全面的に執筆途中です。
本ガイドラインは、価値記録 (仮想通貨、又は暗号通貨と呼称されているものと、その他の新技術を利用した決済手段の一部を含みます) を扱う事業を適正に行う上での指針を定めるものです。
各事業者は、必ずしも全ての指針に従う必要はありませんが、事業規模や、取引のリスクの度合いに応じ、適切な自主規制を行う必要があります。
2014年9月5日現在、価値記録に関する法令等は制定されておりません。価値記録を扱う事業者は、金銭や種々の商取引に関連する法令等を遵守し、適正に事業を行う必要があります。
価値記録の性質を悪用し、麻薬の密売や脅迫、資金洗浄等に利用される事案が発生しております。価値記録の事業者は、取引等に関連する種々の犯罪を防止するための対策を講じ、行政機関等へ適宜報告相談し、適正に事業を行う必要があります。
犯罪の収益の移転を防止するため、取引相手の情報を記録し保管する必要があります。
犯罪防止に関する法令等を参照
犯罪防止の為、リスクの高い取引を行う際には、取引相手の本人確認を行う必要があります。
価値記録の事業者は、価値記録業界の健全性を著しく損なう、反社会的勢力との一切の関係を遮断することが求められます。また、資金移動等に関連する事業者は、特段の配慮をもって事業を行う必要があります。
参考: 企業が反社会的勢力による被害を防止するための指針について (法務省)
利用者との契約締結時に、反社会的勢力との契約を避ける為、反社会的勢力ではないことを確認する条項を盛り込むことが求められます。
警察庁等により、反社会的勢力のデータベースが構築されています。反社会的勢力対策のサービスを提供する機関や、弁護士等を通じ、データベースの照会を行うことにより、利用者が反社会的勢力ではないことの確認を行うことができます。
国内大手金融機関では、反社会的勢力の排除を行うため、独自のデータベースの構築や、警察庁のデータベースと連携するシステムによる確認が行われています。取引時に、国内大手金融機関の口座の利用を確認することにより、利用者が反社会的勢力ではないことの確認を行うことができます。
盗取されたクレジットカード情報等が不正利用される事案が発生しています。クレジットカードの不正利用では、事業者側に負担を求められる為、事業者の自己防衛の為にも、不正送金を防止する為、本人確認を行うことが求められます。
インターネットバンキング等への不正アクセスにより、銀行口座等が不正利用される事案が発生しています。不正送金を防止する為、本人確認を行うことが求められます。
国内外の経済制裁対象者への資金移動を防止するため、疑わしい取引の場合は、司法機関等への確認や届け出を行う必要があります。
取引記録の偽装や、匿名化通信プログラム等を利用したアクセスの防止措置、本人確認等を行うことが求められます。
販売仲介等を行う場合、下記の商品等を取り扱わないための対策を行う必要があります。
見せ球や、特定の人物や集団による出来高の演出等を防止するための対策を行うことが求められます。
価値記録を利用した賭博が行われる可能性があります。価値記録の事業者は、賭博を行うサービス等への誘因を防止する為の対策を行うことが求められます。
価値記録の事業者は、利用者から預かる資産の紛失・盗難・横領や、顧客情報の流出、その他の被害を防止する為の対策を講じる必要があります。
資産の保全方法について、金融に関する法令等に準じた対策を行う。預かり資産を最小化する措置を取る。
利用者によるリスク評価を行えるようにする為、価値記録の事業者は、種々の生じ得る損害について無保証、又は部分的な保証の範囲と方法について明記することが求められます。
特に必要がない場合、預かり資産を最小化するサービスの設計及び運用を行うことが求められます。
利用者の資産運用を目的として資産を預かる場合を除き、各預かり資産の建て通貨における、非リスク資産、又はリスクウェイトが0%とされるリスク資産による保有を行うことが求められます。
価値記録の事業者は、預かり資産と自己の資産等を分別管理し、可能な場合は、信託等を利用し、事業者の倒産リスクから顧客の資産を保護することが求められます。
保険会社と種々の損害保険契約等を締結することにより、顧客資産の保全を行うことができる場合があります。
価値記録の事業者は、価値記録の盗難、紛失及び横領による喪失を避ける為、下記の対策等を行うことが求められます。
価値記録の事業者は、利用者と投資家に判断材料を提供し、また、健全な事業運営を行うため、預かり資産の管理状況と、管理者の人事体制、業務委託先、出資者、取引先及び、それぞれの内部規定について、適切な情報開示を行うことが求められます。
必要と判断される場合、当該分野の専門家や、行政・司法機関等の助言を受けることが求められます。
個人情報の保護に関する法律 (消費者保護に関する法令等) を遵守することを原則とし、必要に応じて下記の対策等を行うことが求められます。
