Flipster Exchangeのセキュリティアプローチ：セキュリティ認証、バグバウンティ、ユーザー保護に関するQ&A

変動性が高く進化する暗号通貨市場の中で、暗号通貨取引所はユーザーのデータと資金を侵害しようとするより大きな敵に直面しています。今週、私たちはFlipsterのチーフインフォメーションセキュリティオフィサー（CISO）、Justin Hongと独占インタビューを行いました。Hongは、暗号通貨取引プラットフォームが認証、製品イノベーション、およびリアルタイムの脅威対応を通じてどのように自己を強化しているかについて明かしました。

Hongによると、 Flipster は今年だけで15回以上の製品レベルのセキュリティアップデートを実施しました。これらのアップデートは、ISO/IEC 27001認証とCER.liveからの「AA」評価と組み合わさり、ユーザーに安全で secure な取引環境を保証します。

Flipsterでの仕事

Q: こんにちはJustin、あなた自身、チーフインフォメーションセキュリティオフィサーとしての役割、そしてWeb3企業にとってそれがなぜ重要なのかについて、少し教えてください。 

A: 私は過去16年間、サイバーセキュリティに従事しており、銀行、フィンテック、ブロックチェーンの各分野での経験があります。それぞれの分野には独自の課題があり、それらが組み合わさって、特にステイクが非常に高いWeb3におけるセキュリティへのアプローチを形成してきました。ここで露出されるレベルは、伝統的な金融とは全く異なります。ユーザーのコントロールが多く、イノベーションも多く、残念ながら、悪意のあるアクターからの注目もより多くあります。

Flipsterでは、リスク管理やコンプライアンスからインシデント対応、ISO/IEC 27001などの国際的なフレームワークを運用に組み込むことまで、グローバルセキュリティ機能を率いています。暗号通貨は急速に動き、脅威も同様に進化します。私たちはそれを念頭に置いて構築しており、単に反応するだけでなく、常に先を見据えています。

Q: 急速に進み、リスクの高い暗号通貨取引プラットフォームの世界で、Flipsterで働くことはどのようなものですか？

A: 賭け事が大きいため、それがまさにこの仕事を非常にやりがいのあるものにしています。この分野でのセキュリティは受動的ではありません。あなたはテクノロジーの中で最も創造的で決定的な敵対者たちと戦っています。それはあなたを鋭く保ち、進化し続けることを強制します。

Flipsterで際立っているのは、皆がどのように一致しているかです。ミッションは明確です：私たちは、人々が頼りにできる安全で信頼性の高い取引プラットフォームを構築するためにここにあります。その焦点は、私たちの働き方—密接なコラボレーション、迅速なフィードバックループ、そして絶え間ないテスト—に見られます。 

Q: Flipsterにおいて信頼をどのように定義し、チームはそれを構築・維持するためにどのように取り組んでいますか？

A: 信頼は、一貫性を通じて時間とともに築かれます—透明性、明確さ、そして説明責任を持つことです。私たちは、リスクをどのように管理し、ユーザーの資金を保護し、インシデントに対応するかをコミュニケーションします。何か問題が発生した場合、ユーザーはそれが何であり、どのように対処されているかを知る権利があります。

バックエンドではゼロトラストモデルを採用しています。内部・外部を問わず、すべてのシステムとユーザーに同じ厳格な監視を適用します。この考え方が、フィッシング攻撃や内部者によるリスクへの先見性を高めています。ただし、セキュリティはユーザー体験を犠牲にしてはいけません。私たちは、より安全でかつ直感的な操作性を実現するため、機能の改善を絶えず行っています。この2つが調和して機能すれば、ユーザーは安全性と利便性の間で選択を迫られる必要はありません。

FlipsterのISO/IEC 27001およびCER.live認証

Q：暗号資産プラットフォームはセキュリティインシデントの「温床」となりつつあり、多くの場合、多額の資金損失につながっています。Flipsterでの勤務中に、そのような試みに直面したことはありますか？また、それをどのように封じ込めましたか？

A：DDoS攻撃、フィッシングキャンペーン、なりすまし試行など、数多くのインシデントを経験してきました。これらの脅威は現実的で絶え間なく存在しています。

例えばDDoS攻撃の場合、攻撃者は当社のプラットフォームの妨害を試み、さらには身代金要求の戦術まで使用しました。しかし、私たちはすべてのレイヤーに組み込みの検知および緩和制御を備えており、対応チームは迅速な行動を取るよう訓練されています。フィッシングのシナリオでは、悪意のある行為者が求職者やパートナーになりすまして、チームをだまし有害なファイルを開かせようとしてきました。当社のシステムはこれらの脅威を迅速に検出するように設計されており、インシデント発生後の詳細な分析を実施して、防御をさらに強化しています。

