APAC Compliance Digest: tahun regulasi hingga Juli 2026

Setiap wilayah di Asia-Pasifik semakin memperketat aturan yang mengatur apa yang terjadi ketika sebuah file berbahaya atau salah penanganan mencapai suatu organisasi. Kewajiban tersebut hadir dengan nama yang berbeda-beda, kode infrastruktur kritis, amandemen privasi, rezim pemberitahuan pelanggaran, tetapi semuanya memiliki arah yang sama: regulator semakin mengharapkan organisasi untuk menunjukkan bagaimana risiko yang dibawa file dikendalikan, bukan sekadar merespons ketika risiko itu terwujud.

Edisi perdana ini merangkum perkembangan yang telah kami lacak, diverifikasi terhadap sumber primer, dan dipublikasikan ke country compliance guides kami sejak awal 2025. Mulai bulan depan, digest ini mencakup satu bulan kalender setiap kali.

Sorotan utama

• Singapore sedang memperbarui Cybersecurity Code of Practice untuk critical information infrastructure guna menangani advanced persistent threats dan ancaman berbasis AI, dengan perubahan yang diperkirakan pada bagian akhir 2026.
• South Korea memberlakukan amandemen PIPA yang mengizinkan denda administratif hingga 10% dari total pendapatan dalam kasus pelanggaran dengan tingkat keparahan tinggi, dengan sebagian besar ketentuan mulai berlaku pada September 2026.
• India memberitahukan DPDP Rules 2025, memulai penerapan kepatuhan bertahap selama 12 hingga 18 bulan yang mencakup laporan pelanggaran terperinci dalam 72 jam dan retensi log setidaknya satu tahun.

Australia

Konsultasi dibuka atas reformasi SOCI Act (Maret 2026, konsultasi). Menyusul tinjauan independen pertama atas SOCI Act, yang disampaikan kepada Pemerintah pada Januari 2026, Pemerintah membuka konsultasi atas amandemen terhadap kewenangan Ministerial Directions di bawah Part 3 dan terhadap Critical Infrastructure Risk Management Program Rules. Aturan program manajemen risiko adalah bagian yang perlu diperhatikan: aturan ini menentukan apa yang harus didokumentasikan oleh suatu entitas tentang bagaimana risiko material, termasuk kompromi berbasis file pada sistem penyimpanan data, benar-benar dimitigasi. Source: Minister for Home Affairs.

Pelaporan pembayaran ransomware berlaku (Mei 2025, berlaku). Aturan pelaporan pembayaran ransomware di bawah Cyber Security Act 2024 mulai berlaku, mewajibkan entitas dalam cakupan untuk melaporkan pembayaran ransomware kepada Pemerintah. Ransomware sangat sering masuk melalui pengiriman berbasis file, dan kewajiban pelaporan meningkatkan biaya intrusi yang berhasil melalui dokumen dari sebuah insiden menjadi peristiwa pengungkapan. Source: ACSC.

Standar keamanan perangkat pintar mulai berlaku (Maret 2026, berlaku). Standar keamanan untuk perangkat pintar yang dipasok kepada operator infrastruktur kritis mulai berlaku di bawah Cyber Security Act 2024. Tidak langsung untuk keamanan file, tetapi relevan bagi jaminan rantai pasok: firmware perangkat dan bundel konfigurasi adalah file, dan asal-usulnya semakin diharapkan dapat diverifikasi. Source: ACSC.

Detail lebih lanjut tentang ketiganya: Australia compliance guide.

India

DPDP Rules 2025 diberitahukan (November 2025, berlaku). Digital Personal Data Protection Rules 2025 diberitahukan, menetapkan penerapan kepatuhan bertahap selama 12 hingga 18 bulan termasuk laporan pelanggaran terperinci dalam 72 jam dan retensi log lalu lintas serta pemrosesan setidaknya satu tahun. Periode retensi eksplisit yang terkait dengan investigasi pelanggaran adalah persyaratan yang lebih mudah dipenuhi oleh catatan pemrosesan terstruktur per file dibandingkan hanya log aplikasi. Lihat India compliance guide. Source: MeitY.

