Лицензиат MAS в Сингапуре: кибергигиена и ИТ-риски, готовые к проверке

Прежние уведомления PSN05 и PSN06 MAS отменило с 10 мая 2024 года и выпустило вместо них уведомления по Financial Services and Markets Act 2022. Документы, написанные под PSN06, нужно сверить с новой редакцией и обновить ссылки.

На странице FSM-N14 MAS перечисляет, кого он касается: major payment institutions, standard payment institutions, money-changing licensees, операторы и расчётные институты значимых платёжных систем.

Обязательное и рекомендательное

В уведомлениях (Notices) требования сформулированы как обязанности лицензиата. TRM Guidelines, по их собственному тексту, служат общим руководством, и степень следования их духу MAS учитывает при надзоре. Поэтому в нашем плане разрывы по уведомлениям всегда идут первыми.

• Административные учётные записи (п. 4.1): каждая защищена от несанкционированного доступа.
• Исправления безопасности (п. 4.2): ставятся в срок, соответствующий риску уязвимости; если исправления нет, вводятся компенсирующие меры.
• Стандарты безопасности (п. 4.3): письменный набор настроек для каждой системы и соответствие ему.
• Периметр сети (п. 4.4): ограничение всего несанкционированного трафика.
• Защита от вредоносного ПО (п. 4.5) на каждой системе, где это возможно.
• MFA (п. 4.6): для всех административных учётных записей критичных систем и для всех учётных записей, через которые из интернета есть доступ к данным клиентов.

Системы поставщиков

Пункт 3.1 освобождает от требования, только если компания не может обеспечить его ни сама, ни через поставщика, и сменить поставщика неразумно. Мы проверяем облака и SaaS по этому критерию и документируем вывод.

Компания должна иметь порядок определения критичных систем и ежегодно, не реже раза в 12 месяцев, подтверждать и документировать, как проводится тест восстановления и когда RTO подтверждён. Отчёт о первопричине включает резюме инцидента, анализ причины, влияние на соблюдение требований, операции и обслуживание клиентов, а также принятые меры.

Что мы готовим

Перечень критичных систем с обоснованием, сценарий и протокол теста восстановления, порядок оценки инцидента и уведомления MAS в пределах часа, шаблон отчёта о первопричине под ваши системы.

Несколько ожиданий, которые чаще всего всплывают у платёжных компаний:

• совет директоров и руководство назначают CIO или руководителя ИТ и CISO или руководителя информационной безопасности (п. 3.1.3);
• обучение безопасности проходит не реже раза в год для сотрудников, подрядчиков и поставщиков с доступом к информационным активам (п. 3.6.2);
• системы, доступные из интернета, проходят тест на проникновение не реже раза в год и при крупных изменениях (п. 13.2.4);
• ИТ-аудит даёт совету независимое мнение об адекватности управления рисками (п. 15.1.1).

Тест на проникновение выполняется по запросу отдельным исполнителем, мы готовим объём и принимаем результаты в план исправлений. Если лицензию вы ещё получаете, заявку ведёт наша практика лицензирования в Сингапуре.

Как мы работаем

1. Платная консультация на 30 минут и письмо о рамках: системы, сроки, фиксированная цена.
2. Сверка с FSM-N14, FSM-N13 (если применимо) и TRM Guidelines; каждую находку проверяет человек.
3. Исправления сами или с вашей командой, затем повторная проверка.
4. Папка доказательств с привязкой к пунктам уведомлений.