MAS-konforme Softwareentwicklung: Was Singapurer Fintechs von ihrem Engineering-Partner brauchen

MAS-konforme Softwareentwicklung in Singapur erfordert einen Engineering-Partner mit dokumentierten Sicherheitskontrollen, prüfungsbereiten Lieferprozessen, Risikomanagement-Rahmenwerken, die an den MAS-Richtlinien für Technology Risk Management (TRM) ausgerichtet sind, und der Fähigkeit, auf Anfrage Nachweise für die regulatorische Überprüfung zu erbringen. Fintechs, die unter MAS-Lizenzierung tätig sind, müssen sicherstellen, dass ihre Technologieanbieter diese Anforderungen erfüllen, bevor sie sie für Produktionssysteme beauftragen.

Was erfordert MAS-Konformität von einem Softwareentwicklungspartner?

Die Technology-Risk-Management-Richtlinien der Monetary Authority of Singapore (MAS) setzen klare Erwartungen daran, wie Finanzinstitute Technologierisiken managen. Diese Richtlinien gelten nicht nur für interne IT-Teams, sondern auch für die Drittanbieter und Entwicklungspartner, die im Auftrag von MAS-regulierten Einrichtungen Systeme bauen und betreiben.

Für Singapurer Fintechs bedeutet dies, dass die Auswahl eines Softwareentwicklungspartners eine Compliance-Entscheidung ist, nicht nur eine technische. Der falsche Partner schafft regulatorische Risiken. Der richtige Partner reduziert sie.

Wichtige MAS-TRM-Anforderungen, die die Auswahl des Engineering-Partners beeinflussen

Die 2021 veröffentlichten und in nachfolgenden Mitteilungen aktualisierten MAS-TRM-Richtlinien stellen Anforderungen in drei Bereichen, die direkt für Softwareentwicklungspartnerschaften relevant sind:

• Drittanbieter-Risikomanagement. MAS-regulierte Einrichtungen müssen eine Due Diligence bei Technologieanbietern durchführen, einschließlich der Bewertung ihrer Sicherheitskontrollen, Datenverarbeitungspraktiken und Geschäftskontinuitätsvereinbarungen. Diese Due Diligence muss dokumentiert und überprüfbar sein.
• Kontrollen des Systementwicklungszyklus. Für regulierte Systeme entwickelte Software muss einem sicheren Entwicklungszyklus folgen, einschließlich Anforderungen an Code-Reviews, Schwachstellentests und Änderungsmanagement. Partner müssen Nachweise für diese Praktiken erbringen.
• Incident-Management und Benachrichtigung. Partner, die Produktionssysteme betreiben oder unterstützen, müssen dokumentierte Incident-Response-Verfahren und Benachrichtigungsfristen haben, die an die MAS-Meldeanforderungen angepasst sind.

Ein Entwicklungspartner, der keine Dokumentation in diesen drei Bereichen vorlegen kann, ist für MAS-regulierte Fintech-Projekte nicht geeignet, unabhängig von seiner technischen Fähigkeit.

Wie regulierte Softwareentwicklung in Singapur in der Praxis aussieht

Regulierte Softwareentwicklung ist keine andere Methodik. Es ist Standard-Engineering-Praxis mit der Dokumentation, den Audit-Trails und den Governance-Strukturen, die Regulatoren benötigen, um zu überprüfen, dass sie konsistent angewendet wird.

In der Praxis sollte ein MAS-konformer Entwicklungspartner Folgendes bereitstellen:

• Eine Softwareentwicklungszyklus-Richtlinie (SDLC), die den MAS-TRM-Anforderungen zugeordnet ist
• Dokumentierte Code-Review-Prozesse mit Aufzeichnungen von Review-Entscheidungen
• Ergebnisse von Penetrationstests und Schwachstellenbewertungen, erstellt von qualifizierten Testern
• Änderungsmanagement-Protokolle, die alle Produktions-Deployments abdecken
• Datenklassifizierungsrichtlinien, die abdecken, wie Produktions- und Testdaten behandelt werden
• Geschäftskontinuitäts- und Notfallwiederherstellungspläne mit getesteten Wiederherstellungszielen

Jedes davon sollte vor dem Engagement zur Überprüfung verfügbar sein, nicht als Reaktion auf eine regulatorische Anfrage erstellt werden.

Wie sich Singapurer Fintech-Engineering von Standard-Softwareentwicklung unterscheidet

Singapurer Fintech-Engineering operiert unter Einschränkungen, die die Standard-Softwareentwicklung nicht hat. Die wichtigsten Unterschiede betreffen, wie Teams strukturiert sind, wie Code überprüft wird, wie Daten behandelt werden und wie Systeme überwacht werden.

