日本暗号資産ビジネス協会（JCBA）は、暗号資産関連業務の委託先管理を高度化するワーキンググループ（WG）の設立と、セキュリティ対策の「プラクティス集」ドラフト版を公表した。委託元・委託先双方の評価負担を減らし、業界全体のセキュリティ向上を目指す。
委託先目線で10領域を整理、評価ツールも提供
JCBAのセキュリティ・システム部会は、ウォレットなどの重要システム運用や秘密鍵管理・トランザクション署名管理を対象に、委託先管理の高度化に向けた調査と意見集約を行うWGを設立した。発表は2026年10月20日になされた。
また、合わせて研究成果として、ドラフト版のプラクティス集が発表された。これは、金融業界や暗号資産・ブロックチェーン業界の既存ガイドラインを、システム提供者など委託先の立場から整理したものだ。
従来JVCEA（日本暗号資産等取引業協会）が発出してきた「再発防止点検リストの考え方」などは、主に暗号資産交換業者などの委託元を対象としていた。
一方今回のプラクティス集では、委託先のシステム提供者としての立場が想定されており、要求を満たすために提供する機能・仕様・監査証跡、自社の運用態勢整備、委託元への支援を具体的な対応項目として一覧化している。
プラクティス集は、ガバナンス、人的・物理・システムセキュリティ、事業継続計画（BCP）、再委託先管理など全10領域をカバーしている。
さらに、暗号資産特有の「鍵管理・署名運用」も独立した領域として設定された。秘密鍵の保持有無やシステムへの直接影響範囲に応じ、「保持型」「介在型」「供給型」「参照型」「その他」の5区分に分類されている。
付属のExcelファイルには、提供形態に応じた統制項目を表示するセルフアセスメントシートと、委託元や監査人に提示する資料を管理する確認資料管理台帳が用意されている。
JCBAはドラフト版への意見を委託元、システム・ウォレット提供事業者、監査法人などから募り、今後の改訂に反映する方針である。
法改正に関連する政省令・ガイドラインや技術、サイバー脅威、規制環境の変化も継続的に確認し、内容を更新するとしている。
評価の共通化は効率化へ 形式的な運用に注意
今回のプラクティス集が共通の評価項目が業界内に普及すれば、企業ごとに異なる質問票への回答や監査対応の重複が減り、委託元・委託先双方のコスト削減につながるだろう。
評価項目を共有できれば、事業者は個別対応に費やしていたリソースを脆弱性の検証や運用体制の改善へ振り向けやすくなる。
セキュリティ品質を説明しやすくすることは、新規参入や企業間連携を後押しする可能性も期待できるだろう。
一方、共通項目を満たすこと自体が目的化すれば、書類上の整備と実際の防御能力が乖離するリスクもある。秘密鍵へのアクセス権限や署名処理の構成、再委託先との関係はサービスごとに異なるため、一律のチェックだけでリスクを適切に評価できるとは限らない。
提供形態に応じた判断と、統制が実際に機能しているかを確かめる姿勢が不可欠となるだろう。
今後の焦点は、共通化による効率性と、個々のサービスに応じた柔軟な審査を両立できるかにありそうだ。
実務者の意見を反映しながら項目の妥当性を高め、技術や攻撃手法の変化に応じて更新するとともに、統制が実際に機能しているかを検証し続けることが、取り組みの成否を左右するだろう。
関連記事：
イオレがJCBAに準会員入会 暗号資産のルール形成に貢献へ
JCBAが「ウォレット・AI部会」を設立 利用者保護と制度整備、申告分離課税の提言を推進
JCBA、暗号資産ステーキング指針を公表 国内事業者に運営基準の参考枠組み
