Cơ quan quản lý tài chính Hàn Quốc đang siết chặt yêu cầu an ninh đối với lĩnh vực tài sản số, với mục tiêu đưa chuẩn bảo mật của các doanh nghiệp trong ngành lên ngang tổ chức tài chính. Cùng với việc bổ sung nghĩa vụ bảo đảm an toàn CNTT và trách nhiệm bồi thường vào luật, nhà chức trách cũng sẽ cho phép sàn giao dịch chủ động chặn rút nạp sớm khi có dấu hiệu bị tấn công, kể cả trước khi quy định mới chính thức có hiệu lực.

Ngày 12/11, Ủy ban Dịch vụ Tài chính Hàn Quốc (FSC) đã tổ chức cuộc họp về biện pháp an ninh trong lĩnh vực tài sản số do Phó chủ tịch Shin Jin-chang chủ trì. Cuộc họp tập trung vào phương án ứng phó trước hàng loạt vụ rò rỉ dữ liệu và xâm nhập xảy ra gần đây tại các sàn giao dịch tài sản số trong và ngoài nước.

Phát biểu tại cuộc họp, ông Shin cho rằng nhận thức về an ninh của một bộ phận doanh nghiệp tài sản số vẫn chưa theo kịp tốc độ phát triển của thị trường cũng như kỳ vọng của ngành kể từ khi lĩnh vực này từng bước được đưa vào khuôn khổ pháp lý.

Theo ông, các doanh nghiệp tài sản số đang nhận ủy thác, lưu ký và quản lý tài sản của người dùng, vì vậy cần đáp ứng chuẩn an ninh tương đương các công ty tài chính truyền thống. Ông đồng thời nhấn mạnh sự cần thiết phải thay đổi cách tiếp cận đối với công tác bảo mật.

FSC cho biết, trong dự luật liên quan đến tài sản số đang được chuẩn bị, cơ quan này sẽ bổ sung nghĩa vụ bảo đảm an toàn CNTT và trách nhiệm bồi thường thiệt hại ở mức tương đương áp dụng cho tổ chức tài chính đối với các doanh nghiệp tài sản số.

Tuy nhiên, do quá trình ban hành luật cần thêm thời gian, FSC quyết định triển khai trước những biện pháp có thể áp dụng ngay, gồm cơ chế giám sát 24/7 và báo cáo sự cố, nâng tỷ lệ lưu trữ bằng cold wallet, cũng như tăng cường quỹ dự phòng.

Trước mắt, xuất phát từ đặc thù thị trường tài sản số vận hành liên tục 24/7, FSC yêu cầu các sàn giao dịch thiết lập cơ chế giám sát và ứng phó thường trực.

Trong trường hợp xuất hiện dấu hiệu nghi ngờ bị xâm nhập, chẳng hạn giao dịch bất thường với quy mô lớn, bộ phận phụ trách phải lập tức thực hiện biện pháp kiểm soát. Với những doanh nghiệp chưa thể duy trì cơ chế ứng phó 24/7, FSC yêu cầu chỉ mở dịch vụ rút nạp trong khung giờ có thể giám sát và phải thông báo trước cho người dùng.

Tỷ lệ tài sản của khách hàng được lưu trữ bằng cold wallet cũng sẽ tiếp tục được nâng lên.

Theo quy định giám sát hiện hành đối với ngành tài sản số, tối thiểu 80% tài sản người dùng phải được lưu trong cold wallet. Trên thực tế, tỷ lệ bình quân của toàn ngành hiện đã vượt 95%.

FSC cũng yêu cầu xem xét giảm lượng tài sản lưu trong hot wallet xuống mức tối thiểu cần thiết cho hoạt động hỗ trợ giao dịch, đồng thời phân tán tài sản trên nhiều hot wallet khác nhau. Bên cạnh đó, cơ quan này yêu cầu các doanh nghiệp bảo đảm đủ hạn mức bảo hiểm bồi thường và mức trích lập dự phòng để ứng phó thiệt hại do bị tấn công.

Các tiêu chuẩn an toàn CNTT đang áp dụng cho tổ chức tài chính cũng sẽ được mở rộng sang doanh nghiệp tài sản số.

Theo đó, doanh nghiệp phải có đủ nhân sự và hạ tầng về CNTT và an ninh thông tin, đồng thời xây dựng các tiêu chuẩn kỹ thuật, quản trị và bảo vệ vật lý nhằm bảo đảm an toàn giao dịch. FSC cũng dự kiến yêu cầu các đơn vị phân tích, đánh giá lỗ hổng của hệ thống xử lý thông tin và mạng truyền thông, sau đó triển khai các biện pháp khắc phục cần thiết.

Khi phát hiện sự cố xâm nhập hoặc nỗ lực truy cập bất thường từ bên ngoài, doanh nghiệp sẽ phải báo cáo khẩn cho cơ quan quản lý, tương tự nghĩa vụ đang áp dụng với các công ty tài chính.

Một thay đổi đáng chú ý khác là FSC sẽ nới quy định để sàn giao dịch có thể chủ động chặn rút nạp ngay cả khi vụ tấn công chưa được xác nhận đầy đủ.

Hiện nay, Luật Bảo vệ người dùng tài sản số cấm chặn rút nạp nếu không có lý do chính đáng và chỉ cho phép áp dụng biện pháp này khi hành vi tấn công đã được xác định rõ.

Vì vậy, trong thời gian qua, ngành này vẫn cho rằng còn thiếu căn cứ rõ ràng để tạm dừng rút nạp ngay từ giai đoạn đầu khi mới xuất hiện dấu hiệu nghi ngờ, như trường hợp phát sinh giao dịch bất thường.

FSC cho biết, tương tự vụ tấn công nhằm vào Binance, việc phong tỏa nhanh ngay từ giai đoạn đầu có ý nghĩa quan trọng trong việc ngăn thiệt hại lan rộng. Cơ quan này sẽ đưa ra cam kết miễn xử phạt để doanh nghiệp không bị chế tài khi chủ động chặn rút nạp trong trường hợp nghi ngờ bị tấn công hoặc xảy ra sự cố xâm nhập.

Bên cạnh đó, hỗ trợ an ninh thông qua Cơ quan An ninh Tài chính Hàn Quốc cũng sẽ được mở rộng. Hiện trong số 28 doanh nghiệp tài sản số, mới chỉ có 5 sàn giao dịch thị trường won tham gia cơ quan này với tư cách thành viên.

FSC cho biết sẽ thúc đẩy các doanh nghiệp còn lại tham gia, đồng thời cung cấp các dịch vụ như chia sẻ thông tin về mối đe dọa xâm nhập, kiểm tra lỗ hổng bảo mật và đào tạo chuyên sâu về an ninh tài chính. Với các doanh nghiệp khó đáp ứng điều kiện tham gia, cơ quan này sẽ hỗ trợ rà soát các yếu tố dễ tổn thương ở mức tương đương tổ chức tài chính quy mô nhỏ, kèm theo cảnh báo và biện pháp bảo mật.

Cơ quan An ninh Tài chính Hàn Quốc cũng sẽ xây dựng bộ tiêu chí kiểm tra bảo mật riêng cho sàn giao dịch tài sản số. Bộ tiêu chí hiện hành sẽ được cải thiện ngay trong năm nay, bổ sung các nội dung như tăng cường xác thực giao dịch và kiểm soát quyền truy cập ví.