Tạo, lưu trữ và sao lưu hạt giống và khóa riêng tư một cách an toàn cục bộ tại Hồng Kông;- strong>
- Hạn chế quyền truy cập vào các thiết bị hoặc ứng dụng được mã hóa cho nhân viên được ủy quyền, những người chỉ được sàng lọc và đào tạo phù hợp khi cần thiết; duy trì tài liệu cập nhật về các phương pháp truy cập và các quyền Truy cập được chỉ định; xác thực quyền truy cập vào hạt giống và khóa riêng bằng các phương pháp xác thực mạnh, chẳng hạn như xác thực đa yếu tố; duy trì kiểm toán dấu vết truy cập vào các thiết bị hoặc ứng dụng được mã hóa;
- Bằng cách áp dụng Phân đoạn khóa hoặc các công nghệ tương tự sẽ bảo vệ chống lại mọi "điểm lỗi duy nhất", chẳng hạn như chia tách và phân phối khóa riêng cho nhiều người được ủy quyền quyền lưu trữ phân tán để đảm bảo rằng không một bên nào nắm giữ toàn bộ khóa. Thông thường, một số lượng nhất định người nắm giữ phân đoạn chính phải ký các giao dịch chung để đảm bảo rằng không một người nào có toàn quyền truy cập đồng thời ngăn chặn sự gián đoạn hoạt động nếu một phân đoạn bị mất, không có sẵn hoặc bị đánh cắp. Để ngăn chặn "điểm lỗi duy nhất", hãy cân nhắc sử dụng nhiều ví thay vì một ví duy nhất để giữ tài sản kỹ thuật số của khách hàng;
- Thiết lập các biện pháp để ngăn chặn và giảm thiểu những người có quyền truy cập vào các cụm từ ghi nhớ và Rủi ro về sự thông đồng giữa những người được ủy quyền với người có thẩm quyền khóa riêng;
- Cần thực hiện các thỏa thuận dự phòng và sao lưu bên ngoài đầy đủ cho các cụm từ dễ nhớ và khóa riêng, đồng thời các thỏa thuận này phải tuân theo Bị hạn chế bởi các biện pháp kiểm soát bảo mật tương tự như cụm từ ghi nhớ ban đầu và khóa riêng. Các cụm từ ghi nhớ và khóa riêng đã sao lưu phải được lưu trữ ngoại tuyến ở một vị trí thực tế an toàn, độc lập với vị trí chính nơi lưu trữ cụm từ ghi nhớ và khóa riêng tư ban đầu và sẽ không bị ảnh hưởng bởi bất kỳ sự cố nào;
- Trừ khi được chứng minh khác, hầu hết tài sản kỹ thuật số của khách hàng phải được lưu giữ trong kho lạnh không kết nối với Internet;
- Chỉ thông qua địa chỉ ví thuộc về khách hàng (ví dụ: vượt qua các bài kiểm tra quyền sở hữu như chữ ký tin nhắn hoặc kiểm tra thanh toán vi mô) và cách thức được đưa vào danh sách trắng để cho phép gửi và rút tài sản kỹ thuật số của khách hàng;
- Thực hiện các bước để đảm bảo rằng mọi hợp đồng thông minh được sử dụng trong quy trình ký quỹ phần lớn không có lỗ hổng hợp đồng hoặc tác động của thiếu sót về bảo mật; và
- Đưa ra các thỏa thuận bảo hiểm hoặc bồi thường phù hợp để bù đắp đầy đủ mọi mất mát hoặc thiệt hại có thể xảy ra do sự cố hack, trộm cắp hoặc gian lận (dù có hay không do các hành động đó, lỗi, thiếu sót hoặc sơ suất nghiêm trọng của cơ quan có thẩm quyền) Dẫn đến mất tài sản kỹ thuật số của khách hàng.
12. Khi một tổ chức được ủy quyền cung cấp giao diện người dùng hoặc cổng thông tin cho khách hàng để quản lý tài sản kỹ thuật số do tổ chức được ủy quyền nắm giữ, thì các biện pháp kiểm soát thông báo và xác thực khách hàng hiệu quả phải được thiết lập, trong tuân thủ các hướng dẫn liên quan do Cơ quan tiền tệ Hồng Kông (HKMA) xây dựng tùy từng thời điểm.
13. Các cơ quan có thẩm quyền cần hết sức chú ý đến các mối đe dọa, lỗ hổng bảo mật mới nổi, rủi ro tấn công và lừa đảo cũng như các xu hướng và sự phát triển trong các giải pháp công nghệ; thường xuyên đánh giá tính đầy đủ và mạnh mẽ của bảo mật bản chất kiểm soát rủi ro, có tính đến các mối đe dọa mới nổi và tiến bộ công nghệ; đồng thời thực hiện các bước áp dụng công nghệ để bảo vệ an toàn tài sản kỹ thuật số của khách hàng theo các thông lệ tốt nhất của ngành liên quan và các tiêu chuẩn quốc tế hiện hành. Công nghệ lưu trữ ví được sử dụng để bảo mật tài sản kỹ thuật số của khách hàng cần được kiểm tra để đảm bảo độ tin cậy của nó trước khi triển khai.
