JCBAが暗号資産のカストディ強化に向けた347のプラクティスを提案

日本暗号資産ビジネス協会（JCBA）は10月20日、暗号資産カストディアン向けの347項目のセキュリティ実務案を提示しました。これは、従来の監査ではカバーできない特定のリスクを抱えるセクターにおいて、コントロールを標準化することを目的としたステップです。この取り組みは拘束力はありませんが、機関投資家や個人投資家にとって不可欠なサービスであるデジタル資産のカストディに対する、世界的な規制圧力の高まりを反映しています。 背景 日本は、2017年の資金決済法の承認など、暗号資産を規制した最初期の国の一つであり、セクターの監督において積極的なアプローチを維持してきました。取引所やカストディプロバイダーを含む国内エコシステムの100社以上の企業で構成されるJCBAは、金融庁（FSA）などの規制当局に採用される前に、自主的な基準を策定する上で重要な役割を果たしてきました。 この発表は、2022年のFTXの崩壊や2021年のPoly Networkへのハッキングなど、秘密鍵の管理における脆弱性を露呈させた事件を経て、カストディアンのセキュリティに対する監視が強まっている中で行われました。世界的に見ると、EU（MiCA規制）や米国（SECの提案）などの管轄区域では、カストディプロバイダーに厳格なコントロールを求める枠組みが進展しています。しかし、日本における現在の規制では、これらのサービスに関する具体的な技術的要件が詳細に定められていないため、JCBAがリファレンスフレームワークを提案することとなりました。 CryptoScore Proの10月21日時点のデータによると、暗号資産市場は緩やかな回復を見せており、ビットコイン（BTC）は83,498ドル（24時間で+2.48%）、イーサリアム（ETH）は2,468ドル（+3.54%）で取引されていました。市場心理を測定するCrypto Fear & Greed指数は63/100（「強欲」）となっており、過度な熱狂はないものの、緩やかな楽観論を反映しています。 事実関係 CoinPost が報じ、 DiarioBitcoin が確認したところによると、10月20日にJCBAが公開した草案には、10の領域にわたる347項目のセキュリティ実務が含まれています。これらの領域は以下を網羅しています： コーポレートガバナンス。 人事管理。 施設の物理的セキュリティ。 事業継続計画（BCP）。 サブカストディ管理。 秘密鍵管理（署名操作とは分離）。 署名操作（鍵管理とは異なる）。 利用可能な情報に詳細が記載されていない追加の5つの領域。 提案書では、カストディサービスを ホールディング 、 仲介 、 供給 、 リファレンス 、および その他 の5つのモデルに分類しています。しかし、公開された情報によると、どの義務が各カテゴリーに対応するのか、またプロバイダーの分類がどのように決定されるのかについては明記されていません。 草案とともに、JCBAは2つの実用的なツールを提供しました。Excel形式の自己評価フォームと、検証内容を記録するためのレジストリです。これらのツールは、カストディアンが内部管理体制を見直すことを目的としていますが、協会は、この資料が 草案 であり、義務的な基準や認証メカニズムではないことを明確にしています。導入スケジュールは設定されておらず、347の項目が将来的に要求されるようになるかどうかも示されていません。 この文書で特に注目すべき点の一つは、 SOC2 などの第三者保証報告書に対する批判です。JCBAは、これらの報告書は企業の一般的なセキュリティ管理を評価するには有用であるものの、秘密鍵のライフサイクル管理など、暗号資産特有のリスクに対処していないと主張しています。協会はSOC2の有用性を完全に否定しているわけではありませんが、デジタル資産のカストディにおけるセキュリティを保証するには、それだけでは不十分であると強調しています。 利用可能な情報では、JCBAがカストディアンの外部評価を行う計画があるのか、また提案された慣行の遵守がどのように検証されるのかは明らかにされていません。また、自己評価フォームが将来の監査の基礎となるのか、あるいは協会が草案の更新版を公開するのかについても詳細は述べられていません。 重要な概念を理解する 暗号資産カストディアン カストディアンとは、投資家や企業などの第三者に代わってデジタル資産を保管し、保護する実体のことです。売買を促進する取引所とは異なり、カストディアンは資金のセキュリティに重点を置き、紛失や盗難を防ぎます。例えば、ビットコインを購入する投資信託は、資産の秘密鍵を管理するためにカストディアンを雇い、ハッキングやヒューマンエラーのリスクを軽減させることができます。 秘密鍵と署名操作 秘密鍵とは、ブロックチェーン上での取引を承認することを可能にする暗号コードです。これを管理する者が、資産をコントロールすることになります。一方、署名操作とは、これらの鍵を使用して取引を検証する技術的なプロセスのことです。JCBAが提案するように、これら2つの機能を分離させることで、単一の人物やシステムが資金への完全なアクセス権を持つことを避け、不正やミスのリスクを軽減することを目指しています。 SOC2 SOC2（Service Organization Control 2）レポートは、企業のセキュリティ、可用性、整合性、機密性の管理体制を評価する監査基準です。外部の監査法人によって発行され、銀行やテクノロジー分野で一般的です。