碳市场基础设施信息安全技术指导说明：工具和建议

.致谢这份技术指导说明是世界银行组建的碳市场基础设施工作小组（CMI WG）的成果。CMI WG的成员包括Abaxx交易所、Air Carbon Exchange、B3—巴西股票交易所、BeZero Carbon、气候行动数据信托基金（CAD Trust）、气候影响X、CME集团、生态注册处、欧洲复兴开发银行（EBRD）、全球碳理事会（GCC）、全球碳市场公用事业（GCMU）、黄金标准、印度能源交易所（IEX）、INFRAS、自愿碳市场诚信委员会（ICVCM）、洲际交易所、国际标准化组织（ISO）、国际互换和衍生品协会（ISDA）、约翰内斯堡证券交易所（JSE）、纳斯达克、Philip Lee LLP、Puro.earth、S&P全球商品洞察、SustainCERT、Sylvera、Verra、世界银行以及Xpansiv。编辑支持由Clarity Global Strategic Communications和Kathleen Geneviève Weary（顾问，世界银行）提供，设计支持由Simpelplus提供。世界银行的AI助手mAI也提供了支持，用于数据组织和内容结构化。该说明是由由S&P全球商品洞察和Xpansiv牵头的小组准备的。贡献成员包括Juan David Duran Hernandez（EcoRegistry）、Angela Dawson、Jonty Rushforth、Julie Gareton、Teri Hogan（S&P全球商品洞察）、David Sturt（Verra）、Thuy Tran（Verra）、Curtis Letson（Xpansiv）、Erika Crandall（Xpansiv）、Henrik Hasselknippe（Xpansiv）、Micah Goldston（Xpansiv）、Gemma Torras Vives（世界银行）、Chandra Shekhar Sinha（世界银行）Ritu Ahuja（世界银行）。国际证券事务组织（IOSCO）秘书处和气候数据指导委员会（CDSC）秘书处以观察员身份参加。 1818 H 街西北, 华盛顿特区, DC 20433权利和许可电话：202-473-1000© 2025 世界复兴银行/世界银行互联网：www.worldbank.org本项工作中的发现、解释和结论不一定反映世界银行、其执行董事会或其所代表政府的观点。本作品中的材料受版权保护。由于世界银行鼓励传播其知识，本作品可以出于非商业目的，在整体或部分上被复制，只要给予本作品的完整署名即可。请按如下方式引用该作品：世界银行；碳市场基础设施工作组。2025。关于碳市场基础设施信息安全的技术指南笔记：工具和建议华盛顿特区。世界银行不保证本作品中包含的数据的准确性。本作品中的任何地图所显示的边界、颜色、名称和其他信息均不表明世界银行对任何领土的法律地位或对这样界线的认可或接受有任何评判。 表和图列表图1五个CMI WG技术指导文件的关键挑战和建议图2信息安全三步评估框架图3基于工具的建议增强碳市场中的信息安全表1CMI 工作组组成表2信息安全的关键要素表3信息安全项目的横切需求表4数据保护和隐私风险缓解控制—1级、2级和3级表 5数据保护和隐私工具—1级、2级和3级表6数据保护与隐私行业最佳实践——1级、2级和3级表7威胁预防和检测风险缓解控制—1级、2级和3级表8威胁防护和检测工具—1级、2级和3级表9威胁预防和检测行业最佳实践——1级、2级和3级表10身份和访问管理风险缓解控制-1级、2级和3级表11身份和访问管理工具—1级、2级和3级表12身份和访问管理行业最佳实践—1级、2级和3级表13事件响应和弹性风险缓解控制—1级、2级和3级表14事件响应和弹性工具—一级、二级和三级表15事件响应与韧性行业最佳实践—1级、2级和3级表16治理、合规及文化风险缓解控制—1级、2级和3级表17治理、合规和文化工具—第1、2和3级表18治理、合规和文化行业最佳实践——1级、2级和3级表19按实体类型划分的关键实施职责示例 前言推动一个全球化和去中心化的市场——例如碳信用市场——为构建稳健、面向未来的系统提供了独特的机会。