सेबोनको नयाँ नीति : पुँजी बजारका तथ्यांक नेपालमै राख्नुपर्ने, साइबर आक्रमण भए सोही दिन जानकारी दिनुपर्ने

काठमाडौं । नेपाल धितोपत्र बोर्ड (सेबोन) ले पुँजी बजारसँग सम्बन्धित तथ्यांक तथा अभिलेख नेपालभित्रै भण्डारण गर्नुपर्ने व्यवस्था गरेको छ । बजारमा गम्भीर प्रकृतिको साइबर आक्रमण वा सूचना प्रविधिसम्बन्धी घटना भएमा सम्बन्धित संस्थाले सोही दिन बोर्डलाई जानकारी गराउनुपर्नेछ ।

धितोपत्र तथा वस्तु विनिमय बजारको प्रविधिगत पूर्वाधारलाई सुरक्षित, व्यवस्थित र आधुनिक बनाउने उद्देश्यले बोर्डले ‘सूचना प्रविधि नीति, २०८३’ लागू गर्दै यस्तो व्यवस्था गरेको हो । नयाँ नीतिले नेपाल स्टक एक्सचेन्ज (नेप्से), सीडीएस एन्ड क्लियरिङ लिमिटेड (सीडीएससी), धितोपत्र दलाल व्यवसायी, मर्चेन्ट बैंकरलगायत बजारका संस्थाको सूचना प्रविधि प्रणाली, साइबर सुरक्षा, जोखिम व्यवस्थापन र तथ्यांक संरक्षणलाई कडाइका साथ नियमन गर्नेछ ।

बोर्डले यसअघि लागू गरेको सूचना प्रविधि नीति, २०७६ खारेज गर्दै नयाँ नीति ल्याएको हो । कृत्रिम बुद्धिमत्ता (एआई), बिग डेटा एनालिटिक्स, ब्लकचेन, वित्तीय प्रविधि (फिनटेक) तथा एल्गोरिदमिक कारोबारको प्रयोग बढ्दै गएको अवस्थामा पुँजी बजारलाई सुरक्षित र प्रविधिमैत्री बनाउने लक्ष्य नीतिले राखेको छ ।

साइबर सुरक्षा परीक्षण अनिवार्य, कमजोरी सुधार्न ३० दिन

नयाँ नीतिअनुसार बजार पूर्वाधार संस्थाले अन्तर्राष्ट्रिय मापदण्ड आईएसओ/आईईसी २७००१ मा आधारित सूचना सुरक्षा व्यवस्थापन प्रणाली लागू गर्नुपर्नेछ । त्यस्तै, नेप्से र सीडीएससीजस्ता बजार पूर्वाधार संस्थाले प्रत्येक वर्ष तथा अन्य सहभागी संस्थाले प्रत्येक दुई वर्षमा सूचना प्रविधि प्रणालीको लेखापरीक्षण गराउनुपर्नेछ ।

लेखापरीक्षणका क्रममा गम्भीर प्रकृतिका कमजोरी फेला परेमा सम्बन्धित संस्थाले ३० दिनभित्र सुधार गरी त्यसको प्रतिवेदन बोर्डमा पेस गर्नुपर्नेछ । प्रणालीमा हुन सक्ने सुरक्षा कमजोरी पहिचान गर्न नियमित रूपमा भल्नरेबिलिटी एसेसमेन्ट एन्ड पेनिट्रेसन टेस्टिङ (भीएपीटी) समेत गराउनुपर्ने व्यवस्था गरिएको छ ।

साइबर जोखिमको निरन्तर निगरानीका लागि संस्थाले आफ्नै सुरक्षा सञ्चालन केन्द्र (एसओसी) स्थापना गर्नुपर्ने वा व्यवस्थापित सुरक्षा सेवा प्रदायक (एमएसएसपी) मार्फत सेवा लिनुपर्नेछ । यसबाट प्रणालीमा हुने असामान्य गतिविधि तथा अनधिकृत पहुँचको पहिचान गर्न सहज हुने बोर्डको अपेक्षा छ ।

