アドバイザー向け暗号資産カストディのサイバーセキュリティ管理策

アドバイザー向けの暗号資産カストディにおけるサイバーセキュリティ管理策とは、顧客のデジタル資産、秘密鍵、取引権限を保護するための技術的および運用上の安全対策です。登録投資顧問会社、ファンド、コンプライアンスチームにとって、効果的なカストディを実現するには、カストディアンを選ぶだけでは不十分です。鍵管理、アクセス制御、取引モニタリング、分別管理、テスト、事業継続性のすべてが投資家保護に関わります。

主なポイント

• デジタル資産の所有権と取引権限は、暗号技術による秘密鍵に大きく依存しています。そのため、鍵の侵害は暗号資産カストディに特有のリスクとなります。

• SECのカストディ・ルールでは通常、対象となる顧客資金または有価証券をカストディする登録投資顧問会社に対し、例外を除いて適格カストディアンの利用を求めています。サイバーセキュリティ管理策はこれらの法的要件を支えるものですが、代替するものではありません。

• 機関投資家向けのカストディ管理策には通常、コールドストレージ、ハードウェア・セキュリティ・モジュール、マルチパーティ・コンピュテーション、マルチ署名による承認、フィッシング耐性のあるMFA、リアルタイム取引モニタリングが含まれます。

• アドバイザーは、サードパーティのカストディサービスについて、セキュリティアーキテクチャ、資産の分別管理、インシデント対応、監査、運用レジリエンスなどを含むデューデリジェンスを実施してください。

• NIST CSF 2.0はサイバーセキュリティのリスク管理モデルとして有用です。ただし、SECのカストディ・ルールは、MPC、コールドストレージ、NIST SP 800-53などの特定技術を一律に義務付けていません。

暗号資産カストディに専門的なサイバーセキュリティ管理策が必要な理由

デジタル資産のカストディは、ブロックチェーン上の資産の管理が暗号技術による認証情報に直接依存する場合があるため、従来の有価証券カストディとは運用面で異なります。秘密鍵が侵害されると、攻撃者は物理的な証書を取得したり、従来の銀行口座にアクセスしたりすることなく、資産を移転できる可能性があります。

また、ブロックチェーン上の取引は、承認されると一般的に取り消すことが困難です。秘密鍵を失うと顧客の保有資産に永久にアクセスできなくなる可能性がある一方、盗まれた鍵によって不正なデジタル資産取引が実行される可能性もあります。

このため、暗号資産カストディと秘密鍵の保護は、デジタル資産管理の中核となります。アドバイザーとファンドは、窃取、認証情報の侵害、運用上のミス、内部脅威に対応できるセキュリティプロトコルを整備する必要があります。

秘密鍵管理と取引承認

包括的な鍵ライフサイクル管理は、最も重要な暗号資産カストディ管理策の1つです。安全な鍵生成、保管、アクセス、バックアップ、ローテーション、復旧、破棄が対象となります。

単一の人物またはデバイスによる直接的な管理を抑制できる技術には、次のようなものがあります。

コールドストレージは、特に頻繁な移動を必要としない顧客資産について、オンライン攻撃への露出を抑えられます。ただし、コールドストレージが自動的に安全であるとは限りません。脆弱なバックアッププロセス、不十分な物理的管理、適切でない復旧手順によって、資産カストディのリスクが生じる可能性があります。

同様に、MPCやマルチ署名システムはセキュリティアーキテクチャであり、それ自体がSECへの準拠を自動的に証明するものではありません。

アクセス制御、MFA、ゼロトラストセキュリティ

カストディインフラでは、管理者認証情報が単一障害点にならないようにする必要があります。フィッシング耐性のある多要素認証はカストディシステムへのアクセスを強化でき、ロールベースの権限設定によって、取引の作成、承認、実行を許可する従業員を制限できます。

ゼロトラスト・ネットワーク・アクセスは、内部ネットワークからのアクセスを自動的に信頼するのではなく、ユーザー、デバイス、セッションの認証と承認を要求することで、さらにリスクを低減できます。

これらの管理策はウォレットだけに限定されません。管理コンソール、クラウドインフラ、鍵管理システム、出金設定、コンプライアンス支援ツールは、いずれも攻撃対象領域になる可能性があります。

正当な秘密鍵であっても悪意のある取引を承認できるため、ウォレット権限には別のリスク層が存在します。したがって、ウォレット承認と署名リスクに関する管理策は、直接的な鍵の窃取に対する保護を補完します。

取引モニタリングと顧客資産の分別管理

リアルタイム取引モニタリングにより、アドバイザーまたはカストディアンは、さらなる資産が危険にさらされる前に、不審な資金移動を特定できます。自動異常検知では、通常とは異なる出金先、異常な取引額、新しい管理者デバイス、想定される運用パターンから外れた振替などを検出できます。

機関投資家向けの防御策には、アドレスの許可リスト、出金限度額、時間遅延、高額振替に対する独立した承認なども含められます。

資産の分別管理も同様に重要です。顧客ウォレット、運用ウォレット、自己資産を分離することで、侵害の影響を限定し、顧客保有資産の照合を容易にできます。

分別管理は、SECの現行カストディ・ルールに反映されている、より広範な投資家保護の原則も支えます。同ルールでは通常、対象となる顧客資金および有価証券を、定められたカストディ契約に基づき適格カストディアンで管理することを求めています。このルールは1962年から存在し、カストディ慣行の進展に伴って改正されてきました。

