VASP в Дубае и технологический регламент VARA: готовность к лицензии и проверке

Регламент состоит из трёх частей: технологическое управление, контроль и безопасность; защита персональных данных; конфиденциальная информация. Приложение 1 содержит руководство VARA по категориям рисков, которые должна покрывать ваша рамка управления технологиями и рисками: организационные, технические, обнаружение и реагирование, активы клиентов, цифровая операционная устойчивость.

Регламент действует вместе с Company Rulebook, Compliance and Risk Management Rulebook, Market Conduct Rulebook и регламентами под конкретные виды деятельности. Лицензионную заявку и эти части ведёт наша практика лицензирования VASP в ОАЭ.

Среди обязательных тем: информационная безопасность, классификация данных, доступы, безопасность систем и сетей вместе с проверкой и аудитом кода и смарт-контрактов, разработка и контроль качества, физическая безопасность, управление поставщиками, реагирование на инциденты с анализом первопричин, эскалация при атаках шифровальщиков, обмен информацией об угрозах.

Требования к операциям клиентов

Политика описывает, как компания применяет многофакторную аутентификацию или более сильный стандарт к операциям сверх лимитов клиента и к операциям после смены его данных, например адреса кошелька, а также контроль сессий: число неверных попыток, тайм-ауты, срок действия паролей.

Мы пишем политику по вашей архитектуре, чтобы каждый пункт можно было показать в настройках.

CISO должен обладать достаточной репутацией и опытом. Высшее руководство регулярно оценивает эффективность процессов и контролей и распределяет роли так, чтобы избежать конфликта интересов. Все сотрудники должны знать актуальные киберриски, включая специфичные для виртуальных активов.

Ключи и сид-фразы

• резервные копии ключей и сид-фраз хранятся отдельно от основных;
• каждое изменение доступа к ключам фиксируется в журнале;
• при уходе сотрудника с доступом к ключу компания оценивает, нужно ли генерировать новый ключ;
• внутренний аудит отзыва доступа проводится ежеквартально (правило I.D.2(d)(ii)).

Мы проверяем, как это устроено у вас сейчас, и документируем процедуры приёма и увольнения, выдачи и отзыва ролей в системе управления ключами.

Где это относится к деятельности компании, в объём входит аудит смарт-контрактов. Доказательства тестов и аудитов документируются и предоставляются VARA немедленно по запросу (правило I.E.3). Кроме того, независимые аудиторы регулярно проверяют процессы управления и соблюдение требований (I.E.4), а VARA может потребовать продвинутое тестирование в формате TLPT (I.E.5).

Наша роль

Тест и аудит проводит независимая сторона, привлечь её можно по запросу. Мы готовим компанию: описание систем и объёма, исправление известных слабостей до теста, приём находок в план и повторную проверку закрытого.

Об инциденте с персональными данными VASP уведомляет VARA в течение 24 часов после того, как уведомил регулятора по данным или субъекта данных (правило II.C.2). План BCDR учитывает особенности виртуальных активов: сбой сети, потерю или повреждение данных, хранение ключей.

Как мы работаем

1. Платная консультация на 30 минут и письмо о рамках: системы, сроки, фиксированная цена.
2. Сверка с частями I–III регламента; каждую находку проверяет человек.
3. Политика, процедуры, план BCDR по вашим системам.
4. Исправления сами или с вашей командой и повторная проверка.
5. Папка доказательств для VARA с привязкой к правилам.