ブロックチェーン：分散型台帳への 移行に伴うリスクの識別

ブロックチェーン技術は、デジタルインフラクチャおよびプロセス改革の次の波として一般的に見られており、成熟に向けて急速に発展しています。ブロックチェーンに基づいたプロジェクトに着手する際は、次の5 つのIT リスクの分野が重要になります。サイバーおよび情報におけるリスク、アーキテクチャおよび設計におけるリスク、IT コンプライアンスのリスク、サードパーティおよびベンダーにおけるリスク、そして統合におけるリスクです。

ブロックチェーンにより、信頼できる中央当局や公証人役の必要なく、複数のエンティティが取引データに対して合意に達し、真のデータの単一バージョンを形成することが可能になります。この技術は、未知あるいは信頼できない可能性のあるネットワークでつながった複数のエンティティが、デジタル台帳を共有し、データを加えることができ る新たなデータ記録規範となります。デジタル台帳のデータの完全性と機密性は暗号技術で保証されています。

3 つの中核となる特徴である不変性、透明性、自立性が、様々な産業における、現在の製品、プロセス、ビジネスモデルを壊す技術の能力を駆り立てます。真の単一バージョン（不変かつ最新状態のデータ）にネットワークでつながったすべてのエンティティがアクセスできるため、エンティティ間における情報の非対称性が軽減され、異なる情報源間におけるコストのかかる照合作業を回避することができます。例えば、ブロックチェーンソリューションは、複数の医療機関が記録を保管する現状の代わりに、患者の医療歴の概要をすべて提供することもでき、緊急時にはかなりのメリットとなります。ブロックチェーン技術は、データの記録を相互で合意した条件に従って確実に記録するため、中央で確認するエンティティの仲介を排除することができます。

これほど改革的なことには魅了されずにはいられません。しかしながら、プロセスの効率性や有効性を向上させる技術を基にしたチャンスに、課題やリスクが伴わないということは、ほとんどありません。この記事は、ブロックチェーンに基づくソリューションの開発中に考慮すべきIT リスクを特定することを目的とし、このリスクを最小限に抑えるための方策を提供するものです。

サイバーおよび情報におけるリスク

サイバー攻撃はブロックチェーンに記録されたデータの機密性、完全性および可用性を危険にさらす恐れがあります。ハッカーによって悪用された技術的な脆弱性により、損失が生じたり、害が遍在する可能性があります。ブロックチェーンを導入した場合はそうではないと示唆する確証はありません。その上、サイバーインシデントに取り組むための対応方策は、多くの場合不十分なものです。例えば、2016 年6 月にEthereum （イーサリアム）ブロックチェーンに基づいた自 律分散型組織（DAO：Decentralized Autonomous Organization）が、複数の脆弱なエリアに展開されたサイバー攻撃を受けた時、その資金の3 分の1 を失う結果になりました（およそ5 千万米ドル）。¹ 攻撃の数日前にセキュリティパッチが提案されていましたが、それを実施するためのセキュリティチームも手順もありませんでした。それどころか、提案されたパッチは、相互で合意した条件に従って、2 万3 千人いる有権者による正式な投票プロセスを通して採決する必要がありました。

セキュリティの弱点は、ブロックチェーンアプリケーションに書き込むエンドポイントと、電子署名に使用される暗号技術キーの安全な保管の面にも存在しました。ビットコイン取引所であるMt.Gox（4 億5 千万米ドルの損失）とBitfinex （7 千2 百万米ドルの損失）でのサイバーインシデントも、ネットワークのエンドポイントにあるIT インフラストラクチャの侵害に集中した、サイバー攻撃の顕著な例です。

