काठमाडौं, १८ कात्तिक। नेपाल धितोपत्र बोर्ड (सेबोन) ले नेपाली पुँजी बजारको सूचना प्रविधि पूर्वाधारलाई सुरक्षित, व्यवस्थित र आधुनिक बनाउने उद्देश्यले ‘सूचना प्रविधि नीति, २०८३’ लागू गरेको छ। नयाँ नीतिले कृत्रिम बौद्धिकता (एआई), एल्गोरिदमिक कारोबार, साइबर सुरक्षा तथा तथ्याङ्क भण्डारणलगायतका विषयलाई प्राथमिकतामा राख्दै बजार सहभागी संस्थाहरूका लागि थप कडा मापदण्ड निर्धारण गरेको छ।

पुँजी बजारमा एआई, बिग डाटा तथा वित्तीय प्रविधि (फिनटेक) को प्रयोग विस्तार हुँदै गएपछि बोर्डले यसअघि प्रचलनमा रहेको ‘सूचना प्रविधि नीति, २०७६’ खारेज गरी नयाँ नीति ल्याएको हो।

नयाँ व्यवस्थाअनुसार नेपाल स्टक एक्सचेन्ज (नेप्से), सीडीएस एन्ड क्लियरिङ लिमिटेड (सीडीएससी), क्लियरिङ हाउस, धितोपत्र दलाल व्यवसायी, मर्चेन्ट बैंकरलगायत बजारका सहभागी संस्थाले आफ्नो सूचना प्रविधि प्रणाली तोकिएका मापदण्डअनुसार सञ्चालन गर्नुपर्नेछ।

साइबर सुरक्षा र सूचना प्रविधि अडिटमा कडाइ

नयाँ नीतिले बजारको साइबर सुरक्षा प्रणालीलाई विशेष प्राथमिकता दिएको छ। बजार पूर्वाधार संस्थाहरूले अन्तर्राष्ट्रिय मापदण्ड ISO/IEC 27001 मा आधारित सूचना सुरक्षा व्यवस्थापन प्रणाली (ISMS) अनिवार्य रूपमा लागू गर्नुपर्नेछ।

सूचना प्रविधि प्रणालीको अडिट पनि नियमित गर्नुपर्ने व्यवस्था गरिएको छ। बजार पूर्वाधार संस्थाले प्रत्येक वर्ष र अन्य सहभागी संस्थाले प्रत्येक दुई वर्षमा अनिवार्य रूपमा सिस्टम अडिट गराउनुपर्नेछ।

अडिटका क्रममा गम्भीर कमजोरी भेटिएमा सम्बन्धित संस्थाले ३० दिनभित्र सुधार गरी त्यसको प्रतिवेदन बोर्डमा बुझाउनुपर्नेछ। त्यस्तै, सूचना प्रविधि प्रणालीको जोखिम पहिचान गर्न नियमित रूपमा भेद्यता मूल्याङ्कन तथा प्रवेश परीक्षण (VAPT) गराउनुपर्ने व्यवस्था छ।

साइबर जोखिमको निगरानी र नियन्त्रणका लागि संस्थाहरूले २४ सै घण्टा सञ्चालन हुने सुरक्षा सञ्चालन केन्द्र (SOC) स्थापना गर्नुपर्नेछ। आफ्नै केन्द्र स्थापना गर्न नसक्ने संस्थाले व्यवस्थापित सुरक्षा सेवा प्रदायक (MSSP) मार्फत सेवा लिन सक्नेछन्।

डाटा नेपालमै राख्नुपर्ने, मुख्य केन्द्रबाट २५ किलोमिटर टाढा वैकल्पिक केन्द्र

नयाँ नीतिले पुँजी बजारसँग सम्बन्धित तथ्याङ्क र अभिलेख नेपालभित्रै भण्डारण गर्नुपर्ने व्यवस्था गरेको छ। डाटा लोकलाइजेसनसम्बन्धी यो व्यवस्थाले बजारका महत्त्वपूर्ण सूचनाको सुरक्षा र संरक्षणलाई प्राथमिकता दिएको छ।

त्यस्तै, बजारसम्बन्धी तथ्याङ्कलाई एकीकृत रूपमा व्यवस्थापन गर्न केन्द्रीय तथ्याङ्क बैंक (Central Data Bank) स्थापना तथा विकास गर्ने नीति लिइएको छ।

सूचना प्रविधि प्रणालीमा कुनै समस्या आए पनि बजार सञ्चालन प्रभावित नहोस् भन्ने उद्देश्यले विपद् पुनरुत्थान केन्द्र (DRS) स्थापना गर्नुपर्नेछ। यस्तो केन्द्र मुख्य डाटा सेन्टरभन्दा कम्तीमा २५ किलोमिटर टाढा हुनुपर्ने व्यवस्था गरिएको छ।

र्‍यान्समवेयर तथा अन्य साइबर आक्रमणबाट तथ्याङ्क नष्ट हुन नदिन इम्युटेबल स्न्यापसट र एयर-ग्याप्ड ब्याकअपजस्ता बहुस्तरीय सुरक्षा प्रणाली अपनाउनुपर्ने व्यवस्था पनि नीतिमा समेटिएको छ।

एआई र एल्गोरिदमिक कारोबारमा नियामकीय निगरानी

सेबोनको नयाँ नीतिले पुँजी बजारमा एआई, मेसिन लर्निङ (ML), फिनटेक तथा एल्गोरिदमिक ट्रेडिङको प्रयोगलाई पनि नियमनको दायरामा ल्याएको छ।

