มาตรการความปลอดภัยเกี่ยวกับสินทรัพย์ดิจิทัล (เงินสกุลเสมือน) คืออะไร? อธิบายพร้อมกับ 3 กรณีการรั่วไหล
เพื่อทำธุรกรรมที่เกี่ยวข้องกับสินทรัพย์ดิจิทัล (คริปโตเคอเรนซี) ให้ปลอดภัย มีความสำคัญอย่างยิ่งที่จะต้องมีมาตรการด้านความปลอดภัยที่เพียงพอ จากมุมมองของผู้ใช้บริการ หากบริการที่เกี่ยวข้องกับสินทรัพย์ดิจิทัลไม่มีมาตรการความปลอดภัยที่เพียงพอ ก็จะรู้สึกกลัวและไม่สามารถใช้บริการนั้นได้
ดังนั้น ในบทความนี้ เราจะแนะนำมาตรการด้านความปลอดภัยสำหรับสินทรัพย์ดิจิทัลสำหรับผู้ประกอบการที่ให้บริการเกี่ยวกับสินทรัพย์ดิจิทัล
ความสำคัญของมาตรการความปลอดภัยสำหรับสินทรัพย์ดิจิทัล (คริปโตเคอเรนซี)
สำหรับผู้ประกอบการที่ให้บริการเกี่ยวกับสินทรัพย์ดิจิทัล การมีมาตรการความปลอดภัยถือเป็นสิ่งที่มีความสำคัญอย่างยิ่ง
ตัวอย่างเช่น หากเกิดการโจมตีทางไซเบอร์จากแฮกเกอร์และทำให้ระบบขัดข้อง การทำธุรกรรมที่เกี่ยวข้องกับสินทรัพย์ดิจิทัลอาจไม่สามารถดำเนินการได้ ซึ่งอาจส่งผลกระทบอย่างมากต่อการทำธุรกรรมของผู้ใช้บริการ
นอกจากนี้ ในบางกรณีของบริการที่เกี่ยวข้องกับสินทรัพย์ดิจิทัล ผู้ประกอบการอาจต้องจัดการสินทรัพย์ดิจิทัลของผู้ใช้บริการ หากมาตรการความปลอดภัยไม่เพียงพอ อาจเกิดการรั่วไหลของสินทรัพย์ดิจิทัลของผู้ใช้บริการจากการโจมตีทางไซเบอร์ได้
เพิ่มเติมอีก การทำธุรกรรมสินทรัพย์ดิจิทัลมักจะดำเนินการผ่านอินเทอร์เน็ต ทำให้มีการทำธุรกรรมข้ามประเทศ หากสินทรัพย์ดิจิทัลรั่วไหลข้ามประเทศ การติดตามอาจกลายเป็นเรื่องยากหรือเป็นไปไม่ได้
ดังนั้น สำหรับผู้ประกอบการที่ให้บริการเกี่ยวกับสินทรัพย์ดิจิทัล การรับประกันความปลอดภัยของบริการเพื่อปกป้องผู้ใช้บริการ และการป้องกันระบบจากการโจมตีทางไซเบอร์เพื่อหลีกเลี่ยงความรับผิดชอบในการชดใช้ค่าเสียหายต่อผู้ใช้บริการ เป็นเหตุผลที่ทำให้มาตรการความปลอดภัยสำหรับสินทรัพย์ดิจิทัลมีความสำคัญอย่างยิ่ง
ความสำคัญของมาตรการความปลอดภัยจากกรณีการรั่วไหลของสินทรัพย์ดิจิทัล
เกี่ยวกับการรั่วไหลของสินทรัพย์ดิจิทัลนั้น ในอดีตเคยมีกรณีที่เกิดขึ้นมากมายแล้ว
การทำความเข้าใจกรณีการรั่วไหลของสินทรัพย์ดิจิทัลจะช่วยให้เราเรียนรู้ถึงความสำคัญของมาตรการความปลอดภัยเกี่ยวกับสินทรัพย์ดิจิทัลได้ ดังนั้น ด้านล่างนี้จะแนะนำ 3 กรณีการรั่วไหลที่เกิดขึ้นในประเทศญี่ปุ่น
กรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Coincheck จำกัด (มกราคม 2018)
กรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Coincheck จำกัด เกิดขึ้นในวันที่ 26 มกราคม 2018 (2018年1月26日)。
สรุปเหตุการณ์คือ ที่แพลตฟอร์มการซื้อขายสินทรัพย์ดิจิทัล Coincheck ซึ่งดำเนินการโดยบริษัท Coincheck จำกัด ได้เกิดการรั่วไหลของสินทรัพย์ดิจิทัล NEM ที่ถูกจัดการโดยบริษัท ผ่านการแฮ็กเข้าสู่ระบบของ Coincheck。
มูลค่าความเสียหายประมาณ 58 พันล้านเยน ซึ่งเป็นจำนวนที่สูงมาก ทำให้เหตุการณ์นี้ได้รับการรายงานข่าวอย่างกว้างขวาง ไม่เพียงแต่ในประเทศญี่ปุ่นเท่านั้น แต่ยังรวมถึงในต่างประเทศด้วย。
สาเหตุของกรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Coincheck จำกัด นี้ คาดว่าเป็นเพราะมาตรการความปลอดภัยของ Coincheck ที่ไม่เพียงพอ。
Coincheck ใช้กระเป๋าเงินแบบเชื่อมต่ออินเทอร์เน็ตที่เรียกว่า “Hot Wallet” ซึ่งทำให้สินทรัพย์ดิจิทัล NEM มูลค่าประมาณ 58 พันล้านเยน ได้รั่วไหลออกไปภายในเวลาประมาณ 20 นาที。
ในด้านมาตรการความปลอดภัย โดยทั่วไปแล้ว “Cold Wallet” ซึ่งเป็นกระเป๋าเงินที่ไม่เชื่อมต่อกับอินเทอร์เน็ต ถือว่ามีความปลอดภัยสูงกว่า。
แม้ว่าบริษัท Coincheck จำกัด จะได้ดำเนินการชดเชยให้กับผู้ใช้บริการแล้ว แต่ก็ต้องเผชิญกับการถูกเรียกเก็บรายงาน คำสั่งให้ปรับปรุงการดำเนินงาน และการตรวจสอบจากหน่วยงานกำกับดูแลอย่าง Financial Services Agency (FSA) ของญี่ปุ่น。
อ้างอิง：Financial Services Agency (FSA) 「เกี่ยวกับมาตรการบริหารจัดการของบริษัท Coincheck จำกัด」
นอกจากนี้ บทความด้านล่างนี้ได้ให้คำอธิบายอย่างละเอียดเกี่ยวกับประเภทของกระเป๋าเงินและกฎระเบียบทางกฎหมาย。
บทความที่เกี่ยวข้อง：กระเป๋าเงินที่จำเป็นสำหรับการซื้อขาย NFT คืออะไร? พร้อมทั้งอธิบายเกี่ยวกับกฎระเบียบทางกฎหมายในญี่ปุ่น
กรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Tech Bureau Corporation (กันยายน 2018)
กรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Tech Bureau Corporation เกิดขึ้นในวันที่ 14 กันยายน 2018
สรุปของเหตุการณ์คือ จากการเข้าถึงระบบอย่างไม่ชอบด้วยกฎหมายจากภายนอก ทำให้สินทรัพย์ดิจิทัลประมาณ 7 พันล้านเยนที่ถูกจัดการโดยบริษัท Tech Bureau Corporation ซึ่งเป็นผู้ดำเนินการแลกเปลี่ยนสินทรัพย์ดิจิทัล Zaif ได้รั่วไหลออกไป
