VARA 强制规则手册
VARA 技术与信息规则手册
AI 智能摘要
该规则手册规定技术治理、系统安全与信息管理要求，包括技术风险管理、网络安全、私钥与钱包管理、事件响应、数据完整性与业务连续性安排。
技术与信息安全直接关系客户资产安全，是 VARA 在牌照审查与事件处置中关注的重点。
适用对象：持牌机构、技术负责人、安全与运维团队、外部技术供应商
实施情况：VARA 强制规则手册
- 私钥生成、备份与访问控制需形成书面制度并留痕。
- 重大技术事件须按手册要求向监管机关报告。
- 外包技术不转移牌照下的责任。
目录
技术与信息规则手册 2025年5月19日
一。
二。
第三部分。
引言 迪拜虚拟资产监管局（“VARA”）根据第（4）号法律设立并获授权。
2022年《迪拜酋长国虚拟资产监管法》（“迪拜VA法”）旨在规范虚拟资产服务提供商（“VASPs”）。本技术与信息规则手册依据并构成2023年《虚拟资产及相关活动条例》（以下简称“条例”，其内容可不时修订）的一部分，该条例由VARA发布，并适用于所有经VARA许可在迪拜酋长国开展任何虚拟资产活动的VASPs。本技术与信息规则手册在适用时，亦应遵守条例中不时生效的其他各项要求。因此，经VARA许可从事任何虚拟资产活动的VASPs还须遵守下列适用于所有VASPs的规则手册——•
公司规则手册；
合规与风险管理规则手册；
市场行为规则手册；以及
所有由VARA许可VASP开展的VA活动所适用的规则手册。
本《技术与信息规则手册》中所使用的首字母大写术语，其含义依《规章》之规定或本手册另有定义，或者依照附表2之规定确定。除非另有说明，本《技术与信息规则手册》中的所有要求均为规则，并具有约束力。
一。
第一部分——技术治理、控制与安全 A.
技术治理与风险评估框架
VASP必须实施一项技术治理与风险评估框架，该框架能够明确界定各项政策，并以必要的流程、程序和控制措施为支撑，确保VASP得以有效落实，从而充分降低所识别的风险（以下简称“技术治理与风险评估框架”）。
VASP必须确保其已实施所有必要政策、流程、程序和控制措施，以应对技术治理与风险评估框架中涵盖的VASP业务及虚拟资产活动所面临的风险，并采用适当的方法，包括针对网络安全相关风险的纵深防御策略。此类政策、流程、程序和控制措施应当综合考虑多项因素，包括VASP业务的性质、规模与复杂性、运营的多样性、交易的数量与金额，以及其业务固有的风险水平。
3.
技术治理与风险评估框架必须全面且与VASP商业模式及虚拟资产活动所固有的风险的性质、规模和复杂性相称。该框架应适用于VASP业务及虚拟资产活动相关的所有技术，并清晰规定—— a.
VASP的网络安全目标，包括对工作人员以及在适用情况下对最终用户和客户的胜任能力的要求；以及
明确界定的政策、流程、程序及控制措施，用于管理风险，包括但不限于对国际标准和行业最佳实践准则的考量。
4.
VASP必须确保其技术治理与风险评估框架涵盖适当的治理政策及系统开发控制措施，包括但不限于—— a.
技术系统的开发、维护与测试流程；
运营控制；
备份控制；
容量与性能规划；以及
e. 5.
可用性测试。
VASP必须监测、评估并持续保持其技术治理与风险评估框架的有效性。特别是，VASP应当定期审查、更新并安排对其旨在管理风险的政策、流程、程序及控制措施进行测试，同时应充分考虑VASP所处的宏观经济环境，以及与其系统相关的新兴技术风险，并参照国际标准和行业最佳实践准则。
6.
VARA已在本《技术与信息规则手册》附表1中就各类风险、风险缓释措施及标准提供了指导意见，这些内容是VASP在遵守本《技术与信息规则手册》第一部分相关规则时，其技术治理与风险评估框架应当涵盖的范围。
7.
根据本《技术与信息规则手册》第I.I.1条的规定，VASP必须任命一名首席信息安全官，负责确保VASP遵守本《技术与信息规则手册》第一部分及第三部分的相关要求。
网络安全政策
VASP必须制定并实施一项政策，明确其保护电子系统以及存储于该等系统中的客户与交易对手数据的相关程序（以下简称“网络安全政策”）。VASP应当将该网络安全政策提交VARA进行评估，作为许可申请程序的一部分；此外，在VARA提出要求时，VASP亦须随时提交该政策。
VASPs必须确保其网络安全政策至少每年由首席信息安全官（CISO）进行审查和更新。
3.
VASPs必须确保其网络安全政策包含符合行业最佳实践的健全程序和安全机制，以使其能够遵守所有适用的信息安全、数据保护及数据隐私法律法规，包括但不限于本《技术和信息规则手册》第二部分以及《个人数据保护法》（PDPL），同时
始终保持数据的保密性。网络安全政策必须涵盖以下最低标准—— a.