このリスクを軽減するサイバー攻撃対策には、次のものが挙げられます：

• ブロックチェーンアプリケーションに対し、広範囲に及ぶ侵入テストを実施する。
• サービスの安全な配信を確保するコントロール（アクセス・コントロールやファイアーウォールなどの予防的コントロールなど）の設計、導入および保守を含めたエンドポイントに対する適切なセキュリティを導入し、インシデントの発生を特定する評価基準（ネットワークおよびシステムの監視など）を導入する。適切なコントロールの概要は、COBIT 5、² 国際標準化機構（ISO） 27000 シリーズ、および米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）に記載されています。
• インシデントの分析、封じ込め、除去および復旧に焦点を当てたインシデントプロセスを推進する。これらのプロセスを準備するにあたり、連絡方針と専門のサイバー緊急対応チームの手配も考 慮する必要があります。効果的なインシデント対応方策の詳細については、NIST の特別出版 (SP) 800-61 改訂版第2 号に記載されています。³

アーキテクチャおよび設計におけるリスク

ブロックチェーンソリューションの開発過程では、広い分野にわたる様々な技術的および組織的な設計決定を行う必要があります。これらの設計上の選択がソリューションのパフォーマンスに非常に大きな影響を与える場合もあり、その結果、事業目的の達成にも影響を及ぼします。

ブロックチェーンソリューションの技術的設計は、機能的要件に沿ったものである必要はありません。ブロックチェーンに基づく台帳への、追加提案を検証する際に使われる合意プロトコルの選択は、運用能力に影響を与える設計上の選択としてよく引き合いに出されます。VISA では、1 秒当たりおよそ5 万6 千件のトランザクションを処理することができますが（2015 年の報告）、⁴ ビットコインの合意プロトコルでは、決済システムを1 秒あたり7 件のトランザクションのみに制限しています。⁵

「コードが法律」となる環境では、コード化されたルールセットの完全性が非常に重要となります。ルールセットが不完全な場合、望ましくはないが、禁じられてはいない利用者の行動が許される場合があります。誠実な選択に基づいた投票の妨げとなる戦略的投票の誘因がDAO のコードに見られており、これは組織の投資決定に著しい影響を与える可能性があります。⁶

更に、技術上の発展によりデザインが適切ではなくなる可能性があります。量子計算の進歩が、現在ブロックチェーンに保管されているデータの完全性と機密性を確保するために使用されている最新鋭の暗号化システムに、大きな脅威をもたらす可能性があります。これらの暗号化システムは、現在ある従来型の演算では解決がほぼ不可能な数学的な問題に依存しています。

組織の設計上の決定には、アクセス制限と役割分化が含まれます。ブロックチェーンソリューションへのアクセスを、事前に選択済みの、信頼できるノードセットのみに制限することで（すなわち、許可型ブロックチェーン）、信頼できる参加者との連携、合意プロトコルの効率性の向上、プライバシーレベルの向上などの重要なメリットが得られます。許可型ブロックチェーンは、インシデント発生時に対応し、コード化されたルールを積極的に管理するための正式のガバナンス体制や手順の確立に、さらに適しています。これとは対照的に、パブリックブロックチェーンは、誰でも参加してコード化されたルールを確認することができます。このため、パブリックブロックチェーンは参加者の障壁を下げる傾向にあり、主導権を握ることに意欲的なデベロッパーからユーザーを保護することができます。

参加者の役割や責任を区別することが（例えばブロックチェーンに基づく土地登記において、不動産の新規登録の実施を信頼できる機関に限定して許可する等）、望ましい場合があります。参加者すべてが、実在する同じエンティティが運営するIT システムからの参加者である場合、ブロックチェーンは必ずしも設立に最も適した技術とは限らない可能性があると指摘する著者もいます。⁷

