JCBA、暗号資産の委託先管理で347項目を整理　鍵管理を独立領域に　

委託先の目線で既存指針を翻案

日本暗号資産ビジネス協会（JCBA）のセキュリティ・システム部会は20日、暗号資産関連業務の委託先管理を扱うワーキンググループ（WG）を設立したと発表した。あわせて、委託先が取るべきセキュリティ対策をまとめた「プラクティス集」のドラフト版を公表した。

対象はウォレットなど重要システムの運用や鍵管理、トランザクション署名管理を外部の事業者に任せるケースだ。日本暗号資産等取引業協会（JVCEA）の「再発防止点検リストの考え方」をはじめ、既存の指針はいずれも委託する側の暗号資産交換業者に向けて書かれている。プラクティス集はこれらの要求を、システムを提供する委託先が何をどう担うかという視点に読み替えた。

項目数は全347。それぞれに想定されるリスクの例と確認観点、提示すべき確認資料の例を対応させ、監査実務で使われる語彙で記述した。

鍵管理・署名運用と5つの提供形態

整理の範囲はガバナンスや人的・物理的セキュリティ、BCP（事業継続計画）、再委託先の管理など全10領域に及ぶ。このうち暗号資産に固有の「鍵管理・署名運用」を独立した領域とし、鍵の生成・保管やコールドウォレットとホットウォレットの分離、出庫時の検証などを扱う。

委託先の提供形態は「保持型」「介在型」「供給型」「参照型」「その他」の5つに分けた。秘密鍵を保持するかどうかや、システムへの直接的な影響範囲が区分の基準となる。形態ごとに確認すべき項目の目安を示し、過剰な要求や確認漏れを防ぐ設計だ。自社の形態を選ぶと該当項目が表示される「セルフアセスメントシート」と、監査証跡を管理する「確認資料管理台帳」がExcelファイルで付属する。

JCBAは、SOC2などの汎用的な第三者保証報告書では、秘密鍵のライフサイクル管理といった暗号資産固有の態勢を十分に評価しきれないと指摘する。交換業者と委託先の間で個別にばらばらだった確認項目をそろえ、金融庁や監査法人を含む関係者が同じ言葉で議論できる基盤づくりを狙う。

委託先経由の流出事案が背景に

業界ではウォレット管理や署名システムを外部の専門事業者に委託する形が定着した。JCBAは、こうした委託先を標的としたサイバー攻撃や資産流出が近年多発しているとして、「サプライチェーン全体の強靭化」が急務だとの認識を示した。JCBAは具体的な事案に言及していないが、国内では2024年5月、DMMビットコインから約482億円相当のビットコイン（BTC）が流出した。警察庁などは北朝鮮系のハッカー集団による犯行と特定し、攻撃者がウォレット管理ソフトウェアを手がける企業の従業員に接触していたと公表している。

WGはPwC Japan有限責任監査法人パートナーの須田真由氏が座長を務め、ウォレット事業者や監査法人の関係者が参加する。ドラフトには交換業者やウォレット提供事業者、監査法人などから意見を募り、改正金融商品取引法（金商法）の政省令・ガイドラインの制定動向も踏まえて改訂する。意見はJCBAの専用フォームで受け付けている。資料はJCBAの公式サイトで公開されている。