シンガポール：ファイルセキュリティと監査の義務

CII制度、CSAによる指定および調査権限、ならびにCybersecurity Code of Practiceの法的根拠を定めます。2024年改正により、第三者所有のCII、クラウドサービスプロバイダー、データセンターを対象とするPart 3Aが追加され、2025年10月31日に施行されます。

ファイルセキュリティにとっての意味。指定こそが、実務規範を勧告ではなく拘束力あるものにします。組織が指定された場合、あるいは第3A部の下で3PO CII、クラウドまたはデータセンター事業者として新たに対象となった場合、CCoPのファイル取り扱い統制は、報告義務を伴う法定義務となります。

出典: CSA

指定CIIの所有者向けの拘束力のある技術的統制セットであり、対象分野は11分野、すなわちEnergy、Info-communications、Water、Healthcare、Banking and Finance、Security and Emergency Services、Aviation、Land Transport、Maritime、Government、Mediaです。継続的監視、ITおよびOTを横断する行動異常検知、ならびに調査および監査の検証を要求に応じて支援する保持を求めます。

ファイルセキュリティにとっての意味。これはAPACで最も明確なファイルセキュリティ義務です。マルウェア保護およびコンテンツ検査の義務は、CII環境に入るコンテンツに適用され、保存要件により、ファイル単位の判定記録が評価者に求められる証跡になります。検知ベースの統制だけでは、Codeが示唆する「known-good」基準に対して証明するのは困難です。

Glasswallによる対応。Glasswall CDRは、CII環境に入るすべてのファイルをそのフォーマット仕様に照らして再構築するため、統制は検知結果に依存せず決定論的になります。これにより、実務規範のコンテンツ検査への期待に対して証拠を示すことが容易になります。ファイル単位の判定記録は、各ファイルの処理履歴を評価者に提供し、SIEMへエクスポートできるため、実務規範が義務付ける保存ポリシーの下で保持できます。導入は境界に置きます。プロキシやゲートウェイにはWebゲートウェイ連携、受信および送信メールにはメールリレーを使用します。

Content disarm and reconstructionPer-file verdict recordWeb gateway integrationEmail relayGlasswall Halo / Glasswall Meteor

出典: CSA

保護義務（Protection Obligation）、すなわち不正なアクセス、収集、利用、開示または類似のリスクを防止するための合理的なセキュリティ措置を課し、あわせて通知対象のデータ侵害の通知を義務付けます。

ファイルセキュリティにとっての意味。ファイルは、組織内で最も一般的な管理外の個人データ搬送手段です。文書を保管、共有、転送する前に氏名付きのデータパターンを除去することは、Protection Obligationに対する直接的な統制であり、通知対象となる侵害を引き起こし得るファイルの母集団を減らします。

Glasswallによる対応。情報漏えい対策（DLP）は、文書を保管または共有する前に指定のデータパターンを除去するため、ばらばらに存在するファイル内の個人データ量を減らすことで保護義務を直接支援します。Microsoft 365ストレージ保護は、SharePointとOneDriveにアップロードされたファイルに同じ処理を適用します。不必要な個人データを含む文書が減れば、通知対象となる侵害に発展し得るファイルの母集団も小さくなります。

Data loss preventionMicrosoft 365 storage protectionContent disarm and reconstructionGlasswall Halo

出典: PDPC

金融機関に対し、テクノロジーリスクガバナンス、システムセキュリティ、ネットワーク境界防御、セキュアなソフトウェア提供に関するMASの期待を定めます。

ファイルセキュリティにとっての意味。関連するのは、周辺防御およびシステムセキュリティの節です。メール、アップロードポータル、第三者との交換で到着する不審なファイルは、検知判定だけで受け入れるのではなく、境界で処理することが想定されています。

Glasswallがどのように対応するか。境界防御への期待は、信頼できないファイルを受け入れて下流の検知に頼るのではなく、受信メール、顧客向けアップロードポータル、第三者との文書交換といった到着時点で再構築することに対応します。ファイル単位の判定記録は、MASの規制対象金融機関がテクノロジーリスク統制について維持すべき証跡を支えます。

Content disarm and reconstructionEmail relayWeb gateway integrationPer-file verdict recordGlasswall Halo

出典: MAS

任意認証マーク。Cyber Essentialsは中小規模の組織を対象とし、Cyber Trustは大企業向けの段階別レベルを持つリスクベースのマークです。

ファイルセキュリティにとっての意味。近年は、認証バッジというより調達フィルターとして使われることが増えています。2026年7月22日のCCoP発表では、更新版Codeに関連してCyber Trust Mark Level 5認証に言及しており、このマークは任意の示威から、CII周辺ベンダーに対するサプライチェーン上の期待へと移行しつつあります。

出典: CSA

このページは、シンガポールで事業を行う組織向けの作業用リファレンスです。

これは法的助言ではありません。規制上の義務は、組織がどのように指定されているか、どの業界で事業を行っているか、そしてそのシステムがどのようなアーキテクチャになっているかによって異なります。コンプライアンス判断にあたり本内容のいずれかに依拠する前に、現地の助言を受けてください。Glasswallがある義務にどのように関係するかを説明する場合、それは統制を説明しているのであって、結果を保証しているのではありません。