Pasal 41

(1) Dalam menyusun dan menjalankan standar prosedur operasional sebagaimana dimaksud dalam Pasal 36 ayat (4) huruf d, Pengelola Tempat Penyimpanan wajib menerapkan tata kelola penyimpanan Aset Keuangan

Digital pada cold Wallet dan hot Wallet, dengan ketentuan: a. Aset Keuangan Digital milik masing-masing Pedagang disimpan dalam akun atau media yang terpisah di tempat penyimpanan; b. memiliki kemampuan penyimpanan yang mendukung Aset Keuangan Digital pada berbagai macam jenis protokol blockchain dengan memperhatikan keamanan sambungan komunikasi; c. memiliki tim pendukung yang dapat melayani Pedagang secara 1x24 (satu kali dua puluh empat) jam dan 7 (tujuh) hari dalam 1 (satu) minggu; d. MENETAPKAN batasan pengendalian akses kepada setiap orang yang dapat mengakses Wallet dan standar prosedur operasional tentang mitigasi risiko; e. memiliki rekam jejak kejadian dan transaksi yang dapat diaudit secara berkala atau sewaktu-waktu untuk memastikan keabsahan; dan f. penyimpanan Aset Keuangan Digital termasuk Aset Kripto pada hot Wallet dan cold Wallet dilakukan dengan menempatkan private key dalam hardware security module yang memenuhi standar federal information processing standard dengan referensi paling sedikit level 3 (tiga). (2) Pengelola Tempat Penyimpanan wajib melengkapi hardware security module sebagaimana dimaksud pada ayat (1) huruf f dengan middleware untuk mengukur alur kerja serta policy engine secara aman. (3) Validasi dan mekanisme otorisasi pengelolaan pada cold Wallet dan hot Wallet memenuhi ketentuan paling sedikit: a. validasi dan mekanisme otorisasi pengelolaan hot Wallet dan cold Wallet dilakukan secara berlapis dengan menggunakan sarana paling sedikit multiple signature dan 2 (dua) faktor keaslian; b. MENETAPKAN peran dan batasan pengendalian akses kepada setiap pegawai Pengelola Tempat Penyimpanan yang dapat mengakses Wallet maupun infrastruktur hardware security module dan pendukungnya; dan c. otorisasi menggunakan sistem persetujuan yang memenuhi kuorum (M out of N) serta melibatkan paling sedikit 3 (tiga) individu dan harus berjumlah ganjil, dengan paling sedikit 1 (satu) individu berasal dari jajaran Direksi. (4) Pengelola Tempat Penyimpanan wajib memastikan sumber daya manusia yang melakukan pengelolaan dan pengawasan atas penyimpanan Aset Keuangan Digital memenuhi ketentuan: a. telah dilakukan pengenalan dan pemantauan terhadap profil Pegawai dengan screening mendalam terhadap sumber daya manusia, dilakukan melalui metode:

1. wawancara serta verifikasi identitas; dan

2. penelitian yang lebih mendalam kepada Pihak yang memiliki akses fisik ke tempat penyimpanan; b. telah mengikuti pelatihan pengenalan awal dalam kurun waktu tertentu; c. membuat perjanjian mengenai kerahasiaan data, baik ketika pekerja masih aktif bekerja maupun ketika sudah tidak bekerja pada Pengelola Tempat Penyimpanan; dan d. memiliki pengalaman di bidang teknologi informasi dan bidang lain paling singkat 2 (dua) tahun dengan menunjukkan tanda bukti bekerja pada bidang tersebut. (5) Pengelola Tempat Penyimpanan wajib memastikan standar teknis sarana yang dijadikan sebagai ruang penyimpanan untuk Aset Keuangan Digital pada cold Wallet memenuhi ketentuan: a. ditempatkan di ruang penyimpanan yang terletak pada pusat data atau tempat lain dengan standar keamanan yang optimal; b. menerapkan pelindungan secara berlapis minimal menggunakan nano ledger yang dilengkapi dengan teknik multi party computing; c. menggunakan ledger sebagai perangkat keras pada cold Wallet; d. menempatkan ledger dan/atau cold Wallet minimal pada brankas dengan tingkat keamanan yang baik; e. dalam hal Pengelola Tempat Penyimpanan menggunakan brankas sebagai tempat penyimpanan Aset Keuangan Digital, brankas tersebut harus memiliki fitur air gap dengan penggunaan perangkat keras yang sama sekali tidak pernah terkoneksi ke internet; f. memiliki standar penyimpanan yang tahan terhadap bencana; g. menyimpan cold Wallet pada lokasi yang dirahasiakan; h. melengkapi sarana penyimpanan dengan kamera pengawas yang mampu memantau seluruh sisi area dalam waktu 1x24 (satu kali dua puluh empat) jam dan 7 (tujuh) hari dalam 1 (satu) minggu, serta terkoneksi langsung dengan Bursa serta Lembaga Kliring Penjaminan dan Penyelesaian; dan i. tidak menempatkan cold Wallet dalam satu tempat yang sama dengan cold Wallet lain yang berfungsi sebagai cadangan.