双重认证
平台营运者在选择双重认证解决方案时，应考虑甚么因素？
双重认证是一项以原则为本的认证规定。平台营运者可自由选择与其安全基础设施最为匹配、并适合用来实现其风险纾减目标的双重认证解决方案（包括内部研发的解决方案）。
尤其是，平台营运者在有需要时应寻求解决方案提供者或技术顾问的协助，以评估及衡量每项正在考虑的双重认证解决方案的特点、局限性和漏洞，并按情况所需采取补偿控制措施。举例来说，平台营运者如使用短讯服务传送一次性密码，便应告诫其客户不要把其流动装置收到的一次性密码转发至其他装置。
随着时间过去，某些双重认证解决方案可能会因科技进步而变得过时和无效，因此，平台营运者应尽其合理努力紧贴最新的科技发展，并完善其双重认证解决方案，或在有需要时采取补偿控制措施。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
不可。经电邮传送的一次性密码不得被视为“客户所有的”认证元素。经电邮传送一次性密码的做法并不可靠，因为登入的人不一定是实际的客户，理由如下：
(i) 经电邮传送的一次性密码可被发送至多部装置，例如同时发送至流动电话及电脑，以及可被这些装置上的多个应用程式取用或读取；
(ii) 经电邮传送的一次性密码未必一定由客户本人读取，原因是客户电邮帐户的登入资料可由多人共用；及
(iii) 电邮帐户的安全保障不足，例如电邮的转寄功能可导致不慎将一次性密码与他人分享。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
不可。经短讯服务传送的一次性密码是有效的第二认证元素，但鉴于上述理由，经电邮传送一次性密码仍存在风险。平台营运者不应经电邮传送一次性密码。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
不可。双重认证是强制性的，因此平台营运者不应容许客户停用此功能。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
可否采用“双重密码”模式（例如在登入系统时使用一组密码，而在落盘时则须输入另一组密码；或在登入系统时须输入两组不同密码）来符合双重认证规定？
不可。双重密码只构成认证程序中的单一元素（即“客户所知的”），故不符合双重认证规定。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
一般来说，平台营运者不应容许客户绑定或注册超过三个装置。
(i) 若个人客户要求绑定或注册超过三个装置，则平台营运者应了解个中原因，及评估有关要求是否合理；及
(ii) 若公司客户要求绑定或注册多个装置，以便获其授权的人士可操作这些装置，则平台营运者应提议该公司客户为那些获授权的人士开立子帐户（各自具有独立的双重认证）；及若子帐户的安排并不可行，则平台营运者应向公司客户询问获授权操作其交易帐户的人数，并相应地限制并行登入。
（主要参考：《虚拟资产交易平台指引》第12.12(b)段）
密码政策及网页超时监控措施
平台营运者应每隔多久提醒客户更改密码？
平台营运者通常会提醒超过 90 个历日未更改密码的客户。
（主要参考：《虚拟资产交易平台指引》第12.12(d)(ii)段）
平台营运者可（除其他事项外）采取以下的监控措施：
以上所列的监控措施并非详尽无遗。平台营运者可选择采取任何其认为适当的监控措施。
（主要参考：《虚拟资产交易平台指引》第12.12(d)(v)段）
不。网页超时监控功能不得停用。
（主要参考：《虚拟资产交易平台指引》第12.12(d)(vi)段）
平台营运者应限制闲置超时时限（例如30 分钟内），并须事先作出评估和持续进行监察。例如，进行程式交易的客户可能需要随时待命以进行交易。在这种情况下，平台营运者可以允许较长的闲置超时期限，但其必须更密切地监察该客户的登入和登出记录以及交易活动。
（主要参考：《虚拟资产交易平台指引》第12.12(d)(vi)段）
通知客户
如客户已就不寻常的登入情况（例如，并非透过客户惯常使用的装置登入）收到通知，平台营运者是否仍须就每次系统登入通知客户？
本会要求平台营运者须就每次系统登入即时通知有关客户。然而，只要符合以下规定，平台营运者可以让客户选择不就每次系统登入收取通知：
（主要参考：《虚拟资产交易平台指引》第12.12(e)段）
平台基础设施的保安监控措施
平台营运者应实施妥善的网络隔离措施，并设置多重防火墙。平台营运者应：
(i) 将交易应用程式和其他关键系统（例如保管系统）设置于隔离区后的内部网络内；及
(ii) 将储存敏感度较低的数据的伺服器（例如网络伺服器）寄存于隔离区内。
（主要参考：《虚拟资产交易平台指引》第12.12(f)(i)段）
不可。平台营运者应避免向外界人士授予永久的遥距接达权。遥距接达权应按需要授予有关人士，并应在遥距接达活动完结后停用。
（主要参考：《虚拟资产交易平台指引》第12.12(f)(ii)段）
平台营运者可否分批配置保安修补及修正程式？
被列为关键或高严重性的保安修补及修正程式应在测试完成后一个月内进行配置。