จากจำนวนเงินประมาณ 7 พันล้านเยนนั้น มีประมาณ 4.5 พันล้านเยนที่เป็นสินทรัพย์ดิจิทัลของผู้ใช้บริการ
ในกรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Tech Bureau Corporation นี้ ก็เช่นเดียวกับกรณีของบริษัท Coincheck Corporation ที่สินทรัพย์ดิจิทัลถูกจัดการผ่านกระเป๋าเงินที่เชื่อมต่อกับอินเทอร์เน็ต หรือที่เรียกว่า “Hot Wallet”
จากกรณีนี้ บริษัท Tech Bureau Corporation ได้รับคำสั่งให้ปรับปรุงการดำเนินงานจากหน่วยงานกำกับดูแลทางการเงินของญี่ปุ่นถึงสามครั้ง
อ้างอิง: หน่วยงานกำกับดูแลทางการเงินของญี่ปุ่น “เกี่ยวกับมาตรการบริหารจัดการของบริษัท Tech Bureau Corporation”
บริษัท Tech Bureau Corporation ได้โอนกิจการแลกเปลี่ยนสินทรัพย์ดิจิทัล “Zaif” ในเดือนพฤศจิกายน 2018 และกลายเป็นผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัลรายแรกที่ยกเลิกการดำเนินธุรกิจดังกล่าว
กรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Bitpoint Japan (กรกฎาคม 2019)
เหตุการณ์การรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Bitpoint Japan เกิดขึ้นในวันที่ 11 กรกฎาคม 2019 (พ.ศ. 2562)。
สรุปเหตุการณ์คือ จากการดำเนินงานของแพลตฟอร์มการซื้อขายสินทรัพย์ดิจิทัล BITPOINT ซึ่งเป็นการดำเนินงานโดยบริษัท Bitpoint Japan ได้มีสินทรัพย์ดิจิทัลรั่วไหลออกไปประมาณ 3.5 พันล้านเยน。
จากสินทรัพย์ดิจิทัลที่รั่วไหลออกไปนั้น มีมูลค่าประมาณ 2 พันล้านเยนเป็นสินทรัพย์ของผู้ใช้บริการ。
ในกรณีการรั่วไหลของสินทรัพย์ดิจิทัลของบริษัท Bitpoint Japan นี้ ก็เช่นเดียวกับกรณีการรั่วไหลของสินทรัพย์ดิจิทัลที่กล่าวถึงก่อนหน้านี้ สินทรัพย์ดิจิทัลบางส่วนได้ถูกจัดการผ่านกระเป๋าเงินที่เชื่อมต่อกับอินเทอร์เน็ต หรือที่เรียกว่า “Hot Wallet”。
BITPOINT ได้ดำเนินการชดเชยสินทรัพย์ดิจิทัลของผู้ใช้บริการที่รั่วไหลออกไป มูลค่าประมาณ 2 พันล้านเยน。
ภาพรวมมาตรการความปลอดภัย
เช่นเดียวกับกรณีการรั่วไหลของสินทรัพย์ดิจิทัลที่กล่าวถึงก่อนหน้านี้ หากเกิดการรั่วไหลของสินทรัพย์ดิจิทัลขึ้น จะทำให้เกิดความเสียหายและผลกระทบอย่างมาก นอกจากนี้ ยังมีปัญหาเกี่ยวกับความเสี่ยงด้านชื่อเสียงอีกด้วย
เพื่อหลีกเลี่ยงปัญหาเหล่านี้ การดำเนินมาตรการความปลอดภัยอย่างเข้มงวดจึงเป็นสิ่งสำคัญ
