碳市场基础设施信息安全：工具和建议

.致谢这份技术指导说明是世界银行召集的碳市场基础设施工作组（CMI WG）的成果。CMI WG的成员包括Abaxx交易所、Air Carbon Exchange、B3—巴西证券交易所、BeZero Carbon、气候行动数据信托（CAD Trust）、气候影响X、CME集团、生态注册处、欧洲复兴开发银行（EBRD）、全球碳理事会（GCC）、全球碳市场 utilities（GCMU）、黄金标准、印度能源交易所（IEX）、INFRAS、自愿碳市场诚信委员会（ICVCM）、洲际交易所、国际标准化组织（ISO）、国际掉期与衍生品协会（ISDA）、约翰内斯堡证券交易所（JSE）、纳斯达克、Philip Lee LLP、Puro.earth、标普全球商品洞察、SustainCERT、Sylvera、Verra、世界银行以及Xpansiv。由 Clarity Global 战略传播和凯瑟琳·日内维芙·韦尔瑞（世界银行顾问）提供编辑支持，由 Simpelplus 提供设计支持。世界银行的 AI 研究助手 mAI 也提供了支持，用于数据组织和内容结构化。该笔记由由S&P Global Commodity Insights和Xpansiv联合主持的子小组准备。贡献成员包括Juan David DuranHernandez（EcoRegistry）、Angela Dawson、Jonty Rushforth、Julie Gareton、Teri Hogan（S&P Global Commodity Insights）、David Sturt（Verra）、Thuy Tran（Verra）、Curtis Letson（Xpansiv）、Erika Crandall（Xpansiv）、Henrik Hasselknippe（Xpansiv）、Micah Goldston（Xpansiv）、Gemma Torras Vives（世界银行）、Chandra Shekhar Sinha（世界银行）、Ritu Ahuja（世界银行）。国际证监会组织（IOSCO）秘书处和气候数据指导委员会（CDSC）秘书处作为观察员参加了会议。 1818 H街西北, 华盛顿特区, DC 20433权利与许可电话：202-473-1000© 2025 世界复兴银行/世界银行互联网：www.worldbank.org本项工作中所表达的研究结果、解释和结论并不一定反映世界银行、其执行董事会或其代表政府的观点。本作品中的材料受版权保护。因为世界银行鼓励其知识的传播，本作品可以出于非商业目的进行全部或部分的复制，只要充分注明出处。请按如下方式引用该作品：世界银行；碳市场基础设施工作组。2025。“碳市场基础设施信息安全技术指导说明：工具与建议”华盛顿特区。世界银行不对本作品中包含的数据的准确性作出保证。本作品中任何地图上显示的边界、颜色、名称和其他信息均不意味着世界银行对任何领土的法律地位作出任何判断，也不意味着世界银行认可或接受这些边界。 表格和图表列表图1五个CMI工作组技术指导文件的关键挑战和建议图2信息安全三步评估框架图3基于工具的建议，用于增强碳市场中的信息安全表1CMI工作组组成表2信息安全的关键要素表3信息安全项目中的横切需求表4数据保护和隐私风险缓解控制——第1级、第2级和第3级表5数据保护和隐私工具—1级、2级和3级表6数据保护和隐私行业最佳实践—1级、2级和3级表7威胁预防和检测风险缓解控制—第1、2和3级表8威胁防护和检测工具—1级、2级和3级表 9威胁预防与检测行业最佳实践—1级、2级和3级表10身份和访问管理风险缓解控制—1级、2级和3级表11身份与访问管理工具—1级、2级和3级表12身份和访问管理行业最佳实践—1级、2级和3级表13事件响应和弹性风险缓解控制——级别1、2和3表14事件响应和弹性工具——1级、2级和3级表15事件响应与韧性行业最佳实践—第1级、第2级和第3级表16治理、合规及文化风险缓解控制—1级、2级和3级表17治理、合规及文化工具—1级、2级和3级表18治理、合规及文化行业最佳实践—1级、2级和3级表19按实体类型划分的关键实施责任示例 前言推进一个全球化和去中心化的市场——例如碳信用市场——为构建稳健、面向未来的系统提供了独特的机会。