नयाँ प्रविधिमा आधारित वित्तीय सेवा तथा उपकरणको परीक्षणलाई सहज बनाउन नियामक स्यान्डबक्स (Regulatory Sandbox) को व्यवस्था गरिनेछ। यसमार्फत नयाँ प्रविधिको प्रयोग नियामकीय निगरानीमा परीक्षण गर्न सकिनेछ।

एल्गोरिदमिक कारोबार प्रणाली सञ्चालनमा ल्याउनुअघि सम्बन्धित बजार सञ्चालकको स्वीकृति लिनुपर्नेछ। त्यसैगरी, कारोबार तथा नियमनमा एआई र मेसिन लर्निङ प्रयोग गर्दा मानवीय निगरानी अनिवार्य गरिएको छ।

एआईले गरेका निर्णयको प्रक्रिया व्याख्या गर्न सकिने हुनुपर्ने व्यवस्था पनि नीतिमा छ। यसले प्रविधिमा आधारित कारोबारलाई पारदर्शी र जवाफदेही बनाउने लक्ष्य राखेको छ।

डिजिटल हस्ताक्षर र एमएफए अनिवार्य

बोर्डले पुँजी बजारका विभिन्न प्रक्रियालाई डिजिटल बनाउन डिजिटल हस्ताक्षरको प्रयोगलाई प्राथमिकता दिएको छ। लगानीकर्ता र धितोपत्र दलालबीच हुने सम्झौता, ग्राहक पहिचान विवरण (KYC), वित्तीय विवरण तथा बोर्डमा पेस गरिने नियामकीय कागजातमा डिजिटल हस्ताक्षर प्रयोग गर्नुपर्ने व्यवस्था गरिएको छ। कतिपय अवस्थामा यसको प्रयोग अनिवार्यसमेत गरिएको छ।

त्यस्तै, संवेदनशील सूचना तथा कारोबार प्रणालीमा अनधिकृत पहुँच रोक्न बहुस्तरीय प्रमाणीकरण (Multi-Factor Authentication–MFA) अनिवार्य गरिएको छ। यसले प्रयोगकर्ताको पहिचान सुनिश्चित गर्दै प्रणालीको सुरक्षा थप मजबुत बनाउने अपेक्षा गरिएको छ।

गम्भीर साइबर घटनाको जानकारी सोही दिन दिनुपर्ने

नयाँ नीतिले साइबर सुरक्षासम्बन्धी घटना रिपोर्टिङमा पनि समयसीमा तोकेको छ। बजार सञ्चालनमा प्रत्यक्ष असर पार्ने गम्भीर साइबर घटना भएमा सम्बन्धित संस्थाले सोही दिन नेपाल धितोपत्र बोर्डलाई जानकारी गराउनुपर्नेछ।

अन्य महत्त्वपूर्ण साइबर तथा सूचना प्रविधिसम्बन्धी घटनाको विवरण भने ७२ घण्टाभित्र बोर्डमा पेस गर्नुपर्ने व्यवस्था गरिएको छ।

लगानीकर्ताले साइबर सुरक्षासम्बन्धी घटना तथा समस्या सहज रूपमा जानकारी गराउन सकून् भन्ने उद्देश्यले एकीकृत साइबर घटना रिपोर्टिङ पोर्टल र केन्द्रीकृत गुनासो व्यवस्थापन प्रणाली सञ्चालनमा ल्याउने नीति पनि लिइएको छ।

कार्यान्वयन र अनुगमनका लागि पाँच सदस्यीय समिति

नीति कार्यान्वयनलाई प्रभावकारी बनाउन बोर्डको सूचना प्रविधि हेर्ने कार्यकारी निर्देशकको संयोजकत्वमा पाँच सदस्यीय ‘सूचना प्रविधि नीति कार्यान्वयन तथा अनुगमन समिति’ गठन गरिनेछ। समितिले नीतिका व्यवस्थाको कार्यान्वयन, अनुगमन र आवश्यक सुधारका विषयमा काम गर्नेछ।

बोर्डले बजार सहभागी संस्थाहरूलाई जिम्मेवारी र प्रकृतिका आधारमा तीन तहमा वर्गीकरण गरेको छ। पहिलो तहमा नेपाल धितोपत्र बोर्ड, नेप्से र सीडीएससी रहनेछन्। दोस्रो तहमा धितोपत्र दलाल व्यवसायी, मर्चेन्ट बैंकर तथा व्यापारी रहनेछन् भने तेस्रो तहमा क्रेडिट रेटिङ एजेन्सी र सेयर रजिस्ट्रारलगायत संस्था रहनेछन्।

सेबोनका अनुसार नयाँ नीति कार्यान्वयनले नेपाली पुँजी बजारको सूचना प्रविधि पूर्वाधारलाई थप आधुनिक, सुरक्षित र व्यवस्थित बनाउनेछ। साथै अन्तर्राष्ट्रिय धितोपत्र आयोगहरूको संगठन (IOSCO) का मापदण्ड तथा अन्तर्राष्ट्रिय अभ्यासअनुरूप नेपाली पुँजी बजारलाई पारदर्शी, सुरक्षित र प्रतिस्पर्धी बनाउन सहयोग पुग्ने अपेक्षा गरिएको छ।