मुख्य डेटा सेन्टरभन्दा २५ किलोमिटर टाढा वैकल्पिक केन्द्र

मुख्य डेटा सेन्टरमा प्राविधिक समस्या, प्राकृतिक विपद् वा साइबर आक्रमणका कारण प्रणाली अवरुद्ध हुन सक्ने जोखिमलाई ध्यानमा राख्दै बोर्डले विपद् पुनरुत्थान केन्द्र (डीआरएस) स्थापना गर्नुपर्ने व्यवस्था गरेको छ । यस्तो केन्द्र मुख्य डेटा सेन्टरबाट कम्तीमा २५ किलोमिटर टाढा हुनुपर्नेछ ।

प्रणाली अवरुद्ध भएमा वैकल्पिक केन्द्रबाट सेवा पुनःसञ्चालन गर्न आवश्यक प्राविधिक तथा व्यवस्थापकीय तयारी पनि गर्नुपर्नेछ । सेवा पुनःसञ्चालन गर्न लाग्ने अधिकतम समय र पुनःप्राप्त गर्नुपर्ने तथ्यांकको सीमा अर्थात् रिकभरी टाइम अब्जेक्टिभ (आरटीओ) र रिकभरी पोइन्ट अब्जेक्टिभ (आरपीओ) समेत स्पष्ट निर्धारण गर्नुपर्नेछ ।

तथ्यांकको सुरक्षाका लागि बहुस्तरीय ब्याकअप प्रणाली अनिवार्य गरिएको छ । यसअन्तर्गत परिवर्तन वा मेटाउन नसकिने इम्युटेबल स्न्यापसट र मुख्य प्रणालीसँग प्रत्यक्ष रूपमा जोडिएको नहुने एयर ग्याप्ड ब्याकअप राख्नुपर्नेछ । विशेषगरी र्‍यान्समवेयरजस्ता साइबर आक्रमणबाट तथ्यांक नष्ट हुने जोखिम न्यूनीकरण गर्न यस्तो व्यवस्था गरिएको हो ।

पुँजी बजारको सम्पूर्ण तथ्यांक नेपालमै भण्डारण

नयाँ नीतिको महत्त्वपूर्ण व्यवस्था तथ्यांक स्थानीयकरण हो । यसअनुसार धितोपत्र तथा वस्तु विनिमय बजारसँग सम्बन्धित तथ्यांक र अभिलेख नेपालभित्रै भण्डारण गर्नुपर्नेछ । बजारका तथ्यांकलाई व्यवस्थित रूपमा संकलन, संरक्षण र उपयोग गर्न केन्द्रीय तथ्यांक बैंक (सेन्ट्रल डेटा बैंक) स्थापना तथा विकास गर्ने नीति पनि बोर्डले लिएको छ ।

त्यस्तै, बोर्डमा पेस गरिने नियामकीय कागजात तथा प्रतिवेदनमा मान्यताप्राप्त डिजिटल हस्ताक्षर प्रयोग गर्नुपर्नेछ । लगानीकर्ता र धितोपत्र दलाल व्यवसायीबीच हुने सम्झौता, ग्राहक पहिचान विवरण (केवाईसी) तथा वित्तीय विवरणलगायत प्रक्रियामा पनि डिजिटल हस्ताक्षरलाई प्राथमिकता दिइनेछ ।

संवेदनशील प्रणालीमा अनधिकृत पहुँच रोक्न बहुस्तरीय प्रमाणीकरण (एमएफए) लागू गर्नुपर्ने व्यवस्था गरिएको छ । तेस्रो पक्षलाई एप्लिकेसन प्रोग्रामिङ इन्टरफेस (एपीआई) मार्फत प्रणालीमा पहुँच दिँदा पनि आवश्यक सुरक्षा मापदण्ड पालना गर्नुपर्नेछ ।

एआई र एल्गोरिदमिक कारोबार पनि नियमनमा

सेबोनले नयाँ नीतिमार्फत पुँजी बजारमा एआई, मेसिन लर्निङ, बिग डेटा एनालिटिक्स, ब्लकचेन तथा वित्तीय प्रविधिको प्रयोगलाई व्यवस्थित गर्ने लक्ष्य राखेको छ । बजारको कारोबार, जोखिम तथा नियामकीय अनुपालनको निगरानीमा नियामकीय प्रविधि (रेगटेक) र सुपरिवेक्षकीय प्रविधि (सुपटेक) प्रयोग गर्ने नीति लिइएको छ ।

