JCBA упорядочила 347 пунктов по управлению подрядчиками в области криптоактивов, выделив управление ключами в отдельную область

Основные моменты статьи

• JCBA опубликовала проект свода мер безопасности для подрядчиков
• Обработка секретных ключей разделена на 5 категорий
• После сбора мнений будет внесено изменение с учетом тенденций к пересмотру Закона о финансовых инструментах

Адаптация существующих рекомендаций с точки зрения подрядчиков

Ассоциация бизнеса криптоактивов Японии (JCBA) 20 числа объявила о создании рабочей группы (WG) по управлению подрядчиками в области криптоактивов. Также был опубликован проект свода мер безопасности, которые должны принимать подрядчики.

Объектом являются случаи, когда управление важными системами, такими как кошельки, управление ключами и управление подписями транзакций, передается внешним компаниям. Существующие рекомендации, такие как "Список проверки на предотвращение повторных инцидентов" Ассоциации торговли криптоактивами Японии (JVCEA), в основном написаны для криптообменников, которые передают свои функции. Свод мер адаптирует эти требования с точки зрения того, что и как должны выполнять подрядчики, предоставляющие системы.

Количество пунктов составляет 347. Каждый пункт сопоставлен с примерами предполагаемых рисков и аспектами проверки, а также с примерами документов, которые следует предоставить, и написан с использованием терминологии, применяемой в аудиторской практике.

Управление ключами и подписями и 5 категорий предоставления

Область упорядочивания охватывает 10 областей, включая управление, физическую и человеческую безопасность, BCP (план непрерывности бизнеса) и управление субподрядчиками. Из них "управление ключами и подписями", специфичное для криптоактивов, выделено в отдельную область, охватывающую генерацию и хранение ключей, разделение холодных и горячих кошельков, а также проверку при выводе.

Формы предоставления подрядчиков разделены на 5 категорий: "хранение", "взаимодействие", "поставка", "ссылка" и "другое". Критериями для разделения являются наличие или отсутствие хранения секретных ключей и степень непосредственного влияния на систему. Для каждой категории указаны ориентиры по пунктам проверки, чтобы предотвратить чрезмерные требования или пропуски в проверках. При выборе своей формы отображаются соответствующие пункты, а также прилагается "лист самооценки" и "реестр управления документами для аудита" в формате Excel.

JCBA указывает, что общие отчеты третьих сторон, такие как SOC2, не могут адекватно оценить специфические для криптоактивов меры, такие как управление жизненным циклом секретных ключей. Цель состоит в том, чтобы унифицировать пункты проверки, которые были разрозненными между обменниками и подрядчиками, и создать основу для обсуждения с участниками, включая финансовое управление и аудиторские компании, на одном языке.

Фон инцидентов утечек через подрядчиков

В отрасли укоренилась практика передачи управления кошельками и системами подписей внешним специализированным компаниям. JCBA отметила, что в последние годы участились кибератаки и утечки активов, нацеленные на таких подрядчиков, и выразила мнение о необходимости "укрепления всей цепочки поставок". JCBA не упоминает конкретные инциденты, но в Японии в мае 2024 года из DMM Bitcoin было украдено биткойнов (BTC) на сумму около 48,2 миллиарда иен. Полиция определила, что это было совершено группой хакеров из Северной Кореи, и сообщила, что нападающие контактировали с сотрудниками компании, занимающейся программным обеспечением для управления кошельками.

WG возглавляет Маю Судза, партнер аудиторской компании PwC Japan, и в ней участвуют представители операторов кошельков и аудиторских компаний. В проекте собираются мнения от обменников, поставщиков кошельков, аудиторских компаний и других, и он будет пересмотрен с учетом тенденций к пересмотру Закона о финансовых инструментах и торговле (Закона о финансовых инструментах). Мнения принимаются через специальную форму JCBA. Документы опубликованы на официальном сайте JCBA.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.