信息安全；
数据治理与分类；
访问控制；
容量与性能规划；
系统运维与可用性相关事项；
系统与网络安全、共识协议方法、代码及智能合约的验证与审计流程；
系统与应用程序开发及质量保证；
物理安全与环境控制，包括但不限于有关进入场所及系统的程序；
关于其为客户发起的虚拟资产交易提供便利的相关程序，包括但不限于考虑采用多因素认证或任何更高级别的虚拟资产交易标准，其中—— i.
超过客户设定的交易限额，例如在一定期限内的累计交易限额；以及
ii. 在客户个人资料发生变更后发起的交易，例如虚拟资产钱包地址的变更；
关于客户身份验证和会话控制的程序，包括但不限于密码输入的最大错误次数、适当的超时控制以及密码的有效期限；
在客户请求变更其账户信息或联系方式时，建立充分的身份验证检查的程序；
除本技术与信息规则手册第二部分中的所有适用要求外，还包括客户数据隐私保护，包括但不限于—— i.
信息传输手段的安全性与身份认证；
ii. 数据损坏及未经授权访问数据的风险最小化；以及
三。
信息泄露的防范；
供应商及第三方服务提供商管理；
监控并实施对非由虚拟资产服务提供商直接控制的核心协议的变更，视具体情况而定；
事件响应，包括但不限于根本原因分析及为防止再次发生而采取的纠正措施；
供应商诚信与员工背景审查程序；
治理框架及升级程序，以确保有效决策，并对风险及突发事件进行妥善管理和控制，包括但不限于针对勒索软件及其他形式网络攻击的应对措施；以及
硬件与基础设施标准，包括但不限于网络隔离、服务/桌面安全及防火墙标准；以及
与其他虚拟资产服务提供商和/或实体共享网络威胁信息与情报——i.
只要此类行动符合整个虚拟资产市场的最佳利益，旨在增强运营韧性、管控威胁，并在可行的情况下最大限度地减少和/或缓解该威胁的影响；以及
ii. 前提是，共享该等信息不会增加对虚拟资产服务提供商的任何风险，且/或不会导致与该虚拟资产服务提供商相关之保密信息的披露。
网络安全——其他法律及监管义务
虚拟资产服务提供商必须确保其技术治理与风险评估框架在适用范围内符合网络安全法律法规、监管要求及指引，包括但不限于—— a.
迪拜电子安全中心依据2022年第9号法律《关于提供数字服务的管理》所采纳的电子安全要求与标准
在迪拜酋长国境内提供；
2021年第45号联邦法令《个人数据保护法》、其实施细则以及阿联酋数据办公室不时颁布的任何其他网络安全监管要求；以及
根据中央银行第（444）号公告发布的《消费者保护条例》
2021年及阿联酋中央银行不时颁布的任何其他网络安全监管要求。D.
密码密钥与VA钱包管理
虚拟资产服务提供商必须确保其技术治理与风险评估框架在必要范围内涵盖以下方面：加密密钥及虚拟资产钱包的生成、交易的签名与审批、加密密钥及助记词的存储，以及虚拟资产钱包的创建与管理。
VASP必须—— a.
根据行业最佳实践，保障对虚拟资产的访问安全，尤其应确保虚拟资产服务提供商（VASP）对其所持有虚拟资产的访问权限及相关信息不存在单点故障；
采用行业最佳实践存储客户的私钥，包括确保在线存储或存放在单一物理位置的密钥不足以单独进行虚拟资产交易，除非已采取适当控制措施，使仅凭物理访问无法实施该等虚拟资产交易。虚拟资产服务提供商还应确保密钥及助记词的备份存储于与主密钥和/或助记词不同的独立地点；
采取严格的身份访问管理控制措施，以管理对密钥的访问权限，包括建立详尽记录每次密钥访问变更的审计日志。特别是，若持有密钥访问权限的员工（包括多重签名安排中的密钥）离开该虚拟资产服务提供商的雇佣关系，该提供商必须进行评估，以确定是否需要生成新的密钥；
采取旨在立即撤销关键签署人访问权限的程序。具体而言，VASP必须—— i.
确保密钥生成过程能够防止被撤销的签署人获取备份助记词或知晓用于生成该密钥的助记词；
ii. 每季度对用户访问权限的移除情况进行内部审计，通过审查访问日志并根据需要核实访问权限；
三。
实施并维护一套记录员工入职与离职流程的程序；
iv. 实施并维护一套记录VASP在其密钥管理系统中授予或撤销各角色访问权限的程序；以及
定期评估其信息技术系统或与外部方软件集成的安全性，并确保实施适当的防护措施，以降低所有相关风险。
3.
VASP应向客户提供有关其可采取的措施的信息，以保护其密钥和/或助记词免遭滥用或未经授权的访问，以及共享私钥和其他安全信息可能带来的后果。
4.
