การพัฒนาซอฟต์แวร์ที่สอดคล้องกับ MAS: สิ่งที่ฟินเทคในสิงคโปร์ต้องการจากพันธมิตรด้านวิศวกรรมของตน

การพัฒนาซอฟต์แวร์ที่สอดคล้องกับ MAS ในสิงคโปร์ต้องการพันธมิตรด้านวิศวกรรมที่มีการควบคุมความปลอดภัยที่บันทึกไว้ กระบวนการส่งมอบงานที่พร้อมสำหรับการตรวจสอบ กรอบการบริหารความเสี่ยงที่สอดคล้องกับแนวทางการบริหารความเสี่ยงด้านเทคโนโลยี (TRM) ของ MAS และความสามารถในการจัดทำหลักฐานสำหรับการทบทวนตามกฎระเบียบเมื่อมีการร้องขอ ฟินเทคที่ดำเนินงานภายใต้ใบอนุญาต MAS ต้องมั่นใจว่าผู้จำหน่ายเทคโนโลยีของตนตรงตามข้อกำหนดเหล่านี้ก่อนที่จะว่าจ้างสำหรับระบบการผลิต

การปฏิบัติตาม MAS ต้องการอะไรจากพันธมิตรด้านการพัฒนาซอฟต์แวร์?

แนวทางการบริหารความเสี่ยงด้านเทคโนโลยีของธนาคารกลางสิงคโปร์ (MAS) กำหนดความคาดหวังที่ชัดเจนเกี่ยวกับวิธีที่สถาบันการเงินบริหารจัดการความเสี่ยงด้านเทคโนโลยี แนวทางเหล่านี้บังคับใช้ไม่เพียงกับทีม IT ภายในเท่านั้น แต่ยังรวมถึงผู้จำหน่ายบุคคลที่สามและพันธมิตรด้านการพัฒนาที่สร้างและดำเนินการระบบในนามของหน่วยงานที่อยู่ภายใต้การกำกับดูแลของ MAS

สำหรับฟินเทคในสิงคโปร์ นี่หมายความว่าการเลือกพันธมิตรด้านการพัฒนาซอฟต์แวร์เป็นการตัดสินใจด้านการปฏิบัติตามกฎระเบียบ ไม่ใช่แค่การตัดสินใจด้านเทคนิค พันธมิตรที่ผิดจะสร้างความเสี่ยงด้านกฎระเบียบ พันธมิตรที่ถูกต้องจะลดความเสี่ยงนั้น

ข้อกำหนด MAS TRM หลักที่ส่งผลต่อการเลือกพันธมิตรด้านวิศวกรรม

แนวทาง MAS TRM ที่เผยแพร่ในปี 2021 และปรับปรุงในประกาศฉบับต่อๆ มากำหนดข้อกำหนดในสามด้านที่เกี่ยวข้องโดยตรงกับความร่วมมือด้านการพัฒนาซอฟต์แวร์:

• การบริหารความเสี่ยงจากบุคคลที่สาม หน่วยงานที่อยู่ภายใต้การกำกับดูแลของ MAS ต้องดำเนินการตรวจสอบวิเคราะห์สถานะกับผู้จำหน่ายเทคโนโลยี รวมถึงการประเมินการควบคุมความปลอดภัย แนวปฏิบัติในการจัดการข้อมูล และข้อตกลงด้านความต่อเนื่องทางธุรกิจของพวกเขา การตรวจสอบวิเคราะห์สถานะนี้ต้องมีการบันทึกและสามารถทบทวนได้
• การควบคุมวงจรชีวิตการพัฒนาระบบ ซอฟต์แวร์ที่พัฒนาสำหรับระบบที่อยู่ภายใต้การกำกับดูแลต้องปฏิบัติตามวงจรชีวิตการพัฒนาที่ปลอดภัย รวมถึงข้อกำหนดสำหรับการรีวิวโค้ด การทดสอบช่องโหว่ และการบริหารจัดการการเปลี่ยนแปลง พันธมิตรต้องแสดงหลักฐานของแนวปฏิบัติเหล่านี้
• การบริหารจัดการเหตุการณ์และการแจ้งเตือน พันธมิตรที่ดำเนินการหรือสนับสนุนระบบการผลิตต้องมีขั้นตอนการตอบสนองต่อเหตุการณ์ที่บันทึกไว้และกรอบเวลาการแจ้งเตือนที่สอดคล้องกับข้อกำหนดการรายงานของ MAS