Japan

Kabinet menyetujui amandemen APPI dengan denda administratif (April 2026, amandemen). Kabinet menyetujui rancangan amandemen APPI yang memperkenalkan denda administratif, memperkuat perlindungan bagi data pribadi anak-anak, dan ketentuan baru yang menangani penggunaan data pribadi dalam pelatihan AI. Denda mengubah perhitungan atas kehilangan data pribadi berbasis file: kontrol yang mengurangi data pribadi yang tersimpan dalam dokumen lepas bergeser dari praktik baik menjadi pengurangan risiko dengan nilai yang dapat diukur. Source: PPC.

Active Cyber Defense Act disahkan oleh Diet (Mei 2025, mulai berlaku selama 2026). Undang-undang ini memungkinkan langkah-langkah active cyber defence yang disusun di sekitar kolaborasi publik-swasta, pemantauan komunikasi untuk deteksi ancaman, dan kewenangan akses balik pemerintah. Ini menandakan pergeseran dari kewajiban keamanan siber yang dipandu oleh panduan menjadi kewajiban yang diatur undang-undang di Jepang, meningkatkan ekspektasi terhadap operator sistem signifikan untuk mendeteksi dan mengkarakterisasi intrusi, termasuk yang berbasis file. Lihat Japan compliance guide. Source: Nippon.com.

Malaysia

Amandemen PDPA mulai berlaku (Juni 2025, berlaku). Amandemen terhadap Personal Data Protection Act Malaysia memperkenalkan kewajiban penunjukan petugas perlindungan data untuk aktivitas pemrosesan tertentu, kewajiban pemberitahuan pelanggaran data, dan hak portabilitas data. Pemberitahuan pelanggaran menciptakan konsekuensi eksternal atas data pribadi yang hilang melalui dokumen, yang meningkatkan nilai dari pengurangan apa yang dibawa dokumen tersebut. Lihat panduan kepatuhan Malaysia. Sumber: JPDP.

New Zealand

IPP 3A berlaku (Mei 2026, berlaku). IPP 3A mewajibkan lembaga untuk mengambil langkah-langkah yang wajar guna memberi tahu individu ketika informasi pribadi mereka dikumpulkan secara tidak langsung dari pihak ketiga, berlaku untuk informasi pribadi yang dikumpulkan pada atau setelah 1 Mei 2026. Organisasi yang menerima data pribadi dalam jumlah besar dari pihak ketiga, yang sering kali berupa dokumen dan spreadsheet, kini memiliki kewajiban transparansi yang melekat pada pemasukan tersebut. Privacy Amendment Act 2025 yang memperkenalkannya menerima royal assent pada September 2025. Lihat panduan kepatuhan New Zealand. Sumber: Bell Gully, New Zealand Legislation.

Singapore

Pembaruan CCoP untuk menangani ancaman APT dan ancaman berbasis AI (Juli 2026, konsultasi). CSA mengumumkan bahwa Cybersecurity Code of Practice for CII akan diperbarui untuk menangani advanced persistent threats dan ancaman berbasis AI, dengan perubahan yang diperkirakan mulai berlaku pada bagian akhir 2026. Pembaruan ini mencakup akuntabilitas dewan dengan kerangka kerja ketahanan siber yang ditinjau setiap tahun, sertifikasi Cyber Trust Mark Level 5, pengawasan sistem yang saling terhubung, penerapan deteksi ancaman, perencanaan latihan keamanan siber, serta manajemen pemantauan dan deteksi jaringan. Code of Practice terpisah untuk Cloud Services direncanakan dengan jadwal yang sama. Ancaman berbasis AI menaikkan tingkat ancaman untuk serangan yang dibawa file secara khusus: payload dokumen polimorfik dan umpan yang dihasilkan mesin menurunkan deteksi berbasis signature dan heuristik jauh lebih cepat daripada menurunkan rebuild deterministik. Sumber: CSA.