アーキテクチャおよび設計におけるリスクを部分的に軽減できるアプローチには次のものが挙げられます：

• 要件と、ビジネス機能および技術・コンプライアンス上の要件の効果的な導出、分析、優先順位付けから成るエンジニアリング過程を設立する。要求仕様の正式な確定とタイムリーな更新は、ベストプラクティスと見なされています。ガイダンスは、COBIT 5 仕様書の構築、調達および導入（BAI: Build, Acquire and Implement）分野のBAI02 Manage requirements definition（要件定義の管理）プロセスに記載されています。
• ブロックチェーンソリューションの開発に、セキュリティ・バイ・デザインへの取り組みを導入する。技術的手段には、ブロックチェーンへのアクセスの制限（すなわち、許可型ブロックチェーンの作成）と役割分化（例えば、信頼のおける記録検証ソフトまたは資産登録機関の使用の支援）が含まれます。ビジネス的手段には、厳格な参加プロセスや地理的な広がりの確保が含まれ得ます。
• ブロックチェーンソリューションに対し、厳格なコードレビューと受入テストを実施する。
• 事業目的の達成を支援する、または影響を及ぼす可能性のある技術的な進化を評価する。
• 戦略的な長期的進化（例えば、技術的な更新またはコード化されたルールの改正など）と、短期間に解決する必要のあるインシデントに対処する、正式なガバナンス体制や手順を構築する。

IT コンプライアンスにおけるリスク

規制が増えて利害関係者の期待が高まる中、規則や業界基準に違反するリスクは高まっており、参加者の財政状態、組織および評判に直接影響を及ぼす可能性があります。合意の仕組みおよび情報セキュリティにおけるコンプライアンス上の課題はすでに指摘されています。金融業界では、決済終局性指令（SFD：Settlement Finality Directive) に規定されている通り、トランザクションの絶対的な最終状態に対する厳格な要件があります。ビットコインの下層にあるような、機能の証となるプロトコルなどの計算作業に基づいた分散型の合意プロトコルでは、通常、確率的な最終的状態しか提供してくれません。技術的には、トランザクショ ンは、トランザクションのブロックを含まないより長いチェーンが作成される可能性が常にあるため、完全に最終的な状態にはなりません。しかしながら、ブロックが追加されるにつれ、経済的な実行可能性および/ または計算上の可能性は低下していきます。確率的な最終的状態がSFD の要件に準拠しているかどうかについてはテストする必要があります。

データの機密性、完全性および可用性に適用される幅広い分野にわたる様々な業界固有の規制や一般的な規制が導入されています。米国では、患者の記録を共有および記録するブロックチェーンソリューションは、米国の「医療保険の携行性と責任に関する法律」（HIPAA: Health Insurance Portability and Accountability Act）の対象となります。欧州では、個人データの要件はEU「一般データ保護規則」（GDPR: General Data Protection Regulation）により強化および統一されています。 GDPR にはとりわけ、欧州連合の国外に個人データを持ち出す際の要件が含まれています。

参加者や機密データの可能性のある台帳が、様々な規則方針を持つ複数の管轄に分散する可能性があるため、様々な規制があることで、ブロックチェーンソリューションに適切な規制を判断することが難しくなる場合があります。

ブロックチェーンに適用されるIT コンプライアンスのリスクに対処する手段には次が挙げられます：

• 業界固有の規則や一般的に適用される規則を含む、より広い分野にわたる規制要求事項と基準を確認する
• 基準設定の過程における規制の進展と進化を監視する
• ポリシーの目的に合致することを確保するために、設計フェーズのなるべく早い段階で適切な規制機関と関わる。機関によっては、特定のフレームワーク（例えば、イギリスの金融行動監視機構の「規制のサンドボックス」など）が設立されている場合もあり、金融業界のイノベーターが通常の規制結果を即座に被ることなく、自身のアイデアを試すことができるようになっています。
• ブロックチェーンソリューションへのアクセスに対する制限を定義し（例えば、反マネーロンダリング規制を順守するため、身元が確認されているパートナーや綿密に調査済みのパートナーのみを許可するなど）、特定の管轄区域での違反を避けるため、台帳のコピーの保有が許可される参加者の場所を制限する

サードパーティおよびベンダーにおけるリスク

ビットコインのピアツーピア電子マネーシステムは信頼できるサードパーティなしで運用できるように設計されましたが、ほとんどのブロックチェーンプロジェクトは、ブロックチェーンソフトウェアベンダーとの戦略的パートナーシップがある中で開発されています。このような戦略的パートナーシップに関連して、新たなサードパーティリスクが発生します。ベンダーが信頼できる安全なサービスを提供できないリスクです。

