Definindo o padrão para segurança de ativos digitais

Os ativos digitais estão em uma nova fase de engajamento. do presidente Biden ordem executiva sobre criptomoeda inaugurou uma nova technology para a tecnologia, com um sinal claro de que os ativos digitais vieram para ficar e desempenharão um papel elementary no desenvolvimento de uma nova infraestrutura financeira.

Nem os EUA estão sozinhos nessa abordagem. Outros centros financeiros e econômicos líderes estão acelerando seus próprios marcos regulatórios nesta questão. Na Europa, os legisladores da UE lançaram uma emenda complicada sobre ativos baseados em prova de trabalho do Projeto de lei de Mercados em Criptoativos (MiCA)indicando o desejo de criar um sistema justo que equilibre a inovação financeira genuína com a gestão de risco.

A importância de tal regulamentação voltada para o futuro não pode ser subestimada. Muitas das maiores instituições financeiras do mundo estão em estágios avançados de desenvolvimento de seus casos de uso de ativos digitais. Este regulamento fornece um caminho claro para eles lançarem produtos e serviços regulamentados nos principais mercados globais.

Grande parte da discussão até agora sobre o envolvimento com ativos digitais dependeu de uma dicotomia central: as empresas devem adotar a infraestrutura de ativos digitais? Existe um caso de negócios para nós em ativos digitais? À medida que entramos nesta nova fase, essas perguntas foram respondidas enfaticamente afirmativamente. As empresas agora estão perguntando: como devemos construir nosso caso de uso de ativos digitais? Quais são as principais considerações que precisamos abordar?

O caso da segurança de ativos digitais

A segurança deve estar no topo da lista de todas as empresas, independentemente do seu caso de uso. O roubo de criptomoedas atingiu um recorde histórico em 2021, com US$ 14 bilhões em criptomoedas roubados – um aumento de 79% em relação ao ano anterior. Espera-se que esse número aumente significativamente à medida que a adoção acelera. Apesar desses riscos, muitas empresas não possuem padrões de segurança claros para casos de uso, com uma proliferação de produtos e serviços em todo o setor alegando oferecer o “padrão ouro”.

Embora a natureza acelerada da inovação no setor de ativos digitais possa dificultar o acompanhamento dos mais recentes desenvolvimentos em segurança de ativos digitais, agora é o momento certo para o setor se unir e definir a taxonomia para padrões de segurança comuns.

Definindo os padrões

A segurança é elementary para todos os casos de uso de ativos digitais. Em sua essência, isso gira em torno de proteger as chaves privadas necessárias para acessar e gerenciar os ativos em carteiras digitais. Para as instituições, a segurança da carteira é composta por duas soluções principais: módulo de segurança de {hardware} (HSM) e computação multipartidária (MPC).

Um HSM é um dispositivo de computação física resistente a adulterações para proteger chaves e processar transações criptográficas. Os HSMs são certificados de acordo com padrões internacionais, com a Padrões Federais de Processamento de Informações (FIPS) 140, a certificação mais comumente reconhecida. O nível mais alto de certificação de segurança FIPS 140 atingível é o Nível de Segurança 4, que oferece a mais rigorosa segurança física e robustez contra ataques ambientais.

Em contraste, MPC funciona com base em um modelo distribuído de confiança, dividindo chaves entre várias entidades e usando computação de conhecimento 0 para permitir que as entidades compartilhem seus dados sem serem obrigadas a revelá-los. Tanto o MPC quanto o HSM podem ser conectados a uma rede (armazenamento a quente) ou usados ​​em uma configuração offline (armazenamento a frio), que é mais seguro, mas menos flexível.

Embora tenha havido um debate considerável sobre a melhor solução de segurança para instituições, a realidade é que a melhor escolha geralmente depende de necessidades institucionais específicas. A resposta é que não existe uma solução “tamanho único” – à medida que a tração cresce e os casos de uso se expandem, há argumentos claros para usar MPC e HSMs. De fato, o objetivo de um custodiante envolve combinar aspectos de HSM e MPC para encontrar efetivamente um equilíbrio entre agilidade e segurança. Além disso, a combinação de elementos de ambas as soluções (scorching MPC, chilly HSM, and so on.) pode permitir a troca de mecanismos de assinatura de acordo com os requisitos e casos de uso necessários, para que as empresas possam garantir que maximizem a segurança e a agilidade.