碳市场作为向发展中国家输送气候资金的渠道具有巨大潜力，许多发展中国家面临的需求日益增长，远超现有资金。在保证高度诚信的前提下设计这些市场，不仅可以释放资本并推动可核实的减排，还可以帮助弥补关键领域的投资缺口。除了其环境影响外，运转良好的碳市场支持创造就业机会，并为当地社区带来切实的经济效益。随着碳市场规模扩大和战略重要性提升，对可信、互联和可扩展的基础设施的需求已成为全球政策优先事项。市场基础设施是信誉、透明度和效率的支柱。它支持碳信用额的发行、转移和注销，并促进市场参与者之间的信任。在南非担任2025年二十国集团主席期间，可持续金融工作组（SFWG）在其关于议程优先事项的备忘录中指出，“通过专注于改善市场基础设施的基础要素——包括数据标准化和跨境连接——SFWG可以帮助释放这些市场的更大融资潜力。”这反映了日益增长的共识：稳健、标准化的数据和方法对于碳市场的信誉和有效性至关重要。虽然碳市场基础设施只是包含环境、金融和社会完整性的更广泛系统的一部分，但它构成了有效市场运作的支柱。及早解决基础设施的不足对于为增长奠定坚实的基础至关重要。现在的选择将塑造我们扩展、释放气候资金和实现有意义的减排的能力。已经取得重大进展。正如世界银行2024年《现状与趋势报告》所强调的，几项关键举措正在推进碳市场的诚信和功能性。国际证监会组织（IOSCO）正倡导加强监管和市场诚信；国际私法统一机构（UNIDROIT）正致力于协调碳配额的法律分类；自愿碳市场诚信委员会（ICVCM）通过其持续改进工作计划正推进透明度和规模。这些全球努力奠定了必要的基础，但还需要进一步进展以解决持续存在的差距——特别是在治理、机构协调和技术整合方面。 12345碳市场基础设施交易完整性：工具与建议碳市场基础设施的生态系统治理：评估与建议碳市场基础设施信息安全：工具与建议提升碳市场数据与系统互操作性：现状及战略建议这些指导说明共同支持安全、高效和可互操作性的碳市场基础设施的规模化，强大的治理通过明确机构角色和责任建立信任，完整性和安全防护减少风险，可互操作性通过促进无缝数据和系统集成实现规模化。世界银行将把这项指导纳入正在进行的 Capacity-Building工作中，以支持各国加强其碳市场基础设施。基于这些发现和CMI工作组（WG）的合作努力，于2025年6月发布了五份有针对性的技术指导文件。这些技术指导文件旨在通过关于生态系统治理、交易完整性、信息安全、数据互操作性和数字MRV（测量、报告和核查）的实用建议，支持各国和市场参与者解决关键基础设施挑战。在COP28上，世界银行启动了碳市场参与路线图概述了它将如何支持各国建立高诚信、高影响力的碳市场。作为实施该战略的一部分，世界银行启动了碳市场基础设施工作组（CMI WG），召集各方利益相关者，以识别与基础设施相关的瓶颈，并提供可操作的指导。在COP29上，CMI WG发布了其旗舰出版物，一个安全、高效和可互操作的碳市场基础设施路线图,该文本概述了应对基础差距的愿景,并确定了行动的关键优先领域。标准化碳市场的数字MRV：系统评估标准与热点评估 碳市场基础设施工作组执行摘要The碳市场基础设施信息安全技术指导说明：工具和建议这是由碳市场基础设施工作小组（CMI WG）准备的五份指导文件之一。该文件提供了一个实用框架，以加强碳市场生态系统中的信息安全项目。它通过五个核心类别——数据保护和隐私；威胁预防与检测；身份和访问管理；事件响应与恢复；以及治理、合规和文化——来解决关键漏洞，包括分散的网络安全实践、标准实施不一致以及系统级风险。