Gestione del rischio tecnologico
Leggi l’edizione PDF (1 pagina)
Le MAS Technology Risk Management Guidelines del gennaio 2021 sono linee guida, mentre la Notice on Technology Risk Management è vincolante. Entrambe si applicano ai titolari di licenza DPT, la Notice da quando la risposta alla consultazione Part 2 del 23 novembre 2023 l'ha estesa a essi con un periodo transitorio.1 La Notice richiede che i sistemi critici abbiano un'indisponibilità non programmata massima di quattro ore in qualsiasi periodo di dodici mesi. La MAS deve essere informata entro un'ora dalla scoperta di un incidente rilevante, con un'analisi delle cause e dell'impatto da trasmettere entro quattordici giorni.2 Le Guidelines entrano nel dettaglio del controllo degli accessi, della gestione delle chiavi crittografiche, della gestione delle modifiche, dei penetration test e del rischio connesso ai terzi, e la MAS considera il mancato rispetto delle Guidelines un fattore rilevante ai fini delle licenze e dell'enforcement, pur non essendo esse di per sé vincolanti.
Per un'impresa cripto la questione tecnologica centrale è l'architettura dei wallet. La MAS si attende che il richiedente illustri la cerimonia di generazione delle chiavi, la conservazione del materiale crittografico in hardware security module o strumenti equivalenti e il flusso di firma con le relative soglie di approvazione. Si attende inoltre una descrizione della separazione tra ambienti hot e cold, della procedura di recupero dei frammenti di chiave smarriti e dei controlli che impediscono a una singola persona di movimentare i token dei clienti. La regola del 90 per cento di cold storage descritta sopra ha reso tutto ciò un requisito regolamentare oltre che una prassi di sicurezza. I richiedenti che si avvalgono di un fornitore terzo di tecnologia di custodia devono comunque dimostrare di controllare le chiavi o che il fornitore è esso stesso un custode adeguatamente regolamentato, e l'accordo deve inoltre rispettare le MAS Guidelines on Outsourcing.
Note
- Morgan Lewis, «MAS introduces further investor protection measures for digital payment token service providers», novembre 2023, secondo cui la MAS Notice PSN05 sulla gestione del rischio tecnologico si applicherà ai prestatori di servizi DPT. ↩
- MAS Notice PSN05 on Technology Risk Management, paragrafi sulla disponibilità dei sistemi critici (quattro ore in dodici mesi), sulla notifica degli incidenti (un'ora) e sulla relazione sulle cause (quattordici giorni); la stessa architettura compare nella FSM-N30 per i digital token service provider. ↩
Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.