Die bedeutendsten Unterschiede für Engineering-Teams:

• Datenresidenz. MAS-Richtlinien und damit verbundene Vorschriften schränken ein, wo bestimmte Kategorien von Finanz- und personenbezogenen Daten gespeichert und verarbeitet werden können. Engineering-Teams müssen Systeme mit eingebauten, nicht nachgerüsteten Datenresidenz-Kontrollen entwerfen.
• Zugriffskontrollstandards. Produktionssysteme müssen Least-Privilege-Zugriff implementieren, wobei jeder privilegierte Zugriff protokolliert und überprüfbar ist. Dies gilt für Partner-Ingenieure ebenso wie für internes Personal.
• Anforderungen an Audit-Trails. Finanzsysteme müssen vollständige, manipulationssichere Audit-Trails für alle Transaktionen und Systemereignisse führen. Partner müssen diese Fähigkeit aufbauen und testen, nicht voraussetzen.
• Kryptografiestandards. MAS-Richtlinien spezifizieren Mindestanforderungen an die Kryptografie für Daten während der Übertragung und im Ruhezustand. Partner müssen die Einhaltung dieser Standards in ihrem Systemdesign nachweisen.

Was Sie einen Singapurer Fintech-Engineering-Partner vor dem Engagement fragen sollten

Due Diligence bei einem Entwicklungspartner für MAS-regulierte Arbeit sollte vor Unterzeichnung eines Vertrags Antworten auf die folgenden Fragen liefern:

1. Können Sie Ihr SDLC-Richtliniendokument bereitstellen und zeigen, wie es den MAS-TRM-Richtlinien zugeordnet ist?
2. Wie handhaben Sie Penetrationstests, und können Sie Beispielberichte aus vergleichbaren Engagements teilen?
3. Was ist Ihr Prozess zur Verwaltung des Produktionszugriffs für Ingenieure, die an Kundensystemen arbeiten?
4. Wie gehen Sie mit einem Sicherheitsvorfall um, der ein Kundensystem betrifft, und wie sehen Ihre Benachrichtigungsfristen aus?
5. Können Sie Referenzen von anderen MAS-regulierten Einrichtungen vorlegen, für die Sie Produktionssysteme entwickelt haben?
6. Wo befinden sich Ihre Ingenieure, und wie stellen Sie die Einhaltung der Datenresidenz für in Singapur ansässige Kunden sicher?

Ein Partner, der diese Fragen nicht spezifisch mit Dokumentation beantworten kann, ist nicht bereit für MAS-regulierte Arbeit.

MAS-Regulierung Fintech: Was sich beim Skalieren ändert

Wenn Singapurer Fintechs vom MVP zur lizenzierten Einrichtung skalieren, skalieren die Compliance-Anforderungen an ihren Engineering-Partner mit ihnen. Ein Entwicklungspartner, der für einen Prototyp vor der Lizenzierung geeignet ist, ist möglicherweise nicht für ein Produktionssystem geeignet, das unter einer Payment-Services-Act-Lizenz oder einer Capital-Markets-Services-Lizenz betrieben wird.

Die entscheidenden Wendepunkte sind die Lizenzgenehmigung, der Produktlaunch für externe Kunden und jede bedeutende Systemänderung, die eine MAS-Benachrichtigung erfordert. An jedem dieser Punkte sollte der CISO oder Head of Technology des Fintechs die Compliance-Haltung des Partners anhand der aktuellen MAS-Anforderungen überprüfen.

Partner, die noch nicht in regulierten Umgebungen tätig sind, benötigen typischerweise 3 bis 6 Monate Prozess- und Dokumentationsarbeit, bevor sie prüfungsbereit sind. Dies bereits in der Engagement-Phase als Annahme einzubauen, verhindert Verzögerungen zum ungünstigsten Zeitpunkt.

Häufig gestellte Fragen: MAS-konforme Softwareentwicklung in Singapur

Was erfordert MAS-Konformität von einem Softwareentwicklungspartner in Singapur?

MAS-Konformität erfordert von einem Softwareentwicklungspartner, dokumentierte Sicherheitskontrollen im Einklang mit den MAS-TRM-Richtlinien aufrechtzuerhalten, einen sicheren Softwareentwicklungszyklus mit Nachweisen für Code-Reviews und Schwachstellentests zu betreiben, Drittanbieter-Risiken durch dokumentierte Richtlinien zu Datenverarbeitung und Zugriffskontrolle zu managen und prüfungsbereite Aufzeichnungen von Produktionsänderungen und Incident-Reaktionen bereitzustellen. Partner müssen zudem Datenresidenz-Kontrollen für in Singapur befindliche Finanzdaten nachweisen und dokumentierte Incident-Benachrichtigungsverfahren mit Fristen haben, die an die MAS-Meldeanforderungen angepasst sind. Diese Anforderungen gelten für Partner, die Produktionssysteme im Auftrag von MAS-regulierten Einrichtungen bauen oder betreiben, nicht nur für interne Technologieteams.

Was ist MAS TRM und wie beeinflusst es die Fintech-Softwareentwicklung in Singapur?