Ketentuan Cybersecurity (Amendment) Act mulai berlaku (Oktober 2025, berlaku). Ketentuan utama memperkenalkan Part 3A untuk mengatur penyedia layanan esensial yang tidak memiliki CII yang mereka andalkan, dan memperluas pengawasan CSA kepada penyedia layanan cloud dan operator pusat data. Konsekuensi praktisnya adalah cakupan: organisasi yang berasumsi bahwa set kontrol CII tidak berlaku karena mereka menyewa, bukan memiliki, infrastruktur kini berpotensi termasuk dalam cakupan, dan mewarisi ekspektasi inspeksi konten dan retensi dari Code untuk file yang memasuki lingkungan layanan esensial. Lihat panduan kepatuhan Singapore. Sumber: CSA.

South Korea

PIPA yang diamandemen diumumkan dengan denda berbasis pendapatan (Maret 2026, amandemen). Amandemen PIPA diumumkan sebagai Act No. 21445, yang mengesahkan denda administratif hingga 10% dari total pendapatan dalam kasus pelanggaran dengan tingkat keparahan tinggi. Sebagian besar ketentuan mulai berlaku pada 11 September 2026; ketentuan sertifikasi ISMS-P wajib mulai berlaku pada 1 Juli 2027. Sanksi berbasis pendapatan secara material mengubah alasan bisnis untuk mengurangi data pribadi yang tersimpan dalam dokumen, dan mandat ISMS-P menciptakan tenggat waktu bertanggal untuk membuktikan perlindungan teknis. Lihat panduan kepatuhan South Korea. Sumber: Hunton Andrews Kurth.

Taiwan

Personal Data Protection Commission mulai beroperasi (Agustus 2025, panduan). PDPC Taiwan mulai beroperasi sebagai satu-satunya otoritas perlindungan data, menegakkan dan menafsirkan Personal Data Protection Act. Penegakan yang terkonsolidasi di bawah regulator khusus diperkirakan akan meningkatkan konsistensi pengawasan, termasuk atas perlindungan teknis untuk data pribadi yang disimpan dalam dokumen. Lihat panduan kepatuhan Taiwan. Sumber: Law.asia.

No published change in the period

Indonesia, Mongolia, Filipina, Thailand, dan Vietnam tidak mencatat perkembangan yang lolos peninjauan kami dalam periode ini. Ketiadaan perubahan itu sendiri layak dicatat: artinya kewajiban yang dijelaskan dalam setiap panduan negara tetap mutakhir. (Decree 330/2026/ND-CP Vietnam, yang diterbitkan pada Agustus 2026, masuk dalam edisi bulan depan.)

What this means for file handling

Bagian penutup ini adalah tempat kami memetakan perkembangan di atas ke platform yang kami wakili; semuanya sebelum ini adalah pelaporan regulasi.

Ada tiga pola yang muncul sepanjang tahun. Pertama, regulator semakin mengarah pada bukti: aturan retensi log India, mandat ISMS-P Korea Selatan, dan reformasi program manajemen risiko Australia semuanya meminta organisasi untuk menunjukkan, dengan catatan, bagaimana risiko yang dibawa file ditangani. Kontrol rebuild deterministik dengan catatan verdict per file secara material lebih mudah dimasukkan ke dalam dokumen program, dan dibuktikan saat audit, daripada pendekatan tuning deteksi. Kedua, ancaman berbasis AI kini disebutkan dalam regulasi, paling eksplisit dalam pembaruan CCoP Singapura. Payload dokumen yang dihasilkan AI dan umpan yang disesuaikan mesin menurunkan deteksi berbasis signature dan heuristik jauh lebih cepat daripada menurunkan rebuild deterministik, karena rebuild tidak perlu mengenali ancaman: ia menghapus konten aktif apa pun adanya. Ketiga, sanksi bergerak dari tetap ke proporsional, terutama di Jepang dan Korea Selatan, yang mengubah alasan bisnis untuk mengurangi data pribadi yang berada dalam dokumen lepas saat transit dan saat tersimpan.

Cara Glasswall CDR menangani setiap kewajiban, kontrol demi kontrol, dipetakan wilayah demi wilayah dalam panduan kepatuhan kami, dan tim kami di Singapore dapat meninjau set kontrol Anda terhadap kode yang berlaku untuk Anda: hubungi kami.