碳市场作为引导气候资金流向发展中国家的渠道，具有重大潜力，许多发展中国家面临的需求增长远超可用资金。当这些市场设计具有高诚信时，它们不仅能够释放资本并推动可核证的减排，还能帮助弥合关键领域的投资缺口。除了其环境影响，运行良好的碳市场支持就业创造，并为当地社区带来切实的经济利益。随着碳市场的规模和战略重要性的增长，对可信、互联和可扩展的基础设施的需求已成为全球政策重点。市场基础设施是信誉、透明度和效率的支柱。它支持碳信用额的发行、转移和注销，并促进市场参与者之间的信任。在南非担任2025年二十国集团主席期间，可持续金融工作组（SFWG）在其关于议程优先事项的备忘录中强调，“通过关注改进市场基础设施的基础要素——包括数据标准化和跨境连接——SFWG可以有助于释放这些市场的更大融资潜力。”这反映出人们日益认识到，强大的、标准化的数据和方法对于碳市场的信誉和有效性至关重要。尽管碳市场基础设施只是涵盖环境、金融和社会完整性的更广泛系统中的一个部分，但它构成了有效市场运营的支柱。尽早弥补基础设施短板对于为增长奠定坚实基础至关重要。现在的选择将塑造我们的规模化能力、解锁气候融资以及实现有意义的减排目标。已有重大进展。正如世界银行2024年《现状与趋势报告》中所强调的，几项关键举措正在推动碳市场的完整性和功能性。证券交易委员会国际组织（IOSCO）正倡导加强监管和市场诚信；私立国际法统一研究所（UNIDROIT）正致力于协调碳信用量的法律分类；自愿碳市场诚信委员会（ICVCM）正通过其持续改进工作方案提升透明度和规模。这些全球性努力奠定了坚实的基础，但仍需进一步进展来解决持续存在的差距——特别是在治理、机构协调和技术整合方面。 12345碳市场基础设施的交易完整性：工具与建议碳市场基础设施的生态治理：评估与建议碳市场基础设施信息安全：工具与建议增强碳市场数据与系统互操作性：现状与战略建议这些指导笔记共同为支持安全、高效和可互操作的碳市场基础设施的扩大提供了补充支持。健全的治理通过明确机构角色和责任来建立信任，完整性和安全保障降低风险，而互操作性通过促进无缝数据和系统集成使规模扩大成为可能。世界银行将把这份指导纳入正在进行的 capacity-building 工作中，以支持各国加强其碳市场基础设施。基于这些发现和CMI工作组的协作努力，于2025年6月发布了五份有针对性的技术指导文件。这些技术指导文件旨在通过关于生态系统治理、交易完整性、信息安全、数据互操作性和数字MRV的实用建议，支持各国和市场参与者应对关键基础设施挑战在COP28上，世界银行推出了碳市场参与路线图概述了它将如何支持各国建立高标准、高影响力的碳市场。作为实施该战略的一部分，世界银行启动了碳市场基础设施工作组（CMI WG），召集了多元化的利益相关者，以识别与基础设施相关的瓶颈，并提供可操作的指导。在COP29上，CMI WG发布了其旗舰出版物一个安全、高效和互操作性的碳市场基础设施路线图,该方案概述了应对基础性差距的愿景，并确定了行动的关键优先领域。在碳市场中规范数字MRV：系统评估标准与热点评估 碳市场基础设施工作组执行摘要The碳市场基础设施信息安全技术指南：工具与建议这是由碳市场基础设施工作组（CMI WG）准备的五份指导笔记之一。该笔记提供了一个实用的框架，以加强碳市场生态系统中的信息安全计划。它通过与五个核心类别解决关键漏洞——包括分散的网络安全实践、标准实施不一致以及系统级风险：数据保护和隐私；威胁预防和检测；身份和访问管理；事件响应和恢复力；以及治理、合规和文化。