サービスを止めることになったら？お客様への連絡とBCPの備えをやさしく解説

金融庁と日本銀行が2026年5月に公表した要請には、攻撃を防ぐための対策だけでなく、防ぎきれなかったときの備えについても書かれています。「対策を徹底しても防げないことがある」という前提に立っている点が特徴です。この記事では、なぜその前提が置かれているのか、そしてお客様への影響をどう考えておくのかを、なるべく専門用語を使わずに整理します。

この記事は金融機関向けの要請をもとにしていますが、その背景にあるフロンティアAIとは何かという前提から知りたい方は、先にこちらの解説記事をご覧ください。
「フロンティアAI」とは？なぜ今ルールづくりが進んでいるのかをやさしく解説

なぜ「守りきれないこともある」という前提なのか

要請の文書のなかで、少し意外に感じられるかもしれない部分があります。対策を徹底してもサイバー攻撃を防げない可能性を前提にしておくこと、そして、優先して守ると決めたサービスを自分たちの判断で止めざるを得ない場合についても、経営トップが選択肢としてあらかじめ考えておくべきだとされている点です。

この前提が置かれているのは、フロンティアAIによって弱点の発見から攻撃までの時間が大幅に短くなり得ると想定されているためです。修理が間に合わないうちに攻撃が来る場面が増えるなら、「完全に防ぐ」ことを前提にした計画だけでは足りません。防げなかったときにどう動くかまで含めて考えておく必要がある、という発想です。

サービスを止めるという判断は、本来なら避けたいものです。ただ、攻撃を受けたまま動かし続けるほうが被害が大きくなる場面もあります。台風のときに電車を計画運休するのと似た考え方かもしれません。止めること自体が求められているのではなく、止めるという選択肢を頭に入れておくこと、そのときの判断のしかたを先に決めておくことが求められています。

この記事で出てくる言葉

• BCP：事業継続計画のこと。災害やトラブルで業務が止まったとき、どう業務を続けるかを決めておく計画
• 能動的な停止：被害を広げないために、自分たちの判断でサービスを止めること
• 金融ISAC：金融機関どうしでサイバー攻撃の情報を共有し合う組織
• 重要インフラ：電力、金融、鉄道、医療など、止まると社会に大きな影響が出る事業のこと

点検しておきたい4つのこと

では具体的に何を見ておけばよいのか。要請の文書に挙げられている項目を整理すると、次の4つになります。

• BCP（事業継続計画）が、今の状況でもちゃんと使えるものになっているか
• お客様や取引先への連絡のしかたが、十分に決まっているか
• 緊急のときに社内で連絡が回る仕組みができているか
• どういう状況になったらサービスを止めるのか、その判断のしかたと手順が社内で決まっているか

文書では、これらは自社で運用しているシステムだけの話ではなく、複数の組織で共同運営しているシステムや、クラウドで提供されているシステムについても同じだとされています。自分たちで動かしていないシステムだから対象外、とはならないということですね。

お客様への連絡は、平時のうちに決めておく

実際にトラブルが起きてから連絡方法を考え始めると、どうしても時間がかかります。誰がどのタイミングで、どんな手段でお知らせするのか。復旧の見通しはどう伝えるのか。こうしたことが決まっていないと、対応が後手に回ってしまいます。

要請の文書でも、お客様など関係する方々への対応手順が十分かどうかを点検するよう求められています。連絡の文面や手段について細かい指定はないため、それぞれの組織の実情に合わせて整理していく前提になっていると読めます。逆にいえば、自社で決めておかないと誰も決めてくれない部分ということです。

急いで直すと、別の不具合が起きることもある

もうひとつ、押さえておきたい話があります。要請の文書では、修正プログラムを急いで当てるために事前の動作テストを減らすことも検討してよい、とされています。一方で、テストを減らせばシステムの不具合が起きやすくなる可能性があることを、経営層が理解しておくべきだとも書かれています。

