Licenciés de paiement à Singapour : cyberhygiène et risque technologique prêts pour la MAS

La MAS a abrogé les anciennes notices PSN05 et PSN06 avec effet au 10 mai 2024 et les a remplacées par des notices prises en application du Financial Services and Markets Act 2022. Les documents écrits pour la PSN06 sont à revoir au regard du nouveau texte et des nouvelles références.

Obligatoire et attendu

Les notices disent ce que le licencié doit faire. Les lignes directrices TRM se présentent comme des orientations générales, et la MAS tient compte, dans sa supervision, du degré de respect de leur esprit. Dans notre plan, les écarts face aux notices passent donc toujours en premier.

• Comptes administrateurs (para. 4.1) : chacun protégé contre tout accès ou usage non autorisé.
• Correctifs de sécurité (para. 4.2) : appliqués dans un délai proportionné au risque de chaque vulnérabilité ; à défaut de correctif, des mesures compensatoires.
• Normes de sécurité (para. 4.3) : un jeu de configurations écrit pour chaque système, et sa mise en conformité.
• Périmètre réseau (para. 4.4) : des contrôles qui bloquent tout trafic non autorisé.
• Protection antimalware (para. 4.5) sur chaque système où elle est disponible.
• MFA (para. 4.6) : pour tous les comptes administrateurs des systèmes critiques et tous les comptes donnant accès aux informations clients par internet.

Systèmes gérés par un prestataire

Le paragraphe 3.1 lève une exigence seulement si l'entreprise ne peut contrôler le système ni directement ni par son prestataire, et qu'en changer serait déraisonnable. Nous appliquons ce critère à vos clouds et outils SaaS et documentons la conclusion.

L'entreprise a besoin d'un processus d'identification des systèmes critiques et doit valider et documenter, au moins une fois tous les 12 mois, la façon dont elle teste la reprise et la date de validation du RTO. Le rapport sur la cause racine couvre l'analyse, l'impact et les mesures correctives.

Ce que nous préparons

La liste justifiée des systèmes critiques, un test de reprise documenté, une procédure d'évaluation des incidents qui tranche la notification dans l'heure et un modèle de rapport sur la cause racine.

Les attentes qui reviennent le plus souvent pour les sociétés de paiement :

• le conseil et la direction nomment un CIO ou responsable informatique et un CISO ou responsable de la sécurité (para. 3.1.3) ;
• une sensibilisation à la sécurité au moins annuelle pour le personnel, les sous-traitants et les prestataires ayant accès aux actifs informationnels (para. 3.6.2) ;
• un test d'intrusion des systèmes exposés à internet au moins une fois par an et après tout changement majeur (para. 13.2.4) ;
• un audit informatique qui donne au conseil un avis indépendant sur la gestion des risques (para. 15.1.1).

Le test d'intrusion se commande à un prestataire distinct ; nous intégrons ses résultats au plan de correction. Si la licence est encore en cours de demande, notre équipe licence de paiement à Singapour mène le dossier.

Notre méthode

1. Une consultation payante de 30 minutes et une lettre de cadrage : systèmes, dates, prix forfaitaire.
2. Revue face à la FSM-N14, à la FSM-N13 le cas échéant et aux lignes directrices TRM ; une personne vérifie chaque constat.
3. Correction par nous ou avec votre équipe, puis revérification.
4. Un dossier de preuves rattaché aux paragraphes des notices.