ブロックチェーンソフトウェアベンダーが、新興組織あるいは拡大中の組織であることは珍しくありません。成功している新興企業もありますが、新興企業の多くが戦略的進化上の問題、法規制への順守上の問題、不安定な金融状態および/ または適切な人的資源の不足といった問題を抱えている可能性があります。例えば、2015 年の半ばには、新興のブロックチェーンソフトウェアベンダーであるRipple が自社のCodius プラットフォームを廃止すると発表しました。⁸ その同年に、Ripple は適切な反マネーロンダリングプログラムの製品への導入を怠ったことを含め、複数の規制上の要件に違反したとして、米国財務省に罰金を科されました。⁹ その後、Ripple は是正措置に同意しています。金融上のリスクもしばしば懸念事項となります。ブロックチェーン新興企業の多くが、資金不足により失敗しています。¹⁰ そして最後に、ブロックチェーンの専門家を引き入れて人員削減を回避することが、新興企業にとって難しい場合があります。¹¹

ブロックチェーンソフトウェアベンダーに関連するリスクを管理するためのアクションには、次のものが挙げられます：

• 計画段階、デューデリジェンス段階、サードパーティの選択段階、および終了段階を含むサードパーティとの関係の継続的なライフサイクルをカバーするリスクマネジメント方策を導入する。米国通貨監督庁（OCC: Office of the Comptroller of the Currency）の広報2013-29 および2017-7 に金融業界のサードパーティとの関係に対するガイダンスが提供されており、米国経済的および臨床的健全性のための医療情報技術に関する法律（HITECH: Health Information Technology for Economic and Clinical Health）には、医療業界の「ビジネス関係者」の要件が明確に規定されています。
• 契約後のコンプライアンスアセスメントと継続的な監視プログラムを実施する
• サードパーティが持つ長期戦略目的に対する洞察力を身につけ、ベンダーへの重大なリスクが顕在化した場合に利用できる正式なコミュニケーションラインを確立するために、サードパーティとの関係を積極的に管理する。
• 現在のサードパーティの状態、コントロールおよびサービスに対する社内および外部の監査保証を要求する。例：国際保証業務基準（ISAE: International Standards for Assurance Enagement） 3402、サービス組織のコントロールに対する保証報告書。¹²

統合におけるリスク

組織が製品、プロセスおよびビジネスモデルを混乱させる技術的変更に直面した時、経営陣は早急に反応したくなり、未成熟な技術更新を強く要請する場合があります。このような組織は、既存システムとの統合の欠如（技術的な面から）、あるいはビジネスプロセスの不適切な適用（ビジネス面から）により、技術更新方策が不適切になるリスクを冒すことになります。Deutsche Bank のリサーチアナリストは、従来の銀行のレガシーシステムに対する努力が、技術的改革の主な抑制剤になっていると結論付けました。¹³ 既存のシステムに新技術を統合するためのインターフェースを、許容できるタイムフレーム内に開発することができません。他の提案（スウェー デンのLantmäteriet の不動産取引システムに対する提案など）では、統合要件を社内システムの範囲を超えたものにまで広げています。¹⁴ 更に、複数のブロックチェーンに基づいた台帳システム間の突き合せが必要になった場合、統合上の問題が発生する場合があります。例えば、ブロックチェーンを使った資本市場に対する独自の見解を夢想するEuroclear は、異なる資産タイプを保有する台帳間の同期の必要性を指摘しています（例えば、現金と金融派生商品など）。¹⁵ Euroclear は同じ報告書において、資本市場の参加者の中には流通プロセスの中間段階をなくすことができる者があるとし、これにより他の金融機関の活動やビジネスプロセスが影響を受けるであろうとしています。

統合におけるリスクを軽減するために、組織は次のことを行うことができます：

• 繰り返し可能なテスト手順と広範囲に及ぶテスト計画の開発に専念するとともに、要件のエンジニアリングの重要性を重視する。
• 利害関係者にビジネスの変化に備えてこれにコミットメントできるように、COBIT のBAI05： 組織変革を可能とするものを管理する（Manage organisational change enablement）プロセスに記載されている通りに、組織変革を可能とするものを管理する
• 可能な場合は、一般に認められているブロックチェーン技術とインターフェース標準を採用する

