JVCEAの暗号資産交換業に係るシステムリスク管理規則ガイド

02 / SUMMARY

Summary（要約）

一次情報の範囲を超えない具体的な要約を、確認の補助として表示します。

• この規則は、事業会員（暗号資産）が暗号資産関連取引に使用するシステムについて、リスク管理体制、サイバーセキュリティ管理、企画・開発・運用、品質・脆弱性管理及び外部委託管理を定めています。システムリスク管理のガバナンスに必要な事項は、別のシステムガバナンス規則が定めています。
• 事業会員は、自ら管理するシステムに加え、暗号資産関連取引の業務で利用する外部事業者のシステムもリスク管理の対象に含めなければなりません。事業会員は部署又は業務単位ごとにシステム管理責任者を置き、各責任者はシステム機器と情報の流路、利用・保管方法及び管理状況を把握・記録します。安全管理上の問題が発生した場合、各責任者は直ちにシステム統括管理責任者へ報告しなければなりません。
• 事業会員は、脅威情報と脆弱性情報を踏まえ、サイバー攻撃の発生可能性と事業・情報資産への影響に基づくリスク評価を少なくとも年1回実施しなければなりません。重大な脅威・脆弱性の判明時と新商品・新サービスの提供時にも評価が必要です。事業会員は評価結果に優先順位を付け、回避・軽減・受容・移転のいずれかを含むリスク対応計画を策定します。例外的な取扱い又はリスク受容は所定の手続に従って経営陣等の承認を得る必要があり、事業会員は残存リスクの評価を含む対応計画を定期的に経営陣へ報告しなければなりません。
• 事業会員は、システムの重要度、リスク又は脆弱性の深刻度に応じてパッチ適用等の期限を定め、対応実績を管理しなければなりません。パッチ適用等を例外的に実施しない場合、事業会員は、実施しない判断とそのリスクについて経営陣等の承認を得る必要があります。事業会員は脆弱性診断とペネトレーションテストを定期的に実施し、重要な結果を迅速に経営陣等へ報告しなければなりません。また、システムの稼働状況を常時監視し、分析によって異常がないことを確認する必要があります。
• 事業会員は、システムに係る外部委託業務について、再委託された場合は最終受託者に至るまで定期的にモニタリングし、委託元として必要な要員と利用者データを監視・追跡できる体制を確保しなければなりません。事業会員が使用するシステムでクラウドサービスを利用する場合、事業会員はサービス仕様と責任共有モデルを理解し、クラウド事業者との責任範囲を明確にしたうえで、情報公開等の設定、仕様変更の影響、関係主体との情報共有・インシデント対応及び利用終了時のデータ取扱いを確認しなければなりません。
• この規則・ガイドラインは2026年6月29日に一部改正され、同年7月1日に施行されました。この記事は、個別システムの安全性、特定のクラウドサービス又は委託先の適否を判定するものではありません。