VASP必须确保仅向具有明确业务需求的人员授予对其系统和数据的访问权限，并实施相应保障措施，以确保对所有人员进行恰当的身份识别，包括保存访问日志。
测试与审计
VASP必须聘请具备资质且独立的第三方审计机构，至少每年开展一次漏洞评估和渗透测试（在与VASP业务及虚拟资产活动相关的情况下，还应全面审计所有智能合约的有效性、可执行性和稳健性），并在引入任何新系统、应用程序及产品之前进行上述评估与测试。VASP须在VARA提出要求时，向VARA提供上述评估与测试的结果。
VASPs应当维持有效的内部职能与措施，以对其运营及流程进行持续监控。特别是，VASPs须定期并应VARA的要求，执行——
3.
对基础设施与应用程序的安全性测试；以及
内部系统与外部系统的漏洞审计。
VASPs必须将上述测试与审计的证据予以记录，并在VARA提出要求时立即提供以供其检查。
4.
VASPs应当确保由独立审计机构定期对其进行审计，以审查其管理流程，评估其流程、程序及控制措施的有效性，以及其对监管要求的合规情况。VASPs须在VARA提出要求时向VARA提供任何此类审计的结果。
5.
VARA可在认为必要且适当的情况下，基于以下因素，通知VASP需通过TLPT实施高级测试——
6.
VASP所面临或可能面临的任何特定风险；
VASP业务及/或VA活动的关键程度；以及
任何其他相关风险。
根据规则I.E.5规定的所有TLPT均须按照以下条件执行—— a.
每项TLPT均由外部测试人员实施；
VARA可能要求对VASP的关键或重要功能进行TLPT，并在必要时针对支持该等功能的生产系统、技术和流程开展相关测试；
在有必要将虚拟资产服务提供商的第三方服务提供者纳入转账限额测试范围的情况下，该虚拟资产服务提供商应当确保此类第三方服务提供者参与该项转账限额测试；
虚拟资产服务提供商应当对测试风险进行缓解，包括任何可能对数据造成的影响、对资产造成的损害，以及对关键或重要功能、服务或运营所造成的干扰；
VASP自身或其对应方，并在充分保障数据安全及客户资产隐私的前提下；e.
在测试结束时，VASP（连同外部测试人员）应当编制一份关于相关发现、整改措施以及证明TLPT已按照本文件中所述所有相关要求实施的文件资料的总结报告；并且
VASP应当及时向VARA提供与TLPT相关的全部文件资料，包括相关发现的总结报告、整改措施方案以及证明TLPT已按照本文件中所述所有相关要求实施的文件资料。
7.
VASPs必须确保其用于开展任何TLPT的外部测试人员——a.
具备适当资质且信誉良好；
拥有必要的技术和组织能力，并在威胁情报与渗透测试领域具备特定的专业知识；
获得认证机构的认证，或遵守正式的行为准则或伦理框架；
就TLPT实施过程中所涉及的风险管理提供独立的保证或审计报告，包括对VASP机密信息的妥善保护；以及
均已由相关职业责任保险充分且全面地承保，包括针对不当行为及过失的风险。
8.
VASP应当确保与外部测试人员签订的合同—— a.
要求对TLPT结果及其任何数据处理活动进行妥善管理，包括但不限于生成、存储、汇总、草稿编制、报告、沟通或销毁；以及
b. 9.
不得为VASP或其任何系统增加额外风险。
第三方技术服务提供商。在规则I.E.6.c所指的任何TLPT中，如需第三方技术服务提供商参与，VASP与该第三方技术服务提供商可约定，该第三方技术服务提供商
直接与根据规则I.E.6.a由VASP指定的外部测试方订立合同安排，若该参与被合理预期会对以下方面产生不利影响—— a.
该第三方技术服务提供商向市场提供的服务的质量或安全性；或
b. 10.
与该等服务相关的数据的保密性。
若第三方技术服务提供商为根据规则I.E.9进行的TLPT直接与VASP指定的外部测试方订立合同安排，则经VARA通知执行该TLPT的VASP必须确保—— a.
第三方技术服务提供商仍处于VASP的指挥之下；
测试结果应涵盖支持VARA通知的VASP关键或重要功能的相关服务范围；以及
第三方技术服务提供商向外部测试方提供的所有结果均须真实反映并专门针对VASP。
虚拟资产交易
VASP必须实施相关控制措施，以防止自动化系统的操纵、协同串通或攻击行为。
除《合规与风险管理规则手册》中所有适用要求外，虚拟资产服务提供商还必须实施并维持分布式账本追踪软件，以筛查进出境的虚拟资产交易及虚拟资产钱包地址。虚拟资产服务提供商如何应对任何可疑交易，须依据《合规与风险管理规则手册》在其反洗钱/反恐怖融资政策中予以明确规定。
算法治理
如果虚拟资产服务提供商（VASP）在开展虚拟资产活动时使用算法（全部或部分），则必须制定相关政策与程序，以确保其董事会和高级管理层能够对这些算法的设计、测试、性能、部署及持续维护实施强有力的监督与管控。
虚拟资产服务提供商必须保存有关上述算法的设计、测试、性能、部署及持续维护的文档与记录，包括但不限于逻辑 سُلطة تنظيم األصول االفتراضية- اإلمارات العربية المتحدة، دبي9292 :صندوق بريدvaraconnect@vara.ae varaconnect@vara.ae - PO Box 9292, Dubai, UAE - Virtual Assets Regulatory Authority
算法所使用的任何数据或假设，以及基于这些数据或假设作出决策的依据，还有此类数据或假设中可能存在的或实际存在的偏见，以及算法所产生的任何结果。3.