Q：Flipsterは最近、CER.liveからAA認証を取得しました。この認証にはどのような内容が含まれており、ユーザーにとってどのような意味がありますか？

A: 2018年以降、CER.liveは18以上のセキュリティ指標に基づいて構築された厳格な方法論を用いて、数百の取引所を評価してきました。これは、この分野で最も信頼できる独立したベンチマークの一つです。

ユーザーにとって、このような認証は明確なシグナルです。第三者が当社のプラットフォームを検証し、セキュリティの品質を確認したことを示しています。ISO/IEC 27001認証と組み合わせることで、当社の主張だけでなく、運用方法においても信頼を真剣に考えている企業の姿が見えてきます。

Q：CER.live認証以外にも、ユーザーに知っておいてほしいFlipsterの最近の実装による重要なセキュリティプラクティスやプロトコルは何ですか？

A：今年、15以上の製品レベルのセキュリティ機能をリリースしました。主なアップグレードには、パスキーのサポート、出金ロック、アドレスのホワイトリスト化が含まれます。それぞれがユーザーにより多くの制御権を与え、保護の層をさらに追加します。

私は常に、パスキーと出金用のアドレス帳の両方を有効にすることをお勧めします。これらの簡単なステップが大きな違いを生みます。また、ユーザーがアカウントにアクセスするデバイスを追跡・管理できる新しいデバイス管理ツールを開発中であり、これによりユーザーが引き続き制御を維持できるよう支援しています。

Q：一部のプラットフォームはCER.liveからAAA評価を取得しています。これはFlipsterの目標ですか？そこに到達するために取り組んでいるセキュリティ対策は何ですか？

A：注視しており、着実な進歩を遂げています。現在、サーバー保護の強化、フィッシング対策ツールの導入、高度なデバイス管理機能を通じてユーザーの制御権を高めることに注力しています。

結局のところ、私たちは単にバッジを追っているのではなく、ユーザーにとってプラットフォームを本当に改善するものを探求しています。実際の価値を追加し、防御を強化するものであれば、私たちはそれを構築します。AAA評価は到達点ではなく、一つのマイルストーンです。

バグ報奨金およびその他のセキュリティ機能

Q：Flipsterは、ホワイトハットハッカーが、取引所の長期的な信頼性と透明性の目標と一致する方法でインセンティブを与えられるようにどのように確保していますか？

A: 私たちは Hackenproof と共同で、パブリックバグバウンティプログラムを実施しており、研究者に発見を共有するための明確で信頼できる経路を提供しています。彼らのチームは提出物の影響と品質をレビューし、私たちは重大度に基づいて公正な報酬を提供します。

バグを見つけることだけでなく、グローバルなセキュリティコミュニティを当社のミッションに巻き込むことが重要です。研究者が自身の仕事が評価され、行動に移されることを知っていれば、エコシステムをより強くするために協力する可能性が高まります。これは全員にとってのウィンウィンです。

Q：CISOであり、この分野の思想家として、セキュリティ基準の向上に取り組んでいる他の企業に対して、どのようなアドバイスを送りますか？

A：まず基本を正しく行ってください。多くの侵害は、基本的な見落とし（パッチの欠如、開放された権限、弱いアクセス制御）によって発生します。それらを正しく設定すれば、リスクの大部分を排除できます。

それに加えて、人材とプロセスへの投資を行ってください。どんなに優れたツールを持っていても、チームのトレーニングが不十分だったり、インシデント対応手順がテストされていなかったりすれば、脆弱性が生じます。セキュリティはCISOだけの責任ではなく、全員が担うべきものという文化を築きましょう。このマインドセットの変化には時間がかかるかもしれませんが、その努力は必ず報われます。

Q: 最後に、ソーシャルエンジニアリング攻撃も蔓延しています。ユーザーが保護される、あるいはアカウント侵害の試みについて情報提供されるようにするために、どのような対策を講じていますか？

A: ソーシャルエンジニアリングは、アカウント乗っ取りと不正送金の2つのカテゴリで捉えています。まず、パスキー、2FA（二段階認証）、リアルタイムのログインアラート、アドレスのホワイトリスト化など、強力な保護機能を組み込んでいます。近日中、デバイス管理機能も追加する予定です。

ユーザー教育は詐欺防止において大きな役割を果たします。私たちは定期的なセキュリティアップデートを提供し、不審なアドレスや既知の詐欺アドレスを警告するツールの開発を進めています。目標は、ユーザーに知識とツールを提供し、安全を保てるようにすることです。十分な情報を持ったユーザーは、最も強力な防御ラインの一つとなります。