تطوير برمجيات متوافق مع MAS: ما تحتاجه شركات التقنية المالية في سنغافورة من شريكها الهندسي

يتطلب تطوير البرمجيات المتوافق مع MAS في سنغافورة شريكًا هندسيًا يمتلك ضوابط أمنية موثقة، وعمليات تسليم جاهزة للتدقيق، وأطر إدارة مخاطر متوافقة مع إرشادات إدارة المخاطر التقنية (TRM) الصادرة عن MAS، والقدرة على تقديم أدلة للمراجعة التنظيمية عند الطلب. يجب على شركات التقنية المالية العاملة بموجب ترخيص MAS التأكد من أن مورّدي التقنية لديها يستوفون هذه المتطلبات قبل التعاقد معهم لأنظمة الإنتاج.

ما الذي يتطلبه الامتثال لـ MAS من شريك تطوير برمجيات؟

تضع إرشادات إدارة المخاطر التقنية الصادرة عن الهيئة النقدية لسنغافورة (MAS) توقعات واضحة حول كيفية إدارة المؤسسات المالية لمخاطر التقنية. لا تنطبق هذه الإرشادات فقط على فرق تقنية المعلومات الداخلية، بل أيضًا على موردي الطرف الثالث وشركاء التطوير الذين يبنون ويشغّلون الأنظمة نيابة عن الكيانات الخاضعة لتنظيم MAS.

بالنسبة لشركات التقنية المالية في سنغافورة، يعني هذا أن اختيار شريك تطوير برمجيات هو قرار امتثال، لا مجرد قرار تقني. الشريك الخاطئ يخلق تعرضًا تنظيميًا. الشريك الصحيح يقلله.

متطلبات MAS TRM الرئيسية التي تؤثر على اختيار الشريك الهندسي

تضع إرشادات MAS TRM المنشورة في عام 2021 والمحدَّثة في الإشعارات اللاحقة متطلبات في ثلاثة مجالات ذات صلة مباشرة بشراكات تطوير البرمجيات:

• إدارة مخاطر الطرف الثالث. يجب على الكيانات الخاضعة لتنظيم MAS إجراء العناية الواجبة تجاه موردي التقنية، بما في ذلك تقييم ضوابطهم الأمنية، وممارسات التعامل مع البيانات، وترتيبات استمرارية الأعمال. يجب توثيق هذه العناية الواجبة وأن تكون قابلة للمراجعة.
• ضوابط دورة تطوير النظام. يجب أن تتبع البرمجيات المطورة للأنظمة الخاضعة للتنظيم دورة تطوير آمنة، بما في ذلك متطلبات مراجعة الكود، واختبار الثغرات، وإدارة التغيير. يجب على الشركاء تقديم أدلة على هذه الممارسات.
• إدارة الحوادث والإخطار. يجب أن يمتلك الشركاء الذين يشغّلون أو يدعمون أنظمة الإنتاج إجراءات استجابة للحوادث موثقة وجداول زمنية للإخطار متوافقة مع متطلبات الإبلاغ الخاصة بـ MAS.

شريك التطوير الذي لا يستطيع تقديم توثيق عبر هذه المجالات الثلاثة غير مناسب لمشاريع التقنية المالية الخاضعة لتنظيم MAS، بغض النظر عن قدرته التقنية.

كيف يبدو تطوير البرمجيات الخاضع للتنظيم في سنغافورة عمليًا

تطوير البرمجيات الخاضع للتنظيم ليس منهجية مختلفة. إنه ممارسة هندسية قياسية مع التوثيق ومسارات التدقيق وهياكل الحوكمة التي يحتاجها المنظّمون للتحقق من تطبيقها باستمرار.

