「不変」という強固な盾で事業崩壊から防ぐ 暗号資産取引所Zaifが顧客の資産を守り抜く
規制の見直しにより
厳格なセキュリティ対策が不可避
国内で歴史のある暗号資産取引所の一つであるZaifは、老舗というだけでなく、業界に先駆けて革新的なサービスをいくつも生み出してきた“革命児”でもある。
ユーザー同士が売買する「板取引」を長年にわたり提供するほか、コイン積立やステーキングといった新しいサービスも積極的に展開してきた。さらに今後、ユーザー獲得の追い風となりそうなのが、国による規制の枠組みの見直しだ。
「現在、暗号資産の取引は資金決済法に基づき提供されていますが、暗号資産を新たな金融商品として位置づけ、金融商品取引法（金商法）の枠組みで規制すべきではないかという論議が国会で繰り広げられています。早ければ、2027年度中にも、暗号資産取引の規制に金商法が適用される可能性も議論されています」と佐古氏は説明する。
資金決済法の下では、暗号資産取引による利益は原則として雑所得と見なされ、最大55％の総合課税が適用されるが、現在、暗号資産交換業界全体で他の金融商品と同様の申告分離課税（20%）への移行が要望されており、もし金商法への移行に伴い税制改正が実現すれば、投資家の税負担が適正化される。その結果、市場参加者が増え、取引が活発化する可能性も高まるので、暗号資産取引所にとっては大きな追い風となり得るのだ。
一方で、取引を規制する枠組みが資金決済法から金商法に移行すると、暗号資産取引所には、より厳格なセキュリティと内部統制が求められるようになるはずだ。
「とくに、投資家保護の観点からの審査やチェックは格段に厳しくなるでしょう。不公正取引やフィッシング詐欺への対策、社内のインサイダー取引防止に向けた統制などが強化されるはずです」と佐古氏は予想する。
侵入を防ぐだけではなく
侵入後のデータ保護も強化
中でも要求レベルが格段に高まると見込まれるのがセキュリティ対策だ。
「あらゆる操作や挙動をログとして記録し、後から確実にチェックや監査ができる体制を整える必要があると考えています。『誰が、いつ、どのような取引や操作を行ったのか？』という記録を、厳格に管理できるようにしなければなりません」と語るのは、同社 プロダクト企画開発部 エンジニアリングマネージャの湯瀬淳也氏である。
プロダクト企画開発部
エンジニアリングマネージャ
湯瀬淳也 氏
ただし、新たな法令に準拠する体制を整えるだけでは、セキュリティ対策としては不十分だとZaifは考えている。なぜなら、サイバー攻撃の手口は刻一刻と巧妙化し、どんなに万全と言われる防御策を講じても、新たな技術や手法によって、いともたやすく打ち破られてしまうケースが後を絶たないからだ。
とくにZaifが懸念しているのが、近年激増しているランサムウェア被害である。過去の様々な被害事例を検証する中で、佐古氏は「侵入を防ぐ対策を続けつつ、万が一突破された場合のデータ保護も、これまで以上に強化する必要があるのではないか？」と考えるようになった。実際、侵入後のデータ保護を突き詰めて検討する中で、侵入そのものを防ぐ対策にも新たな視点が生まれ、両者が相互に高め合う効果を実感したという。
「厳格なアクセス制限を行っても、ランサムウェアが権限を持つ当社の人間になりすましてシステムに入り込んでしまったら、お客様の資産データや取引履歴、残高情報といった重要な記録が失われたり、改ざんされたりする恐れがあります。お客様の財産をお預かりする暗号資産取引所にとって、これは絶対にあってはならないことです」（佐古氏）
もちろん、そうした事態が起こればサービスそのものが提供できなくなり、Zaifの事業継続も困難となる。社会からの信用を失うことにもつながりかねないのだ。
「だからこそ、『データを守る』ことを事後の対応策としてではなく、事前の経営課題として捉える必要がありました。インシデントが起こってからでは遅い。お客様からお預かりしている資産とデータを確実に守るため、進化する脅威に対して常に先手を打つことで、データ保護体制をさらに強化するという経営判断に至りました」と佐古氏は語る。
