新加坡：文件安全与审计义务

确立 CII 制度、CSA 的指定和调查权力，以及《网络安全操作规范》的法定基础。2024年修正案新增第 3A 部分，涵盖第三方拥有的 CII、云服务提供商和数据中心，自 2025年10月31日起生效。

对文件安全的意义。指定是使执业守则具有约束力而非仅具建议性的关键。若组织被指定，或因第3A部分而被纳入作为 3PO CII、云服务或数据中心提供商，则 CCoP 中的文件处理控制即成为附带报告义务的法定义务。

来源：CSA

对指定 CII 业主在十一大行业适用的具约束力技术控制集：能源、信息通信、水务、医疗保健、银行与金融、安全与应急服务、航空、陆路交通、海事、政府和媒体。要求持续监测、跨 IT 和 OT 的行为异常检测，以及支持按需调查和审计核验的留存。

对文件安全的意义。这是 APAC 地区最明确的文件安全要求。恶意软件防护和内容检查义务适用于进入 CII 环境的内容，而留存要求意味着每个文件的裁定记录是评估人员会要求提供的证据。仅依赖检测的控制措施，很难就该守则所暗示的“已知安全”标准提供证据。

Glasswall 如何应对。Glasswall CDR 会按照格式规范对进入 CII 环境的每个文件进行重建，因此该控制是确定性的，而非依赖检测裁定，这也使其能够就守则的内容检查要求轻松提供证据。每个文件的裁定记录会为评估人员提供该文件的处理历史，并可导出至 SIEM，因此可按守则要求您运行的任何留存政策进行保存。部署位于边界：可通过 ICAP 连接代理和网关，或通过电子邮件中继处理入站附件。

Content Disarm and ReconstructionPer-file verdict recordICAP ClientEmail CDR RelayGlasswall Halo / Glasswall Meteor

来源：CSA

施加保护义务，即采取合理安全安排，以防止未经授权的访问、收集、使用、披露或类似风险，并强制通知应通报的数据泄露事件。

对文件安全的意义。文件是组织中最常见、且不受控制的个人数据载体。文件在存储、共享或转发之前移除姓名化数据模式，是保护义务的直接控制措施，并可减少可能触发需通知的数据泄露的文件数量。

Glasswall 如何应对。Find & Redact 在文档存储或共享之前移除其中的姓名化数据模式，通过缩减散落文件中的个人数据量，直接支持保护义务。Storage Monitor 对已静态存放于 Microsoft 365 中的材料采取同样处理，并记录按租户划分的处理轨迹。携带不必要个人数据的文档越少，可能演变为需通知的数据泄露的文件群体就越小。

Find & RedactStorage Monitor + SM AuditContent Disarm and ReconstructionGlasswall Halo

来源：PDPC

为金融机构在技术风险治理、系统安全、网络边界防御和安全软件交付方面设定 MAS 预期。

对文件安全的意义。边界防御和系统安全部分是相关条款：通过电子邮件、上传门户或第三方交换到达的不受信任文件，预期应在边界处处理，而不是仅凭检测裁定放行。

Glasswall 如何应对。边界防御要求对应的是在不受信任文件到达时即对其进行重建，无论是入站邮件、客户上传门户还是第三方文档交换，而不是让其进入系统后再依赖下游检测。每个文件的裁定记录可为 MAS 监管机构预期保留的技术风险控制证据链提供支持。

Content Disarm and ReconstructionEmail CDR RelayICAP ClientPer-file verdict recordGlasswall Halo

来源：MAS

自愿性认证标志。Cyber Essentials 面向较小型组织；Cyber Trust 是一项基于风险的标志，面向较大型企业，并设有分级等级。

对文件安全的意义。越来越多地被用作采购筛选条件，而非资质标识。2026年7月22日的 CCoP 公告提及 Cyber Trust Mark Level 5 认证与更新后的《规范》相关联，这使该标识从自愿性信号转向 CII 邻近供应商的供应链预期。

来源：CSA

本页为在新加坡运营的组织提供工作参考。

这不是法律建议。监管义务取决于组织被指定的方式、其所处行业以及系统架构；在依据本页任何内容作出合规决定之前，请先征询当地意见。我们对 Glasswall 与某项义务之间关系的描述，是在说明一项控制，而非对结果作出认证。