نظرة عامة على المبادئ التوجيهية لسلطة النقد في هونغ كونغ بشأن أنشطة حفظ الأصول الرقمية

- strong>

- تقييد الوصول إلى الأجهزة أو التطبيقات المشفرة للموظفين المصرح لهم الذين يتم فحصهم بشكل مناسب وتدريبهم فقط حسب الحاجة؛ الحفاظ على وثائق محدثة لطرق الوصول وأذونات الوصول المعينة؛ مصادقة الوصول إلى البذور والمفاتيح الخاصة باستخدام طرق مصادقة قوية، مثل المصادقة متعددة العوامل؛ الحفاظ على التدقيق مسار الوصول إلى الأجهزة أو التطبيقات المشفرة؛

- من خلال اعتماد تقسيم المفاتيح أو التقنيات المشابهة، يمكنك الحماية من أي "نقطة فشل واحدة"، مثل تقسيم المفتاح الخاص وتوزيعه على عدة أشخاص ذوي صلاحيات معتمدة سلطة التخزين الموزع لضمان عدم احتفاظ أي طرف بالمفتاح بأكمله. عادةً، يُطلب من عدد معين من حاملي الأجزاء الرئيسية التوقيع بشكل جماعي على المعاملات لضمان عدم حصول أي شخص واحد على حق الوصول الكامل مع منع الاضطرابات التشغيلية في حالة فقدان جزء واحد أو عدم توفره أو سرقته. لمنع "نقاط الفشل الفردية"، ضع في اعتبارك أيضًا استخدام محافظ متعددة بدلاً من محفظة واحدة للاحتفاظ بالأصول الرقمية للعملاء.

- وضع تدابير لمنع وتخفيف تلك المحافظ التي يمكنها الوصول إلى العبارات التذكيرية والمخاطر التواطؤ بين الأشخاص المرخص لهم مع سلطة المفتاح الخاص؛

- يجب إجراء ترتيبات احتياطية وطوارئ كافية خارج الموقع للعبارات التذكيرية والمفاتيح الخاصة، ويجب أن تخضع هذه الترتيبات لـ مقيد بنفس الضوابط الأمنية مثل العبارة التذكيرية الأصلية والمفتاح الخاص. يجب تخزين العبارات التذكيرية والمفاتيح الخاصة الاحتياطية دون الاتصال بالإنترنت في موقع مادي آمن مستقل عن الموقع الأساسي حيث يتم تخزين العبارة التذكيرية الأصلية والمفاتيح الخاصة ولن يتأثر بأي حادث؛

- ما لم يثبت خلاف ذلك، يجب الاحتفاظ بمعظم الأصول الرقمية للعملاء في مخزن بارد غير متصل بالإنترنت؛

- فقط من خلال عناوين المحفظة التابعة للعميل (على سبيل المثال، اجتياز اختبارات الملكية مثل توقيعات الرسائل أو اختبار الدفع الصغير) وطريقة القائمة البيضاء للسماح بعمليات الإيداع والسحب للأصول الرقمية للعملاء؛

- اتخذ خطوات للتأكد من أن أي عقود ذكية مستخدمة في عملية الضمان خالية إلى حد كبير من نقاط الضعف التعاقدية أو تأثير أوجه القصور الأمنية؛ و

- وضع ترتيبات التأمين أو التعويض المناسبة لتغطية أي خسارة أو ضرر قد يحدث نتيجة لحادث قرصنة أو سرقة أو احتيال (سواء كان ذلك بسبب الأفعال أم لا، الأخطاء أو السهو أو الإهمال الجسيم من قبل سلطة معتمدة) الخسارة الناتجة عن الأصول الرقمية للعملاء.

12. عندما توفر مؤسسة معتمدة واجهة مستخدم أو بوابة للعملاء لإدارة أصولهم الرقمية التي تحتفظ بها المؤسسة المعتمدة، يجب إنشاء مصادقة فعالة للعملاء وضوابط إعلامية، الامتثال للمبادئ التوجيهية ذات الصلة التي تضعها سلطة النقد في هونغ كونغ (HKMA) من وقت لآخر.