結論

ブロックチェーンソリューションの開発におけるリスクを分析することで、正式なガバナンス構造と手順を確立することで得られる潜在的なメリットが明らかになりました。この発見はブロックチェーンが暗号化通貨環境のパイオニアであるとする基本的な前提に反するものですが、リスクの回避と復旧には非常に貴重となる可能性があります。

ブロックチェーン技術と同様に、その規制フレームワークもまだ完全に成熟しておらず、これがコンプライアンスにおけるリスクの具体化の可能性を高めています。それだけでなく、現代の台帳ソリューションのビジネス上、技術上、セキュリティ上、およびコンプライアンス上の要件を満たすためには、厳格な参加条件を持つ許可型ブロックチェーンと効果的なアクセス管理の方がより適切かもしれません。

後注

¹ Finley, K.、“A $50 Million Hack Just Showed That the DAO Was All Too Human”、Wired、2016年 6月19日、https://www.wired.com/2016/06/50-million-hack-just-showed-dao-human
² ISACA、COBIT 5、米国、2012年
³ National Institute of Standards and Technology、 Computer Security Incident Handling Guide Revision 2、NIST Special Publication 800-61、米国、2015年 http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-61r2.pdf
⁴ Visa、“Visa Inc. at a Glance”、米国、2015年,
⁵ Croman, K. およびその他、On Scaling Decentralized Blockchains、2016年、 http://fc16.ifca.ai/bitcoin/papers/CDE+16.pdf
⁶ Mark, D.、V. Zamfir、E. G. Gun Sirer、A Call for a Temporary Moratorium on “The DAO”、 2016年5月26日、https://docs.google.com/document/d/10kTyCmGPhvZy94F7VWyS-dQ4lsBacR2dUgGTtV98C40/edit#
⁷ Buterin, V.、“On Public and Private Blockchains”、Ethereumブログ、2015年8月 7日、https://blog.ethereum.org/2015/08/07/on-public-and-private-blockchains/
⁸ Glatz, F.、“The Quiet Death of Ripple’s Codius Project: Why Decentralized Infrastructure Has Still a Long Way to Go”、Medium、2015年 6月13日、https://medium.com/@heckerhut/the-quiet-death-of-ripple-s-codiu-project-782c11a17c02
⁹ Department of the Treasury Financial Crimes Enforcement Network、“FinCEN Fines Ripple Labs Inc. in First Civil Enforcement Action Against a Virtual Currency Exchanger”、米国、 2015年5月5日、https://www.fincen.gov/sites/default/files/shared/20150505.pdf
¹⁰ CB Insights、“Startup Failure Post-Mortems”、ブログ投稿、2017年2月10日、https://www.cbinsights.com/blog/startup-failure-post-mortem/
¹¹ Nash, K.、“Blockchain Experts, a Rare Breed, May Demand Big Bucks”、The Wall Street Journal、2016年5月12日
¹² International Standard on Assurance Engagements (ISAE) 3402、Assurance Reports on Controls and a Service Organization、 2011年6月15日、www.ifac.org/system/files/downloads/b014-2010-iaasb-handbook-isae-3402.pdf
¹³ Allison, I.、“Deutsche Bank Mulls the Potential of Blockchain and the Problem of Legacy Systems”、International Business Times、2015年8月24日、www.ibtimes.co.uk/deutsche-bank-mulls-potential-blockchainproblem-legacy-systems-1516686
¹⁴ Lantmäteriet (The Swedish mapping, cadastre and land registration authority)、Telia Company、 ChromaWay、Kairos Future、“The Land Registry in the Bockchain”、2016年7月、 http://ica-it.org/pdf/Blockchain_Landregistry_Report.pdf
¹⁵ Wyman, Oliver、Blockchain in Capital Markets: The Prize and the Journey、Euroclear、 2016年2月、https://www.euroclear.com/dam/Brochures/BlockchainInCapitalMarkets-ThePrizeAndTheJourney.pdf