(D) Ủy quyền và Gia công phần mềm
14. Theo nguyên tắc chung, đối với tài sản ảo liên quan, tổ chức được ủy quyền chỉ có thể ủy thác chức năng lưu ký của mình cho (i) tổ chức được ủy quyền khác (hoặc công ty con của tổ chức được ủy quyền đã đăng ký tại địa phương); hoặc (ii) một nền tảng giao dịch tài sản ảo được Ủy ban Điều tiết Chứng khoán Trung Quốc cấp phép. Đối với các tài sản kỹ thuật số khác ở dạng mã thông báo không cần cấp phép, nếu chúng nằm trên mạng sổ cái phân phối công khai không được cấp phép, các cơ quan chức năng cần đặc biệt thận trọng và tiến hành đánh giá chuyên sâu xem liệu việc ủy quyền hoặc thuê ngoài tài sản của họ có phù hợp hay không. chức năng giám hộ.
15. Khi một tổ chức được ủy quyền đạt được thỏa thuận ủy thác hoặc gia công phần mềm với một nhà cung cấp dịch vụ hoặc bên ủy thác trong việc cung cấp dịch vụ lưu ký tài sản kỹ thuật số, thì tổ chức được ủy quyền sẽ lựa chọn và chỉ định bên ủy thác hoặc dịch vụ đó Các nhà cung cấp dịch vụ nên tiến hành thẩm định phù hợp trước khi thực hiện việc đó. Cơ quan có thẩm quyền phải đánh giá và đảm bảo sự hài lòng, bao gồm nhưng không giới hạn ở tình hình tài chính, danh tiếng, kỹ năng quản lý, năng lực kỹ thuật và vận hành của bên ủy quyền hoặc nhà cung cấp dịch vụ, cũng như khả năng và khả năng tuân thủ Phụ lục này cũng như các yêu cầu pháp lý và quy định hiện hành khác, và Theo kịp sự phát triển công nghệ trong không gian tài sản kỹ thuật số. Các đánh giá thẩm định và kết quả của chúng phải được lưu giữ trong hồ sơ thích hợp. Cơ quan cấp phép cần thiết lập các biện pháp kiểm soát hiệu quả để liên tục giám sát hoạt động của bên ủy quyền hoặc nhà cung cấp dịch vụ.
16. Khi làm việc với các bên ủy quyền hoặc nhà cung cấp dịch vụ để cung cấp dịch vụ lưu ký tài sản kỹ thuật số, các tổ chức được ủy quyền phải có chuyên môn kỹ thuật để đánh giá tính hiệu quả của các giải pháp đã triển khai trong việc bảo vệ kỹ thuật số của khách hàng. của tài sản và liệu nó có đưa ra bất kỳ điểm lỗi nào hay không. Các tổ chức được ủy quyền cũng phải hiểu đầy đủ các điều khoản và điều kiện mà khách hàng hoặc nhà cung cấp dịch vụ nắm giữ tài sản kỹ thuật số của khách hàng và đánh giá xem liệu điều đó có tác động đáng kể đến quyền hợp pháp của khách hàng trong trường hợp khách hàng hoặc dịch vụ phá sản hay không. các nhà cung cấp. Các tổ chức được ủy quyền có trách nhiệm đảm bảo rằng bên ủy thác hoặc nhà cung cấp dịch vụ phân tách hợp lý tài sản kỹ thuật số của khách hàng theo đoạn 6 và 7 của Phụ lục này.
17. Các thỏa thuận khẩn cấp và khắc phục thảm họa của tổ chức được ủy quyền phải bao gồm cả trường hợp gián đoạn đối với các dịch vụ lưu ký tài sản kỹ thuật số được ủy thác hoặc thuê ngoài. Các cơ quan được ủy quyền cũng nên đánh giá khả năng phục hồi của bên ủy quyền hoặc nhà cung cấp dịch vụ, bao gồm các kế hoạch và quy trình dự phòng để đảm bảo tính sẵn có của các dịch vụ được quản lý.
18. Các tổ chức được ủy quyền được nhắc nhở rằng khi thỏa thuận ủy thác hoặc thuê ngoài các dịch vụ lưu ký tài sản kỹ thuật số, họ cũng nên duy trì các hệ thống và hệ thống có liên quan tương ứng với các thỏa thuận ủy thác hoặc thuê ngoài cho hoạt động tài chính truyền thống.