عمليًا، ينبغي أن يقدّم شريك التطوير المتوافق مع MAS ما يلي:

• سياسة دورة تطوير البرمجيات (SDLC) تتطابق مع متطلبات MAS TRM
• عمليات مراجعة كود موثقة مع سجلات لقرارات المراجعة
• نتائج اختبار الاختراق وتقييم الثغرات، من إعداد مختبرين مؤهلين
• سجلات إدارة التغيير التي تغطي جميع عمليات النشر في الإنتاج
• سياسات تصنيف البيانات التي تغطي كيفية التعامل مع بيانات الإنتاج والاختبار
• خطط استمرارية الأعمال والتعافي من الكوارث مع أهداف زمنية مختبرة للتعافي

ينبغي أن يكون كل من هذه متاحًا للمراجعة قبل التعاقد، لا أن يُنتج استجابةً لطلب تنظيمي.

كيف تختلف هندسة التقنية المالية في سنغافورة عن تطوير البرمجيات القياسي

تعمل هندسة التقنية المالية في سنغافورة ضمن قيود لا يمتلكها تطوير البرمجيات القياسي. تؤثر الفروق الرئيسية على كيفية تنظيم الفرق، وكيفية مراجعة الكود، وكيفية التعامل مع البيانات، وكيفية مراقبة الأنظمة.

أهم الفروق بالنسبة لفرق الهندسة:

• إقامة البيانات. تقيّد إرشادات MAS واللوائح ذات الصلة أين يمكن تخزين ومعالجة فئات معينة من البيانات المالية والشخصية. يجب على فرق الهندسة تصميم الأنظمة بضوابط إقامة بيانات مدمجة، لا مضافة لاحقًا.
• معايير التحكم في الوصول. يجب أن تطبق أنظمة الإنتاج مبدأ الحد الأدنى من الامتيازات، مع تسجيل جميع الوصول ذي الامتيازات وإمكانية مراجعته. ينطبق هذا على مهندسي الشريك بقدر ما ينطبق على الموظفين الداخليين.
• متطلبات مسار التدقيق. يجب أن تحافظ الأنظمة المالية على مسارات تدقيق كاملة ومقاومة للتلاعب لجميع المعاملات وأحداث النظام. يجب على الشركاء بناء هذه القدرة واختبارها، لا افتراض وجودها.
• معايير التشفير. تحدد إرشادات MAS الحد الأدنى من معايير التشفير للبيانات أثناء النقل وفي حالة السكون. يجب على الشركاء إثبات الامتثال لهذه المعايير في تصميم أنظمتهم.

ما الذي يجب سؤاله لشريك هندسة تقنية مالية في سنغافورة قبل التعاقد معه

ينبغي أن تنتج العناية الواجبة تجاه شريك تطوير لعمل خاضع لتنظيم MAS إجابات عن الأسئلة التالية قبل توقيع أي عقد:

1. هل يمكنك تقديم وثيقة سياسة SDLC الخاصة بك وإظهار كيفية تطابقها مع إرشادات MAS TRM؟
2. كيف تتعامل مع اختبار الاختراق، وهل يمكنك مشاركة تقارير عينة من تعاقدات مماثلة؟
3. ما هي عمليتك لإدارة وصول الإنتاج للمهندسين العاملين على أنظمة العملاء؟
4. كيف تتعامل مع حادثة أمنية تؤثر على نظام عميل، وما هي جداولك الزمنية للإخطار؟
5. هل يمكنك تقديم مراجع من كيانات أخرى خاضعة لتنظيم MAS طورت لها أنظمة إنتاج؟
6. أين يتمركز مهندسوك، وكيف تضمن الامتثال لإقامة البيانات للعملاء المتمركزين في سنغافورة؟

الشريك الذي لا يستطيع الإجابة عن هذه الأسئلة بشكل محدد، مع التوثيق، غير جاهز للعمل الخاضع لتنظيم MAS.

التقنية المالية الخاضعة لتنظيم MAS: ما الذي يتغير عند التوسع

مع توسع شركات التقنية المالية في سنغافورة من الحد الأدنى القابل للتطبيق (MVP) إلى كيان مرخّص، تتوسع متطلبات الامتثال على شريكها الهندسي معها. قد لا يكون شريك التطوير المناسب لنموذج أولي قبل الترخيص مناسبًا لنظام إنتاج يعمل بموجب ترخيص قانون خدمات الدفع أو ترخيص خدمات أسواق رأس المال.

