021-54410609
随着虚拟资产在全球的流行，香港证监会于2023年6月1日生效新的发牌制度，所有在香港经营业务或向香港投资者积极进行推广的中央虚拟资产交易平台，将需获证监会发牌。
点击此处，查看香港证监会新闻稿《证监会就有关监管虚拟资产交易平台的建议展开谘询》
揽阁信息通过多年的信息安全从业经验，对香港证监会本次牌照发放的《立场书：监管虚拟资产交易平台》进行研究，整理以下要点：
1、线上及线下钱包
证监会要求：
证监会将要求平台营运者及其有联系实体设立和实施书面内部政策及管治程序，以确保遵从与保管客户虚拟资产有关的规定。举例来说，“在线钱包”储存方式指虚拟资产的私人密匙储存在网上的做法，因此很容易受到遭黑客入侵和社交工程（例如伪冒诈骗）等外来威胁。“线下钱包”储存方式指私人密匙以脱机方式（即没有接达互联网）储存的做法，因此较为安全。证监会将要求平台营运者确保其（或其有联系实体）把 98%的客户虚拟资产储存在线下钱包，并把其在在线钱包持有的客户虚拟资产局限于不超过 2%。平台营运者及其有联系实体亦应尽量减少从持有大部分客户虚拟资产的线下钱包中拨出资产进行交易。
2、私人密匙（密钥）管理
证监会要求：
存取和保管虚拟资产需透过利用私人密匙以数码方式签署交易，方能进行。故此，保管虚拟资产基本上讲求的是稳妥管理有关私人密匙。证监会认为，平台营运者及其有联系实体在管理私人密钥方面应设立并实施严格的内部监控措施及管治程序，以确保安全地产生、储存及备份所有加密种子及密钥。
其关于加密种子和密钥的安全细节要求为：
所产生的种子及私人密钥必须足以避免猜测或串通。种子及私人密钥应按照适用的国际保安标准及行业最佳作业手法产生，从而确保种子（如使用分层确定性钱包（Hierarchical Deterministic Wallet）或类似过程）或私人密钥（如没有使用种子）是由可保证随机性的非决定性方式产生，及故此无法复制。在切实可行的情况下，种子及私人密钥应以脱机方式产生，以及在安全的环境（例如硬件储存模块（Hardware Storage Module，简称 HSM））中保存，并且对种子或私人密钥的生命周期有合适的认证。
详尽的规格说明，阐述如何对加密装置或应用程序的存取予以授权，内容涵盖密钥的产生、派发、使用及储存，以及按规定实时撤销某签署人的存取权。
获授权人士在存取与客户虚拟资产有关的种子及私人密钥方面受到严格限制，无人可管有有关种子、私人密钥或后备密码的完整数据，以及落实监控措施，藉此纾减获授权人士互相串通的风险。
所派发的后备种子或私人密钥已获保存，从而减轻出现任何缺失的可能。后备种子或私人密钥的派发方式，应以即使出现会影响其最初地点的事件也不影响后备种子或私人密钥为前提。后备种子或私人密钥应以受保护形式在外部媒介（建议使用有合适认证的HSM）储存。储存获派发的后备种子或私人密钥时，应确保不能单靠储存于同一实际地点的后备种子或私人密钥而重新建立该种子或私人密钥。对于存取后备种子或私人密钥的监控措施，需有如对最初的种子或私人密钥的监控措施般严谨。
种子及私人密钥均在香港储存。
3、与传统金融机构同等的安全保障
证监会认为，任何寻求领取牌照的虚拟资产交易平台所采纳的营运架构及所采用的科技，都应确保与证券业的传统金融机构一样，向客户提供同等的保障。
4、认识你的客户
平台营运者应遵守适用于持牌法团的认识你的客户的规定，并应取一切合理步骤，以确立 其每位客户的真实和全部身份、财政状况、投资经验及投资目标。
揽阁信息的解决方案
基于以上要点，揽阁信息推荐需要申领牌照的平台，使用我司销售的Thales ProtectServer Network HSM PL3500+。该产品特性包括：
拥有FIPS 140-2 Level 3认证
支持BIP32推导所有虚拟货币的私钥。
支持Secp256k1、Ed25519等区块链算法
支持多台设备的HA部署，满足高可用需求。
单台设备双电源，符合金融机构单机高可用要求。
满足密钥全生命周期管理要求。
隐私数据保护
由于香港证监会要求平台准确认识客户，并需要提供与传统金融机构一样的安全保障。因此揽阁信息推荐使用Thales CipherTrust Data Security Platform（CDSP/数据安全平台）和High Speed Encryption（HSE）对客户隐私数据进行保护。CDSP优势如下：
符合香港安全第三级数据备份指南（STDB）要求。
职责分离、访问控制、审计日志和报告
CipherTrust Manager通过提供强有力的职责分离来增强安全性，从而增强授权机构 (Ais) 的密钥管理。此外，它还强制实施非常精细的最低特权用户访问管理策略，从而保护数据免遭特权用户滥用。
访问日志和报告：CDSP的CipherTrust 安全智能提供安全智能日志，指定哪些进程和用户访问了受保护的数据、遵循哪些策略以及是否允许或拒绝访问请求。
确定关键数据的范围
Thales的 CipherTrust 数据发现和分类 可有效识别本地和云中人工智能的结构化和非结构化敏感数据。
通过加密保护传输中和静态的关键数据
CipherTrust 透明加密 (CTE)通过集中密钥管理、特权用户访问控制和详细的数据访问审核日志记录提供静态数据加密。
Thales High Speed Encryption（HSE）高速网络链路加密机，提供独立于网络的数据传输加密（第 2,3 层和第 4 层），确保数据在站点之间、或在本地与云端之间传输时的安全。
密钥管理和密钥生命周期管理
CipherTrust Manager简化了密钥生命周期管理任务，包括安全密钥生成、备份/恢复、集群、停用和删除，使组织能够集中管理 Thales CipherTrust 数据安全平台和第三方产品（包括 IBM Security Guardium 数据加密、Microsoft SQL TDE、Oracle TDE 和 KMIP 兼容加密产品）的加密密钥。
欢迎联系揽阁信息，与我们交流和沟通方案的更多细节。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话