Siber güvenlik standartlarını sıkılaştırma planı: Hong Kong SFC yüksek riskli kurumları hedefliyor

Hong Kong Menkul Kıymetler ve Vadeli İşlemler Komisyonu (Securities and Futures Commission, SFC), lisanslı kurumlar için bir siber güvenlik çerçevesi oluşturmayı ve risk düzeyi yüksek kurumlara daha sıkı standartlar uygulamayı planlıyor. Amaç, yapay zekâ (AI) destekli siber saldırılara karşı savunmayı güçlendirmek.

ChainCatcher’ın aktardığına göre SFC CEO’su Julia Leung, planı 2 Kasım’da Hong Kong Fintech Week 2026’da açıkladı. Leung aynı etkinlikte, tokenizasyonun ölçek kazanması için piyasaya somut ekonomik fayda sağlaması gerektiğini de söyledi.

Öneri, güvenlik standartlarının kurumların risk düzeyine göre farklılaştırılmasını öngörüyor. Risk seviyesi yüksek kuruluşlara, AI destekli tehditlere karşı daha kapsamlı gereklilikler getirilecek.

Komisyon, 2 Haziran tarihli yönergesinde lisanslı kuruluşları, SFC lisanslı sanal varlık hizmet sağlayıcılarını ve bunların ilişkili şirketlerini siber güvenlik denetiminin kapsamına aldı. Hong Kong’da lisanslı sanal varlık işlem platformları da yönergeye tabi.

Komisyonun yönergesinde yer alan verilere göre Hong Kong’daki siber güvenlik olayları 2024’te 12.536 iken 2025’te 15.877’ye yükseldi. Sayıma botnet, dağıtık hizmet reddi (DDoS), internet sitesi tahrifatı, kötü amaçlı yazılım ve kimlik avı olayları dahil edildi.

Lisanslı kurumların AI tabanlı saldırılara hazırlanmak için mevcut sistemlerindeki zayıflıkları değerlendirmesi ve gerekli önlemleri alması gerekiyor. Komisyon, güvenlik çerçevesindeki değişiklikleri inceleme ve onaylama ile iyileştirmeleri hızla uygulama konusunda nihai sorumluluğun üst yönetimde olduğunu belirtti.

Komisyon, AI modellerinin yazılım ve altyapıdaki açıkları bulup istismar etmek için gereken uzmanlığı, maliyeti ve zamanı azaltabileceğine dikkat çekti. Kimlik avı ve sosyal mühendislik, deepfake ile kimliğe bürünme ve keşif saldırılarının teknik eşiğinin de düşebileceğini kaydetti.

Komisyona göre bir açığın kamuya açıklanmasıyla saldırılarda kullanılmaya başlaması arasındaki süre de kısalıyor. Bu nedenle lisanslı kuruluşlardan güvenlik yamaları ve açık yönetimi süreçlerini hızla iyileştirmeleri, kritik sistemler için acil düzeltmelere hazırlıklı olmaları istendi.

Kurumların donanım, yazılım, ağ, veri tabanı ve bulut hizmetleri dahil teknolojik varlıklarının envanterini güncel tutması gerekiyor. Kuruluşlar ayrıca internete açık varlıkları, kritik işlerde kullanılan varlıkları ve üçüncü taraf bileşenlere bağımlı varlıkları ayırarak açık müdahalesinde öncelik belirlemeli.

Erişim yetkileri iş için gereken asgari düzeyle sınırlandırılmalı; güvenlik duvarları ve ağ ayrıştırması güçlendirilmeli. Harici uygulama, e-posta, belge ve internet sayfalarından gelen içerik güvenilmeyen girdi olarak ele alınmalı, etkisi yüksek işlemlerde çift doğrulama uygulanmalı.

Komisyon, müşteri işlemleri ve sistem faaliyetlerindeki olağan dışı işaretleri tespit etme ve izleme kapasitesinin yanı sıra tehdit istihbaratı toplama becerisinin de geliştirilmesini istedi. Kritik işleri destekleyen dış hizmet sağlayıcıları için ilk değerlendirme ve sürekli güvenlik riski kontrolleri öngörüldü.

Olay müdahale süreçleri ve acil durum planları, simüle saldırılar veya masa başı tatbikatlarla düzenli olarak sınanmalı. Kurumlar iş kayıtlarıyla müşteri ve işlem verilerinin yedeklerini tutmalı; ciddi siber güvenlik olaylarını veya saldırıları komisyona hızla bildirmeli.

Komisyon, haziran yönergesinde risklerdeki değişimi izleyerek ek talimat yayımlayabileceğini ve lisanslı kuruluşların hazırlık düzeyiyle dayanıklılığını değerlendirebileceğini belirtti. Gerekli görülmesi halinde denetim tedbirleri de gündeme gelebilecek.

Tokenizasyon, yatırım ürünlerindeki hakların blokzincir tabanlı tokenlarla temsil edilmesi yöntemi. Leung, Hong Kong kurumlarının bu alanda önde olduğunu söylerken ölçeğin büyümesi için piyasaya somut ekonomik fayda sağlanması gerektiğini vurguladı.

Komisyon, tokenleştirilmiş yatırım ürünlerinde ikincil piyasa işlemlerine izin vermek amacıyla 20 Nisan’da düzenleyici çerçevesini açıkladı. Çerçeve, SFC lisanslı sanal varlık işlem platformları üzerinden işlemleri, adil fiyat oluşumunu, likidite sağlamayı ve bilgi açıklamalarını kapsıyor.

Komisyon, 26 Ekim’de lisanslı sanal varlık işlem platformlarında tokenleştirilmiş halka açık iki para piyasası fonunun ikincil piyasa işlemlerinin başladığını duyurdu. İşlem koşullarında sürekli işlem, işlem kanalları, fiyat adaleti, likidite sağlama ve bilgi açıklamalarına ilişkin güvenceler yer aldı.