MAS TRM bezieht sich auf die von der Monetary Authority of Singapore veröffentlichten Technology-Risk-Management-Richtlinien. Diese Richtlinien legen die Risikomanagementstandards fest, die MAS-regulierte Finanzinstitute für Technologiesysteme erfüllen müssen, einschließlich Systemen, die von Drittanbieterpartnern entwickelt und betrieben werden. Für die Fintech-Softwareentwicklung erfordern die MAS-TRM-Richtlinien Kontrollen für einen sicheren Entwicklungszyklus, Due Diligence bei Drittanbietern, dokumentiertes Änderungsmanagement, Penetrationstests und Geschäftskontinuitätsplanung. Ein Fintech, das einen Entwicklungspartner beauftragt, der nicht an den MAS-TRM-Richtlinien ausgerichtet ist, schafft ein regulatorisches Risiko, das Lizenzgenehmigungen verzögern oder nach dem Launch aufsichtsrechtliche Maßnahmen auslösen kann.

Wie führt man eine Due Diligence bei einem Softwareentwicklungspartner für MAS-regulierte Fintech-Arbeit durch?

Die Due Diligence bei einem Entwicklungspartner für MAS-regulierte Arbeit sollte sechs Bereiche abdecken: SDLC-Dokumentation, die die Ausrichtung an den MAS-TRM-Richtlinien zeigt, Aufzeichnungen von Penetrationstests aus vergleichbaren Engagements, Prozesse zur Verwaltung des Produktionszugriffs einschließlich der Protokollierung und Überprüfung privilegierten Zugriffs, Incident-Response-Verfahren mit Benachrichtigungsfristen, Referenzen von anderen MAS-regulierten Einrichtungen, für die sie Produktionssysteme entwickelt haben, und Datenresidenz-Kontrollen, die für Singapurer Finanzdaten relevant sind. Alle Dokumentationen sollten vor dem Engagement verfügbar sein. Partner, die Dokumentation nur als Reaktion auf eine regulatorische Anfrage erstellen können, sind nicht bereit für MAS-regulierte Projekte.

Was ist der Unterschied zwischen Standard-Softwareentwicklung und regulierter Softwareentwicklung in Singapur?

Regulierte Softwareentwicklung folgt denselben Engineering-Praktiken wie die Standardentwicklung – Sprints, Code-Review, Tests, Deployment – fügt aber drei Ebenen hinzu, die Regulatoren verlangen. Erstens Dokumentation: jede bedeutende Prozessentscheidung muss festgehalten und abrufbar sein. Zweitens Governance: Zugriff auf Produktionssysteme, Deployment-Entscheidungen und Datenverarbeitung müssen dokumentierten Richtlinien folgen, nicht Ad-hoc-Urteilen. Drittens Audit-Trails: alle Produktionsereignisse müssen in manipulationssicheren Systemen protokolliert werden, die die Beweisstandards der Finanzdienstleistungsbranche erfüllen. Die Engineering-Qualität ist dieselbe. Der Unterschied ist, dass alles einem Regulator auf Anfrage nachweisbar sein muss, nicht nur intern vom Team verstanden.

Kann ein Engineering-Team im Ausland an MAS-regulierten Fintech-Systemen arbeiten?

Ja, aber mit spezifischen Kontrollen. MAS-Richtlinien erlauben Technologiearbeit von außerhalb Singapurs, sofern die MAS-regulierte Einrichtung die Aufsicht behält und der Partner Kontrollen implementiert, die der Datensensibilität angemessen sind. Für Produktionssysteme, die regulierte Daten verarbeiten, erfordert dies typischerweise: Datenresidenz-Kontrollen, die verhindern, dass Singapurer Finanzdaten designierte Speicherorte verlassen, dokumentierte Zugriffsmanagement-Richtlinien für Ingenieure an allen Standorten, Überwachung und Protokollierung allen privilegierten Zugriffs unabhängig vom Standort sowie vertragliche Bestimmungen zu Datenverarbeitung, Incident-Benachrichtigung und Prüfrechten. Die regulierte Einrichtung bleibt dafür verantwortlich, sicherzustellen, dass diese Kontrollen vorhanden sind und funktionieren. Stichprobenkontrollen und regelmäßige Überprüfungen sind Teil der Standard-Compliance-Praxis.

Welche Fragen sollte ein Singapurer Fintech-CISO stellen, bevor er einen neuen Engineering-Partner einbindet?

Die sechs wichtigsten Fragen sind: Können Sie Ihr SDLC-Richtliniendokument bereitstellen und zeigen, wie es den MAS-TRM-Richtlinien zugeordnet ist? Wie führen und dokumentieren Sie Penetrationstests, und können Sie Beispielergebnisse aus vergleichbaren Projekten teilen? Was ist Ihr Prozess zur Verwaltung und Protokollierung des Produktionszugriffs für Ingenieure, die an Kundensystemen arbeiten? Wie sehen Ihre Incident-Benachrichtigungsfristen aus, und wer ist der designierte Kontakt für ein Sicherheitsereignis? Können Sie Referenzen von anderen MAS-regulierten Einrichtungen vorlegen, deren Produktionssysteme Sie gebaut haben? Und wo befinden sich Ihre Ingenieure, und wie setzen Sie die Einhaltung der Datenresidenz für Singapurer Finanzdaten durch? Diese Fragen sollten mit Dokumenten beantwortet werden, nicht mit mündlichen Zusicherungen, bevor ein Vertrag unterzeichnet wird.