APAC 合规摘要：截至 2026 年 7 月的监管年度

亚太地区的每个辖区都在收紧管理恶意文件或处理不当文件进入组织后会发生什么的规则。这些义务以不同名称出现——关键基础设施规范、隐私修订、数据泄露通知制度——但方向一致：监管机构越来越期望组织说明如何控制文件带来的风险，而不仅仅是在风险实现后作出响应。

本首期版本回顾了我们自 2025 年初以来已跟踪、经一手来源核实并发布到我们的 country compliance guides 的进展。从下个月起，该摘要将按自然月逐月覆盖。

重点新闻

• Singapore 正在更新适用于关键基础设施的 Cybersecurity Code of Practice，以应对高级持续性威胁和 AI 赋能威胁，相关变更预计将在 2026 年后期推出。
• South Korea 已颁布 PIPA 修正案，授权在高严重性泄露案件中处以最高相当于总收入 10% 的行政罚款，大部分条款将于 2026 年 9 月生效。
• India 已公布 DPDP Rules 2025，启动为期 12 至 18 个月的分阶段合规实施，其中包括 72 小时内提交详细泄露报告，以及至少保留一年的日志。

Australia

关于 SOCI Act 改革的咨询已开启（2026 年 3 月，咨询中）。在 2026 年 1 月提交政府的 SOCI Act 首次独立审查之后，政府就对第 3 部分下的 Ministerial Directions 权力以及 Critical Infrastructure Risk Management Program Rules 的修订开启了咨询。风险管理计划规则是最值得关注的部分：它们决定实体必须就如何缓解实质性风险——包括数据存储系统遭文件带来的入侵破坏——记录哪些内容。 Source: Minister for Home Affairs.

勒索软件付款报告义务已生效（2025 年 5 月，已生效）。Cyber Security Act 2024 下的勒索软件付款报告规则已开始实施，要求适用实体向政府报告勒索软件付款。勒索软件几乎总是通过文件投递进入，而报告义务会把一次成功的文档投递入侵的成本从事件提升为披露事件。 Source: ACSC.

智能设备安全标准开始实施（2026 年 3 月，已生效）。根据 Cyber Security Act 2024，向关键基础设施运营者提供的智能设备安全标准已开始实施。对文件安全而言是间接相关，但与供应链保障有关：设备固件和配置包都是文件，其来源可验证性正越来越被视为应当具备。 Source: ACSC.

关于这三项的更多详情：Australia compliance guide。

India

DPDP Rules 2025 已公布（2025 年 11 月，已生效）。Digital Personal Data Protection Rules 2025 已公布，设定了为期 12 至 18 个月的分阶段合规实施，其中包括 72 小时内提交详细泄露报告，以及至少保留一年的流量和处理日志。与泄露调查相关的明确保留期限，是结构化的逐文件处理记录比单独的应用日志更容易满足的要求。参见 India compliance guide。 Source: MeitY.

Japan

内阁批准带有行政罚款的 APPI 修正案（2026 年 4 月，修正案）。内阁批准了一项 APPI 修正案法案，引入行政罚款、加强对儿童个人数据的保护，并新增针对在 AI 训练中使用个人数据的条款。罚款改变了对文件中个人数据泄露的考量：能够减少个人数据散落在松散文档中的控制措施，从良好实践转变为具有可量化价值的风险降低措施。 Source: PPC.

Active Cyber Defense Act 通过国会（2025 年 5 月，2026 年期间生效）。该立法授权开展围绕公私协作、用于威胁检测的通信监测以及政府反制访问权限而构建的主动网络防御措施。它表明日本的网络安全义务正从指导性要求转向法定义务，提高了对重要系统运营者检测和识别入侵的期望，包括文件带来的入侵。参见 Japan compliance guide。 Source: Nippon.com.

马来西亚

PDPA 修正案生效（2025 年 6 月，已生效）。马来西亚《个人数据保护法》的修正引入了针对某些处理活动的强制性数据保护官任命、强制性数据泄露通知以及数据可携权。泄露通知为通过文档丢失的个人数据带来了外部后果，这提高了减少这些文档所承载内容的价值。参见 Malaysia compliance guide。 来源：JPDP.