非关键的保安修补程式及修正程式可批量进行配置，并应至少每季进行配置一次，除非平台营运者在评估后断定该等程式可能与系统应用程式不相容而无法执行。
（主要参考：《虚拟资产交易平台指引》第12.12(f)(iii)段）
不可。平台营运者不可采用使用期完结的软件。至于使用期接近完结的软件，平台营运者应监察软件的有效性，并制定计划以在软件的使用期完结前替换或升级有关软件。
（主要参考：《虚拟资产交易平台指引》第12.12(f)(iii)段）
数据加密
平台营运者应持续检视国际保安标准（例如美国国家标准与技术研究所（National Institute of Standards and Technology）提供的加密标准），检查其数据加密程式的状况，及在适当时将其升级。
不严谨的加密程式的例子包括：
(i) 就数据传输而言：SSL 3.0、TLS 1.0、TLS 1.1、TLS_RSA_WITH_RC4_128_MD5
(ii) 就数据储存而言：DES、3DES、RC4、RC5、RSA 1024-bit、Blowfish、Twofish、MD5、SHA-1
（主要参考：《虚拟资产交易平台指引》第 12.12(g)段）
是的。就上述目的而言，隔离区被视为内部网络的一部分。
（主要参考：《虚拟资产交易平台指引》第 12.12(g)段）
监察及监督
不可。鉴于虚拟资产交易平台业务的自动化及24 小时无间断服务的性质，以人手进行检视并非识别可疑和未经授权的虚拟资产交易活动的有效方法。平台营运者应实施有效的自动化解决方案，例如使用自动化IP地址监察工具及进行行为分析，以监察及识别未经授权而接达客户交易帐户的可疑情况。
（主要参考：《虚拟资产交易平台指引》第12.12(h)段）
平台营运者应实时监察及识别未经授权而接达客户交易帐户的可疑情况。
（主要参考：《虚拟资产交易平台指引》第12.12(h)段）
平台营运者可监察是否有下列情况：(i) 由同一个IP地址登入多个客户帐户；及(ii) 接达同一个客户帐户的IP地址在短时间内由一个国家转为另一个国家。
（主要参考：《虚拟资产交易平台指引》第12.12(h)段）
流动交易平台
请举列说明保护流动交易平台的保安监控措施。
平台营运者最低限度应实施下列保安监控措施，以保护流动交易平台：
(i) 侦测及阻止被破解的流动装置登入其流动交易平台；
(ii) 模糊其原始码以加强保护，避免其遭恶意利用；
(iii) 将没有使用的程式码库或模组从其原始码中清除；
(iv) 在客户一旦离开安装于其流动装置的流动交易平台或登出其交易帐户后，便将客户敏感资料从有关应用程式中清除，例如停用“记住密码”、“自动填写”及“自动完成”功能；及
(v) 加强生物特征认证的保安监控措施，例如规定客户若希望添加或修改储存在其流动装置纪录中的生物特征数据，便须停用并在经过核实后重新注册其生物特征认证，及限制认证尝试失败的次数，例如连续五次认证尝试失败。
（主要参考：《虚拟资产交易平台指引》第12.12段）
备份
是否可将“遥距备份伺服器”视为用于系统及数据备份的“离线媒体”？
是。“离线媒体”1一词是指与生产系统安全隔离的磁带或任何其他类型的媒体，例如遥距备份伺服器。
（主要参考：《虚拟资产交易平台指引》第12.16段）
1 请参阅《虚拟资产交易平台指引》第12.16段
最后更新日期: 2024年5月31日
香港证券及期货事务监察委员会（简称证监会）于本网站免费提供一套繁简字体转换软件（该软件）。证监会允许本网站的使用者利用该软件将本网站内容由繁体中文版转换成为简体中文版。证监会不会就该软件欠妥之处承担任何法律责任，亦不会就其品质及性能作出任何担保；尤其是在无损前述的一般性的原则下，证监会无需就该软件对某用途的恰当性、其品质或可商售性承担任何该等明示或隐含的、法定或非法定的法律责任。
证监会明确陈述，本会并无核准或认可本网站内容的简体中文版，以及对于本网站内容的简体中文版不承担任何责任或法律责任（不论是何种及如何引致的责任或法律责任）。证监会同时明确陈述，本网站的简体中文版纯粹是利用该软件将繁体中文版内的中文字体转换成简体中文字而得来的，当中并不涉及香港特区与内地的用词及语句的对应转换。对于该简体中文版的内容的恰当性，证监会不承担任何责任或法律责任。在任何情况下，使用者都不应视本网站内容的简体中文版为其繁体中文版的对应版本。使用者应该参照该简体中文版的已发布繁体中文版来核实该简体中文版的网站内容，并且应该在依赖本网站内容的简体中文版或根据其内容行事之前，就该版本的内容的法律效力、有效性和效果自费征询独立的法律意见。
如果你将证监会网站的简体中文版的内容或网址传送予第三者，你承诺会将本免责声明同时传送予该第三者，并保证该第三者在浏览本网站的简体中文版的内容之前同意接纳本免责声明。
