暗号資産関連業務の委託先管理に関するWGを設立、委託先におけるセキュリティ対策について調査しプラクティス集を公表

暗号資産交換業、電子決済手段等取引業及び資金移動業並びに暗号資産等関連デリバティブ取引業の自主規制団体一般社団法人である日本暗号資産等取引業協会（JVCEA）が発出している「再発防止点検リストの考え方」等の文書は、いずれも暗号資産交換業者（委託元）向けに書かれています。本表は、これらの要求を委託先（システム提供者）として何をどう担うか——委託元が要求を満たせる機能・仕様・証跡の提供、委託先自身の運用分の態勢整備、委託元への支援——に翻訳し、監査実務の標準語彙で一覧化したものです。これにより、委託元の評価負担の軽減、委託先の自己点検と説明可能性の向上、そして当局・監査人・委託元・委託先が同じ言葉で議論できる共通基盤の形成を目指しています。

1. Web3・暗号資産ITサプライチェーン全体のセキュリティ高度化と利用者資産の保護
   暗号資産業界では、ウォレット管理や署名システムなど基幹システムの外部専門事業者（サードパーティ）への委託が定着しています。近年、これら委託先を標的としたサイバー攻撃や資産流出事案が多発しており、単一企業のセキュリティ対策にとどまらない「サプライチェーン全体の強靭化」が社会的な急務となっています。
2. 金融庁・監査法人・事業者間における「共通言語（評価標準語彙）」の創出
   従来、暗号資産交換業者（委託元）とシステム事業者（委託先）との間では、セキュリティ確認の観点や要求項目が個別ばらばらであり、評価項目整備やデューデリジェンスの非効率性が課題となっていました。また、SOC2等の汎用的な第三者保証報告書では、暗号資産固有の管理態勢（秘密鍵のライフサイクル管理やコールド／ホット分離、トランザクション検証等）を十分に評価しきれない課題が存在していました。
3. 事業者間の評価実務負荷の削減とWeb3イノベーションの加速
   委託先ごとに異なっていた従来の質問票回答業務や査察対応の出発点となるプラクティス集を構築し、各社がそれをもとに項目単位の要否を調整することにより、委託元・委託先双方のセキュリティ評価・説明実務のコストを削減します。セキュリティ品質の可視化と取引コストの低減を両立させることで、Web3分野への健全な参入障壁を下げる姿勢を示し、イノベーション推進と高度なセキュリティ担保の高度な調和を実現します。

1. 委託先における情報セキュリティ管理領域を幅広くカバー
   一般的な情報セキュリティ管理領域（ガバナンス、人的・物理・システムセキュリティ、BCP、再委託先管理など）に加え、暗号資産に特有の「D. 鍵管理・署名運用」を独立した大カテゴリとして設定し、全10領域（A〜J）にわたる対応項目を整理しました。
2. リスクベースの5つの「サービス提供形態」区分
   秘密鍵の保持有無やシステムへの直接影響範囲に応じて、委託先の提供形態を5つ（「保持型」「介在型」「供給型」「参照型」「その他」）に区分。過剰な管理要求や確認漏れを防ぎ、役務実態に即した実効的なリスク管理を可能にします。
3. セルフアセスメントと証跡管理の一体型ツール提供
   自社のサービス形態を選択することで必要な参照統制項目が一覧表示される「セルフアセスメントシート」および、提示すべき監査証跡を一元管理する「確認資料管理台帳」を付属Excelファイルとして提供。自己点検から委託元・監査人への説明までを一貫してサポートします。

本資料およびプラクティス集は、暗号資産関連業務における委託先管理の強靭化に向け、業界の共通言語としてご活用いただくためのドラフト（試行版）として公開しております。当協会では、暗号資産交換業者（委託元）、システム・ウォレット提供事業者（委託先）、ならびに監査法人・専門家の皆様からの実務的な知見やご意見を幅広く募集し、今後のアップデートに反映させてまいります。

• ダウンロードいただける資料
  • 暗号資産関連業務の委託先管理におけるプラクティスについての研究報告資料
  • 別紙-委託先管理におけるプラクティス集
  • プレスリリース文章

本プラクティス集は一度策定して完結するものではなく、改正金融商品取引法（金商法）の政省令・ガイドラインの制定動向や今後の施行状況、並びに国内外における技術・サイバー脅威・規制環境の最新変化を継続的にモニタリングしながら、機動的に改訂・アップデートを行ってまいります。

当協会は、今後も、法令改正や技術・脅威動向の変化に迅速に対応し、暗号資産・Web3業界における自律的なセキュリティ態勢の向上と信頼性の高い市場環境の醸成に努めてまいります。