JCBA organise 347 éléments pour la gestion des mandataires d'actifs numériques, séparant la gestion des clés en un domaine indépendant

Points clés de cet article

• JCBA publie un projet de recueil de mesures de sécurité pour les mandataires
• Cinq catégories de traitement des clés secrètes
• Après une consultation des avis, révision en tenant compte des tendances de la loi sur les instruments financiers révisée

Adaptation des directives existantes du point de vue des mandataires

Le Japan Cryptocurrency Business Association (JCBA) a annoncé le 20 qu'il avait établi un groupe de travail (WG) pour traiter de la gestion des mandataires dans les activités liées aux actifs numériques. En même temps, il a publié un projet de "recueil de pratiques" résumant les mesures de sécurité que les mandataires doivent adopter.

Les cas concernés incluent la gestion des systèmes critiques tels que les portefeuilles, la gestion des clés et la gestion des signatures de transaction confiées à des entreprises externes. Les directives existantes, y compris la "liste de vérification des points de prévention des récidives" de l'Association japonaise des entreprises d'échange d'actifs numériques (JVCEA), sont toutes rédigées pour les échangeurs d'actifs numériques qui délèguent. Le recueil de pratiques reformule ces exigences du point de vue de ce que les mandataires fournissant le système doivent assumer.

Le nombre d'éléments est de 347. Pour chacun, des exemples de risques prévisibles et des points de vérification, ainsi que des exemples de documents de vérification à fournir, sont associés et décrits dans le vocabulaire utilisé dans les pratiques d'audit.

Gestion des clés et opérations de signature avec cinq formes de fourniture

Le champ d'organisation couvre dix domaines, y compris la gouvernance, la sécurité humaine et physique, le BCP (plan de continuité des activités) et la gestion des sous-traitants. Parmi ceux-ci, la "gestion des clés et opérations de signature" spécifique aux actifs numériques est traitée comme un domaine indépendant, abordant la génération et le stockage des clés, la séparation des portefeuilles froids et chauds, et la vérification lors de la sortie.

Les formes de fourniture des mandataires sont divisées en cinq catégories : "type de conservation", "type d'intermédiation", "type de fourniture", "type de référence" et "autres". La distinction est basée sur la question de savoir si les clés secrètes sont conservées ou non, et sur l'étendue de l'impact direct sur le système. Pour chaque forme, des indications sur les éléments à vérifier sont fournies, afin d'éviter des exigences excessives ou des omissions de vérification. Un "feuille d'auto-évaluation" qui affiche les éléments pertinents en fonction de la forme choisie par l'entreprise, ainsi qu'un "registre de gestion des documents de vérification" pour gérer les traces d'audit, sont fournis sous forme de fichier Excel.

Le JCBA souligne que les rapports de garantie tiers généraux tels que SOC2 ne peuvent pas évaluer de manière adéquate les systèmes spécifiques aux actifs numériques, tels que la gestion du cycle de vie des clés secrètes. L'objectif est d'harmoniser les éléments de vérification qui étaient auparavant disparates entre les échangeurs et les mandataires, afin de créer une base permettant aux parties prenantes, y compris l'Agence des services financiers et les sociétés d'audit, de discuter avec un langage commun.

Contexte des incidents de fuite via les mandataires

Dans l'industrie, la pratique de confier la gestion des portefeuilles et des systèmes de signature à des entreprises spécialisées externes s'est établie. Le JCBA a exprimé la reconnaissance que des cyberattaques ciblant ces mandataires et des fuites d'actifs se sont multipliées ces dernières années, soulignant l'urgence de "renforcer l'ensemble de la chaîne d'approvisionnement". Bien que le JCBA ne mentionne pas d'incidents spécifiques, au Japon, en mai 2024, environ 48,2 milliards de yens de Bitcoin (BTC) ont été fuis de DMM Bitcoin. La police a identifié cela comme étant l'œuvre d'un groupe de hackers lié à la Corée du Nord, déclarant que les attaquants avaient contacté des employés d'une entreprise développant un logiciel de gestion de portefeuilles.

Le WG est présidé par Mayu Suda, partenaire de PwC Japan LLC, et comprend des participants des entreprises de portefeuilles et des sociétés d'audit. Le projet recueille des avis des échangeurs, des fournisseurs de portefeuilles et des sociétés d'audit, et sera révisé en tenant compte des tendances de l'élaboration de règlements et de lignes directrices de la loi sur les instruments financiers révisée. Les avis sont acceptés via un formulaire dédié du JCBA. Les documents sont publiés sur le site officiel du JCBA.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.