พันธมิตรด้านการพัฒนาที่ไม่สามารถจัดทำเอกสารในทั้งสามด้านนี้ไม่เหมาะสมสำหรับโครงการฟินเทคที่อยู่ภายใต้การกำกับดูแลของ MAS ไม่ว่าจะมีความสามารถทางเทคนิคเพียงใดก็ตาม

การพัฒนาซอฟต์แวร์ที่อยู่ภายใต้การกำกับดูแลในสิงคโปร์มีหน้าตาอย่างไรในทางปฏิบัติ

การพัฒนาซอฟต์แวร์ที่อยู่ภายใต้การกำกับดูแลไม่ใช่วิธีการที่แตกต่างออกไป แต่เป็นแนวปฏิบัติด้านวิศวกรรมมาตรฐานพร้อมเอกสาร ร่องรอยการตรวจสอบ และโครงสร้างธรรมาภิบาลที่หน่วยงานกำกับดูแลต้องการเพื่อยืนยันว่ามีการนำไปใช้อย่างสม่ำเสมอ

ในทางปฏิบัติ พันธมิตรด้านการพัฒนาที่สอดคล้องกับ MAS ควรจัดเตรียม:

• นโยบายวงจรชีวิตการพัฒนาซอฟต์แวร์ (SDLC) ที่เชื่อมโยงกับข้อกำหนด MAS TRM
• กระบวนการรีวิวโค้ดที่บันทึกไว้พร้อมบันทึกการตัดสินใจในการรีวิว
• ผลการทดสอบเจาะระบบและการประเมินช่องโหว่ ซึ่งจัดทำโดยผู้ทดสอบที่มีคุณสมบัติ
• บันทึกการบริหารจัดการการเปลี่ยนแปลงที่ครอบคลุมการนำไปใช้งานจริงทั้งหมด
• นโยบายการจำแนกประเภทข้อมูลที่ครอบคลุมวิธีจัดการข้อมูลการผลิตและข้อมูลทดสอบ
• แผนความต่อเนื่องทางธุรกิจและการกู้คืนจากภัยพิบัติพร้อมเป้าหมายเวลาการกู้คืนที่ผ่านการทดสอบแล้ว

แต่ละรายการเหล่านี้ควรมีพร้อมให้ทบทวนก่อนการว่าจ้าง ไม่ใช่จัดทำขึ้นเพื่อตอบสนองต่อคำร้องขอตามกฎระเบียบ

วิศวกรรมฟินเทคในสิงคโปร์แตกต่างจากการพัฒนาซอฟต์แวร์มาตรฐานอย่างไร

วิศวกรรมฟินเทคในสิงคโปร์ดำเนินงานภายใต้ข้อจำกัดที่การพัฒนาซอฟต์แวร์มาตรฐานไม่มี ความแตกต่างหลักส่งผลต่อวิธีจัดโครงสร้างทีม วิธีรีวิวโค้ด วิธีจัดการข้อมูล และวิธีเฝ้าติดตามระบบ

ความแตกต่างที่สำคัญที่สุดสำหรับทีมวิศวกรรม:

• การพำนักของข้อมูล แนวทาง MAS และกฎระเบียบที่เกี่ยวข้องจำกัดว่าข้อมูลทางการเงินและข้อมูลส่วนบุคคลบางประเภทสามารถจัดเก็บและประมวลผลได้ที่ใด ทีมวิศวกรรมต้องออกแบบระบบโดยมีการควบคุมการพำนักของข้อมูลติดตั้งไว้ตั้งแต่ต้น ไม่ใช่เพิ่มเข้ามาภายหลัง
• มาตรฐานการควบคุมการเข้าถึง ระบบการผลิตต้องใช้การเข้าถึงแบบสิทธิ์น้อยที่สุดเท่าที่จำเป็น โดยการเข้าถึงที่มีสิทธิพิเศษทั้งหมดต้องมีการบันทึกและสามารถทบทวนได้ สิ่งนี้ใช้กับวิศวกรของพันธมิตรเช่นเดียวกับพนักงานภายใน
• ข้อกำหนดด้านร่องรอยการตรวจสอบ ระบบการเงินต้องรักษาร่องรอยการตรวจสอบที่สมบูรณ์และป้องกันการปลอมแปลงสำหรับธุรกรรมและเหตุการณ์ของระบบทั้งหมด พันธมิตรต้องสร้างและทดสอบความสามารถนี้ ไม่ใช่สมมติว่ามีอยู่แล้ว
• มาตรฐานการเข้ารหัส แนวทาง MAS ระบุมาตรฐานการเข้ารหัสขั้นต่ำสำหรับข้อมูลระหว่างการส่งและขณะจัดเก็บ พันธมิตรต้องแสดงให้เห็นถึงการปฏิบัติตามมาตรฐานเหล่านี้ในการออกแบบระบบของตน

