科技風險及網絡衞生

閱讀PDF版 (3 頁)

數碼支付代幣持牌人的打擊洗錢及恐怖分子資金籌集（AML/CFT）管控措施依靠科技運作，而新加坡金融管理局（MAS）透過兩份通告及一套指引規管這些科技，這些文書在實務上與打擊洗錢計劃密不可分。

MAS有關科技風險管理的第PSN05號通告，對支付服務提供者施加具法律約束力的要求。公司必須設有識別關鍵系統的框架。每個關鍵系統在任何連續十二個月期間內，非計劃停機時間不得超過四小時，並須以四小時為恢復時間目標。發現相關事故後，須在一小時內通知MAS，並在十四日內提交根本原因報告。¹ MAS有關網絡衞生的第PSN06號通告訂明六項基本措施，分別是保護管理員帳戶、及時安裝保安修補程式、制定書面保安標準、實施網絡邊界防禦、部署惡意軟件防護，以及就管理員存取及客戶資訊存取採用多重認證。² 2021年1月的《科技風險管理指引》為其餘一切設定標準，該標準雖無約束力，但會被檢查。指引涵蓋管治、軟件開發、第三方管理、事故應對、存取控制、加密金鑰管理及滲透測試。³

對數碼支付代幣公司而言，《科技風險管理指引》中有關金鑰管理的部分尤其重要，因為公司的私鑰就是其客戶的資產。MAS期望公司設有有記錄的金鑰生成儀式，並使用硬件保安模組或同等設備；期望職責分隔，令任何單一人士都無法轉移客戶資金；期望大部分資產以冷儲存方式存放，並設有經測試的恢復程序。這些同時也是第K部分第II章下的保管要求，MAS將其作為單一課題檢查。黑客入侵也是一宗打擊洗錢事件。被盜代幣經公司的錢包流出。公司必須能夠追蹤這些代幣，根據PSN03及《貪污、販毒及其他嚴重罪行（沒收利益）法》（CDSA）第45條作出舉報，並與警方及其他交易所合作凍結這些代幣。只涵蓋技術恢復、而不涵蓋監管舉報及鏈上追蹤的事故應對計劃並不完整。第Q部分第II章載有一份黑客入侵後首七十二小時的核對清單。

註釋

1. MAS Notice PSN05, Technology Risk Management，根據Payment Services Act 2019發出，有關識別關鍵系統、最長4小時非計劃停機、1小時內通知事故及14日內提交根本原因報告的各段。 ↩
2. MAS Notice PSN06, Cyber Hygiene，根據Payment Services Act 2019發出，第4至9段，有關六項網絡衞生要求。 ↩
3. MAS, Technology Risk Management Guidelines，2021年1月18日，特別是第10節（加密金鑰管理）及第12節（存取控制）。 ↩

僅供一般參考。本文不構成法律或稅務意見，不能取代針對個別情況的專業意見，亦不會建立律師與客戶關係。本文反映截至十月 2026的法律狀況。