The Securities and Futures Commission (SFC) provides a character-based conversion software (this Software) free of charge in this website. Permission is granted for users to use this Software to convert the web content from traditional Chinese character version to simplified Chinese character version. The SFC undertakes no liability for defects in this Software and gives no warranty in relation to its quality and performance and in particular, but without prejudice to the generality of the foregoing, the SFC shall have no such liability regarding the fitness for purpose, quality or merchantability of this Software, whether express or implied, statutory or otherwise.
The SFC expressly states that it has not approved or endorsed the simplified Chinese character version of the web content and the SFC accepts no responsibility or liability (whatsoever and howsoever caused) for such simplified Chinese character version of the web content. The SFC also expressly states that this simplified Chinese character version of the website is solely established by converting the characters in the traditional Chinese character version via this Software, which involves no corresponding conversion between the terms and expressions used in the Hong Kong SAR and Mainland China. The SFC accepts no responsibility or liability for the fitness of the content of the simplified Chinese character version. Under no circumstances should users treat the simplified Chinese character version of the web content as an equivalent of the traditional Chinese character version thereof. Users should verify the simplified Chinese character version of the web content by making reference to the published traditional Chinese character version thereof, and should at their own costs seek independent legal advice on the legal status, validity and effect of the simplified Chinese character version of the web content before relying or acting upon it.
If you transmit the content of this simplified Chinese character version website or its URL to any third party, you agree to forward this Disclaimer Statement at the same time to the third party and guarantee that the third party agrees to accept this Disclaimer Statement before browsing the content of the simplified Chinese character version of this website.