新西兰

IPP 3A 生效（2026 年 5 月，已生效）。IPP 3A 要求机构在个人信息从第三方间接收集时采取合理步骤通知个人，适用于 2026 年 5 月 1 日或之后收集的个人信息。接收来自第三方的大量个人数据的组织，通常以文档和电子表格形式接收，现在在该接收环节上附带了透明度义务。引入该条款的《Privacy Amendment Act 2025》已于 2025 年 9 月获得 royal assent。参见 New Zealand compliance guide。 来源：Bell Gully, New Zealand Legislation.

新加坡

CCoP 更新以应对 APT 和 AI 赋能威胁（2026 年 7 月，咨询中）。CSA 宣布，针对 CII 的 Cybersecurity Code of Practice 将更新，以应对高级持续性威胁和 AI 赋能威胁，相关变更预计将在 2026 年后期生效。此次更新涵盖董事会问责、每年审查的网络韧性框架、Cyber Trust Mark Level 5 认证、互联系统监督、威胁检测部署、网络安全演练规划，以及网络监控和检测管理。针对 Cloud Services 的单独 Code of Practice 也计划按同一时间表推出。AI 赋能威胁尤其提高了文件型攻击的上限：多态文档载荷和机器生成的诱饵比确定性重建更快地削弱基于签名和启发式的检测。 来源：CSA.

Cybersecurity (Amendment) Act 条款开始实施（2025 年 10 月，已生效）。关键条款新增 Part 3A，用于监管那些依赖但并不拥有其所依赖的 CII 的 essential services 提供者，并将 CSA 的监管范围扩展至 cloud service providers 和 data centre operators。实际影响在于适用范围：那些原本认为由于租用而非拥有基础设施，因此 CII 控制集不适用的组织，现在可能被纳入范围，并继承该 Code 对进入 essential-service 环境的文件所要求的内容检查和保留要求。参见 Singapore compliance guide。 来源：CSA.

韩国

修订后的 PIPA 公布并引入按收入计罚款（2026 年 3 月，修正）。PIPA 修正案以 Act No. 21445 公布，授权在严重泄露案件中处以最高相当于总收入 10% 的行政罚款。大多数条款于 2026 年 9 月 11 日生效；强制性 ISMS-P 认证条款于 2027 年 7 月 1 日生效。按收入计的处罚实质上改变了减少文档中所持有个人数据的商业理由，而 ISMS-P 要求则为证明技术保障措施设定了明确期限。参见 South Korea compliance guide。 来源：Hunton Andrews Kurth.

台湾

Personal Data Protection Commission 开始运作（2025 年 8 月，指导）。台湾的 PDPC 作为唯一的数据保护主管机关开始运作，负责执行和解释 Personal Data Protection Act。预计由专门监管机构统一执法将提高监管一致性，包括对文档中所持个人数据的技术保障措施的监管。参见 Taiwan compliance guide。 来源：Law.asia.

本期未公布变化

印度尼西亚、蒙古、菲律宾、泰国和越南在我们审查的这个时间窗口内均未出现任何发展。没有变化本身也值得记录：这意味着各 country guide 中描述的义务仍然有效。 （越南的 Decree 330/2026/ND-CP 于 2026 年 8 月发布，将出现在下个月的版本中。）

这对文件处理意味着什么

本结尾部分用于将上述发展映射到我们所代表的平台；在此之前的内容均为监管报告。

这一年贯穿着三种模式。首先，监管机构正在向 证据 靠拢：印度的日志保留规则、韩国的 ISMS-P 要求以及澳大利亚的风险管理计划改革，都要求组织通过记录来证明如何处理文件型风险。带有每个文件裁定记录的确定性重建控制，比检测调优式的立场更容易写入项目文档，也更容易在审计中举证。其次，AI 赋能威胁如今已被写入法规，其中最明确的是新加坡的 CCoP 更新。AI 生成的文档载荷和机器定制的诱饵，比确定性重建更快地削弱基于签名和启发式的检测，因为重建不需要识别威胁：它会无论如何移除活动内容。第三，处罚正从固定金额转向按比例计算，尤其是在日本和韩国，这改变了减少散落文档中、传输中和静态存储中的个人数据的商业理由。

我们如何通过 Glasswall CDR 逐项、逐控制地应对每一项义务，会在我们的 compliance guides 中按地区进行映射，而我们在新加坡的团队可以将您的控制集与适用于您的法规进行对照： talk to us.