ตาม“คำสั่งของสำนักงานคณะรัฐมนตรีเกี่ยวกับผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัล” ของญี่ปุ่น ได้มีการกำหนดไว้ในมาตรา 13 ดังต่อไปนี้
บทที่ 13 ผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัลจะต้องดำเนินการตามมาตรการที่เหมาะสมเพื่อจัดการระบบการประมวลผลข้อมูลอิเล็กทรอนิกส์ที่เกี่ยวข้องกับการแลกเปลี่ยนสินทรัพย์ดิจิทัลอย่างเพียงพอ โดยคำนึงถึงเนื้อหาและวิธีการดำเนินงานของธุรกิจการแลกเปลี่ยนสินทรัพย์ดิจิทัลที่ดำเนินการ
นอกจากนี้ หน่วยงานบริหารการเงินของญี่ปุ่น (Japanese Financial Services Agency) ได้เผยแพร่ “ภาคที่สาม: ส่วนที่เกี่ยวข้องกับบริษัทการเงิน” ซึ่งสามารถเข้าถึงได้ที่ ลิงก์นี้ และในหน้าที่ 59 ของส่วน “16 ส่วนที่เกี่ยวข้องกับผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัล” ได้กำหนดรายการที่เฉพาะเจาะจงไว้อย่างชัดเจน
⑸ การจัดการความปลอดภัยไซเบอร์
① ในเรื่องของความปลอดภัยไซเบอร์ คณะกรรมการบริหารต้องตระหนักถึงความสำคัญของความปลอดภัยไซเบอร์และจัดเตรียมมาตรการที่จำเป็นหรือไม่ เนื่องจากการโจมตีทางไซเบอร์มีความซับซ้อนและชาญฉลาดมากขึ้น
② ในเรื่องของความปลอดภัยไซเบอร์ ได้มีการจัดตั้งโครงสร้างองค์กร การกำหนดกฎระเบียบภายใน รวมถึงการจัดเตรียมมาตรการจัดการความปลอดภัยไซเบอร์ดังต่อไปนี้หรือไม่
・ ระบบตรวจสอบการโจมตีทางไซเบอร์
・ ระบบรายงานและประชาสัมพันธ์เมื่อถูกโจมตีทางไซเบอร์
・ ระบบตอบสนองเหตุการณ์ความปลอดภัยคอมพิวเตอร์ภายในองค์กร (CSIRT) สำหรับการตอบสนองฉุกเฉินและการเตือนภัยล่วงหน้า
・ ระบบรวบรวมและแบ่งปันข้อมูลผ่านหน่วยงานที่เกี่ยวข้อง เป็นต้น
③ ได้มีการดำเนินการป้องกันการโจมตีทางไซเบอร์ด้วยการผสมผสานมาตรการความปลอดภัยไซเบอร์หลายชั้น ตั้งแต่มาตรการป้องกันที่ประตูเข้า มาตรการภายใน และมาตรการที่ประตูออก โดยพิจารณาจากความเสี่ยงหรือไม่
・ มาตรการที่ประตูเข้า (เช่น การติดตั้งไฟร์วอลล์ การใช้ซอฟต์แวร์ป้องกันไวรัส การติดตั้งระบบตรวจจับและป้องกันการบุกรุก เป็นต้น)
・ มาตรการภายใน (เช่น การจัดการ ID และรหัสผ่านพิเศษอย่างเหมาะสม การลบ ID ที่ไม่จำเป็น การตรวจสอบการดำเนินการคำสั่งเฉพาะ การรักษาความปลอดภัยของระบบหลัก (ระหว่างเซิร์ฟเวอร์) เช่น การกรองแพ็กเก็ตหรือการเข้ารหัสการสื่อสาร การแยกเครือข่ายระหว่างสภาพแวดล้อมการพัฒนา (รวมถึงสภาพแวดล้อมทดสอบ) และสภาพแวดล้อมระบบหลัก การแยกเซกเมนต์เครือข่ายตามวัตถุประสงค์การใช้งาน เป็นต้น)
