NBE、INSA、統合サイバーセキュリティ、金融詐欺部門を設立へ
政府は、エチオピアの急速に成長するデジタル決済システムの脆弱性を修正するため、中央銀行と情報ネットワークセキュリティ局（INSA）に対し、サイバーセキュリティと不正行為の共同部門を新たに設立するよう指示した。
国家的な金融サイバーセキュリティの枠組みも策定中であると伝えられており、エチオピア国立銀行（NBE）とINSAは来年中に実現する予定だ。
今週発表された第 2 回国家デジタル決済戦略では、この国のサイバーセキュリティの課題が中心的な役割を果たしました。
レポーターマガジンより
「エチオピアのデジタル決済エコシステムの主要な脆弱性は、連携したセクター全体のサイバーセキュリティと脅威インテリジェンスのメカニズムが欠如していることです。現在、フィッシングキャンペーン、ランサムウェア、マルウェア、分散型サービス拒否（DDoS）攻撃、インサイダー脅威、高度な詐欺類型などのサイバーインシデントに関する情報は、個々の機関内で断片化されたままです。このサイロ化されたアプローチにより集団防御が妨げられ、エコシステムは同じ脆弱性の繰り返し悪用にさらされることになります。」銀行、MFI、PII、PSO、通信事業者」と文書には書かれています。
それは、NBE内に「共有国家サイバーセキュリティおよび脅威インテリジェンスシステム」を確立する計画を概説しており、当局者はリアルタイムの情報交換のための安全な集中ハブとして機能することを構想している。
この文書では、統一されたセクター固有のサイバーセキュリティフレームワークが存在しないと、金融エコシステム全体で一貫性のないセキュリティ基準が生じ、金融機関がますます高度化する脅威の状況に対して脆弱なままになっていると指摘しています。
レポーターマガジンより
同戦略は、戦略の最高統治機関として新たな国家決済システム評議会を設立し、その実施に対する幹部レベルの支援と権限を提供することを提案している。文書によると、評議会はNBE知事が議長を務め、エチオピア銀行協会などの金融ロビー団体の代表も含まれる。
同報告書では、サイバー脅威と金融詐欺の巧妙化と量の増大に対処するためには、NBE 内にサイバーセキュリティと詐欺の専門部門を設立することが不可欠であると述べています。
「専任の監督機関がなければ、これらの複雑なリスクを管理する責任が細分化され、国の金融システムに対する統一的かつ積極的なセキュリティ体制の構築が妨げられる可能性がある」と同書には書かれている。
この文書の著者らは、この総局がINSAや金融情報局（FIS）などの治安機関と連携して、金融セクターのリスク監視とインシデント対応の中心となると予想している。
同文書では、現時点では、不正な取引が異なる金融サービスプロバイダー間で行われる場合、効果的な対応を調整するのが複雑で時間がかかると指摘している。
「個々の機関は完全なエンドツーエンドのトランザクションチェーンを把握できておらず、消費者の解決が遅れる可能性がある。全国的な交換事業者に共有のサイバーセキュリティと詐欺デスクを設置することで、この運用上のギャップに対処する」と書かれている。
2か月前、全国的なスイッチオペレータであるEthSwitchは、個人間（P2P）取引が初めてATM現金引き出しを上回ったと発表した。
同社は、アカウント間およびウォレットからアカウントへの送金を含む1億2,800万件以上の相互運用可能なP2Pトランザクションを処理したと報告し、その額は年間で約5,780億ブルに相当し、エチオピアのデジタル決済の急速な導入を浮き彫りにしました。
「決済システムの中心に位置するスイッチは、相互運用可能なトランザクションについて独自の視点を持っています。したがって、このレベルの専用デスクは、インシデント管理の中立的かつ中央の調整ポイントとして機能できます。」と戦略文書には記載されています。
これは国家金融セクターサイバーセキュリティフレームワークを要求しており、当局はこれによって既存の指令が国際的なベストプラクティスに沿った単一のリスクベースの基準に調和されることを期待している。
同文書では、エチオピアで確立された国家公開鍵基盤（PKI）（ネットワーク上の安全な通信を保証する暗号）は国全体に基礎的なセキュリティ層を提供しているものの、金融機関の大部分はまだ統合されていないと指摘している。
この戦略では、INSAに対し、認可されたすべての銀行、MFI、PII、PSOをオンボーディングし、エチオピアの国家PKIをコアバンキングシステム、決済ゲートウェイ、顧客チャネルに組み込み、そのデジタル証明書を使用してすべての銀行間メッセージの署名と検証、支払い指示の認証、否認防止の提供、完全リモートの電子署名オンボーディングの実現を義務付けている。
この戦略には、国民IDプログラムを含むさまざまな機関で構成される国家デジタルインフラ作業部会が「決済と他のデジタル公共インフラの間の相互運用性を調整し迅速化するとともに、データ保護改革を調整する」計画も含まれている。
この文書では、詐欺事件における金融機関と消費者の責任と過失の所在が明確にされていないため、デジタル決済詐欺による損失の負担がほぼすべて消費者に課せられることが多いと詳述している。
この戦略によると、この明確な補償メカニズムの欠如は、金融機関がそのような不正行為を防ぐために必要な高度なセキュリティシステムに投資するインセンティブを弱め、デジタルエコシステムにおける信頼を構築する上での大きな障壁となっているという。
当局は、不正行為を防止する上での消費者と金融機関の責任と責任を明確にするのに役立つことを期待して、認可されたプッシュ決済詐欺に対する指令を施行する予定だ。
「そのような政策は、金融機関のスタッフ、代理店、またはシステムに詐欺を引き起こしたり詐欺を適切に防止できなかった場合に、消費者への払い戻しを義務付けることになる。重要なことは、消費者が合理的な注意を払って行動し、金融機関に過失があるとみなされる場合に限り、これにより被害者への払い戻しの責任が変わり、送金側と受取側の金融機関の両方が損失の費用を負担することになる」と文書には書かれている。
この戦略では、デジタル金融サービス専用のセクションを含めるために指令を修正する計画の概要が示されています。
計画の多くは、Fayda IDを新規および既存のすべての金融口座の主要な必須識別子として指定することにかかっており、当局はこれによってエコシステム全体の基礎となる「信頼のアンカー」が構築され、詐欺の範囲が縮小すると予想している。
この戦略はまた、国境を越えた電子商取引とデジタル決済の流れを解放するために、アフリカ大陸自由貿易協定（AfCFTA）デジタル貿易プロトコルの批准と完全実施までの期限を2年と設定している。
#断片化したサイバーセキュリティアプローチがエチオピアのデジタル決済システムを脅かす