التقنية المالية والأصول الرقمية
معيار PCI DSS الإصدار 4: ما الذي تغيّر للتجار وجهات القبول
المتطلبات التي كانت «أفضل ممارسة» حتى مارس 2025 أصبحت إلزامية الآن، ويتعلق معظمها بصفحات الدفع والمصادقة وطريقة توثيق المخاطر.
التقنية المالية والأصول الرقمية
حفظ الأصول الرقمية: المحافظ الساخنة والدافئة والباردة والضوابط بينها
نادرًا ما تأتي خسائر منصات التداول وجهات الحفظ من كسر التشفير، بل من ضعف الضوابط المحيطة بالمفاتيح والموافقات والسحوبات.
من يملك المفتاح الخاص يملك الأصل. ولذلك فإن كل تصميم لخدمة الحفظ هو إجابة عن سؤال واحد: من يستطيع تحريك الأموال، وبأي شروط، وبأي سرعة؟ والإجابة لا تكون أبدًا محفظة واحدة.
ثلاث طبقات لثلاثة أغراض
- المحافظ الساخنة متصلة بالإنترنت وتوقّع تلقائيًا، ولا تحتفظ إلا بما تحتاجه السحوبات العادية لفترة قصيرة.
- المحافظ الدافئة متصلة بالإنترنت لكنها تتطلب موافقة بشرية، وغالبًا مع فترة تأخير، وتُستخدم لإعادة تغذية المحفظة الساخنة.
- التخزين البارد يُبقي المفاتيح غير متصلة، في وحدات أمان مادية (HSM) أو أجهزة معزولة، ويُستخدم لمعظم أصول العملاء.
ينبغي أن يتبع توزيع الأصول بين الطبقات أنماط السحب الفعلية مع مراجعته بانتظام، لا نسبة ثابتة اختيرت عند الإطلاق.
المفاتيح: التوقيع المتعدد أم الحوسبة متعددة الأطراف
تتطلب المحافظ متعددة التوقيع عدة مفاتيح لتوقيع المعاملة على البلوك تشين نفسها. أما الحوسبة متعددة الأطراف (MPC) فتقسّم المفتاح الواحد إلى أجزاء يحتفظ بها أطراف مختلفون، يوقّعون معًا دون إعادة تكوين المفتاح أبدًا. وكلا الأسلوبين يزيل نقطة الفشل الواحدة. تعمل MPC على عدد أكبر من شبكات البلوك تشين وتُبقي السياسات خارج السلسلة، بينما يجعل التوقيع المتعدد الموافقات ظاهرة على السلسلة. وفي الحالتين يجب أن تكون أجزاء المفاتيح في أماكن مختلفة ولدى أشخاص مختلفين، مع مراسم موثقة لإنشائها واستعادتها.
محرك السياسات هو الضابط الحقيقي
- موافقات بنصاب يرتفع مع ارتفاع المبلغ؛
- عناوين سحب معتمدة مسبقًا، مع فترة انتظار لأي عنوان جديد؛
- حدود للحجم لكل عميل ولكل أصل ولكل يوم؛
- فصل بين من يطلب التحويل ومن يوافق عليه ومن ينفّذه؛
- تنبيهات عند أي تغيير في السياسات نفسها.
إثبات وجود الأصول
ينبغي فصل أصول العملاء عن أموال الشركة، ومطابقتها مع الأرصدة على السلسلة يوميًا. وتنشر منصات كثيرة اليوم إثباتًا للاحتياطيات يتيح للعميل التحقق من أن رصيده مُدرج ضمن الالتزامات التي أقرّت بها المنصة. هذا ليس تدقيقًا كاملًا، لكنه يبني ثقة لا يبنيها كشف ربع سنوي وحده.
يصمم فريق التقنية المالية لدينا بنية الحفظ مع مزوّدي HSM وMPC، ويختبر فريق الأمن السيبراني مسارات الموافقة كما يفعل المهاجم.
