Orientações sobre activos digitais da Autoridade Monetária de Hong Kong
À medida que o sector dos activos digitais continua a crescer, a Autoridade Monetária de Hong Kong (HKMA) tem visto as instituições autorizadas (AIs) cada vez mais interessadas em actividades relacionadas com activos digitais, em particular, a prestação de serviços de custódia de activos digitais para clientes e a forma de aplicar a tecnologia de livro-razão distribuído (DLT) subjacente ao ecossistema de activos virtuais (VA) às operações tradicionais do mercado financeiro.
A HKMA considera que é necessário orientar a prestação de serviços de custódia de activos digitais por parte das IA e que é útil clarificar as principais considerações em matéria de gestão de riscos no domínio da DLT, pelo que, em 20 de fevereiro e 16 de abril, foram publicadas, respetivamente, as Guidance on Expected Standards on Provision of Custodial Services for Digital Assets e Risk management considerations related to the use of DLT.
Como um dos líderes em segurança de dados, a Thales permite que as IAs cumpram as Diretrizes para Activos Digitais para garantir que os activos digitais dos clientes sob custódia sejam adequadamente salvaguardados e que os riscos envolvidos sejam devidamente geridos.
Visão geral da regulamentação
O que são as "Expected Standards on Provision of Custodial Services for Digital Assets" (Normas previstas para a prestação de serviços de custódia de activos digitais)?
No que diz respeito às normas e práticas internacionais, a HKMA emitiu, em 20 de fevereiro de 2024, orientações sobre as normas previstas para a prestação de serviços de custódia de activos digitais por parte das IA. Estas orientações, com oito categorias de normas esperadas, visam garantir a salvaguarda adequada e a gestão correta dos ativos digitais dos clientes detidos por instituições autorizadas (IAs).
A HKMA determinou que as IAs ou filiais de IAs constituídas localmente que já exerçam actividades de custódia de activos digitais devem confirmar junto da HKMA que cumprem as normas previstas nas Orientações no prazo de 6 meses a partir de 20 de fevereiro de 2024.
Quais são as "Risk management considerations related to the use of DLT" (Considerações de gestão de riscos relacionadas com a utilização da tecnologia de registo distribuído)?
A HKMA considera útil fornecer mais clareza sobre as principais considerações de gestão de risco que tem em conta ao analisar as propostas de IA relacionadas com a DLT. Uma vez que algumas áreas de risco comuns são geralmente relevantes para a adoção de DLT, a HKMA preparou uma nota que estabelece três considerações de supervisão fundamentais sobre governação, conceção e desenvolvimento de aplicações e manutenção e monitorização contínuas. As IA são encorajadas a ter em conta estas considerações ao prepararem os seus pedidos relacionados com DLT.
Conformidade com a HKMA
Normas esperadas sobre a prestação de serviços de custódia de activos digitais
A Thales ajuda as IAs a cumprir as orientações sobre a prestação de serviços de custódia de activos digitais, abordando a norma esperada sobre a salvaguarda dos activos digitais dos clientes.
Orientações sobre as normas esperadas | Soluções da Thales |
|---|---|
C. 11) Salvaguarda dos activos digitais dos clientes | |
| As IAs podem proteger os activos digitais dos clientes armazenando, protegendo e gerindo chaves privadas e sementes de carteiras com os módulos de segurança de harware (HSM) da Thales. Estes módulos suportam protocolos de solução de carteira, como BIP32 e SLIP10, e oferecem uma gama de curvas, incluindo SECP256k1, curve25519 e ed25519.
|
C. 11) Salvaguarda dos activos digitais dos clientes | |
| As IAs podem armazenar cópias de segurança em HSMs externos e gerir chaves criptográficas em HK com opções no local:
|
Considerações de gestão de riscos relacionadas com a utilização de DLT
A Thales ajuda as IAs a cumprir as considerações de gestão de riscos relacionadas com a utilização de DLT, abordando as considerações de manutenção e monitorização contínuas.
Considerações | Soluções da Thales |
|---|---|
Manutenção e controlo contínuos | |
7. Estabelecer um nível de cibersegurança proporcional às aplicações tecnológicas tradicionais | HSMs Luna Post-Quantum Cryptography (PQC) da Thales O Módulo de Funcionalidade (FM) permite que as IAs utilizem os mecanismos criptográficos seguros para quantum dos finalistas da ronda 3 do NIST, que podem ser utilizados atualmente para casos de utilização como a assinatura de códigos ou outros que dependam de PKI.
|
Manutenção e controlo contínuos | |
8. Gere com segurança a chave privada | As IAs podem gerir sementes e chaves privadas de forma segura com HSMs Luna Network e HSMs ProtectServer. Ambos os HSMs suportam BIP32 e utilizam o Módulo de Funcionalidade (FM) para efetuar criptografia personalizada de forma segura ou adicionar algoritmos de cadeia de blocos personalizados. |
8. Gere de forma segura a chave privada | Os HSMs externos permitem que as IAs armazenem cópias de segurança com as opções abaixo:
|
Recursos relacionados
Outros regulamentos importantes em matéria de segurança e proteção de dados
PCI HSM
MANDATO | EM VIGOR
A especificação PCI HSM define um conjunto de normas de conformidade lógica e física de segurança para HSMs especificamente para o setor de pagamentos. A certificação de conformidade com o PCI HSM depende do cumprimento dessas normas.
DORA
REGULAMENTO | EM VIGOR
O DORA visa reforçar a segurança informática das entidades financeiras para garantir que o sector financeiro na Europa seja resiliente face ao crescente volume e gravidade dos ciberataques.
Leis de notificação de violação de dados
REGULAMENTO | EM VIGOR
Os requisitos de notificação de violação de dados na sequência da perda de informações pessoais foram adoptados por países de todo o mundo. Estes variam consoante à jurisdição, mas quase sempre incluem uma cláusula de "porto seguro".
GLBA
REGULAMENTO | EM VIGOR
A Lei Gramm-Leach-Bliley (GLBA) — também conhecida como a Lei de Modernização dos Serviços Financeiros de 1999 — exige que as instituições financeiras expliquem aos seus clientes as suas práticas de partilha de informações e salvaguardem dados confidenciais.