つまり「急いで直す」と「安定して動かす」は、ある場面では両立しにくいということです。どちらを優先するかという判断は、現場だけで抱えるには重すぎます。文書が経営層の関わりを繰り返し求めているのは、こうした事情もあるのだろうと読み取れます。

自社が使っている外部サービスにも目を向ける

要請の文書では、自社が作って管理しているシステムだけでなく、外部の会社が提供しているソフトウェアやサービスで深刻な弱点が見つかった場合にも備えておくべきとされています。その場合、そのサービスの利用を止めることになる可能性があるためです。

会員向けのフォームやポータルなど、外部のサービスを組み合わせて動かしている業務は少なくありません。「どこで何を使っているか」を把握しておくことが、いざというときの影響範囲の見極めにつながります。

外部との情報連携（金融ISACなど）

要請の文書では、フロンティアAIに関する情報は短い期間にたくさん公開されるため、自社だけですべてを把握するのは難しいとされています。そのうえで、金融ISACや業界団体、当局などから積極的に情報を集めるよう求められています。

さらに、自社の取り組みをこうした場で共有し、金融分野全体の強さを高めることが望ましいとも書かれています。情報をもらうだけでなく、出す側にもなってほしいという趣旨です。業界団体や協会にとっても関わりのある部分といえそうです。

金融以外の業界でも同じ備えが求められている

有事の備えという論点は、金融機関に限った話ではありません。2026年5月18日に公表された政府全体の対策パッケージ「Project YATA-Shield」では、重要インフラ事業者に向けて、高性能AIの悪用リスクに備えた対策の強化が求められています。重要インフラには電力、鉄道、医療、情報通信などが含まれます。

社会の重要な機能を支えている事業であれば、サービスが止まったときの影響は金融と同じように大きくなります。BCPや連絡体制の点検は、業種を問わず共通の課題になりつつあると言えそうです。

前提としての経営層の関与

ここまで見てきた内容は、いずれも経営層の関与を前提とした記述になっています。要請の文書では、フロンティアAIがもたらす脅威の変化はIT・サイバーセキュリティ部門にとどまらない課題であるため、経営トップは全社的な経営課題として扱う必要があるとされています。

具体的には、各業務所管部門、リスク管理部門、IT・サイバーセキュリティ部門、財務部門などの関係部門が横断的に連携して対応できるよう、経営トップとしてのコミットメントが不可欠とされています。また、経営トップのリーダーシップのもとでCIO、CISOをはじめとする経営層が直接関与し、対応方針の策定、対応状況の把握および課題への対処などを継続的に実施することが不可欠とも記されています。

これから有事の備えはどうなっていくのか

公表されている資料から読み取れる方向性を、2つ挙げます。

① 点検は一度で終わらず、繰り返すことになる

要請の文書には、今回の内容は今の状況を前提にしたものであり、今後の動向の変化を踏まえて必要な対策を不断かつ機動的に見直していくことが重要だと書かれています。BCPや連絡体制も、一度整えたら完成というものではなく、定期的に見直す対象になっていきそうです。

② 業界をまたいだ情報共有が広がる

政府全体のパッケージでは、海外の政府機関やAI開発者との連携を強化し、国際的な共通ルールの確立を目指す方針が示されています。金融ISACのような業界内の共有にとどまらず、業界や国をまたいだ情報のやりとりが増えていく方向にあると読み取れます。

こちらの記事もご参照ください

「フロンティアAI」とは？なぜ今ルールづくりが進んでいるのかをやさしく解説
金融庁と日銀がフロンティアAI対応で出した要請とは？9項目をやさしく解説
修正プログラム（パッチ）が一気に増えたら？直す順番の決め方をやさしく解説

出典・参考

金融庁・日本銀行「『フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応』に係る要請について」（2026年5月22日）https://www.boj.or.jp/finsys/release/frel260522a.htm
国家サイバー統括室「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について（Project YATA-Shield）」（2026年5月18日）
※本記事は2026年8月時点の公表資料に基づいています。最新の情報は各機関の公表資料をご確認ください。