VASP必须确保其配备具备资质且胜任的工作人员，以持续保障此类算法的正常运行与有效监管。
业务连续性、网络安全事件及风险
VASP必须制定、维护、测试并每年更新一份充分的业务连续性和灾难恢复计划（“BCDR计划”），以最大限度地减少对其运营的干扰。该BCDR计划应当涵盖但不限于以下内容：a.
可能触发BCDR计划实施的各类事件，例如网络安全事件和技术故障，以及用于评估事件性质、范围和影响的相关程序；
资源需求，包括但不限于高级管理层和工作人员、系统及其他资产；
VASP各项业务的恢复优先级，包括但不限于对关键数据和重要功能的保护，以及这些数据和功能的维持；
针对受影响的内部及外部相关方的沟通安排；
用于验证受任何中断影响的信息完整性的流程；
用于减轻运营影响和/或转移运营职能的程序，包括但不限于将响应与恢复活动升级至指定人员及管理层；
一个足以在合理期限内恢复并持续开展业务的备用场所；以及
在恢复稳定运行后，为防止类似事件再次发生，应采取措施修复已识别和/或被利用的漏洞，或升级相关协议。
BCDR 计划应考虑并解决与虚拟资产及分布式账本技术（DLT）相关的特定因素和问题，包括但不限于网络故障、数据丢失或数据完整性受损，以及密钥存储和授权层级的维护。
一。
首席信息安全官及管理层
VASP必须任命一名首席信息安全官（“CISO”），其职责是确保VASP遵守本《技术与信息规则手册》第一部分和第三部分的规定。CISO应当为独立于CO的人员，但其亦可兼任本《技术与信息规则手册》第二部分B.2条项下数据保护官的职责。
CISO应当具备良好的信誉并拥有相应的专业经验。
3.
高级管理层须定期评估并审查VASP在遵守本《技术与信息规则手册》以及所有适用法律和监管要求方面的各项流程、程序及控制措施的有效性，并在VASP内部合理分配职责、明确角色与责任，以避免利益冲突。
员工能力
除《合规与风险管理规则手册》中的相关要求外，VASP还应确保所有员工了解最新的网络安全风险及最新动态（包括与虚拟资产及分布式账本技术相关的风险），并结合其各自岗位可能面临的网络风险类型与程度予以充分考量。
向VARA的通知
除《合规与风险管理规则手册》中的相关要求外，一旦发现以下任一情形：(i) 发生重大网络安全事件；或 (ii) 发生触发BCDR计划实施的事件且该事件对VASP的业务运营产生重大影响，VASP应当在合理可行的情况下尽快向VARA报告该事件，且无论如何不得迟于自发现之日起七十二（72）小时内，同时提供有关该事件性质、范围及影响的所有相关详细信息，以及VASP正在采取或拟采取的减轻该影响的措施，包括但不限于是否已向VARA以外的其他主管机关提交任何通知或报告。
二。
第二部分——个人数据保护 A。
遵守适用的数据保护法律
VASP必须遵守所有相关司法管辖区内的所有适用的数据保护及数据隐私要求，具体如下—— a。
在阿联酋境内，包括《个人数据保护法》（PDPL）以及可能适用于VASP的任何行业性或自由区法律法规；以及
在阿联酋境外、且可能适用于VASP在任何地点开展的活动的任何数据保护法律。
根据本《技术与信息规则手册》第二条A款第1项的规定，对所有适用的数据保护及数据隐私要求的合规应包括但不限于：数据的存储或所在地，以及该等数据的传输方式。
合规计划
VASP应当根据所有适用的数据保护法律，制定并实施一项书面的合规计划，以保护个人数据的隐私。
尽管有其他适用数据保护法律的要求，VASP至少应当遵守以下VARA规定—— a。
聘任一名具备相应能力与经验的数据保护官，以履行依据适用数据保护法律（包括《个人数据保护法》第11条）所规定的法定职责与义务（“数据保护官”）。该数据保护官可以由VASP的首席信息安全官兼任；以及
在其组织内设立一个职能机构，负责依照所有适用法律对个人数据进行管理和保护，并确保该职能与相关个人数据所涉及的风险水平相适应，包括负责实施并维持适当的过程、程序和控制措施。
向VARA提供信息
尽管本规章、规则手册或指令中另有任何规定，VASP应采取一切必要措施，包括在适用情况下提供所有通知、订立合同条款并取得所有同意，以确保VARA能够获取与VASP遵守本技术与信息规则手册第二部分有关的任何信息，无论该等信息存储于何处。VASP应当按照VARA向其传达的方式和时限提供上述信息。
VASP应在获悉以下任一情况后尽快且无论如何不得迟于二十四（24）小时内通知VARA：a.