価値記録の事業者は、必要に応じて、種々のリスクについて明記することが求められます。
青少年の健全な育成の障害となる有害情報等を掲載する際は、年齢確認やフィルタリング等による対策を行うことが求められます。
参考: 違法商品及び有害情報に関する法令等
価値記録の事業者は、価値記録を利用した商取引や、インターネットの利用に関連する、種々のトラブルや犯罪を防止する為の注意喚起を行うことが求められます。
参考: 消費生活安全ガイド (消費者庁)
参考: サイバー犯罪に巻き込まれないために (警視庁)
価値記録に関連するセミナー等において、特にRippleやStellar等の価値記録が相場の数十倍の価格で販売される事案が発生しています。価値記録の事業者は、情報の非対称性に配慮し、注意喚起や相場情報の公開等を行うことが求められます。
外国通貨の場合の注意喚起の例: 国内で取扱いの少ない「外国通貨の両替」の勧誘に関する注意喚起 (消費者庁)
価値記録事業者は、種々の決済手段や換金性商品等を利用した窃盗、不正送金、振り込め詐欺、資金洗浄等に利用されることを防止する為の注意喚起を行うことが求められます。
価値記録の受け取りを匿名で行える場合がある為、取引時の詐欺等に価値記録が利用される事案が発生しています。価値記録の事業者は、ネットショップやインターネットオークション等において、利用者が詐欺等に巻き込まれることを防止する為の注意喚起を行うことが求められます。
価値記録の事業者は、一般的な記録の保全に加え、特に価値記録管理情報 (公開鍵暗号方式における秘密鍵等) の消失対策を行うことが求められます。
記録装置の故障に備え、同じ原因による故障を避ける設計により多重化を行うことが求められます。
人為的ミスによる記録の消失に備え、削除した記録を復旧可能な設計にすることが求められます。
多重化された記録装置が同時に失われる事態を避ける為、地理的に離れた場所に設置された装置による記録の多重化を行うことが求められます。
価値記録の事業者は、一般的な事業者の内部関係者による不正行為対策に加え、価値記録管理情報 (公開鍵暗号方式における秘密鍵等) の不正利用等の対策を講じる必要があります。
参考: 組織における内部不正防止ガイドライン (独立行政法人情報処理推進機構)
特に顧客の資産を扱う価値記録の事業者は、価値記録や顧客情報、その他の非公開情報等への不正アクセスの標的となり易い為、一般的な事業者と比較し、より厳重な対策を講じることが求められます。
仕様策定・設計・実装・テスト・運用のすべての段階において、セキュリティに配慮した作業を行う必要があります。
参考: 情報セキュリティ対策実践情報 (独立行政法人情報処理推進機構)
外部からの入力内容を必ず検証し、特にコマンドを実行可能な入力では、複数回の検証を行うことが求められます。
リスト型攻撃等による脅威を軽減する為、二要素認証等の対策を導入することが求められます。
既知の脆弱性が含まれたソフトウェアの利用や、公衆のネットワークやコンピューター等の利用時のリスクを考慮した設計や注意喚起を行うことが求められます。
マルウェアなどの感染による情報漏えいを防ぐため、リスクの高いソフトウェア等を停止し、情報収集等の利用を行わない専用端末を利用することが求められます。
重要なシステムへのアクセス権限を利用する場合、物理的に分離された通信回線や、ソフトウェアによる代替手段の利用が求められます。
システムの基礎を構成するソフトウェア等に、重大な欠陥が発見される事案が度々発生する為、重要なシステムの分離や、暗号化等により、多層的なセキュリティを構築することが求められます。
拠点間の通信も含め、ユーザー認証情報や個人情報、取引情報等の機密性のある情報をインターネット上で転送する場合、十分な暗号強度を持つ暗号方式を利用した通信を行う設計とする必要があります。
多層防御の一環として、個人情報や認証情報等の記録時にハッシュアルゴリズムによる難読化や公開暗号方式等を利用し、情報漏えいリスクを低減することが求められます。
価値記録の事業者は、利用するソフトウェア等の潜在的な不具合や脆弱性による影響を最小化する為、ソフトウェアのアップデートの迅速な適用を行い、また、新たな脅威や脆弱性の情報収集と対策を継続的に行うことが求められます。
脆弱性等を利用した攻撃の脅威を軽減する為、システム構成等を秘匿することが求められます。
ソーシャルエンジニアリング等の攻撃手法による情報漏えい等を防ぐ為、顧客との連絡時の本人確認ポリシーや、情報公開についてのポリシー等を定め、厳格に運営することが求められます。
情報漏えい対策として、施錠の二重化や、監視カメラの設置、入退出管理、端末保存データの暗号化等の防犯対策を行うことが求められます。また、犯罪の兆候を発見した際等には、捜査当局等への連絡を行うポリシーを明確にすることが求められます。