日本暗号資産ビジネス協会（JCBA）は20日、セキュリティ・システム部会が、暗号資産（仮想通貨）のウォレットなど重要なシステムの委託先管理を扱うワーキンググループ（WG）を設立したと発表した。あわせて、委託先のセキュリティ対策を347項目に整理した「プラクティス集」をドラフト版として公表し、意見を募っている。
JCBAがWG設立、プラクティス集は347項目・10領域
WGは、暗号資産関連の業務のうち、特にウォレットなどの重要システムの運用や鍵管理、トランザクション（取引）の署名管理の委託先管理の高度化に関する調査・意見集約を目的とする。正式名称は「委託先管理の高度化WG」だ。
メンバーは8人で、座長はPwC Japan有限責任監査法人のパートナーが務める。ほかにGinco、JPYC、Next Finance Tech、Vlightup、マーキュリーなどの所属者が名を連ねる。
JCBAは発表で、委託先を狙うサイバー攻撃や資産流出の事案が多発していると説明した。個別の事案名はない。
JCBAによると、暗号資産交換業者などの自主規制団体である日本暗号資産等取引業協会（JVCEA）の「再発防止点検リストの考え方」などの文書は、いずれも委託元の交換業者向けに書かれている。プラクティス集は、これらの要求を委託先が何をどう担うかに置き換え、一覧にしたものだという。
同時に公表された研究報告資料によると、各項目は「想定されるリスクの例」「確認観点の詳細」「確認資料例」の3つを組み合わせて記述されている。管理領域はガバナンス・組織体制や人的セキュリティなどA〜Jの10分類で、暗号資産関連業務に特徴的な「鍵管理・署名運用」を独立した分類とした。
JinaCoinが付属のExcelファイルで数えたところ、347項目は58の確認観点のもとに並ぶ。領域別に最も多いのは鍵管理・署名運用の75項目だった。システムセキュリティの64項目、運用・変更管理の41項目が続き、最少は物理セキュリティの16項目となっている。
鍵管理・署名運用には、署名鍵の生成・保管、コールドウォレットとホットウォレットの分離、暗号資産の出庫（送付）時のトランザクション検証、秘密鍵を断片に分けて管理する方式や、あらかじめ決めた数の署名がそろわないと送金できないマルチシグなど、鍵片の分散管理といった確認観点がある。
鍵の保持やシステムへの影響で、委託先を5つの提供形態に区分
プラクティス集は、委託先の提供形態を「保持型」「介在型」「供給型」「参照型」「その他」の5つに分けた。過剰な管理要求や確認漏れを防ぐ狙いで、全項目に形態別の参照目安を付けている。
研究報告資料が示す判断手順の例では、最初に、鍵そのものを一時的にでも委託先が保持するかを問う。保持するなら保持型で、例に共同署名サービスや鍵の保管、復旧を挙げた。
鍵を持たなくても、委託元の確認・承認を経ずに関連システムへアクセスできれば介在型となる。例として、SaaS（ネット経由で提供するソフト）型のウォレット、送金の受託、遠隔保守を挙げている。
委託元の承認後にだけ使われる成果物を出す場合は供給型（パッケージ、署名機器など）、委託元の判断材料になるデータを出す場合は参照型（ノード〈ブロックチェーンのデータを保持・中継するコンピューター〉、価格情報、アドレス評価など）とした。
汎用クラウドや本人確認（KYC）・マネーロンダリング対策（AML）などの周辺サービスは「その他」に入る。
各項目には、形態ごとに、参照が望ましい項目（優先度が相対的に低いものを含む）を示す「〇」か、対象外と考えられる項目を示す「NA」が付く。
JinaCoinがExcelで数えると、「〇」は保持型で347項目すべて、介在型で346項目、供給型で326項目、参照型で275項目、その他で245項目だった。
プラクティス集は参考資料、改正金商法の動向も反映へ
研究報告資料は、プラクティス集を、法令上の義務や画一的な評価項目を定めるものではなく、委託元・委託先・第三者機関が活用する参考資料と位置づける。「〇」も「NA」も、法令上の対応義務や一律の適用の要否を示すものではないと明記し、NAの項目も必要に応じて参照するよう促している。
JCBAは、交換業者、システム・ウォレット提供事業者、監査法人・専門家から意見を広く募り、今後の更新に反映する考えだ。同協会のページから意見・要望フォームに送れるが、締め切りは示していない。
制度面では、暗号資産取引の規制を資金決済法から金融商品取引法（金商法）へ移す改正金商法が7月15日に成立した。金融庁の説明資料によると、暗号資産の管理に使う重要なシステムの提供業者に、事前届出やシステムの安全性確保義務などの規制を導入する。
研究報告資料と、国会に提出された法律案の附則によると、この規制の施行は公布から1年以内の政令で定める日となる。JCBAは、改正金商法の政省令やガイドラインの動向を見ながら、プラクティス集を改訂していく方針だ。