19. Trách nhiệm và trách nhiệm giải trình cuối cùng đối với mọi hoạt động được ủy quyền hoặc thuê ngoài thuộc về cơ quan có thẩm quyền.
(E) Tiết lộ rủi ro
20.Các tổ chức được ủy quyền phải cung cấp thông tin cho khách hàng của họ một cách rõ ràng và rõ ràng. cách dễ hiểu Tiết lộ đầy đủ và công bằng về các thỏa thuận giám sát, bao gồm:
- các quyền và nghĩa vụ tương ứng của tổ chức được ủy quyền và khách hàng của tổ chức đó, bao gồm cả quyền sở hữu của khách hàng đối với tài sản của họ nếu được ủy quyền tổ chức rơi vào tình trạng mất khả năng thanh toán hoặc thanh lý;
- Thỏa thuận giám sát, bao gồm cách lưu trữ và cách ly tài sản kỹ thuật số của khách hàng, thủ tục và thời gian truy cập tài sản kỹ thuật số của khách hàng cũng như mọi khoản phí và chi phí hiện hành;
- ;Thỏa thuận bồi thường để bù đắp những tổn thất có thể xảy ra đối với tài sản kỹ thuật số của khách hàng do sự cố bảo mật hoặc chiếm dụng;
- Trường hợp tài sản kỹ thuật số của khách hàng bị trộn lẫn với tài sản kỹ thuật số khác của khách hàng và các rủi ro liên quan ;
- p>
- Các trường hợp trong đó tổ chức được ủy quyền sẽ có được quyền sở hữu hợp pháp và/hoặc có lợi đối với tài sản kỹ thuật số của khách hàng hoặc chuyển nhượng, cho mượn, thế chấp, thế chấp hoặc tạo ra bất kỳ sự bảo mật nào đối với tài sản và thỏa thuận kỹ thuật số của khách hàng cũng như các rủi ro liên quan;
- Cách xử lý tài sản kỹ thuật số của khách hàng trong các sự kiện như bỏ phiếu, hard fork và airdrop cũng như các quyền và lợi ích tương ứng của họ;
- Các tổ chức được ủy quyền phải tiết lộ đầy đủ và công bằng cho khách hàng về các thỏa thuận về quyền giám hộ của họ, bao gồm sự tồn tại và bản chất của xung đột lợi ích thực tế và/hoặc tiềm ẩn liên quan đến hoạt động giám hộ của họ.
(F) Việc lưu giữ hồ sơ và đối chiếu tài sản kỹ thuật số của khách hàng
21. Các tổ chức được ủy quyền phải cung cấp các biện pháp Duy trì phù hợp sổ sách và hồ sơ với khách hàng để theo dõi và ghi lại quyền sở hữu tài sản kỹ thuật số của khách hàng, bao gồm số lượng và loại tài sản nợ khách hàng cũng như sự di chuyển tài sản giữa các tài khoản của khách hàng. Việc đối chiếu tài sản kỹ thuật số của khách hàng phải được thực hiện thường xuyên và thường xuyên trên cơ sở từng khách hàng, có tính đến các hồ sơ ngoài chuỗi và trên chuỗi có liên quan. Mọi khác biệt cần được giải quyết kịp thời và chuyển lên quản lý cấp cao nếu thích hợp.
22. Các tổ chức được ủy quyền phải thiết lập hệ thống và biện pháp kiểm soát để bảo vệ và bảo vệ tất cả hồ sơ liên quan đến hoạt động lưu ký và phải cung cấp kịp thời cho Cơ quan tiền tệ Hồng Kông khi được yêu cầu những hồ sơ này .
(G) Chống rửa tiền và chống tài trợ cho các hoạt động khủng bố
23. Các cơ quan có thẩm quyền phải đảm bảo rằng họ Các chính sách, thủ tục và biện pháp kiểm soát tài chính (AML/CFT) quản lý và giảm thiểu hiệu quả mọi rủi ro rửa tiền và tài trợ khủng bố liên quan đến hoạt động lưu ký tài sản kỹ thuật số. Các tổ chức được ủy quyền phải tuân thủ "Hướng dẫn về chống rửa tiền và chống tài trợ cho các hoạt động khủng bố (Áp dụng cho các tổ chức được ủy quyền)" và tài liệu hướng dẫn AML/CFT của Cơ quan tiền tệ Hồng Kông về các hoạt động lưu ký tài sản kỹ thuật số.
(H) Yêu cầu giám sát liên tục
24. Các cơ quan cấp phép nên định kỳ xem xét các chính sách và thủ tục của mình , và tiến hành kiểm toán độc lập về việc tuân thủ các hệ thống và biện pháp kiểm soát của mình cũng như các yêu cầu hiện hành liên quan đến việc lưu giữ tài sản kỹ thuật số của khách hàng.