シンガポール：ファイルセキュリティと監査の義務

CII制度、CSAによる指定および調査権限、ならびにCybersecurity Code of Practiceの法的根拠を定めます。2024年改正により、第三者所有のCII、クラウドサービスプロバイダー、データセンターを対象とするPart 3Aが追加され、2025年10月31日に施行されます。

ファイルセキュリティにとっての意味。指定こそが、Code of Practiceを単なる助言ではなく拘束力のあるものにします。組織が指定を受けた場合、またはPart 3Aの下で3PO CII、クラウド、データセンター事業者として新たに対象になった場合、CCoPのファイル取扱い統制は、報告義務を伴う法的義務になります。

出典: CSA

指定CIIの所有者向けの拘束力のある技術的統制セットであり、対象分野は11分野、すなわちEnergy、Info-communications、Water、Healthcare、Banking and Finance、Security and Emergency Services、Aviation、Land Transport、Maritime、Government、Mediaです。継続的監視、ITおよびOTを横断する行動異常検知、ならびに調査および監査の検証を要求に応じて支援する保持を求めます。

ファイルセキュリティにとっての意味。これはAPACで最も明確なファイルセキュリティ義務です。マルウェア保護およびコンテンツ検査の義務は、CII環境に入るコンテンツに適用され、保存要件により、ファイル単位の判定記録が評価者に求められる証跡になります。検知ベースの統制だけでは、Codeが示唆する「known-good」基準に対して証明するのは困難です。

Glasswallの対応方法。Glasswall CDRは、CII環境に入るすべてのファイルをその形式仕様に照らして再構築するため、統制は検知判定に依存せず決定論的です。これにより、Codeのコンテンツ検査要件に対して証明しやすくなります。ファイル単位の判定記録は、各ファイルの処理履歴を評価者に示し、SIEMにエクスポート可能なため、Codeが求める運用保持期間に従って保存できます。導入位置は境界です。プロキシおよびゲートウェイにはICAP、または受信添付ファイルにはメールリレーを使用します。

Content Disarm and ReconstructionPer-file verdict recordICAP ClientEmail CDR RelayGlasswall Halo / Glasswall Meteor

出典: CSA

無許可のアクセス、収集、使用、開示、その他類似のリスクを防ぐための合理的なセキュリティ措置であるProtection Obligationを課し、さらに報告対象データ侵害の通知を義務付けます。

ファイルセキュリティにとっての意味。ファイルは、組織内で最も一般的な管理外の個人データ搬送手段です。文書を保管、共有、転送する前に氏名付きのデータパターンを除去することは、Protection Obligationに対する直接的な統制であり、通知対象となる侵害を引き起こし得るファイルの母集団を減らします。

Glasswallの対応方法。Find & Redactは、文書を保管または共有する前に氏名付きのデータパターンを除去するため、ばらばらに存在するファイル内の個人データ量を減らすことでProtection Obligationを直接支援します。Storage Monitorは、Microsoft 365上の保存済みデータにも同じ処理を適用し、テナントごとの処理履歴を記録します。不必要な個人データを含む文書が減れば、通知対象となる侵害に発展し得るファイルの母集団も小さくなります。

Find & RedactStorage Monitor + SM AuditContent Disarm and ReconstructionGlasswall Halo

出典: PDPC

金融機関に対し、テクノロジーリスクガバナンス、システムセキュリティ、ネットワーク境界防御、セキュアなソフトウェア提供に関するMASの期待を定めます。

ファイルセキュリティにとっての意味。関連するのは、周辺防御およびシステムセキュリティの節です。メール、アップロードポータル、第三者との交換で到着する不審なファイルは、検知判定だけで受け入れるのではなく、境界で処理することが想定されています。

Glasswallの対応方法。周辺防御の要件は、到着時点で不審ファイルを再構築する運用に対応します。つまり、受信メール、顧客アップロードポータル、第三者との文書交換を、後段の検知に頼って受け入れるのではありません。ファイル単位の判定記録は、MAS規制下の機関が技術リスク統制として維持すべき証跡の裏付けになります。

Content Disarm and ReconstructionEmail CDR RelayICAP ClientPer-file verdict recordGlasswall Halo

出典: MAS

任意認証マーク。Cyber Essentialsは中小規模の組織を対象とし、Cyber Trustは大企業向けの段階別レベルを持つリスクベースのマークです。

ファイルセキュリティにとっての意味。近年は、認証バッジというより調達フィルターとして使われることが増えています。2026年7月22日のCCoP発表では、更新版Codeに関連してCyber Trust Mark Level 5認証に言及しており、このマークは任意の示威から、CII周辺ベンダーに対するサプライチェーン上の期待へと移行しつつあります。

出典: CSA

このページは、シンガポールで事業を行う組織向けの作業用リファレンスです。

これは法的助言ではありません。規制上の義務は、組織がどのように指定されているか、どの業界で事業を行っているか、そしてそのシステムがどのようなアーキテクチャになっているかによって異なります。コンプライアンス判断にあたり本内容のいずれかに依拠する前に、現地の助言を受けてください。Glasswallがある義務にどのように関係するかを説明する場合、それは統制を説明しているのであって、結果を保証しているのではありません。