サードパーティ・カストディアンのデューデリジェンス

サードパーティのカストディサービスを利用しても、運用リスクがなくなるわけではありません。外部カストディ契約を検討するアドバイザーは、顧客資産を預ける前に、サービス提供者がデジタル資産をどのように保護しているかを把握する必要があります。

デューデリジェンスでは、次の事項を確認できます。

• 法的および規制上のステータス

• 秘密鍵および鍵管理のアーキテクチャ

• ホットウォレットおよびコールドウォレットの管理策

• MPCまたはマルチ署名の設計

• 従業員のアクセス制御

• 顧客資産の分別管理

• 取引承認手続き

• 定期的なセキュリティ監査および侵入テスト

• インシデント対応手順

• 保険の補償範囲

• 災害復旧および事業継続計画

• 記録管理および口座履歴

投資顧問法に基づくアドバイザーの受託者責任も、顧客との関係において引き続き重要です。カストディを外部委託しても、重要なサービス提供者に関するリスクを合理的に監督する必要がなくなるわけではありません。

NISTサイバーセキュリティ・フレームワークと運用レジリエンス

NISTサイバーセキュリティ・フレームワーク2.0は、組織が「ガバナンス」、「識別」、「防御」、「検知」、「対応」、「復旧」の6つの機能を通じてサイバーセキュリティリスクを評価できる、技術に依存しないモデルを提供します。

デジタル資産カストディにおいて、このフレームワークは、カストディ慣行のガバナンス、重要な鍵インフラの識別、秘密鍵の保護、不審な活動の検知、インシデント対応、復旧計画へと適用できます。

NIST SP 800-53も、適切な場合には組織のセキュリティ管理策に関する参照基準として利用できます。ただし、SECのカストディ・ルールは、適格カストディアンに対してNIST SP 800-53への具体的な準拠を一律に求めているわけではありません。

定期的な侵入テスト、セキュリティ監査、アクセスレビュー、復旧演習を実施することで、運用管理策が意図したとおり継続的に機能しているかを検証できます。

SEC規制とサイバーセキュリティ管理策

SECの現行規制フレームワークは、技術面のベストプラクティスとは区別する必要があります。規則206(4)-2では通常、顧客資金または有価証券をカストディするRIAに対し、それらを適格カストディアンで管理することを求めています。また、適切な調査を行ったうえで、顧客が少なくとも四半期ごとにカストディアンから直接口座履歴を受け取っていると合理的に判断できる根拠を持つことも求めています。

2026年10月1日、SECは登録投資顧問会社および規制対象ファンドに関する新たな暗号資産カストディ規則を提案しました。この提案には暗号資産カストディに関するサイバーセキュリティ上の考慮事項が含まれていますが、最終要件ではなく、提案規則にとどまっています。したがって、SECの暗号資産カストディに関する規則制定を、すでに施行されている法律として扱うべきではありません。

Gateが提供できる支援

デジタル資産カストディを評価する機関は、運用モデルを設計する際に、カストディのセキュリティと市場執行を分けて検討できます。Gate Institutionalは機関投資家向けのデジタル資産インフラと市場アクセスを提供します。一方、アドバイザーは、自らのカストディ契約、サービス提供者、運用管理策が、適用される受託者責任および規制要件を満たしているかを判断する責任を負います。

まとめ

アドバイザー向けの暗号資産カストディに関するサイバーセキュリティ規則は、単一のウォレット技術ではなく、複数層の保護で構成されます。強固なカストディ慣行には、安全な鍵ライフサイクル管理、管理された取引承認、資産の分別管理、モニタリング、テスト、インシデント対応、サードパーティに対するデューデリジェンスが組み合わされます。SECのカストディ要件は対象資産に関する規制上の基準を定める一方、NIST CSFなどのフレームワークは、アドバイザーがより広範なサイバーセキュリティおよび運用レジリエンス管理策を体系化するうえで役立ちます。

よくある質問

SECは投資顧問会社に暗号資産カストディでMPCの利用を義務付けていますか？

いいえ。MPCは署名権限を分散することで秘密鍵管理を強化できますが、現行のSECカストディ・ルールは、MPCを一律のカストディ要件として規定していません。

SECは顧客の暗号資産にコールドストレージの利用を義務付けていますか？

すべての暗号資産についてコールドストレージを義務付けるカストディ・ルールの一般規定はありません。コールドストレージはオンライン環境への露出を低減できるセキュリティ管理策ですが、アドバイザーは、より広範なカストディモデルおよび適用される規制要件の中で評価する必要があります。

アドバイザーが暗号資産カストディアンに対してデューデリジェンスを実施すべき理由は何ですか？

カストディアンに対するデューデリジェンスにより、アドバイザーは、顧客資産に影響を及ぼす可能性のある鍵管理、資産の分別管理、セキュリティプロトコル、内部統制、復旧能力、その他のリスクを評価できます。サービス提供者の選定は、アドバイザーが負うより広範な受託者責任とも関係します。

適格カストディアンはNIST SP 800-53に従う必要がありますか？

SECのカストディ・ルール上、一律に義務付けられているわけではありません。NIST SP 800-53は、セキュリティおよびプライバシー管理策の詳細なカタログを提供しており、機関投資家向けのサイバーセキュリティプログラムに役立てられます。ただし、すべての適格カストディアンに対するSECの包括的な要件として提示すべきではありません。

暗号資産カストディにおいて最も重要なサイバーセキュリティ管理策は何ですか？

中核となる管理策には通常、安全な鍵ライフサイクル管理、MFA、MPCまたはマルチ署名による承認、コールドストレージアーキテクチャ、ウォレットの分別管理、リアルタイム取引モニタリング、侵入テスト、インシデント対応、事業継続計画が含まれます。