任何数据监管机构，包括阿联酋境内的监管机构；或
数据主体
关于任何影响或可能影响个人数据的事件，并应向VARA提交该报告的摘要；如相关数据监管机构位于阿联酋境内，则还应向VARA提交该报告的副本，除非且仅在VASP经VARA满意证明其符合适用法律禁止规定的范围内除外。
第三部分。
第三部分——保密信息 A。
VASP对保密信息的使用与保护
VASP应当采取一切合理措施，以持续保护与其客户及相关财产和记录有关的所有信息的保密性。此类措施应当包括制定并实施适当的政策、程序和机制，以确保无论依据保密协议或其他方式向其提供的任何信息均保持机密性质。
上述政策、程序和机制应当规定，与VASP客户相关的信息仅可用于提供该信息之目的，并且必须遵守相关的保密协议；该等协议应当符合适用的法律及监管要求，包括关于接受此类协议的相关规定。
3.
VASP应当—— a.
使员工熟悉—— i.
其关于收集与处理保密信息的内部政策；以及
ii. 本技术与信息规则手册第三部分中适用于相关员工的各项要求；以及
b. 4.
定期对其员工遵守上述内部政策的情况进行认证。
员工不得在VASP内部或与任何其他实体共享机密信息，除非为开展与该等机密信息相关的虚拟资产活动所绝对必要。
5.
VASP及其员工均不得为任何实体从事虚拟资产交易之目的而使用或共享机密信息。
附表1——技术治理与风险评估框架指南 引言 所有VASP均须根据本《技术与信息规则手册》第I.A.1条的规定，实施技术治理与风险评估框架。本附表1由VARA提供，旨在为VASP提供指导，协助其建立有效的技术治理与风险评估框架。VASP在制定其技术治理与风险评估框架时，应充分考虑本《技术与信息规则手册》附表1中列明的所有风险类别及其适用的风险缓解标准。 本《技术与信息规则手册》附表1中的任何内容均不得限制、削减或以其他方式修改VASP依据任何适用法律、法规、条例、规则或指令所必须遵守的任何规则或其他要求，包括但不限于个人数据保护方面的规定。 A.
风险类别1：组织层面
综合安全框架标准：VASP应采用平衡的方法，确保在整个组织范围内合理分配安全资源，防止出现安全漏洞，并最大限度地减少攻击者可利用的单点故障。VASP应实施一套成文的安全框架，涵盖钱包基础设施与企业级安全两个方面。该框架应包括但不限于—— a.
对所有系统组件进行定期安全评估；
正式的风险评估方法，包括集中式与分散式架构中固有的风险；
具有明确安全责任的治理结构；以及
采用行业最佳标准。
安全开发生命周期标准：为确保安全性贯穿整个开发过程，即使在快速开发中也能减少安全债务的累积。 سُلطة تنظيم األصول االفتراضية- اإلمارات العربية المتحدة، دبي9292 :صندوق بريدvaraconnect@vara.ae varaconnect@vara.ae - PO Box 9292, Dubai, UAE - Virtual Assets Regulatory Authority
环境方面，VASP被要求建立并遵守一套正式的安全开发生命周期方法论，该方法论应在从需求收集到部署与维护的各个阶段均融入安全性。该方法论应包括但不限于——
3.
在部署前明确安全需求并设置强制性的安全评审节点；
针对新功能进行威胁建模，并制定安全编码标准；以及
对已部署措施的有效性进行实施后的验证。
员工安全管理标准：为应对VA领域普遍存在的分布式员工模式所带来的独特挑战，并降低因开发人员工作站被攻破而导致系统入侵的风险，VASP被要求实施全面的员工安全管控措施，包括但不限于—— a.
对所有接入任何系统的设备（包括但不限于生产系统）实施强制性终端防护；
定期开展针对常见威胁的安全意识培训；
对所有接触敏感或关键系统的人员进行背景调查；
制定并实施适用于所有员工（包括合同人员）的正式入职与离职流程；以及
e. 4.
用于工作目的的个人设备的最低安全要求。
基础设施管理标准：为确保对分散式基础设施的全面可见性，减少环境边界处的安全漏洞，并实现有效的安全监控，VASP被期望维护全面的基础设施文档与控制措施，包括但不限于——
5.
