BankcodeJP APIでは、金融機関、決済事業者、SaaS事業者、基幹システム利用企業等からの確認に対応するため、脆弱性管理、パッチ適用、緊急時対応、責任分界に関する標準的な運用方針を公開しています。
2026年5月22日に金融庁および日本銀行より公表された「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請では、金融機関等に対し、脆弱性管理、パッチ適用、ベンダーとの責任分担、代替策、サービス停止時の備え等の確認・強化が求められています。
本ページは、BankcodeJP APIをご利用いただくお客様からの確認事項に対し、当サービスの標準的な運用方針を説明するものです。個別の監査対応、専用SLA、24時間365日の個別対応保証、内部構成情報や詳細な運用手順の開示を標準契約として約束するものではありません。
BankcodeJP APIは、クラウド上で運用するマルチテナント型のAPIサービスです。
当サービスが管理するアプリケーション、ミドルウェア、ランタイム、依存ライブラリ、クラウド設定、ネットワーク設定等について、必要に応じて脆弱性情報を確認し、影響度に応じてアップデート、設定変更、パッチ適用、緩和策の実施を行います。
脆弱性対応では、CVSSスコアだけでなく、外部からの攻撃可能性、悪用実績、PoCの有無、アクセス制御前に攻撃可能かどうか、データ漏えい・権限昇格・サービス停止への影響、BankcodeJP APIの構成上の影響有無などを踏まえて優先順位を判断します。
BankcodeJP APIのサービス基盤に関するパッチ適用や脆弱性対応は、当サービスの運用範囲として実施します。
そのため、利用者様がBankcodeJP APIのサーバー、ミドルウェア、API提供環境に対して個別にパッチ適用を行う必要はありません。
一方で、利用者様側のシステム、連携アプリケーション、APIキーの管理、接続元環境、ネットワーク制御、BankcodeJP APIを呼び出す実装部分については、利用者様側の管理範囲となります。
重大な脆弱性やサービス継続に影響するリスクが確認された場合は、影響度・緊急度を踏まえ、時間帯を問わず対応判断を行います。
ただし、標準の利用契約において、夜間・休日を含む24時間365日の個別対応保証や、個別SLAとしての対応時間保証は定めていません。
また、標準の利用契約では、パッチ適用に関する個別SLA/SLOは設定していません。BankcodeJP APIは共通基盤として一元的に運用しているため、特定の利用者様ごとに個別パッチ作業を行う形ではなく、サービス基盤全体に対して脆弱性対応・パッチ適用を実施します。
重大な障害やサービス影響が発生する場合は、必要に応じて登録メールアドレス、サポート窓口、またはサービスステータスページ等を通じてご案内します。
脆弱性対応の優先順位は、以下の観点を踏まえて判断します。
CVSSスコアのみで一律に判断するのではなく、実際の攻撃可能性やサービスへの影響を踏まえて対応します。
通常時は、サービス影響、APIレスポンス互換性、APIキー検証、主要機能、監視項目等を確認したうえでアップデートやパッチ適用を実施します。
重大な脆弱性への緊急対応時には、パッチ未適用リスクとテスト不足リスクを比較し、テスト範囲を合理的に絞ったうえで早期適用を優先する場合があります。
その場合も、主要API機能、APIキー検証、レスポンス互換性、ヘルスチェック、監視項目、ロールバック可否等を重点的に確認します。
パッチ適用が直ちに困難な場合は、影響範囲に応じて以下のような代替策を検討・実施します。
なお、利用者様環境へのEDR導入、社内ネットワーク分離、端末管理、接続元システムの防御等は、利用者様側の管理範囲となります。
BankcodeJP APIの本番サービスでは、サポート対象のクラウドサービス、ミドルウェア、ランタイム、ライブラリを利用する方針で運用しています。
サポート終了が近いコンポーネントや、更新が必要な構成要素がある場合は、サービス影響を確認したうえで順次更新を行います。
BankcodeJP APIでは、外部公開面をAPI提供に必要な通信に限定し、クラウド基盤上のファイアウォール、APIゲートウェイ、アクセス制御、APIキー検証、ログ監視等を組み合わせて運用しています。
また、管理権限は必要最小限とし、APIキーやシークレット情報については、クラウドのシークレット管理機能等を利用して保護します。
BankcodeJP API側で重大な脆弱性、サイバー攻撃、情報漏えいリスク、サービス全体への影響が確認された場合、影響拡大を防止するため、当サービスの判断により一部機能またはサービスを一時停止する可能性があります。
原則として、可能な限り事前または速やかに利用者様へ通知しますが、緊急性が高い場合は、被害拡大防止を優先して即時対応を行う場合があります。
利用者様からの緊急連絡は、通常のサポート窓口またはお問い合わせフォームよりご連絡ください。
当サービスから利用者様へご連絡が必要な場合は、登録メールアドレス宛に連絡します。また、障害やサービス影響に関する情報は、必要に応じてサービスステータスページでもご案内します。
管理画面に登録されているメールアドレスは、常に受信可能な状態にしていただくことを推奨します。
第三者提供ソフトウェア、クラウドサービス、ライブラリ等で深刻な脆弱性が発見された場合は、以下の流れで対応します。
BankcodeJP APIのサービス基盤、API提供環境、アプリケーション、ミドルウェア、クラウド設定等は当サービスの管理範囲です。
一方で、以下は利用者様側の管理範囲です。
詳細な内部構成情報、セキュリティ設定、運用手順、監視ルール等については、セキュリティ上の理由から公開範囲を限定しています。
個別の確認が必要な場合は、確認内容をご提示いただければ、開示可能な範囲で回答します。