13. ينبغي للوكالات المعتمدة أن تولي اهتمامًا وثيقًا للتهديدات الأمنية الناشئة ونقاط الضعف ومخاطر الهجوم والاحتيال والاتجاهات والتطورات في الحلول التقنية؛ وأن تقوم بتقييم مدى كفاية وقوة الأمن بشكل منتظم طبيعة ضوابط المخاطر، مع الأخذ في الاعتبار التهديدات الناشئة والتقدم التكنولوجي، واتخاذ خطوات لاعتماد التكنولوجيا لحفظ الأصول الرقمية للعملاء وفقًا لأفضل ممارسات الصناعة ذات الصلة والمعايير الدولية المعمول بها. يجب اختبار تقنية تخزين المحفظة المستخدمة لتأمين الأصول الرقمية للعملاء لضمان موثوقيتها قبل النشر.

(د) التفويض والاستعانة بمصادر خارجية

14. كمبدأ عام، بقدر ما تكون الأصول الافتراضية المعنية، لا يمكن للمؤسسة المرخص لها أن تعهد بوظيفة الحفظ الخاصة بها إلا إلى (1) مؤسسة معتمدة أخرى (أو شركة تابعة لمؤسسة معتمدة مسجلة محليًا)؛ أو (2) منصة تداول أصول افتراضية مرخصة من قبل هيئة تنظيم الأوراق المالية الصينية. بالنسبة للأصول الرقمية الأخرى في شكل رموز مميزة غير مصرح بها، إذا كانت موجودة على شبكة دفاتر حسابات موزعة بدون إذن عام، فيجب على السلطات توخي الحذر بشكل خاص وإجراء تقييم متعمق حول ما إذا كان من المناسب تفويض أعمالها أو الاستعانة بمصادر خارجية لها وظائف الحراسة.

15. عندما تتوصل مؤسسة معتمدة إلى ترتيب تكليف أو الاستعانة بمصادر خارجية مع مدير أو مزود خدمة لتقديم خدمات حفظ الأصول الرقمية، يجب على المؤسسة المصرح لها اختيار وتعيين المدير أو الخدمة يجب على مقدمي الخدمة إجراء العناية الواجبة المناسبة قبل القيام بذلك. يجب على السلطة المرخص لها تقييم وضمان الرضا، بما في ذلك على سبيل المثال لا الحصر، الصحة المالية والسمعة والمهارات الإدارية والقدرات الفنية والتشغيلية لمدير الخدمة أو مقدم الخدمة والقدرة على الامتثال لهذا الملحق والمتطلبات القانونية والتنظيمية الأخرى المعمول بها، و مواكبة التطورات التكنولوجية في مجال الأصول الرقمية. وينبغي الاحتفاظ بتقييمات العناية الواجبة ونتائجها في السجلات المناسبة. يجب على الهيئات المرخصة وضع ضوابط فعالة للمراقبة المستمرة لأداء مقدم الخدمة الرئيسي أو مقدم الخدمة.

16. عند العمل مع المديرين أو مقدمي الخدمات لتقديم خدمات حفظ الأصول الرقمية، يجب أن تتمتع المؤسسات المعتمدة بالخبرة الفنية لتقييم فعالية الحلول المنشورة في حماية العملاء الرقمية الفعالية للأصل وما إذا كان يقدم أي نقاط فشل واحدة. يجب على المؤسسات المعتمدة أيضًا أن تفهم بشكل كامل الشروط والأحكام التي بموجبها يحتفظ العميل أو مزود الخدمة بالأصول الرقمية للعميل، وتقييم ما إذا كان سيكون لها تأثير كبير على الحقوق القانونية للعميل في حالة إفلاس العميل أو الخدمة مزود. تتحمل المؤسسات المعتمدة مسؤولية ضمان قيام الطرف الموكل أو مزود الخدمة بفصل الأصول الرقمية للعملاء بشكل صحيح وفقًا للفقرتين 6 و7 من هذا الملحق.

17. يجب أن تغطي ترتيبات التعافي من الكوارث والطوارئ الخاصة بالمؤسسة المعتمدة سيناريو تعطيل خدمات حفظ الأصول الرقمية الموثوق بها أو التي يتم الاستعانة بمصادر خارجية فيها. ويجب على الهيئات المعتمدة أيضًا تقييم قدرات المرونة لدى مقدم الخدمة الرئيسي أو مقدم الخدمة، بما في ذلك خطط وإجراءات الطوارئ الخاصة به، لضمان توفر الخدمات المدارة.

18. يتم تذكير المؤسسات المرخصة بأنه عند إسناد ترتيبات خدمات حفظ الأصول الرقمية أو الاستعانة بمصادر خارجية لها، يجب عليها أيضًا الاحتفاظ بالأنظمة والأنظمة ذات الصلة المقابلة لترتيبات التكليف أو الاستعانة بمصادر خارجية الأنشطة المالية التقليدية.