覆盖所有环境的全面资产清单；
网络拓扑图及数据流映射；
集中化的配置管理和正式的变更控制流程；以及
定期的基础设施安全评估。
第三方技术服务提供商标准：为确保因使用第三方技术服务而产生的风险被纳入VASP的风险管理体系，VASP应针对每项第三方技术实施适当的标准与管控措施。
服务提供商，其措施应与所提供服务的性质、规模、复杂性和重要性相称，包括但不限于—— a.
对所有此类服务提供商开展全面的尽职调查；
与所有此类服务提供商订立书面合同安排；以及
在可能且可行的情况下采用多供应商策略。
风险类别2：技术类
密钥生成标准：为降低弱密钥或可预测密钥被攻击者利用的风险，VASP应按照行业认可的方法生成具有足够熵的加密密钥，包括但不限于—— a.
在可能的情况下使用硬件安全模块（“HSM”）进行密钥生成；
对密钥生成流程进行正式验证；
为所有加密密钥制定业内最佳的安全流程，包括最低加密标准；
密钥生成过程中的职责分离；以及
对所有生成活动进行全面的审计日志记录。
钱包创建标准：为确保钱包在受控、安全的环境中创建，并接受适当的监督，VASP被要求实施一项安全的钱包创建流程，该流程包括但不限于——
3.
具有职责分离的正式钱包创建程序；
新钱包创建的多级审批机制；
所有创建活动的防篡改记录流程；
对钱包创建过程进行全面的日志记录与监控；以及
创建环境的物理安全控制措施。
密钥存储安全标准：为降低密钥泄露的风险——这是导致资产被盗的最直接途径——虚拟资产服务提供商（VASPs）应采用纵深防御措施来存储加密密钥，包括但不限于——a.
用于关键密钥存储的硬件安全模块（HSM）；
对静态密钥采取适当的分离措施，包括物理上的分散存储以及加密/密码学方法；
4.
对密钥存储机制实施严格的物理与逻辑访问控制；以及
定期测试密钥备份与恢复流程。
智能合约安全标准：为降低智能合约代码中可能被利用以操纵交易或提取资金的漏洞风险，VASP应实施正式的智能合约审查与测试流程，包括但不限于—— a.
静态与动态代码分析；
在部署前进行独立第三方审计，并在适用情况下开展形式化验证；
5.
全面的渗透测试；以及
定期对已部署的合约进行重新评估。
多重签名安全标准：为消除钱包安全中的单点故障，并确保在个别签名者遭到入侵时仍具备足够的抗风险能力，VASP应实施严格的多重签名要求，包括—— a.
针对高价值操作设定最低多重签名要求，其中签名者的最低数量（M）应大于签署人总数（N）的一半（即 M > N/2）；
6.
签署权限的地理分布；
多样化的授权机制以及签署人之间的职责分离；和
对签名流程的定期测试。
交易验证标准：为降低授权欺诈性交易的风险，VASP被期望实施全面的交易验证流程，包括但不限于—— a.
强制性的多层级验证；
实时自动检测异常交易并立即触发通知；
明确的签署人验证与确认交易的程序；
处理验证异常的正式流程；以及
e. 7.
在报告错误时立即中止签名流程。
密钥泄露应对标准：为确保各机构能够有效应对疑似或已确认的密钥泄露事件并最大限度地降低潜在损害，VASP应制定并维持一份正式的密钥泄露应对计划，该计划应包括但不限于—— a.
明确的触发机制，并配备经预先批准的应急响应程序及正式的沟通协议；
8.
快速密钥轮转能力；以及
定期测试与模拟演练。
密钥持有者管理标准：为通过妥善管理密钥持有者的生命周期以降低未经授权访问加密密钥的风险，VASP应实施全面的密钥持有者管理流程，包括但不限于——
第9条
按需即时访问权限配置；
定期访问审查及即时撤销流程；
职责分离机制；以及
安全的备份密钥持有者管理程序。
身份认证控制标准：为通过全面的身份认证要求降低未经授权访问的风险，VASP应实施强有力的身份认证控制措施，包括但不限于—— a.
针对所有访问包含加密密钥的系统的操作实施多因素身份验证；
对关键操作实施基于硬件的身份验证，并在适当情况下辅以生物特征验证；
10.
对身份验证尝试施加基于时间的限制；以及
持续验证会话的真实性。
开发者工作站标准：为通过保护开发环境来应对攻击者常见的初始访问途径，VASP被要求对开发者工作站实施严格管控措施，包括但不限于—— a.
端点防护与监控；
网络分段；
第11条
禁止直接访问生产环境；
安全的密钥管理解决方案；以及
定期的安全评估。
安全测试标准：为确保在漏洞被利用之前能够持续识别并修复相关漏洞，VASP应定期开展适当的安全测试，并且在任何生产系统更新之前必须完成此类测试。此类安全测试应当包括但不限于——
12.
由具备资质的第三方进行的年度渗透测试；
每季度一次的漏洞评估；
持续的自动化安全扫描；
针对高价值系统的定期最佳实践安全演练；以及
对已发现漏洞的正式修复跟踪。
未经授权恢复标准：为降低从已销毁介质中未经授权恢复加密密钥的风险，VASP应实施全面的数据擦除政策与程序，以确保——
13.