نقاط التحول الرئيسية هي الموافقة على الترخيص، وإطلاق المنتج للعملاء الخارجيين، وأي تغيير كبير في النظام يتطلب إخطار MAS. في كل نقطة من هذه النقاط، ينبغي على كبير مسؤولي أمن المعلومات أو رئيس التقنية في شركة التقنية المالية مراجعة وضع امتثال الشريك في ضوء متطلبات MAS الحالية.

يحتاج الشركاء الذين لا يعملون بالفعل في بيئات خاضعة للتنظيم عادةً إلى 3 إلى 6 أشهر من العمل على العمليات والتوثيق قبل أن يصبحوا جاهزين للتدقيق. إدراج هذا كافتراض منذ مرحلة التعاقد يمنع التأخيرات في أسوأ وقت ممكن.

الأسئلة الشائعة: تطوير برمجيات متوافق مع MAS في سنغافورة

ما الذي يتطلبه الامتثال لـ MAS من شريك تطوير برمجيات في سنغافورة؟

يتطلب الامتثال لـ MAS من شريك تطوير البرمجيات الحفاظ على ضوابط أمنية موثقة متوافقة مع إرشادات إدارة المخاطر التقنية الخاصة بـ MAS، وتشغيل دورة تطوير برمجيات آمنة مع أدلة على مراجعة الكود واختبار الثغرات، وإدارة مخاطر الطرف الثالث من خلال سياسات موثقة تغطي التعامل مع البيانات والتحكم في الوصول، وتقديم سجلات جاهزة للتدقيق عن تغييرات الإنتاج والاستجابات للحوادث. يجب على الشركاء أيضًا إثبات ضوابط إقامة البيانات للبيانات المالية المتمركزة في سنغافورة، وامتلاك إجراءات إخطار بالحوادث موثقة بجداول زمنية متوافقة مع متطلبات إبلاغ MAS. تنطبق هذه المتطلبات على الشركاء الذين يبنون أو يشغّلون أنظمة إنتاج نيابة عن كيانات خاضعة لتنظيم MAS، لا فرق التقنية الداخلية فقط.

ما هو MAS TRM وكيف يؤثر على تطوير برمجيات التقنية المالية في سنغافورة؟

يشير MAS TRM إلى إرشادات إدارة المخاطر التقنية الصادرة عن الهيئة النقدية لسنغافورة. تضع هذه الإرشادات معايير إدارة المخاطر التي يجب على المؤسسات المالية الخاضعة لتنظيم MAS استيفاءها للأنظمة التقنية، بما في ذلك الأنظمة التي يطورها ويشغّلها شركاء من طرف ثالث. بالنسبة لتطوير برمجيات التقنية المالية، تتطلب إرشادات MAS TRM ضوابط دورة تطوير آمنة، وعناية واجبة تجاه موردي الطرف الثالث، وإدارة تغيير موثقة، واختبار اختراق، وتخطيطًا لاستمرارية الأعمال. شركة التقنية المالية التي تتعاقد مع شريك تطوير غير متوافق مع إرشادات MAS TRM تخلق تعرضًا تنظيميًا قد يؤخر الموافقات على الترخيص أو يستدعي إجراءً إشرافيًا بعد الإطلاق.

كيف تُجري العناية الواجبة تجاه شريك تطوير برمجيات لعمل تقنية مالية خاضع لتنظيم MAS؟

ينبغي أن تغطي العناية الواجبة تجاه شريك تطوير لعمل خاضع لتنظيم MAS ستة مجالات: توثيق SDLC الذي يُظهر التطابق مع إرشادات MAS TRM، وسجلات اختبار الاختراق من تعاقدات مماثلة، وعمليات إدارة وصول الإنتاج بما في ذلك كيفية تسجيل الوصول ذي الامتيازات ومراجعته، وإجراءات الاستجابة للحوادث بجداول زمنية للإخطار، ومراجع من كيانات أخرى خاضعة لتنظيم MAS طوّروا لها أنظمة إنتاج، وضوابط إقامة البيانات ذات الصلة بالبيانات المالية السنغافورية. ينبغي أن يكون كل التوثيق متاحًا قبل التعاقد. الشركاء الذين لا يستطيعون إنتاج التوثيق إلا استجابةً لطلب تنظيمي غير جاهزين للمشاريع الخاضعة لتنظيم MAS.