・ มาตรการที่ประตูออก (เช่น การเก็บและวิเคราะห์บันทึกการสื่อสารและบันทึกเหตุการณ์ การตรวจจับและบล็อกการสื่อสารที่ไม่เหมาะสม เป็นต้น)
④ ในกรณีที่ถูกโจมตีทางไซเบอร์ ได้มีการจัดเตรียมมาตรการที่จะดำเนินการอย่างรวดเร็วเพื่อป้องกันการขยายตัวของความเสียหายหรือไม่ เช่น
・ การระบุและบล็อกที่อยู่ IP ของแหล่งที่มาของการโจมตี
・ ฟังก์ชันที่กระจายการเข้าถึงอัตโนมัติเมื่อเผชิญกับการโจมตีแบบ DDoS
・ การหยุดการทำงานของระบบทั้งหมดหรือบางส่วนชั่วคราว เป็นต้น
นอกจากนี้ ได้มีการจัดเตรียมขั้นตอนสำหรับการสืบสวนหลังเกิดเหตุ (การสืบสวนแบบฟอเรนซิก) เช่น การรักษาบันทึกการเข้าใช้งานหรือการเก็บภาพคัดลอกข้อมูลหรือไม่
⑤ ได้กำหนดขั้นตอนการรวบรวม การวิเคราะห์ และการตอบสนองต่อข้อมูลเกี่ยวกับจุดอ่อนและภัยคุกคามอย่างสม่ำเสมอและชัดเจน และดำเนินการอย่างมีระบบหรือไม่ นอกจากนี้ ได้ดำเนินการป้องกันจุดอ่อนของระบบ เช่น การอัปเดตระบบปฏิบัติการหรือการใช้แพทช์ความปลอดภัยอย่างทันท่วงทีหรือไม่
⑥ ในเรื่องของความปลอดภัยไซเบอร์ ได้ใช้การตรวจสอบความปลอดภัยจากบุคคลที่สาม (หน่วยงานภายนอก) เช่น การตรวจสอบจุดอ่อน การตรวจสอบรหัสแหล่งที่มา การทดสอบการเจาะระบบ เป็นต้น และดำเนินการประเมินระดับความปลอดภัยอย่างสม่ำเสมอเพื่อปรับปรุงมาตรการความปลอดภัยหรือไม่ นอกจากนี้ ในกรณีที่เกิดการละเมิดความปลอดภัยไซเบอร์ในประเทศหรือต่างประเทศ ได้ดำเนินการประเมินความเสี่ยงอย่างเหมาะสมหรือไม่
⑦ ในกรณีที่ทำธุรกรรมที่ไม่ได้พบหน้าผ่านอินเทอร์เน็ตหรือช่องทางการสื่อสารอื่นๆ ได้นำระบบการตรวจสอบที่เหมาะสมกับความเสี่ยงของธุรกรรมนั้นๆ เช่น
・ ระบบการตรวจสอบที่ไม่พึ่งพา ID และรหัสผ่านแบบคงที่เพียงอย่างเดียว เช่น รหัสผ่านแบบเปลี่ยนแปลงได้หรือใบรับรองอิเล็กทรอนิกส์
・ การใช้อุปกรณ์อื่นที่แยกจากคอมพิวเตอร์หรือสมาร์ทโฟนที่ใช้ในการทำธุรกรรม เพื่อการตรวจสอบธุรกรรมผ่านหลายช่องทาง
・ การใช้รหัสผ่านทำธุรกรรมที่แยกจากรหัสผ่านเข้าสู่ระบบ เป็นต้น
⑧ ในกรณีที่ทำธุรกรรมที่ไม่ได้พบหน้าผ่านอินเทอร์เน็ตหรือช่องทางการสื่อสารอื่นๆ ได้ดำเนินการป้องกันการทุจริตตามลักษณะของงานหรือไม่ เช่น
・ การบล็อกการสื่อสารจากที่อยู่ IP ที่ไม่ถูกต้อง
