加州數位金融資產法上路 數位資產業者須從「書面合規」邁向「實質可辯護」

對數位資產業者而言，下一個 DFAL 挑戰並非撰寫更多政策，而是要證明這些政策背後的控制措施，在業務承受壓力時確實能發揮作用。

加州《數位金融資產法》（Digital Financial Assets Law, DFAL）要求服務加州居民的數位資產業者，必須維持資訊安全、營運安全、業務持續性、災難復原、防詐騙、反洗錢（AML）及相關風險控制等核心機制。加州金融保護與創新局（DFPI）的資訊安全審查與 NIST 網路安全框架 2.0（NIST CSF 2.0）對齊，將治理、識別、保護、偵測、回應與復原整合為單一風險管理模式。此一架構向市場傳達了一個重要訊號：監理機關要的不是一份裝訂整齊的政策手冊，而是一家能夠預防、偵測、回應並從中斷事件中復原的企業。

這在數位資產領域尤其關鍵。一場網路事件可能在幾分鐘內演變為客戶權益受害事件。金鑰外洩、錢包遭清空、智慧合約漏洞、供應商中斷、流動性危機，或客戶溝通失誤，都可能同時衝擊信任、營收、法遵地位與企業價值。最終能贏得市場信心的，將是那些能展示其計畫經過實際測試、具備風險基礎，並由理解業務影響的領導階層所管理的業者。

Ankura 的觀點是，DFAL 對企業高階管理階層的紀律性提出了一場實質考驗。問題不在於公司是否擁有事件回應計畫、災難復原計畫或風險評估報告，而在於這些工具是否針對該公司的產品、客戶、託管模式、供應商、技術堆疊與威脅態勢進行客製化。一份任何公司都適用的計畫，並不構成可辯護的計畫。

四大需要高階主管關注的能力

一、事件回應必須貼合數位資產的特殊情境。領導層應明確掌握：誰有權宣布事件發生、誰能暫停提款、誰能將資產移轉至冷錢包、誰負責聯繫執法機關與監理機關、誰負責對客戶溝通。該計畫應涵蓋金鑰外洩、未授權轉帳、錢包遭清空、供應商遭駭、內部人員濫用以及鏈上追蹤等情境，同時須為每個關鍵角色設定備援人選。

二、災難復原必須在不削弱控制的前提下恢復業務。復原時間目標（RTO）與復原點目標（RPO）應與對客戶的承諾及關鍵營運作業連動。備份還原作業必須經過實際測試；關鍵金鑰材料的復原必須維持簽章門檻（quorum）、職責分離與安全控管；供應商故障切換程序亦應書面化並實際演練。

三、測試必須產出證據，而非僅帶來心理安慰。滲透測試、弱點掃描、控制驗證、桌上演練（tabletop exercise）與功能性復原測試，各自回答不同的問題。高階主管應要求團隊提出明確的發現事項、負責人、時限、補救證明，以及能顯示風險升降趨勢的報告。

四、風險調整必須是一個持續運作的管理循環。DFAL 安全計畫應隨業務變動而調整：新產品、新公鏈、新託管安排、新供應商、併購事件、事故發生或威脅態勢轉變，都應觸發重新評估。其產出應反映在預算編列、控制措施、測試計畫、人力配置與董事會報告之中。

具體行動建議

首先，要求團隊製作一頁式的控制證據地圖，將每項 DFAL 政策對應到負責人、測試專案、發現事項、補救進度與管理報告。其次，針對最可能損害客戶或衝擊營運的情境，舉行一場桌上演練。第三，優先測試對業務最關鍵的系統與簽章能力的復原流程。第四，演練結束後更新風險評估，並要求領導階層核准最終的優先排序。

Ankura 的優勢所在

Ankura 整合了數位資產業者在法遵、網路安全、金融犯罪與營運韌性交會時所需的各項專業能力。我們的顧問團隊曾與受監管的金融機構、金融科技公司、數位資產業者，以及正面臨事故、調查、補救與監理審查的企業合作。我們將監理要求轉化為可執行的營運決策與證據，讓高階主管、董事會、監理機關、合作夥伴與投資人都能理解。

我們與眾不同之處，在於兼具實務上的監理判斷與真實世界的事件處理經驗。我們不只是撰寫計畫，而是驗證計畫是否有效運作；我們不只是辨識落差，而是協助管理層依據客戶影響、法遵曝險、營運依賴性與業務策略進行優先排序。這正是客戶在面對複雜、跨職能且時效緊迫的挑戰時，會選擇 Ankura 的原因。

行動呼籲

DFAL 的準備工作，正是企業從「書面合規」邁向「實質可辯護」的關鍵時刻。若您的領導團隊希望確認其網路安全、復原能力與治理計畫經得起監理檢驗，歡迎聯繫 Eric Gagnon 及 Ankura 數位資產團隊。我們將協助您測試既有計畫、補上最高風險的缺口，並為執照申請、持續監理與業務成長建立務實可行的路線圖。

參考資料來源

加州金融保護與創新局《數位金融資產法》申請指引與法規資料；NIST 網路安全框架 2.0；加州 DFAL 相關立法與法規制定最新動態。