デジタル・分散型金融への対応のあり方等に関する研究会第5回でお話しした内容

2022年6月6日に行われた「デジタル・分散型金融への対応のあり方等に関する研究会第5回」での、私の発言を抜き出しました。全体は議事録をご覧ください

【松尾メンバー】

松尾でございます。ステーブルコインそのものについて、岩下先生の意見に付け加えることはあまりないのですけども、この会のもともとの設立趣旨もそうですし、先ほど落合様から発言あったように、アメリカの大統領令が責任ある開発ということで、イノベーションと責任というところを両立するというところで、これは世界的な潮流だと思います。

一方で、イノベーションと責任というのを両立するために、落合さんがおっしゃったように、リスクベース・アプローチというのは１つのアプローチなのだろうと思います。岩下さんが先ほど情勢変化をおっしゃっていただいていましたけども、別の情勢変化がございまして、それは今年になって１００億単位、場合によっては８００億円単位の流出事件が起きているということですね。これはやっぱりブロックチェーンとか、その周りの技術の取扱いの難しさというのを改めてこれも立証されてきているということなんだと思います。

だからこそリスクベース・アプローチはやっぱり重要なのだと思うわけです。ちょうど実は私、イタリアのジェノバというところにいまして、明日開催される、ＳＳＲ、セキュリティースタンダライゼーションリサーチというセキュリティーの標準化のための学術会議の場所にいるんですけど、まさにこの学会が、リスク分析のためのいろんなことを議論しているところです。このデジタル・分散型金融分野でのリスク分析というのは、技術と金銭的な金融サービスにとってのリスクの両方を議論されると思うんですけども、まさにこれはデジタル研究会なので、情報システムとしてのリスクが金融リスクにつながるというところで両方を見る必要があるのだと思います。

私と岩下先生はちょうどコインチェック事件が起きた直後にＣＧＴＦという団体を立ち上げて、取引上あるいはカストディのセキュリティー対策というのをＩＳＯの２７０００シリーズに則って極めて地道にドキュメントをつくり、それをＩＳＯのＴＲ、テクニカルレポート２３５７６というＩＳＯのドキュメントにもして、あるいは私がやっているＢＧＩＮの会議関連のドキュメントにもしているというところで、こういう実は昔ながらの情報システムのお作法によるリスク分析を改めてここでちゃんとしなきゃいけないということを落合さんにまた提起していただいたのだと思います。

２７０００シリーズでは、これは栗田さんのほうが詳しいのだと思いますけども、やはりシステムが安全であるということは、システム提供側が挙証していく責任がございまして、それはいろんなアスペクトになります。

なので、例えばコードの監査をしていればよいというだけでも駄目ですし、それはセキュティマネジメントサイクル全体から見ると、全体のごく一部分であって、もっといろんなことを確認していかなきゃいけないですし、先ほどアップグレード性という単語も出たんですけども、アップグレード性を持ちながらセキュアにシステムをつくるなんていうのは我々の百年来の夢でして、そんな簡単にはできないだろうと思うんですね。

先ほど申し上げたとおり、リスク分析のプロセスや結果というのはシステム提供側が示すものなので、前回コインチェック事件の後に、我々、CGTFという、完全にボランティアの団体でやったときには、事業者からの協力が少し得られた部分もありますが、全体としてはなかなか得られなかったし、無報酬でやったという状況がありました。ただ、それは長続きしないし、今回いろいろ分散型金融、ＤｅＦｉ、いわゆるＷｅｂ３みたいなものが盛り上がってきている中ですので、できればＦｉｎｔｅｃｈ協会様の御協力をいただきながら、こういう新しいリスク分析ができると、建設的な議論がこの研究会でもできるんじゃないかなと思いました。

本来であれば、コモンクライテリアで規定されているようなセキュリティーターゲットとかプロテクションプロファイルみたいなのを決めると、すごい建設的に、まさにイノベーションの促進の基礎になると思うので、そういうところはポイントになるかなと思います。

やはりアメリカの大統領が責任ある開発としたのはとても賢い単語の選び方だと思っていまして、イノベーションの促進ということも書かれているんですけど、タイトルは責任なんですね。やっぱりイノベーション無罪ということはあり得ないので、まさに落合さんから提案いただいたように、リスクベース・アプローチを真面目にこれからやるということが重要なのかなと思っております。

【松尾メンバー】

すいません。時間超過して大変申し訳ないです。１点だけ。これ実際次回以降で詳細の議論ができればなと思っているんだけども、今回の議論もＡＭＬ／ＫＹＣ、あるいはＣＦＴのところが、結局はスタートアップであるとか、イノベーションを起こしたいスタートアップ企業にとっては結構重荷になるというところが各論としては出てこようかと思います。金融庁さんが既に取り組まれている共同化みたいな話は１つの解になると思うんですけども、一方で、このようなＡＭＬ／ＫＹＣの話はステーブルコインだけではなくて、例えばＣＢＤＣのようなものにとっても、ＣＢＤＣでもし２層モデルになったときに中間機関みたいなものがあって、そこがＡＭＬ／ＫＹＣのコストをどう負担するのかということが多分問題になって、コストをどう負担するのか。そこに関わる、そこに入っている例えばネガティブリストのようなものというのは、サイバーアタックを受けてはいけないので、そこが単一障害点にならないようにどうするのかとか、それをどう持続的にビジネスを構築するかみたいなもの、ある種のコモンズをつくるようなものになると思うので、ビジネスモデルとサイバーセキュリティーとそれに対する持続性みたいなところがある種のイノベーションのポイントにもなり得ると思いますと。

なので、そこに対してどういう技術をつくっていくのか、どういう座組みつくっていくのかということが、逆にこの場でいろいろ研究していくのかなと思っております。

以上です。