借鉴国际上公认的标准，例如美国国家标准与技术研究院（NIST）网络安全框架（CSF）、互联网安全中心（CIS）控制措施和ISO/IEC 27001，该指导概述了基于成熟度的步骤，以支持处于不同准备阶段的组织，提供量身定制的建议和实用工具，以加强数字防护措施，并在不断发展的碳市场中维护信息安全。CMI工作组成立的目标是识别阻碍碳市场基础设施安全、效率和互操作性的关键瓶颈，并优先处理解决这些挑战的行动。截至2025年6月，CMI工作组包括了碳市场生态系统的各个实体——从供需两端的标准化机构，碳信用计划，注册机构运营商，交易平台，市场，金融机构，数据和分析师，科技企业，验证和核查机构，法律和咨询公司，多边组织，监管机构等。这个广泛且平衡的成员资格汇集了处理基础设施差距、促进互操作性和支持全球碳市场的完整性和可扩展性的必要多元观点（表1）。 这一广泛且均衡的成员资格汇集了在弥补基础设施差距、促进互操作性以及支持全球碳市场的完整性和可扩展性方面至关重要的不同观点。 这里提出的见解也旨在为针对每个国家的独特背景和制度能力的建设能力和技术援助工作提供信息。CMI工作组自2024年6月起召开了一系列会议和磋商，为制定《构建安全、高效、兼容的碳市场基础设施路线图（2024）》提供了参考，该路线图于COP29发布。该路线图确定了关键的设施瓶颈，并概述了为加强碳市场生态系统而需重点关注的三个行动领域：（i）生态系统治理，（ii）信息安全与交易完整性，以及（iii）数据与系统互操作性。它提议在2025年6月前为每个重点领域制定有针对性的技术指导备忘录，旨在对现有障碍进行更深入的分析，并提供实用的框架、工具和建议，以指导协同行动和系统整体改进（图1）。这些笔记的目的是为广泛的市场参与者提供实用工具和可操作的建议。这包括设计和运营碳市场关键组成部分的市场参与者，以及利用这些系统进行碳市场活动的市场参与者。所有利益相关者在开发稳健、安全、可扩展的市场系统中都发挥着关键作用。这里提出的见解也旨在为根据每个国家的独特背景和制度能力量身定制的能力建设和技术援助工作提供信息。这项有针对性的支持旨在促进统一、包容和有韧性的碳市场基础设施。 信息安全范围和方法数据保护保护信息免受未经授权的访问、披露、更改或破坏。加密保护数据在存储和传输过程中的保密性。访问控制进行身份验证（验证身份）和授权（根据角色或需求）。数据保留安全存储、归档和/或删除数据的政策与程序，以符合法律监管要求，或业务需求。监控系统的安全持续监督和改进与部署到活动/系统相关的安全问题检测、预防和响应安全事件，以识别潜在的威胁或漏洞。维护审计小径记录和保存信息系统中所有重要操作或事件的日志可用于合规、法医调查和确保问责。来源：改编自安全、高效和互操作的碳市场基础设施路线图本技术指导文件提供了一种结构化方法，用于加强碳市场的信息安全。其旨在支持新进入者和经验丰富的参与者，构建安全、有韧性且值得信赖的系统，以保护数据完整性、增强交易可信度并降低网络风险。全文提供了实用建议，基于经过验证的工具和技术，以帮助利益相关者——无论是设计还是实施市场基础设施——实施有效的安全措施。负责实施信息安全计划的组织将因司法管辖权和特定市场环境而异。虽然表19中提供了一些示例推荐在该部分，注释的目标是整合可被广泛参与者（无论其机构授权或市场成熟度如何）采用的基础工具和方法，以加强碳市场系统中的信息安全。表2 信息安全关键要素碳市场中的信息安全对于维护登记册、交易平台和市场参与者之间的信任、弹性和合规性至关重要。这需要一套强大的市场基础设施，以保护数据完整性、防范网络威胁，并强制执行安全协议和最佳实践（表2）。维护信息安全还涉及明确定义管理和保护信息资产的角色和责任，从而在整个生态系统中加强问责制。此外，它要求严格的监控、事件响应和弹性规划，以防范泄露、操纵和运营中断，所有这些都可能破坏市场信心和交易完整性。 （世界银行，2024年）。 缓解控制措施执行风险定义针对已识别风险的保障措施、协议和程序。为了应对上述挑战，本说明提供了关于跨领域需求的概述，