JCBAが暗号資産の委託先管理に関するプラクティス集ドラフトを公表。全10領域347項目を整理し改正金商法の動向を踏まえ改訂する方針

日本暗号資産ビジネス協会（JCBA）のセキュリティ・システム部会は、暗号資産関連業務の委託先管理を扱うワーキンググループを設立し、委託先が講じるべきセキュリティ対策をまとめたプラクティス集のドラフト版を公表しました。外部事業者が担うウォレット等の重要システム運用や鍵管理などを対象に、全10領域347項目にわたるリスクや確認観点を委託先の視点から整理しています。委託先を標的としたサイバー攻撃への懸念が高まる中、業界全体のサプライチェーンにおけるセキュリティ態勢を強化し、共通言語を整える取り組みとして重要視されます。

委託先目線での実務整理と提供形態に応じた5つの区分

今回公表されたドラフトは、日本暗号資産等取引業協会（JVCEA）の再発防止点検リストの考え方など、従来の暗号資産交換業者向けに作成されていた指針を委託先目線に読み替えたものです。整理された全10領域にはガバナンス、人的・物理的セキュリティ、BCP（事業継続計画）、再委託先管理などが含まれ、全347項目に想定リスク例、確認観点、提示すべき確認資料の例が監査実務の語彙で対応付けられています。

本指針では、暗号資産に固有の要素である鍵管理・署名運用が独立した領域として位置づけられました。ここでは鍵の生成や保管、コールドウォレット（インターネットから隔離された保管システム）とホットウォレットの分離、出庫時の検証などが網羅されています。さらに委託先の提供形態について、秘密鍵の保持有無やシステムへの直接的な影響範囲を基準として、「保持型」「介在型」「供給型」「参照型」「その他」の5つに区分しました。形態ごとに確認項目の目安を示すことで確認漏れや過剰な要求を防ぐ設計となっており、該当項目を抽出するセルフアセスメントシートや監査証跡用の確認資料管理台帳がExcelファイルで付属します。

JCBAは、SOC2などの汎用的な第三者保証報告書では秘密鍵のライフサイクル管理といった暗号資産特有の態勢を十分に評価しきれないと指摘しています。従来は交換業者と委託先の間でばらばらだった確認基準を統一することで、金融庁や監査法人などの関係者が同じ言葉で議論できる基盤の確立を目指しています。

サプライチェーン攻撃への対策強化と今後の改訂予定

業界内ではウォレット管理や署名システムを外部専門企業へ委託する形態が定着しています。しかし近年、こうした委託先を標的としたサイバー攻撃や資産流出が多発しており、JCBAはサプライチェーン全体の強靭化が急務であるとの認識を示しています。入力情報によると、JCBAは具体的な事例への直接の言及は避けているものの、国内では2024年5月にDMMビットコインから約482億円相当のビットコインが流出し、警察庁などが北朝鮮系ハッカー集団による犯行と特定した上で、攻撃者がウォレット管理ソフトウェア企業の従業員に接触していたと公表しています。

今回のワーキンググループはPwC Japan有限責任監査法人のパートナーである須田真由氏が座長を務め、ウォレット事業者や監査法人の関係者が参加しています。プラクティス集のドラフトはJCBAの公式サイトで公開されており、交換業者やウォレット提供事業者、監査法人などから意見を募るとともに、改正金融商品取引法の政省令やガイドラインの制定動向を踏まえて改訂が進められる予定です。

ポイント

• JCBAが委託先の視点に立ち全10領域347項目の対策を整理したことで、交換業者と委託先の間で確認基準を統一できる点で注目されます。
• 秘密鍵の保持状況などに応じた5つの提供形態を定義し、過剰要求や確認漏れを防ぐ実務的なアセスメント設計がなされている点で重要です。
• 汎用的な第三者保証報告書では評価が難しかった暗号資産固有の鍵管理について、金融庁や監査法人を含めた共通の対話基盤が整備される点で意義があります。
• 外部委託先を狙うサイバー攻撃の多発を背景に策定されており、意見募集や改正金融商品取引法の動向を踏まえた改訂が計画されている点で動向が注視されます。