对所有含有敏感信息的介质进行安全处置；
对含有加密密钥的介质进行加密擦除或物理销毁；
对介质处置实施正式的保管链记录；
定期评估数据清除的有效性；以及
对所有系统实施安全的退役程序。
审计日志标准：为增强对系统活动的可见性并支持对安全事件的有效调查，VASP应实施全面的监控与日志记录系统，该系统应当—— a.
捕获所有与安全相关的事件，并以防篡改的方式安全存储日志，至少保存一年；
包括所有钱包和密钥操作；以及
对安全事件实施实时告警。
风险类别3：检测与响应
交易监控标准：为实现对欺诈活动的早期识别，VASP应实施全面的交易监控措施，包括但不限于—— a.
行为分析，以识别异常模式；以及基于规则的监控，用于识别已知的可疑活动；
机器学习能力，用于高级威胁检测；
对可疑交易的实时预警；以及
定期审查并优化检测方法。
内部用户活动监控标准：为提升尽早发现被入侵账户或内部威胁的能力，VASP应实施对内部用户活动的监控，包括但不限于——
3.
身份验证尝试与失败记录，并进行模式分析，以识别内部威胁；
对敏感或关键系统的访问及管理活动；以及
将监控职能与运营团队相分离。
增强型监控标准：为确保能够清晰掌握关键系统上的各项活动，从而及早发现任何安全漏洞，VASP应实施针对开发与签名系统的增强型监控措施，包括但不限于——
4.
进程创建与终止监控；
网络连接分析与文件系统变更检测；
软件安装与执行控制；以及
用户行为分析。
战术加固标准：为使各机构在检测到安全事件后能够限制攻击者的访问权限，虚拟资产服务提供商（VASP）应具备迅速实施战术加固措施的能力，包括但不限于—— a.
紧急访问撤销，包括针对单个终端的撤销；
网络分段能力及系统隔离程序；
事先批准的紧急变更程序；以及
定期测试加固能力。
5.
调查能力标准：为提升在事件发生期间识别攻击向量及受损资产的能力，VASP应保持全面的调查能力，包括但不限于—— a.
专用的取证资源（内部或外包），能够在实时情况下或接到即时通知后迅速部署并作出响应；
6.
安全的证据收集与处理程序；
保管链文档记录；
根因分析方法论；以及
定期培训与能力测试。
链上分析标准：为提高追踪被盗资金及识别潜在追回机会的能力，VASP应开发并维持链上分析能力，包括但不限于——
7.
交易追踪工具及钱包归属能力；
与其他VASP开展资金追踪协作；以及
定期培训与能力提升。
纠正措施标准：为降低再次被利用的风险，VASP应实施全面的纠正措施程序，包括但不限于—— a.
在发生安全事件后，对所有秘密组件（包括但不限于密码、密钥及密钥分片）进行完全轮转；
从安全基线出发重建系统，并在事件发生后加强监控；
对攻击者已清除进行正式验证；以及
事件后的复盘与经验总结。
风险类别4：客户虚拟资产
客户身份验证标准：为降低任何客户账户被入侵的风险，虚拟资产服务提供商（VASP）应实施严格的身份验证措施，包括但不限于—— a.
强有力的多因素身份验证；
禁止对高风险操作采用即时通讯方式验证；
适当情况下采用基于风险的认证挑战和生物特征认证；以及
d. 2.
异常登录检测与预警。
取款控制标准：为通过结构化的取款控制措施限制因账户被入侵而造成的潜在损失，VASP应实施全面的取款控制措施，包括——
3.
分级取款限额；
大额交易的冷却期；
对超出规定限额和/或“区间”的大额取款进行验证；
对关键交易进行验证；
行为分析，以识别异常取款模式；以及
根据交易金额逐步提高的审批要求。
用户教育标准：为通过提升用户意识降低其遭受社会工程学及其他攻击的风险，VASP应实施全面的用户教育计划，包括但不限于——
4.
安全最佳实践；
常见攻击向量意识及安全账户管理指南；以及
定期安全通知。
VA钱包集中度风险标准：为降低客户VA在单一或少数几个VA钱包中的集中风险，VASP应实施相关控制措施，以确保客户VA在各VA钱包之间的安全分散，包括但不限于—— a.
冷存储VA钱包；
提供托管服务的VARA许可VASP；以及
存储可用于访问和/或控制VA钱包之信息的服务器的物理分布。
风险类别5：数字运营韧性
数字运营韧性测试标准：为实现高水平的数字运营韧性，VASP被期望开展数字运营韧性的测试工作，包括但不限于—— a.