・ การให้ผู้ใช้ติดตั้งและอัปเดตซอฟต์แวร์ความปลอดภัยเพื่อตรวจจับและกำจัดไวรัส
・ การตรวจจับการเข้าสู่ระบบที่ไม่ถูกต้องและธุรกรรมที่ผิดปกติ และการจัดเตรียมระบบที่จะติดต่อผู้ใช้ทันที
・ การแสดงเวลาเข้าสู่ระบบครั้งล่าสุด (หรือเวลาออกจากระบบ) บนหน้าจอ เป็นต้น
⑨ ได้จัดทำแผนการรับมือฉุกเฉินสำหรับการโจมตีทางไซเบอร์ และดำเนินการฝึกซ้อมและทบทวนหรือไม่ นอกจากนี้ ได้เข้าร่วมการฝึกซ้อมข้ามอุตสาหกรรมตามความจำเป็นหรือไม่
⑩ ได้จัดทำและดำเนินการตามแผนการพัฒนาและขยายบุคลากรที่เกี่ยวข้องกับความปลอดภัยไซเบอร์หรือไม่
ดังที่ได้กล่าวมาข้างต้น มาตรการความปลอดภัยที่ผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัลควรดำเนินการได้ถูกกำหนดไว้อย่างชัดเจนและละเอียด ดังนั้น สำหรับสินทรัพย์ดิจิทัล จึงสำคัญที่จะต้องตรวจสอบกฎหมายและแนวทางของหน่วยงานกำกับดูแลอย่างละเอียด เพื่อให้แน่ใจว่าได้ดำเนินการตามมาตรการความปลอดภัยเหล่านี้อย่างถูกต้อง
นอกจากนี้ ผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัลยังต้องเผชิญกับกฎระเบียบต่างๆ อีกมากมาย บทความต่อไปนี้ได้ให้คำอธิบายอย่างละเอียด โปรดอ้างอิงเพื่อข้อมูลเพิ่มเติม
บทความที่เกี่ยวข้อง：การบริการรักษาความปลอดภัยสินทรัพย์ดิจิทัลคืออะไร? การอธิบายกฎระเบียบสำหรับผู้ประกอบการแลกเปลี่ยนสินทรัพย์ดิจิทัล
สรุป: สำหรับปรึกษาปัญหาทางกฎหมายเกี่ยวกับเกมบล็อกเชน ควรติดต่อทนายความ
ในบทความนี้ เราได้นำเสนอมาตรการด้านความปลอดภัยสำหรับผู้ประกอบการที่ให้บริการเกี่ยวกับสินทรัพย์ดิจิทัลเป็นหลัก
เพื่อดำเนินการมาตรการความปลอดภัยสำหรับสินทรัพย์ดิจิทัลอย่างเพียงพอ การสร้างองค์กรที่สามารถดำเนินการมาตรการดังกล่าวได้เป็นสิ่งสำคัญ
ดังนั้น สำหรับผู้ประกอบการที่กำลังพิจารณามาตรการความปลอดภัยสำหรับสินทรัพย์ดิจิทัล เราขอแนะนำให้คุณปรึกษากับทนายความที่มีความรู้เชี่ยวชาญทั้งในด้านไอทีและกฎหมาย เพื่อสร้างระบบการทำงานที่สามารถดำเนินมาตรการความปลอดภัยได้อย่างเพียงพอ ตามกฎหมายและแนวทางที่กำหนดไว้
แนะนำมาตรการของเรา
ที่สำนักงานกฎหมายมอนอลิธ เราเป็นสำนักงานกฎหมายที่มีความเชี่ยวชาญสูงทั้งในด้านไอที โดยเฉพาะอย่างยิ่งกฎหมายอินเทอร์เน็ต เราให้การสนับสนุนอย่างเต็มรูปแบบสำหรับธุรกิจที่เกี่ยวข้องกับสินทรัพย์ดิจิทัลและบล็อกเชน รายละเอียดเพิ่มเติมได้ระบุไว้ในบทความด้านล่างนี้
Category: IT
