Licenciatarios de pago en Singapur: ciberhigiene y riesgo tecnológico listos para la MAS

La MAS canceló las antiguas notices PSN05 y PSN06 con efecto desde el 10 de mayo de 2024 y las sustituyó por notices dictadas conforme a la Financial Services and Markets Act 2022. Los documentos escritos para la PSN06 deben revisarse frente al nuevo texto y sus referencias.

Obligatorio y esperado

Las notices dicen lo que el licenciatario debe hacer. Las directrices TRM se presentan como orientación general, y la MAS tiene en cuenta en la supervisión el grado de observancia de su espíritu. Por eso, en nuestro plan, las brechas frente a las notices van siempre primero.

• Cuentas administrativas (párr. 4.1): cada una protegida frente a accesos o usos no autorizados.
• Parches de seguridad (párr. 4.2): aplicados en un plazo acorde con el riesgo de cada vulnerabilidad; si no existe parche, controles compensatorios.
• Normas de seguridad (párr. 4.3): un conjunto escrito de configuraciones para cada sistema, y su cumplimiento.
• Perímetro de red (párr. 4.4): controles que restringen todo tráfico no autorizado.
• Protección contra malware (párr. 4.5) en cada sistema donde esté disponible.
• MFA (párr. 4.6): para todas las cuentas administrativas de sistemas críticos y todas las cuentas que acceden a información de clientes por internet.

Sistemas gestionados por proveedores

El párrafo 3.1 exime de un requisito solo si la empresa carece de control sobre el sistema, directo o a través del proveedor, y cambiar de proveedor es irrazonable. Aplicamos esa prueba a nubes y SaaS y documentamos la conclusión.

La empresa identifica sus sistemas críticos y valida y documenta, al menos cada 12 meses, sus pruebas de recuperación y el RTO. El informe de causa raíz incluye resumen ejecutivo, análisis de la causa, impacto y medidas correctoras.

Preparamos la lista de sistemas críticos, la prueba de recuperación con su registro y un procedimiento que decide la notificación a la MAS dentro de la hora.

Las expectativas que más aparecen en empresas de pago:

• el consejo y la alta dirección nombran un CIO o responsable de TI y un CISO o responsable de seguridad de la información (párr. 3.1.3);
• formación en seguridad al menos una vez al año para personal, contratistas y proveedores con acceso a activos de información (párr. 3.6.2);
• prueba de penetración de los sistemas expuestos a internet al menos una vez al año y tras cambios importantes (párr. 13.2.4);
• la auditoría de TI da al consejo una visión independiente de la idoneidad de la gestión de riesgos (párr. 15.1.1).

La prueba de penetración se organiza a petición con un proveedor independiente; nosotros fijamos el alcance y cerramos los hallazgos. Si aún solicita la licencia, nuestro equipo de licencias de pago en Singapur lleva la solicitud.

Trabajamos tras una consulta de pago de 30 minutos y una carta de alcance con precio cerrado; una persona verifica cada hallazgo, y la carpeta de evidencias se ordena por párrafo de cada notice.