Eliminando pontos únicos de compromisso

Apesar da importância bem compreendida do gerenciamento de chaves privadas, muitas vezes vemos pontos únicos de comprometimento nas chamadas “soluções seguras”. Embora toda solução tenha um mecanismo de política que impõe aprovações distribuídas para transações, essa capacidade de distribuir confiança para no nível da transação. Geralmente, há uma função com direitos administrativos que fornece “poderes divinos” sobre todos os aspectos da solução, o que permite que um administrador substitua todas as políticas na plataforma. Avaliando uma solução com “tem um mecanismo de política?” não é um exercício de marcação de caixa. É elementary que todos os processos – desde aprovações de transações até a configuração de usuários, permissões e listas brancas, e até mesmo as próprias alterações de políticas – estejam sujeitos a um processo de aprovação distribuído obrigatório para garantir que não haja um único ponto de comprometimento.

Para proteger chaves altamente confidenciais, os controles de segurança apropriados precisam estar em vigor para proteger contra ameaças internas e externas. Mantenha sua própria chave A tecnologia (KYOK) deve ser adotada como um padrão do setor que permite que as empresas clientes garantam que elas mantenham acesso exclusivo às suas chaves criptográficas. O uso de tecnologia de computação sem confiança significa que apenas usuários autorizados de empresas clientes têm acesso a chaves de criptografia, garantindo que nenhum privilégio de acesso especial seja fornecido a provedores de tecnologia de terceiros.

Essa tecnologia garante que apenas os clientes tenham acesso às chaves. Combinado com uma estrutura de política de autorização de ponta a ponta reforçada que requer assinaturas de vários usuários internos para qualquer caso de uso, garante que nenhum dado seja revelado a qualquer computador ou indivíduo na rede e garante que não haja um ponto único de comprometimento .

Gerenciamento de risco rigoroso

Ninguém gosta de pensar no pior caso, mas, embora raros, desastres acontecem e precisam ser incluídos nos procedimentos de gerenciamento de riscos. Um estimado US$ 3,9 bilhões em Bitcoin sozinho foi perdido pelos investidores devido a chaves mal administradas. As empresas devem ter soluções de recuperação abrangentes para backups críticos de recuperação de chave privada em caso de acidente ou desastre.

A geração de vários cartões inteligentes FIPS 140.2 Nível 3 contendo fragmentos de chave criptografada de sementes de recuperação deve ser considerada elementary para essa abordagem. O armazenamento físico desses cartões inteligentes em ambientes seguros e distribuídos pode garantir que não haja um único ponto de falha no processo de armazenamento de recuperação.

O seguro também desempenha um papel importante. Ter os protocolos de segurança padrão ouro em vigor garante que os ativos sejam facilmente seguráveis ​​– tirando o peso da sua mente quando se trata de proteção.

Avançando com confiança

O setor de ativos digitais é uma indústria de inovação e iteração tremendamente rápida. Para as empresas envolvidas com ativos digitais, houve desafios em casos de uso à prova de futuro nos próximos anos. As opções disponíveis foram segurança e agilidade como compensação binária devido à falta de qualquer alternativa. Com o advento da infraestrutura madura, há uma taxonomia clara da infraestrutura de segurança que as empresas devem implementar, independentemente do caso de uso. Mas, mais importante, eles agora podem ter certeza de que podem olhar além dos casos de uso de MVP de hoje e esperar com a confiança de que serão capazes de escalar e responder às necessidades de seus negócios e clientes com agilidade e flexibilidade, independentemente do futuro. A fonte de vantagem competitiva futura, à medida que todos os ativos eventualmente se movem na cadeia, não serão compensações – segurança máxima e agilidade máxima.

Mover o setor em direção a um padrão de segurança comum sem comprometimento, sublinhado por uma infraestrutura flexível e ágil, deve ser considerado primordial pelos provedores. Ao fazer isso, podemos garantir que, à medida que o envolvimento com ativos digitais se acelera, as empresas tenham a infraestrutura certa para operar com velocidade, clareza e confiança no espaço.

Seamus Donoghue é vice-presidente de alianças estratégicas da METACO.