ما الفرق بين تطوير البرمجيات القياسي وتطوير البرمجيات الخاضع للتنظيم في سنغافورة؟

يتبع تطوير البرمجيات الخاضع للتنظيم نفس الممارسات الهندسية للتطوير القياسي، من سبرينت ومراجعة كود واختبار ونشر، لكنه يضيف ثلاث طبقات يتطلبها المنظّمون. أولاً، التوثيق: يجب تسجيل كل قرار عملية مهم وأن يكون قابلاً للاسترجاع. ثانيًا، الحوكمة: يجب أن يتبع الوصول إلى أنظمة الإنتاج وقرارات النشر والتعامل مع البيانات سياسات موثقة، لا حكمًا مخصصًا. ثالثًا، مسارات التدقيق: يجب تسجيل جميع أحداث الإنتاج في أنظمة مقاومة للتلاعب تلبي معايير الإثبات الخاصة بالخدمات المالية. جودة الهندسة هي نفسها. الفرق هو أن كل شيء يجب أن يكون قابلاً للإثبات لجهة تنظيمية عند الطلب، لا مفهومًا داخليًا من الفريق فقط.

هل يمكن لفريق هندسة في الخارج العمل على أنظمة تقنية مالية خاضعة لتنظيم MAS؟

نعم، لكن بضوابط محددة. تسمح إرشادات MAS بإجراء العمل التقني من خارج سنغافورة، بشرط أن يحافظ الكيان الخاضع لتنظيم MAS على الإشراف وأن ينفّذ الشريك ضوابط مناسبة لحساسية البيانات. بالنسبة لأنظمة الإنتاج التي تتعامل مع بيانات خاضعة للتنظيم، يتطلب هذا عادةً: ضوابط إقامة بيانات تمنع البيانات المالية السنغافورية من مغادرة مواقع التخزين المحددة، وسياسات إدارة وصول موثقة تغطي المهندسين في جميع المواقع، ومراقبة وتسجيل جميع الوصول ذي الامتيازات بغض النظر عن الموقع، وأحكامًا تعاقدية تغطي التعامل مع البيانات والإخطار بالحوادث وحقوق التدقيق. يظل الكيان الخاضع للتنظيم مسؤولاً عن ضمان وجود هذه الضوابط وعملها. الفحوصات العشوائية والمراجعات الدورية جزء من ممارسة الامتثال القياسية.

ما الأسئلة التي ينبغي على كبير مسؤولي أمن المعلومات في شركة تقنية مالية سنغافورية طرحها قبل تأهيل شريك هندسي جديد؟

الأسئلة الستة الأكثر أهمية هي: هل يمكنك تقديم وثيقة سياسة SDLC الخاصة بك وإثبات كيفية تطابقها مع إرشادات MAS TRM؟ كيف تُجري وتوثّق اختبار الاختراق، وهل يمكنك مشاركة مخرجات عينة من مشاريع مماثلة؟ ما هي عمليتك لإدارة وتسجيل وصول الإنتاج للمهندسين العاملين على أنظمة العملاء؟ ما هي جداولك الزمنية للإخطار بالحوادث ومن هو جهة الاتصال المحددة لحدث أمني؟ هل يمكنك تقديم مراجع من كيانات أخرى خاضعة لتنظيم MAS بنيت أنظمة إنتاجها؟ وأين يتمركز مهندسوك، وكيف تفرض الامتثال لإقامة البيانات للبيانات المالية السنغافورية؟ ينبغي الإجابة عن هذه الأسئلة بوثائق، لا بتأكيدات شفهية، قبل توقيع أي عقد.