セキュリティに重要なのは「多様性」、安全管理の正しいアプローチとは｜DMM Bitcoinコラム（セキュリティ編）

ハッキング等へのセキュリティ対策として、業界で画一的な基準を設けるべきとの意見もあります。しかし私たちはそれは却ってリスクを高める、危険な選択になり得るとみています。

その中でDMM Bitcoinが考える、業界が目指すべき本当のセキュリティとは。そして、それを実現していく上で、業界に求められる変化とはどのようなものでしょうか。

安全基準見直しの契機となるか

交換業者はそれぞれどのような方法で、セキュリティにおけるリスク管理を行なっているのでしょうか。

基本的にはどの会社も、一般的にわかりやすい言葉でいうと、ホットウォレットやコールドウォレット、シングルシグ、マルチシグといったものの中で、盗難等のリスクの低減を図るということをしています。

そして、リスク低減というのは各社で画一ではありません。コールドウォレットやホットウォレットの作り方であったり、シングルシグ、マルチシグをどう使い分けるかというのを、各社工夫を行いながら、これであればリスク低減できると考える手法を定期的に見直しをしつつPDCAサイクルを通じて高度化を図っているというのが現状ではないかと思います。

また、比較的高度な技術を使って、ホットウォレットの鍵自身をブラックボックス化するというように運用してきた会社が、今回ハッキングに遭ったというようなことであれば、もう一度ホットウォレットの管理方法を見直したり、点検するという契機になるのではないでしょうか。

セキュリティに必要なのは「多様性」

こういった事案が起こる度に一般的によく言われることとして、金融庁はどう見ていたんだというような話であったり、業界団体全体として、安全性や技術的な実装方法の基準を作り上げるべきではないかというような指摘があります。

確かに業界全体で安全性の標準や技術的な実装方法を定義して、それを遵守するというのは、セキュリティを高めるということについてはひとつの方法論でしょう。

ただ、私個人としては、このアプローチは間違いではないが、正しくもないと思っています。

基準というのはしっかり定義するべきで、ホットウォレットとコールドウォレットをどの比率で持つのかであったり、ホットウォレットにあるものをどう保全管理するか、またコールドウォレットの管理方法やマルチシグにするなど基準はあってもいいと思います。

しかし、業界団体、ワーキンググループとして、画一的なセキュリティの技術基準を築いていこうということについては、それは正しいのかなと私は懐疑的です。

実装すべき技術要素であったり、実装方法など、踏み込んだ形で方式も画一的にするというのは、多様性の観点から言うと危険性が高くなってしまうからです。今回破られてしまった技術についても、その基準においておそらく議論されていたものであることから、私はそのアプローチは正しくないのではないかと思います。

技術要素が均質的である状態で、１社が破られるとほかの類似の実装を行う会社も破られる可能性があるというのはよくないでしょう。

生き物であったり会社であったり、基本は適者生存で、そのメカニズムは生き物のみならず、全ての存在に共通するものです。適者生存のメカニズムが正常に機能するためには、安全管理の技術的な実装方法も多様なほうが優位性があるという気がします。

リスクの要素や技術のあり方はどんどん変化していくので、それに対してどう柔軟に対応していくのかであったり、変化の仕方によって実装のされ方で多様性が出ます。

そして多様性が出ることで、運悪く当たってしまった人というのは、そこで適者生存から外れてしまいます。

生き残っていく人もいるということで言うと、特にIT領域、セキュリティー領域で言うならば、画一的にこの技術を入れるべきというのは危険です。そこは各社のやり方であったり、コンセプトみたいなもので多様性をもたせるというのが、全体としてはリスク低減の度合いを高めると思っています。

「適者生存」から考える技術基準

ここまでで述べた理由から、ワーキンググループで安全性の技術基準を設けることは、今回の事案とは外れているような気がしています。その危険性は、協会や業界団体が真摯にとらえるべきことでしょう。

また、特に安全管理の中核的な部分である実装技術の領域は、企業によってはブラックボックス化しているところなので、そこは企業における最高機密情報になります。場合によっては、その技術のあり方や実装方法で適者生存における競争優位になってしまいます。

これは、セキュリティの実装方法も企業間での優位性を保つのに重要な要素となるということだと当社は考えています。そのため、技術情報を開示、共有し合って統一化しようというのは非常に難しいということを、このコラムを見ている方には理解いただきたいとも思います。

各社が自分たちで工夫を凝らして、どのような技術を適用し、どう守っていくのか。それは適者生存のメカニズムでいう、どちらが強い、弱いという話しではありません。

結果としてそこに適者生存のメカニズムが働いて、技術実装のあり方によって、ハッキングを受けてしまう、受けやすい会社、受けない会社、そして運良く受けない会社というのが出てくるでしょう。

技術情報を共有することが却ってリスクとなってしまう。一社が破られたら全部が破られてしまうので、それはすべきではないということを理解していただけたらありがたいです。

新たにみえた課題

今回の事案から新たにみえた課題として、高度な技術にも弱点があり、それを踏まえてどのような技術面でのリスク管理をとるべきかということがあります。

どれだけ複雑性を高めても、メカニズム自体が解読されてしまうとそれは結局意味をなしません。

では、その中でDMM Bitcoinはどのようなリスク管理を行なっているのか。それについては、様々な複雑性を高めたアプローチを検討しつつ、次回で詳しくお話ししたいと思います。