新加坡：文件安全与审计义务

确立 CII 制度、CSA 的指定和调查权力，以及《网络安全操作规范》的法定基础。2024年修正案新增第 3A 部分，涵盖第三方拥有的 CII、云服务提供商和数据中心，自 2025年10月31日起生效。

对文件安全的意义。指定是使《实践守则》从建议性变为强制性的关键。如果一个组织被指定，或如今作为第 3A 部分下的 3PO CII、云服务或数据中心提供商被纳入适用范围，CCoP 中的文件处理控制就会成为附带报告义务的法定义务。

来源：CSA

对指定 CII 业主在十一大行业适用的具约束力技术控制集：能源、信息通信、水务、医疗保健、银行与金融、安全与应急服务、航空、陆路交通、海事、政府和媒体。要求持续监测、跨 IT 和 OT 的行为异常检测，以及支持按需调查和审计核验的留存。

对文件安全的意义。这是 APAC 地区最明确的文件安全要求。恶意软件防护和内容检查义务适用于进入 CII 环境的内容，而留存要求意味着每个文件的裁定记录是评估人员会要求提供的证据。仅依赖检测的控制措施，很难就该守则所暗示的“已知安全”标准提供证据。

Glasswall 如何应对。Glasswall CDR 会依据格式规范重建每一个进入 CII 环境的文件，因此该控制是确定性的，而不依赖检测裁决，这正是它易于对照《实践守则》的内容检查预期加以举证的原因。按文件的裁定记录为评估人员提供每个文件的处理历史，并可导出至 SIEM，从而能够按照《实践守则》要求您执行的任何保留政策进行保存。部署位于边界：代理和网关采用 Web 网关集成，进出邮件采用邮件中继。

Content disarm and reconstructionPer-file verdict recordWeb gateway integrationEmail relayGlasswall Halo / Glasswall Meteor

来源：CSA

施加保护义务，即采取合理的安全安排，防止未经授权的访问、收集、使用、披露或类似风险；此外还要求对可通报的数据泄露进行强制通知。

对文件安全的意义。文件是组织中最常见、且不受控制的个人数据载体。文件在存储、共享或转发之前移除姓名化数据模式，是保护义务的直接控制措施，并可减少可能触发需通知的数据泄露的文件数量。

Glasswall 如何应对。数据防泄漏（DLP）在文档存储或共享之前移除其中的命名数据模式，通过缩减散落文件中的个人数据量，直接支持保护义务。Microsoft 365 存储保护对上传到 SharePoint 和 OneDrive 的文件采取同样处理。携带不必要个人数据的文档越少，可能演变为需通知的数据泄露的文件群体就越小。

Data loss preventionMicrosoft 365 storage protectionContent disarm and reconstructionGlasswall Halo

来源：PDPC

为金融机构在技术风险治理、系统安全、网络边界防御和安全软件交付方面设定 MAS 预期。

对文件安全的意义。边界防御和系统安全部分是相关条款：通过电子邮件、上传门户或第三方交换到达的不受信任文件，预期应在边界处处理，而不是仅凭检测裁定放行。

Glasswall 如何应对。边界防御预期对应的做法，是在不受信任文件到达之时（入站邮件、客户上传门户、第三方文档交换）就将其重建，而不是先行放行、再依赖下游检测。按文件的裁定记录支持受 MAS 监管的机构就技术风险控制应当保持的证据链。

Content disarm and reconstructionEmail relayWeb gateway integrationPer-file verdict recordGlasswall Halo

来源：MAS

自愿性认证标志。Cyber Essentials 面向较小型组织；Cyber Trust 是一项基于风险的标志，面向较大型企业，并设有分级等级。

对文件安全的意义。越来越多地被用作采购筛选条件，而非资质标识。2026年7月22日的 CCoP 公告提及 Cyber Trust Mark Level 5 认证与更新后的《规范》相关联，这使该标识从自愿性信号转向 CII 邻近供应商的供应链预期。

来源：CSA

本页为在新加坡运营的组织提供工作参考。

这不是法律建议。监管义务取决于组织被指定的方式、其所处行业以及系统架构；在依据本页任何内容作出合规决定之前，请先征询当地意见。我们对 Glasswall 与某项义务之间关系的描述，是在说明一项控制，而非对结果作出认证。