19. تقع المسؤولية والمساءلة النهائية عن أي نشاط مفوض أو خارجي على عاتق السلطة المرخصة.

(هـ) الكشف عن المخاطر

20.يجب على المؤسسات المعتمدة تقديم المعلومات لعملائها بطريقة واضحة وسلسة. بطريقة مفهومة الإفصاح الكامل والعادل عن ترتيبات الحفظ، بما في ذلك:

- الحقوق والالتزامات الخاصة بالمؤسسة المرخص لها وعملائها، بما في ذلك حقوق ملكية العملاء في أصولهم إذا تم التصريح بذلك تدخل المؤسسة في حالة الإعسار أو التصفية؛

-ترتيبات الحفظ، بما في ذلك كيفية تخزين الأصول الرقمية للعميل وعزلها، وإجراءات وأوقات الوصول إلى الأصول الرقمية للعميل، وأي رسوم وتكاليف معمول بها؛

- ترتيبات التعويض لتغطية الخسائر المحتملة للأصول الرقمية للعملاء بسبب حوادث أمنية أو اختلاس؛

- الموقف الذي يتم فيه خلط الأصول الرقمية للعملاء مع أصول العملاء الأخرى والمخاطر ذات الصلة ;

-  p>

- الظروف التي تحصل فيها المؤسسة المرخصة على الملكية القانونية و/أو الملكية المفيدة للأصول الرقمية للعميل، أو نقلها أو إقراضها أو رهنها أو إعادة رهنها أو إنشاء أي أمان على الأصول والترتيبات الرقمية للعميل، والمخاطر التي تنطوي عليها؛

-كيفية التعامل مع الأصول الرقمية للعملاء في أحداث مثل التصويت والشوكة الصلبة والإسقاط الجوي والحقوق والمصالح المقابلة لها؛

-  يجب على المؤسسات المعتمدة تقديم إفصاحات كاملة وعادلة لعملائها حول ترتيبات الحفظ الخاصة بهم، بما في ذلك وجود وطبيعة تضارب المصالح المحتمل و/أو الفعلي فيما يتعلق بأنشطة الحفظ الخاصة بهم.

(F) حفظ السجلات وتسوية الأصول الرقمية للعملاء

21. يجب على المؤسسات المعتمدة توفير الصيانة المناسبة الدفاتر والسجلات مع العملاء لتتبع وتسجيل ملكية الأصول الرقمية للعملاء، بما في ذلك مبلغ ونوع الأصول المستحقة للعملاء، وحركة الأصول بين حسابات العملاء. يجب إجراء تسويات الأصول الرقمية للعملاء بشكل منتظم ومتكرر على أساس كل عميل على حدة، مع الأخذ في الاعتبار السجلات ذات الصلة خارج السلسلة وعلى السلسلة. ويجب حل أي اختلافات على الفور وتصعيدها إلى الإدارة العليا حسب الاقتضاء.

22. يجب على المؤسسات المعتمدة إنشاء أنظمة وضوابط لحماية وحماية جميع السجلات المتعلقة بأنشطة الحفظ ويجب تقديمها على الفور إلى سلطة النقد في هونغ كونغ عند طلب هذه السجلات .

(ز) مكافحة غسل الأموال ومكافحة تمويل الأنشطة الإرهابية

23. يجب على الوكالات المعتمدة التأكد من أنها تعمل سياسات وإجراءات وضوابط التمويل (AML/CFT) على إدارة وتخفيف أي مخاطر تتعلق بغسل الأموال وتمويل الإرهاب المرتبطة بأنشطة حفظ الأصول الرقمية. يجب على المؤسسات المرخصة الالتزام بـ "المبادئ التوجيهية بشأن مكافحة غسل الأموال ومكافحة تمويل الأنشطة الإرهابية (المطبقة على المؤسسات المرخصة)" ووثيقة إرشادات مكافحة غسل الأموال وتمويل الإرهاب الصادرة عن سلطة النقد في هونغ كونغ بشأن أنشطة حفظ الأصول الرقمية.

(ح) متطلبات المراقبة المستمرة

24. يجب على الوكالات المرخصة مراجعة سياساتها وإجراءاتها بشكل دوري، وإجراء عمليات تدقيق مستقلة للامتثال لأنظمتها وضوابطها والمتطلبات المعمول بها فيما يتعلق بحفظ الأصول الرقمية للعملاء.