新たな脅威に先手を打つ：BitGoのセキュリティへの取り組み

このブログの日本語訳を読む こちら.

BitGoでは、セキュリティがすべての活動の根幹をなしています。安全なカストディアンとしての長年の実績があり、この体制下で顧客の資金を失ったことは一度もありません。デジタル資産のエコシステムが進化するにつれ、私たちが直面する脅威も変化しています。攻撃者はますます巧妙な手口を編み出しており、こうした脅威に先手を打つことは、当社だけでなく業界全体としての責任です。

デジタル資産における脅威の変遷

最近、デジタル資産分野全体で標的型攻撃が増加していることが確認されています。注目すべき事例からは、攻撃者がセキュリティチェックを通過する不正な取引リクエストを発生させるという、共通の攻撃手法が浮き彫りになっています。FBIもこうした脅威について公に言及しており、継続的な警戒の必要性を強調しています。

BitGoは、攻撃手法の変化を常に注視しています。厳格な内部検証を通じて、当社のセキュリティアーキテクチャでは同様の攻撃経路が成立しないことを確認しています。しかし、当社は自社の専門知識のみに依存しているわけではありません。法執行機関と強固な連携関係を築き、セキュリティ研究者が脆弱性を発見・報告できるよう、公開型のバグ報奨金プログラムを運営しています。新たな脅威に対応するため、ポータルのセキュリティをさらに強化し、悪意のある内部関係者によるものを含め、理論上のリスクさえも最小限に抑えています。

独立したセキュリティテストおよび検証

社内のセキュリティ対策に加え、当社は外部の専門家を継続的に招き、当社の取り組みの妥当性を検証しています。定期的なペネトレーションテストに加え、取引の署名プロセスについて、外部のセキュリティ企業に委託し、独立した評価を実施してもらいました。その結果、懸念されるような重大な脆弱性は発見されず、安心できるものでした。

さらに、当社は定期的に、完全に独立したレッドチームテストを実施しています。昨年は、さらに一歩踏み込んだ取り組みを行いました。外部のレッドチームに対し、ノートパソコンを提供し、GitHubを含む当社の環境への高度な管理者権限を付与したのです。彼らが初期の偵察活動を行っている最中、当社の監視システムがその活動を検知し、遮断しました。数ヶ月にわたり攻撃が繰り返されましたが、本番環境に対する最終的な攻撃も数分以内に検知され、阻止されました。これは、高度な権限を持つ内部関係者からの攻撃に対しても防御できる、当社のセキュリティ体制の強さを示すものです。

セキュリティに対する多層的なアプローチ

BitGoでは、セキュリティは単なる技術の問題ではなく、企業文化そのものです。当社は、あらゆるレベルでリスクを軽減するため、多層的な防御戦略を実施しています：

• セキュリティ意識向上と研修： 従業員は毎月フィッシングテストを受け、不合格となった場合はフォローアップが行われます。これにより、ソーシャルエンジニアリング攻撃に対する継続的な警戒態勢が確保されます。

• エンドポイントおよびネットワークセキュリティ： 当社は、厳格なデバイス制限を実施し、マルウェア対策ソリューションを導入するとともに、ブラウザに保存されたパスワードの使用を禁止しています。また、ハードウェアベースの2段階認証を必須としているため、セッションハイジャックの試みに対してはさらなる障壁が設けられています。

• 継続的な監視： SaaSの利用状況からエンドポイントのDNSトラフィックに至るまで、環境のあらゆる側面を積極的に監視しています。異常な動きがあれば、直ちに調査を行います。

• アクセス制御： 当社は最小権限の原則を徹底し、権限を継続的に見直しており、社内システムへのすべてのアクセスにはBitGoが発行したデバイスの使用を義務付けています。

• 物理的セキュリティ： 従業員は本人確認のためオフィスに出勤する必要があり、これによりリモート環境でのセキュリティ侵害に関連するリスクをさらに低減できます。

これらの対策は、MITRE ATT&CKフレームワーク、規制ガイドライン、主要なセキュリティ基準など、業界のベストプラクティスに沿ったものです。セキュリティ体制を継続的に改善することで、刻々と変化する脅威の状況に対しても、堅固な防御体制を維持しています。

私たちの継続的な取り組み

BitGoは、お客様の資産を保護する企業として定評があり、セキュリティへの取り組みを揺るぎないものとしています。当社は、社内の専門知識、外部による検証、そして新たな脅威に対する先を見越した対応を組み合わせることで、これを実現しています。セキュリティは皆で担うべき責任であり、協力し合うことで、お客様に最高水準の保護を提供し続けることができます。

当社は、セキュリティ対策において常に警戒を怠らず、状況に応じて柔軟に対応し、透明性を保ち続けます。なぜなら、デジタル資産の保護は単なる事業ではなく、私たちの使命だからです。