安全なデータ保護を目指してZaifが26 年1月からの検証を経て、現在導入を進めているのが、Rubrik（ルーブリック）である。
なぜ、数あるデータ保護ソリューションの中から、ZaifはRubrikを採用したのか？
最大の決め手は、「管理者が意図的に削除しようとしてもできない仕組み」が実現できることだったという。
そもそもRubrikは、ハイパースケーラーなどのクラウド上で保存したデータを、機密性と完全性を担保した状態でバックアップ・即時復元できるソリューションである。ハイパースケーラーが通常機能（ネイティブ）で提供するバックアップ機能は、データが自社アカウント内にとどまるため、ランサムウェアなどに管理者権限を奪取されると、データを消去・改ざんされてしまう恐れがある。
「その点、Rubrikのバックアップ用クラウドストレージであるRCV（Rubrik Cloud Vault）は、同社が管理する完全に独立したアカウントにデータを保存するので、自社環境が侵害されてもバックアップには被害が及びません。この『論理的エアギャップ』を確保できる点が選定の決め手となりました」と湯瀬氏は明かす。
データ保護のために
徹底的なセキュリティ強化を続ける
「論理的エアギャップ」が確保できるだけでも、データ保護の安全性はかなり高まるが、さらにZaifが着目したのは、万が一、RCVにまでランサムウェアの手が及んだとしても、データの破壊や、暗号化を拒絶する技術が採用されている点だ。
「データをイミュータブル（不変）な状態で保持できるバックアップ製品で最も優位性が高いと判断したのが、Rubrikでした。管理者になりすましてデータに手を加えようとしても、そもそもバックアップストレージに手が届きにくく、届いたとしても指示はすべて跳ねのけるので、二重、三重の防御の壁を築くことができます。その圧倒的な信頼性も、Rubrikを高く評価したポイントでした」（湯瀬氏）
ちなみにRubrikには、基本的なデータ保護および管理機能を提供するエントリーレベルFoundation Editionのほかに、より多彩で高度な機能が利用できるEnterprise Editionと呼ばれるサブスクリプションパッケージがある。
Zaifは後者を採用したが、その理由は、Foundation Editionには含まれていないAnomaly Detection（ふるまい検知）やThreat Monitoring（脅威検出）そして、Threat Hunting（脅威ハンティング）という機能が利用できるからだ。
これらの機能は、ハイパースケーラー上に保持しているバックアップデータにマルウェアや不審なファイルが潜んでいないかどうかを自動的に監視し、万が一感染していた場合は、過去のバックアップにさかのぼって、いつから感染していたのか？どの範囲まで被害が及んでいるのか？ といったことを特定してくれる。これによって「クリーンな復旧ポイント」の選定が可能となり、再感染のリスクを抑えられるのだ。
しかも、「『改ざんされていないクリーンなデータが確実に存在する』と証明できることは、お客様への迅速な情報提供や、資産保護のためにも非常に重要です。そのため、我々のような暗号資産取引所にとっては必要不可欠な機能だと判断して、Enterprise Editionを選びました」と湯瀬氏は説明する。
株式などの伝統的な資産と異なり、暗号資産はインターネット上で24時間リアルタイムに取引される性質上、取引状況を管理するシステムも常時ネットワークに接続しておく必要があり、攻撃者から狙われやすい状況にある。
「その上暗号資産は、預金や株と違って、一度流出したら取り戻すのが極めて難しい資産です。だからこそ、データ保護のための取り組みは徹底的に行わなければなりません。今後もRubrikをさらに活用するなど、セキュリティの強化に取り組み続けます」と佐古氏は語る。
ZaifによるRubrikを活用したデータ保護の取り組みは、他の暗号資産取引所や金融業界全体にとっても、大いに参考になりそうだ。