借鉴国际公认的标准，例如美国国家标准与技术研究院（NIST）网络安全框架（CSF）、互联网安全中心（CIS）控制措施和ISO/IEC 27001，该指导文件概述了基于成熟度的步骤，以支持处于不同准备阶段的组织，提供量身定制的建议和实用工具，以加强数字防护措施并在不断发展的碳市场中维护信息安全。CMI 工作组成立旨在识别阻碍碳市场基础设施安全、效率及互操作性的关键瓶颈，并优先处理解决这些挑战的行动。截至2025年6月，CMI 工作组涵盖了碳市场生态系统的各个实体——包括需求端和供给端的标准化机构、碳信用计划、注册机构、交易平台、市场、金融机构、数据与分析提供商、技术公司、验证与核查机构、法律与咨询公司、多边机构及监管机构等。这一广泛且平衡的成员结构汇集了处理基础设施缺口、促进互操作性及支持全球碳市场完整性与可扩展性所必需的多元视角（表1）。 这种广泛而均衡的成员关系汇集了应对基础设施差距、促进互操作性以及支持全球碳市场完整性和可扩展性所必需的多元化视角。 这里提出的见解也旨在为根据各国的独特背景和制度能力量身定制的能力建设和技术援助工作提供信息。CMI工作组自2024年6月开始召开一系列会议和磋商，为《关于安全、高效和互联互通的碳市场基础设施路线图（2024）》的开发提供了信息支持，该路线图在COP29上发布。该路线图确定了关键基础设施瓶颈，并概述了三个优先行动领域以加强碳市场生态系统：（i）生态系统治理，（ii）信息安全与交易完整性，以及（iii）数据与系统互联互通。它提议在2025年6月前为每个优先领域制定有针对性的技术指导备忘录，旨在提供对现有障碍的更深入分析，以及实用的框架、工具和建议，以指导协同行动和系统整体改进（图1）。这些笔记的目的是为广泛的市场参与者提供实用工具和可操作性建议。这包括设计和运营碳市场关键基础设施的参与者，以及利用这些系统进行碳市场活动的参与者。所有利益相关者在开发稳健、安全和可扩展的市场体系中都发挥着至关重要的作用。这里提出的见解也旨在为根据每个国家的独特背景和制度能力量身定制的能力建设和技术援助工作提供信息。这项有针对性的支持旨在促进团结、包容和有韧性的碳市场基础设施。 信息安全范围和方法数据保护保护信息免受未经授权的访问、披露、更改或破坏。加密保护数据在存储和传输过程中的机密性。访问控制进行身份验证（验证身份）和授权（根据角色或需求）。数据保留安全和存储、归档和/或删除数据以符合法律法规的政策和程序监管要求或业务需求。监控系统安全对部署到活动/系统中的安全进行持续监督和改进检测、预防和响应安全事件以识别潜在威胁或漏洞。保持审计小径记录和保存信息系统中所有重要操作或事件的日志用于合规、法医调查和确保问责。来源：改编自安全、高效和互操作的碳市场基础设施路线图这份技术指导文件为碳市场加强信息安全提供了一种结构化方法。它旨在支持新进入者和经验丰富的参与者建立安全、有韧性和值得信赖的系统，以保护数据完整性、增强交易可信度并降低网络风险。全文提供了实用建议，基于经过验证的工具和技术，以帮助利益相关者——无论是设计还是实施市场基础设施——实施有效的安全措施。负责实施信息安全计划的组织将因司法管辖权和具体市场环境而异。虽然表19中提供了一些例子，但在建议在该节中，该通知的目的是整合基础工具和方法，这些工具和方法可以被广泛的行为者采用——无论他们的机构授权或市场成熟度如何——以加强碳市场系统的信息安全。表2 信息安全关键要素碳市场中的信息安全是维持注册机构、交易平台和市场参与者之间信任、弹性和合规性的关键。它需要强大的市场基础设施来保护数据完整性、抵御网络威胁，并执行安全协议和最佳实践（表2）。维护信息安全还涉及明确管理和保护信息资产的角色和责任，从而加强生态系统的问责制。此外，它还要求严格监控、事件响应和弹性规划，以防范泄露、操纵和运营中断，所有这些都可能削弱市场信心和交易完整性。 （世界银行，2024）。 缓解控制措施执行风险定义用于应对已识别风险的保障措施、协议和程序。为应对上述挑战，本说明概述了建立有效信息安全项目所必需的基础治理和运营结构的跨领域要求。这包括安全策略、监督机制和明确定义的问责框