建立并维持健全且全面的数字运营韧性测试计划，涵盖下文第2款所列的一系列评估、测试、方法、实践及工具；
识别数字运营韧性方面的薄弱环节、不足之处及缺口，并及时采取纠正措施；
在实施数字运营韧性测试计划时，VASP应当遵循基于风险的方法，充分考虑VASP当前或可能面临的特定风险、其自身及其服务对象所依赖资产与服务的关键性，以及任何其他重大风险因素；
确保测试由独立的外部机构执行；
对测试过程中发现的所有问题进行分类并予以整改，并建立内部验证机制，以确保所有已识别的薄弱环节、不足之处或缺口均得到彻底解决；以及
确保对所有支持关键或重要功能的系统和应用程序至少每年进行一次适当的测试。
第1款所述的数字运营弹性测试计划应当通过实施适当的测试来对工具和系统进行测试，包括但不限于—— a.
漏洞评估与扫描；
开源分析；
网络安全评估；
差距分析；
物理安全审查；
问卷调查及扫描软件解决方案；
源代码审查；
基于场景的测试；
兼容性测试；
性能测试；
端到端测试；以及
渗透测试。
附表2 – 定义条款
定义
“反洗钱/反恐怖融资”
具有《规章》中所赋予的含义。
“业务连续性与灾难恢复计划”
具有本技术与信息规则手册中第I.H.1条所赋予的含义。
“董事会”
具有公司规则手册中所赋予的含义。
“阿联酋中央银行”
指阿拉伯联合酋长国中央银行。
“首席信息安全官”
具有本技术与信息规则手册第I.I.1条所赋予的含义。
或“CISO”
信息规则手册。
“合规与风险管理”
指由VARA依据本规章发布的合规与风险管理规则手册，该手册可不时修订。
管理规则手册”
指由VARA依据《规章》发布的《合规与风险管理规则手册》，该手册可不时修订。
“合规官”或“CO”
具有《合规与风险管理规则手册》中赋予的含义。
“关键”
或者
“重要” 具有公司规则手册中赋予的含义。
“职能” “网络安全政策”
具有本《技术与信息规则手册》中第I.B.1条所赋予的含义。
“数据保护官”或
具有本技术规则第II.B.2条所赋予的含义。
“DPO”
信息规则手册。
“数据主体”
具有PDPL中赋予的含义。
分布式账本
具有“分布式账本
“技术”或“DLT”
技术”在《迪拜虚拟资产法》中的含义。
“迪拜VA法”
指2022年第4号法律，即关于迪拜酋长国虚拟资产监管的法律，该法律可不时修订。
迪拜酋长国，其内容可不时予以修订。"酋长国"
指迪拜酋长国境内的所有区域，包括特殊开发区和自由区，但不包括迪拜国际金融中心。
术语
定义
“实体”
指任何法人或自然人。
“功能”
具有公司规则手册中所赋予的含义。
“指引”
具有《规章》中所赋予的含义。
“HSM”
指硬件安全模块。
“许可证”
具有《规章》中所赋予的含义。
“持证者”
指持有有效许可证的人。
“PDPL”
指2021年第45号联邦法令——关于个人数据保护的法令。
“个人数据”
具有PDPL中赋予的含义。
“规章”
指《2023年虚拟资产及相关活动规章》，并可不时予以修订。
“规则”
具有《规章》中所赋予的含义。
“规则手册”
具有《规章》中所赋予的含义。
“高级管理层”
具有公司规则手册中所赋予的含义。
“员工”
具有公司规则手册中所赋予的含义。
“可疑交易”
具有《合规与风险管理规则手册》中赋予的含义。
“技术与信息”
指由VARA发布的本技术与信息规则手册
规则手册”
根据规章的规定，并可不时予以修订。
“技术治理”具有本《技术和风险评估框架》第I.A.1条所赋予的含义。 “威胁”
LED
信息规则手册。
渗透是指一种框架，其模仿了战术、技术以及
测试”或“TLPT”
针对被认定为构成真实网络威胁的现实威胁行为体所采取的程序，该程序旨在对虚拟资产服务提供商（VASP）的关键生产系统进行受控、定制化且以情报为导向的（红队）测试。
“阿联酋”
指阿拉伯联合酋长国。
“阿联酋数据办公室”
指根据联邦法令设立的阿联酋数据办公室
2021年第44号法律 关于设立阿联酋数据办公室的法律。 سُلطة تنظيم األصول االفتراضية- اإلمارات العربية المتحدة، دبي9292 :صندوق بريدvaraconnect@vara.ae varaconnect@vara.ae - PO Box 9292, Dubai, UAE - 虚拟资产监管局
术语
定义
“VA活动”
指《规章》附表1中列明的各项活动，该附表可不时予以修订。
“VA钱包”
具有《迪拜VA法》中“虚拟资产钱包”一词所赋予的含义。
“VARA”
指迪拜虚拟资产监管局。
“VASP”
指经VARA许可，在阿联酋境内开展虚拟资产活动的实体。
“虚拟资产”或“VA”
具有《迪拜虚拟资产法》中赋予的含义。
完整中文参考译文（非官方译本）；如有歧义，以官方英文原文为准。