VASP en Dubái y el reglamento tecnológico de VARA: listos para la licencia y la revisión

El reglamento tiene tres partes: gobierno, controles y seguridad de la tecnología; protección de datos personales; e información confidencial. El anexo 1 es una orientación de VARA sobre las categorías de riesgo que debe cubrir su marco: organizativo, técnico, detección y respuesta, activos virtuales de clientes y resiliencia operativa digital.

Se aplica junto con el Company Rulebook, el Compliance and Risk Management Rulebook, el Market Conduct Rulebook y los reglamentos de cada actividad. Nuestro equipo de licencias VASP en los EAU lleva la solicitud y esas partes.

Entre los temas obligatorios: clasificación de datos, control de accesos, seguridad de sistemas y redes con auditoría de código y contratos inteligentes, desarrollo seguro, seguridad física, proveedores, respuesta a incidentes con análisis de causa raíz, escalada ante ransomware e intercambio de inteligencia sobre amenazas.

La política también describe cómo se aplica la autenticación multifactor, o una norma más estricta, a las operaciones por encima de los límites del cliente y tras un cambio de sus datos, como la dirección del monedero, además de los controles de sesión. La redactamos a partir de su arquitectura para que cada cláusula pueda mostrarse en una configuración.

Claves y frases semilla

• las copias de claves y frases semilla se guardan aparte de las principales;
• cada cambio de acceso a las claves queda registrado;
• cuando sale una persona con acceso a claves, la empresa evalúa si hay que generar una clave nueva;
• las auditorías internas de retirada de accesos son trimestrales (norma I.D.2(d)(ii)).

Revisamos cómo funciona hoy en su empresa y documentamos altas, bajas y la concesión y retirada de roles en el sistema de gestión de claves.

El alcance incluye, si procede, auditorías de contratos inteligentes. Las evidencias quedan de inmediato a disposición de VARA (norma I.E.3); auditores independientes revisan con regularidad la gestión y el cumplimiento (I.E.4), y VARA puede exigir TLPT (I.E.5).

La prueba y la auditoría las realiza un tercero independiente, que puede organizarse a petición. Nosotros preparamos a la empresa: descripción de sistemas y alcance, corrección previa de debilidades conocidas, incorporación de los hallazgos al plan y nueva revisión de lo cerrado.

Si el incidente afecta a datos personales, el VASP avisa a VARA en las 24 horas siguientes a notificar a un regulador de datos o al interesado (norma II.C.2). El plan BCDR trata problemas propios de los activos virtuales: fallos de red, pérdida o corrupción de datos, custodia de claves.

Cómo trabajamos

1. Una consulta de pago de 30 minutos y una carta de alcance: sistemas, fechas, precio cerrado.
2. Revisión frente a las partes I a III; una persona verifica cada hallazgo.
3. Política, procedimientos y plan BCDR construidos sobre sus sistemas.
4. Remediación por nuestra parte o con su equipo, y nueva revisión.