एल्गोरिदमिक कारोबार प्रणाली सञ्चालनमा ल्याउनुअघि सम्बन्धित बजार सञ्चालकको स्वीकृति लिनुपर्नेछ । एआई तथा मेसिन लर्निङबाट हुने निर्णय प्रक्रियामा मानवीय निगरानी अनिवार्य गरिएको छ । साथै, एआईले गरेको निर्णयको आधार व्याख्या गर्न सकिने हुनुपर्नेछ ।

नयाँ प्रविधिमा आधारित वित्तीय सेवा तथा उपकरणको परीक्षण र विकासलाई प्रोत्साहन गर्न नियामकीय स्यान्डबक्सको व्यवस्था पनि गरिनेछ । यसअन्तर्गत नयाँ प्रविधिमा आधारित सेवा तथा प्रणालीलाई नियामकीय निगरानीभित्र परीक्षण गर्न सकिनेछ ।

गम्भीर साइबर घटना सोही दिन रिपोर्ट गर्नुपर्ने

पुँजी बजारको कारोबार तथा प्रणालीमा प्रत्यक्ष असर पार्ने गम्भीर साइबर घटना भएमा सम्बन्धित संस्थाले सोही दिन बोर्डलाई जानकारी गराउनुपर्नेछ । अन्य महत्त्वपूर्ण साइबर तथा सूचना प्रविधिसम्बन्धी घटनाको विवरण भने ७२ घण्टाभित्र पेस गर्नुपर्ने व्यवस्था गरिएको छ ।

लगानीकर्ताले साइबर सुरक्षासम्बन्धी घटना तथा समस्या सहज रूपमा जानकारी गराउन सक्ने गरी एकीकृत साइबर घटना रिपोर्टिङ पोर्टल र केन्द्रीकृत गुनासो व्यवस्थापन प्रणाली सञ्चालनमा ल्याउने नीति पनि बोर्डले लिएको छ । यसबाट बजारमा देखिने साइबर जोखिमसम्बन्धी सूचना एकीकृत रूपमा संकलन र अनुगमन गर्न सकिनेछ ।

बजारका संस्थालाई तीन तहमा वर्गीकरण

नयाँ नीति कार्यान्वयन र अनुगमनका लागि बोर्डको सूचना प्रविधि विभागका कार्यकारी निर्देशकको संयोजकत्वमा पाँच सदस्यीय सूचना प्रविधि नीति कार्यान्वयन तथा अनुगमन समिति गठन गरिनेछ । समितिले नीतिमा भएका व्यवस्थाको कार्यान्वयन, प्रगति अनुगमन तथा आवश्यक सुधारका विषयमा काम गर्नेछ ।

बोर्डले बजारमा सहभागी संस्थालाई तीन तहमा वर्गीकरण गरेको छ । पहिलो तहमा सेबोन, नेप्से र सीडीएससी रहनेछन् । दोस्रो तहमा धितोपत्र दलाल व्यवसायी र मर्चेन्ट बैंकर तथा तेस्रो तहमा क्रेडिट रेटिङ एजेन्सी र सेयर रजिस्ट्रारलगायत संस्था रहनेछन् । संस्थाको प्रकृति, कारोबार र जिम्मेवारीअनुसार फरक–फरक प्रविधिगत मापदण्ड लागू हुनेछन् ।

नयाँ नीतिले सेबोनको सूचना प्रविधि नीति, २०७६ खारेज गरेको छ । अन्तर्राष्ट्रिय धितोपत्र आयोगहरूको संगठन (आईओएससीओ) का मापदण्ड तथा अन्तर्राष्ट्रिय अभ्यासअनुरूप धितोपत्र तथा वस्तु विनिमय बजारलाई सुरक्षित, पारदर्शी र प्रतिस्पर्धी बनाउने उद्देश्य नीतिले राखेको छ । यो नीति २०८३ कात्तिक १८ देखि लागू भएको हो ।