しかし、JCBAは、SOC2では秘密鍵の管理など、より専門的なプロトコルを必要とする暗号資産特有のリスクをカバーしていないと指摘しています。 カストディモデル JCBAが提案する5つのモデル（ホールディング、仲介、供給、参照、その他）は、この分野におけるサービスの多様性を反映しています。例えば、「ホールディング」のカストディアンは資産を操作せずに保管するだけかもしれませんが、「仲介」のカストディアンは取引を促進する可能性があります。草案における明確な定義の欠如は、各モデルの責任範囲に疑問を残しており、これは今後のバージョンで明確にされるべき点です。 分析：何が争点となっているか JCBAの提案は、暗号資産のカストディにおける前例のないセキュリティフレームワークを導入するものであり、専門サービスの需要と供給に直接的な影響を与えます。鍵管理と署名操作を分離することで、この草案は盗難や資金紛失などのオペレーショナルリスクを軽減することを目指しており、これにより機関投資家の信頼が高まる可能性があります。2026年10月21日時点のCryptoScore Proのデータによると、市場は透明性の高い資産への意欲を示しており、Fear & Greed指数が63（"強欲"）という状況の中で、Bitcoin (BTC) と Ethereum (ETH) はそれぞれ2.48%と3.54%の日次上昇を記録しています。しかし、これらの慣行の導入は、自発的な実施か規制によるものかに依存するため、流動性への実際の影響については不確実性が残ります。 カストディアンにとって、347項目のコントロールへの準拠は、特に小規模な事業者にとって運用コストを増大させる可能性があり、結果として適応能力を持つ大手プレイヤーに有利な市場集約が進む可能性があります。カストディモデル（ホールディング、仲介など）の区別は、JCBAが一律のアプローチを避けようとしていることを示唆していますが、具体的な義務に関する詳細が不足しているため、実用的な有用性は限定的です。もしこの草案が拘束力のある規範へと発展すれば、特に日本が暗号資産規制をリードしているアジアにおいて、グローバルスタンダードを再定義する可能性があります。一方で、自発的なガイドラインに留まる場合は、差別化のインセンティブを持つ企業に限定され、その効果はわずかなものになるでしょう。 リスクと不確実性 主なリスクは、草案の適用に関する曖昧さにあります。JCBAは期限や遵守メカニズムを確立していないため、その導入はカストディアンの意思に委ねられています。さらに、5つのカストディモデルへの分類に運用上の定義が欠けており、解釈の相違が生じる可能性があります。SOC2などのレポートに対する批判は妥当であるものの、具体的な代替案が提示されておらず、特定のリスクをどのように評価すべきかという点に空白が残っています。もう一つの重要な点は、業界における現在の準拠レベルに関するデータが不足していることであり、347の実践項目に合わせるために必要な労力を測定することが困難になっています。 最後に、自己評価フォームに関連する外部監査や認証が行われるかどうかが不明確であるため、「見せかけのセキュリティ」というリスクが生じます。これにより、カストディアンが実質的なコントロールを改善することなく、形式的にのみ準拠する可能性があります。 市場および規制の視点 現在の状況において、JCBAの提案は相対的な市場の安定性と対照的です。CryptoScore Proの2026年10月21日時点のデータによると、BTCとETHは緩やかな動き（週間変動率はそれぞれ+0.17%と-1.61%）を示しています。このシナリオは、投資家がまだ資産への即時的な影響を感じていないことを示唆していますが、この取り組みは、2020年の資金決済法で起こったことと同様に、日本におけるより厳格な規制を先取りするものかもしれません。グローバルレベルでは、JCBAの枠組みは、暗号資産サービスプロバイダーにカストディ要件を課すEUのMiCA規則などのトレンドと一致していますが、技術的なコントロールを詳細に規定している点でさらに踏み込んでいます。 2022年のFTX崩壊のような過去の事例と比較すると、鍵と署名の分離への注力は、カストディにおけるシステム的な欠陥に対応したものです。しかし、実施スケジュールが不在であるため、Terra-LUNA事件後に米国SECが採用したような緊急の規制措置との比較は困難です。この草案の進展は、日本が規制上のリーダーシップを固めるのか、あるいは実効性のない任意基準に留まるのかを決定する鍵となるでしょう。 主要な結論 JCBAは暗号資産カストディアン向けに347項目のセキュリティプラクティスを提案しており、運用リスクを軽減するための措置として、鍵管理と署名操作の分離を強調しています。 草案ではカストディサービスを5つのモデルに分類していますが、各カテゴリーにおける具体的な義務についての詳細が不足しており、適用に関する不確実性が生じています。 この取り組みは小規模なカストディアンにとってコスト増となる可能性があり、適応能力の高い事業者に有利な市場集約を促進する可能性があります。 期限や遵守メカニズムが欠如しているため、この文書は任意ガイドラインとなっており、その影響は拘束力のある規範へと進化するかどうかにかかっています。 暗号資産市場は相対的な安定を示しており、BTCとETHは緩やかな変動を記録しています。これは、この提案がまだ価格に顕著な影響を与えていないことを示唆しています。 SOC2などのレポートに対する批判は、暗号資産に特化した標準の必要性を強調していますが、具体的な代替案は提示されておらず、リスク評価における空白が残っています。