CSSAを暗号資産交換業者全社へ

金融庁は4月3日、暗号資産交換業者などを対象とした「サイバーセキュリティ強化に向けた取組方針」を策定しました。2月10日から3月11日まで実施したパブリックコメントで寄せられた18件の意見を踏まえ、必要な修正を加えて正式な方針としたものです。

金融庁は2026事務年度以降、これまで他の金融業態で実施してきたサイバーセキュリティセルフアセスメント（CSSA）について、暗号資産交換業者全社に実施を求める方針です。自己評価と当局との継続的な対話を通じて各社の管理態勢を把握し、高度化する攻撃への改善を促します。

署名鍵から委託先・サプライチェーンへ広がる対策

金融庁が警戒するのは、暗号資産そのものがインターネット上で迅速に移転でき、窃取後の追跡や回収が難しくなりやすい点です。近年は署名鍵の窃取に加え、ソーシャルエンジニアリングや外部委託先への侵入、OSSを経由したサプライチェーン攻撃など、間接的な手法も目立つと指摘しています。

こうした変化を受け、金融庁は暗号資産交換業者向け事務ガイドラインで求めるセキュリティ水準の引き上げを検討します。対象にはセキュリティ人材の専門性や配置、責任者の権限、システムリスクや署名鍵管理を対象とした外部監査、外部委託先に求めるセキュリティ要件などが挙げられています。

規制上の焦点がウォレットや署名鍵など個別の技術対策から、組織や取引先を含むシステム全体の防御へ広がっている点は重要です。金融庁も、コールドウォレットを利用するだけで安全性を確保できる状況ではなく、サプライチェーン全体の管理態勢が必要との認識を示しています。

自助・共助・公助で業界全体の防御力を底上げ

方針では、各事業者による「自助」に加え、業界全体による「共助」、当局による「公助」の3つを柱としています。個々の交換業者だけで変化する攻撃手法を把握することには限界があるとして、JPCrypto-ISACなどの情報共有機関への積極的な参加も促します。

自主規制機関についても、セキュリティ分野の専門人材を確保し、会員企業に対する監査やモニタリング能力を高める方向です。個社単位の防御から、攻撃事例や脆弱性情報を業界横断で共有する体制へ広げる考えが示されています。

暗号資産交換業者にとっては、自社システムの防御性能に加え、委託先の管理や業界内の情報連携まで含めた対応が求められることになります。サイバーセキュリティをIT部門だけの課題として扱いにくくなり、経営や組織運営を含めた対応の重要性が増しそうです。

Delta WallとTLPTで実戦対応も検証

金融庁は金融業界横断のサイバーセキュリティ演習「Delta Wall」について、2025年度に暗号資産交換業者向けのシナリオと評価基準を新たに設定しました。今後も攻撃動向に合わせて内容を見直しながら定期参加を求め、3年以内に全社の参加を目指します。

さらに2026年中には、数社の暗号資産交換業者を対象として、実運用環境で脅威ベースのペネトレーションテスト（TLPT）を実施する計画です。実際の攻撃者の戦術や手法を再現し、技術面に加えて人や業務プロセスを含む組織全体の弱点を確認します。

CSSAによる自己評価から監督上の基準強化、業界内の情報共有、演習、TLPTまでを組み合わせることで、金融庁は暗号資産交換業者の対策を形式的な体制整備から実効性の検証へ進めようとしています。攻撃経路が委託先や人的要因へ広がるなか、各社がどこまでサプライチェーン全体の防御力を高められるかが今後の焦点となります。

公式発表：金融庁