日本の金融庁、新しい草案で積極的な暗号資産取引所のセキュリティ政策を推進

日本の金融庁は近日中、暗号資産取引所に対する新たな必須サイバーセキュリティ基準を定める新しい枠組み政策草案を公表しました。これは、デジタル資産分野全体でサイバー攻撃がエスカレートする中、個別の資産中心のセキュリティから、エクスチェンジ全体のエコシステムに対する防御プロトコルへの転換点を示すものです。

この政策ガイドラインは2026年2月10日に発表され、日本国内で運営するすべての登録済み暗号資産取引所に対して、必須のサイバーセキュリティ自己評価（CSSA）を導入しました。 

金融庁は3月11日まで公衆からの意見募集を受け付け、規制が最終化され実装に移行する前に、取引所やセキュリティ専門家などの主要関係者にフィードバックを提供する3週間を与えています。 日本の2026会計年度 （14月から開始）。

間接攻撃の増加により、コールドウォレットだけでは不十分

この FSA 近年、洗練された間接攻撃の増加が観察されています。状況が悪化するにつれて、コールドウォレットのみを使用しても資産管理の安全性を保証できなくなり、日本の規制哲学の進化における転換点を示唆しています。 

オフラインのコールドウォレットは直接のリモートハッキングから資産を保護しますが、当局は現代の脅威actorが、デジタル資産管理を支える人的・運用インフラを標的にすることでこれに適応していると認めています。

他のアナリストは、CSSAフレームワークが取引所に、ウォレットセキュリティやネットワークアーキテクチャなどの技術インフラ、従業員のトレーニングやフィッシングプロトコルを含む人的・運用リスク、第三者ベンダー管理、および日本の個人情報保護法に準拠する必要があるデータ整合性保護など、セキュリティドメインの異なる側面を体系的に評価することを要求すると指摘しています。

この変化は、2024年にこれらの脆弱性を露呈させたいくつかの著名な侵害事件の結果です。特にガイドラインは、フィッシングキャンペーンを通じて従業員を脅威に晒したり、取引所システムへのアクセスを維持するサービスプロバイダーや請負業者を侵入させたりすることで、技術的防御を回避する攻撃に焦点を当てています。

3つの柱のフレームワークは業界全体の参加を要求

この新政策の成功した実装は、多層防御システムを構築するために組み合わさった3つの柱に依存しています。これらは自助、互助、公助を含み、これらの柱は異なる側面に働きかけながら連携して、業界のセキュリティシステムを強化します。

「自助」の柱は、個々の取引所が自らの運用を保護する主要な責任を置きます。これは2026会計年度（4月1日）に始まり、登録済み暗号資産取引所すべてに前述の必須評価の実施を要求します。

「互助」の柱は、 業界の協力によって支えられる集団的知恵を利用します。金融庁は、日本仮想通貨・暗号資産取引業協会（JVCEA）のセキュリティ委員会の機能を強化し、取引所が情報共有に積極的に参加することを奨励します。これにより、脅威、攻撃パターン、防御戦略を業界全体でより効果的に共有することができます。 

したがって、ある取引所が新しいソーシャルエンジニアリング戦略や他の脆弱性を特定した場合、その情報は、他の事業者が同様の被害を受ける前に保護するために利用可能になります。

最後に、「公助」の柱では、金融庁が2025会計年度に開始した新興脅威に関する国際的な共同ブロックチェーン研究を引き続き行い、政策採用から3年以内に、金融機関向けの共同サイバーセキュリティ演習である「デルタウォール」に暗号資産取引所全体を参加させます。 

日本で運営する取引所の次なるステップは？

2026会計年度中、金融庁は特定の事業者に対して実際のペネトレーションテストを実施する計画であり、倫理的ハッカーを雇ってライブの取引所システムへの侵入を試みる可能性があります。 

これらの認可された攻撃は、悪意のあるハッカーがそれらを悪用する前に脆弱性を特定し、発見された事項は影響を受ける取引所が弱点を修正するのを支援するために機密扱いで共有されます。これは、自己評価中に見過ごされていた可能性のあるモニタリングの客観的な指標を提供するのに役立ちます。

3つの柱の構造は、取引所が自らのセキュリティに対して主要な責任を負う（自助）、業界が集団的知恵を共有し基準を引き上げる（互助）、政府が監督、テスト、支援を行う（公助）という、あらゆるレベルで説明責任を生み出します。 

金融庁は、これが現在の脅威や将来の脅威から身を守ることができる、より強力で適応性の高いエコシステムを告げるものだと信じています。