bitbank（ビットバンク）のセキュリティ監査レポートを公開

株式会社bitbank（以下、bitbank）は、お客様に安心して暗号資産取引サービスをご利用いただくため、定期的にセキュリティ監査を実施しております。本レポートは、第三者機関によるセキュリティ監査の結果をまとめたものであり、bitbankのセキュリティ体制の現状と改善点について詳細に解説いたします。本監査は、暗号資産交換業者としての責任を果たすべく、透明性の高い情報公開の一環として実施されるものです。

監査概要

監査期間: 2024年1月1日から2024年3月31日

監査機関: 株式会社セキュリティ・フロンティア

監査範囲:

• bitbankのシステムインフラストラクチャ
• 暗号資産ウォレットの管理体制
• 取引システムのセキュリティ
• 顧客情報保護に関する体制
• 内部統制およびリスク管理体制
• インシデント対応計画
• 法的規制遵守状況（資金決済法、金融商品取引法等）

監査手法:

• ドキュメントレビュー（セキュリティポリシー、運用手順書等）
• システム脆弱性診断（ペネトレーションテスト、静的/動的解析）
• ソースコードレビュー
• ログ分析
• インタビュー（担当者へのヒアリング）
• 物理セキュリティ評価（データセンター等）

監査結果

システムインフラストラクチャ

bitbankのシステムインフラストラクチャは、多層防御の考え方に基づいて構築されており、ファイアウォール、侵入検知システム、不正アクセス防止システム等のセキュリティ対策が適切に導入されています。ネットワーク構成は、DMZ（DeMilitarized Zone）を適切に利用し、内部ネットワークへの不正アクセスを遮断する設計となっています。サーバーの運用管理は、厳格なアクセス制御と定期的な脆弱性スキャンによって行われており、セキュリティリスクを最小限に抑えています。監査の結果、インフラストラクチャ全体として、高いセキュリティレベルが維持されていると評価されました。ただし、一部のサーバー設定において、より厳格な設定を推奨する指摘事項がありました。

暗号資産ウォレットの管理体制

bitbankの暗号資産ウォレットは、コールドウォレットとホットウォレットを適切に使い分けており、大部分の暗号資産はオフラインのコールドウォレットに保管されています。コールドウォレットへのアクセスは、厳格な多要素認証によって制限されており、不正アクセスによる資産流出のリスクを低減しています。ホットウォレットは、取引に必要な最小限の資産のみを保管しており、定期的にコールドウォレットから補充されています。ウォレットの秘密鍵は、ハードウェアセキュリティモジュール（HSM）によって安全に管理されており、物理的な盗難や不正アクセスから保護されています。監査の結果、ウォレット管理体制は、業界標準に準拠しており、高いセキュリティレベルが維持されていると評価されました。しかし、ウォレットの運用手順に関するドキュメントの更なる詳細化を推奨する指摘事項がありました。

取引システムのセキュリティ

bitbankの取引システムは、不正な取引や価格操作を防止するための様々なセキュリティ対策が講じられています。取引APIは、APIキーと署名による認証を必須とし、不正なアクセスを遮断しています。取引注文は、複数の検証プロセスを経て処理され、不正な注文や異常な取引パターンを検知する仕組みが導入されています。システムログは、詳細に記録され、定期的に分析されており、不正行為の早期発見に役立っています。監査の結果、取引システムのセキュリティは、適切に機能しており、不正取引のリスクを低減していると評価されました。ただし、取引システムの負荷テストの実施頻度を向上させることを推奨する指摘事項がありました。

顧客情報保護に関する体制

bitbankは、顧客情報の保護を最重要課題の一つとして捉え、個人情報保護法および関連法令を遵守した体制を構築しています。顧客情報は、暗号化されたデータベースに保管されており、アクセス権限は厳格に管理されています。顧客情報の収集、利用、提供は、明確な目的と範囲を定めたプライバシーポリシーに基づいて行われています。定期的に従業員に対して、個人情報保護に関する研修を実施し、意識向上を図っています。監査の結果、顧客情報保護に関する体制は、適切に機能しており、顧客情報の漏洩リスクを低減していると評価されました。しかし、個人情報保護に関する内部監査の実施頻度を向上させることを推奨する指摘事項がありました。

内部統制およびリスク管理体制

bitbankは、内部統制およびリスク管理体制を整備し、組織全体のセキュリティレベル向上に努めています。リスクアセスメントを定期的に実施し、潜在的なリスクを特定し、適切な対策を講じています。セキュリティポリシーおよび運用手順書は、定期的に見直し、最新の脅威に対応できるよう更新されています。内部監査部門は、独立した立場から、セキュリティ体制の有効性を評価し、改善点を指摘しています。監査の結果、内部統制およびリスク管理体制は、適切に機能しており、組織全体のセキュリティレベル向上に貢献していると評価されました。ただし、リスクアセスメントの実施頻度を向上させることを推奨する指摘事項がありました。

インシデント対応計画

bitbankは、万が一インシデントが発生した場合に備え、インシデント対応計画を策定しています。インシデント対応計画には、インシデントの検知、報告、分析、対応、復旧の手順が詳細に記述されています。定期的にインシデント対応訓練を実施し、対応能力の向上を図っています。監査の結果、インシデント対応計画は、適切に機能しており、インシデント発生時の被害を最小限に抑えることができると評価されました。しかし、インシデント対応訓練のシナリオの多様化を推奨する指摘事項がありました。

法的規制遵守状況

bitbankは、資金決済法、金融商品取引法等の関連法令を遵守し、適切な運営を行っています。定期的に法令遵守状況をチェックし、必要に応じて改善措置を講じています。監査の結果、bitbankは、関連法令を遵守しており、適切な運営を行っていると評価されました。しかし、法令改正への対応状況をより迅速化することを推奨する指摘事項がありました。

改善計画

監査の結果に基づき、bitbankは以下の改善計画を実施いたします。

• サーバー設定の厳格化
• ウォレット運用手順書の詳細化
• 取引システムの負荷テストの実施頻度向上
• 個人情報保護に関する内部監査の実施頻度向上
• リスクアセスメントの実施頻度向上
• インシデント対応訓練のシナリオ多様化
• 法令改正への対応状況の迅速化

まとめ

今回のセキュリティ監査の結果、bitbankのセキュリティ体制は、全体として高いレベルにあると評価されました。しかし、いくつかの改善点も指摘されました。bitbankは、これらの改善点を着実に実施し、お客様に安心して暗号資産取引サービスをご利用いただけるよう、セキュリティ体制の強化に継続的に取り組んでまいります。透明性の高い情報公開を通じて、お客様からの信頼をさらに高めていくことを目指します。今後も定期的にセキュリティ監査を実施し、その結果を公開することで、お客様に安心してサービスをご利用いただける環境を提供してまいります。