを行う必要があります。
ただし、Box、SharePoint、OneDrive等のサービス自体が、一律に利用できなくなったわけではありません。同じサービスでも、共有方法や認証方式が異なるため、実際の設定と運用を確認する必要があります。
確認すべき主な事項
- メール本文にどのようなURLを記載しているか
- リンク先でログインやパスワード入力を求めているか
- URLが第三者に転送された場合でも閲覧できるか
- アクセス期限や閲覧権限を設定しているか
- 誤送信時にアクセスを停止できるか
保険代理店が確認すべき5つの実務対応
1．現在送付しているURLを洗い出す
保険会社のマイページ、手続きページ、クラウドストレージ等について、メールやSMSで送付しているURLを確認します。
2．リンク先の認証方法を確認する
URLを開いた後に、ログイン、パスワード入力その他の認証を求める仕組みになっていないかを確認します。
3．所属保険会社のルールを確認する
保険会社のマイページや手続きページの案内方法は、代理店が独自に判断せず、所属保険会社の指示やルールを確認します。
4．クラウドサービスの共有方法を見直す
認証方法、アクセス対象者、閲覧期限、URL転送時のリスク、誤送信時の停止方法等を確認します。
5．社内ルールを定め、役職員へ周知する
顧客からURL送付を依頼された場合の対応、送付できるURL、送付を控えるURL、クラウドサービスの利用方法等を明確にします。
まとめ
今回の監督指針改正により、保険代理店についても、規模や業務特性に応じたサイバーセキュリティ管理態勢の整備が求められることが明確になりました。
特に確認が必要なのは、次のような運用です。
- 保険会社のマイページやログイン画面のURLをメール・SMSで送っている
- 顧客から依頼された場合にログインリンクを送っている
- クラウドストレージのURLからパスワードを入力させている
- 見積書や設計書を外部のファイル共有サービスで送っている
一方、一般的な商品説明やFAQ等のURLまで、一律に送付できなくなったわけではありません。
保険代理店には、単にURLを送っているかだけではなく、リンク先で顧客に何を入力させるのか、どのような情報を取り扱うのか、所属保険会社やサービス提供事業者がどのような安全対策を講じているのかを確認し、自社の業務特性に応じたルールを整備することが求められます。
「これまで事故がなかったから問題ない」ではなく、顧客がフィッシング詐欺や不正アクセス等の被害に遭うリスクを、どのように低減するかという視点で運用を見直すことが重要です。
主な参照資料
・金融庁「コメントの概要及びコメントに対する金融庁の考え方」No.2、No.6、No.9
・「保険会社向けの総合的な監督指針」Ⅱ－3－13－2－2－2