ควรถามอะไรพันธมิตรด้านวิศวกรรมฟินเทคในสิงคโปร์ก่อนว่าจ้าง

การตรวจสอบวิเคราะห์สถานะพันธมิตรด้านการพัฒนาสำหรับงานที่อยู่ภายใต้การกำกับดูแลของ MAS ควรได้คำตอบสำหรับคำถามต่อไปนี้ก่อนที่จะลงนามในสัญญาใดๆ:

1. คุณสามารถจัดเตรียมเอกสารนโยบาย SDLC ของคุณและแสดงให้เห็นว่ามันเชื่อมโยงกับแนวทาง MAS TRM อย่างไรได้หรือไม่?
2. คุณจัดการการทดสอบเจาะระบบอย่างไร และคุณสามารถแบ่งปันรายงานตัวอย่างจากการว่าจ้างที่เทียบเคียงได้หรือไม่?
3. กระบวนการของคุณในการจัดการการเข้าถึงระบบการผลิตสำหรับวิศวกรที่ทำงานบนระบบของลูกค้าคืออะไร?
4. คุณจัดการเหตุการณ์ด้านความปลอดภัยที่ส่งผลกระทบต่อระบบของลูกค้าอย่างไร และกรอบเวลาการแจ้งเตือนของคุณคืออะไร?
5. คุณสามารถให้ข้อมูลอ้างอิงจากหน่วยงานอื่นที่อยู่ภายใต้การกำกับดูแลของ MAS ซึ่งคุณได้พัฒนาระบบการผลิตให้ได้หรือไม่?
6. วิศวกรของคุณตั้งอยู่ที่ไหน และคุณมั่นใจได้อย่างไรว่าปฏิบัติตามข้อกำหนดการพำนักของข้อมูลสำหรับลูกค้าในสิงคโปร์?

พันธมิตรที่ไม่สามารถตอบคำถามเหล่านี้ได้อย่างเฉพาะเจาะจง พร้อมเอกสารประกอบ ยังไม่พร้อมสำหรับงานที่อยู่ภายใต้การกำกับดูแลของ MAS

ฟินเทคภายใต้กฎระเบียบ MAS: สิ่งที่เปลี่ยนแปลงเมื่อคุณขยายขนาด

เมื่อฟินเทคในสิงคโปร์ขยายจาก MVP ไปสู่หน่วยงานที่ได้รับใบอนุญาต ข้อกำหนดด้านการปฏิบัติตามกฎระเบียบต่อพันธมิตรด้านวิศวกรรมของพวกเขาก็ขยายตามไปด้วย พันธมิตรด้านการพัฒนาที่เหมาะสมสำหรับต้นแบบก่อนการได้รับใบอนุญาตอาจไม่เหมาะสมสำหรับระบบการผลิตที่ดำเนินงานภายใต้ใบอนุญาตพระราชบัญญัติบริการการชำระเงินหรือใบอนุญาตบริการตลาดทุน

จุดเปลี่ยนสำคัญคือการอนุมัติใบอนุญาต การเปิดตัวผลิตภัณฑ์สู่ลูกค้าภายนอก และการเปลี่ยนแปลงระบบที่มีนัยสำคัญใดๆ ที่ต้องแจ้ง MAS ในแต่ละจุดเหล่านี้ CISO หรือหัวหน้าฝ่ายเทคโนโลยีของฟินเทคควรทบทวนสถานะการปฏิบัติตามกฎระเบียบของพันธมิตรเทียบกับข้อกำหนด MAS ปัจจุบัน

พันธมิตรที่ยังไม่ได้ดำเนินงานในสภาพแวดล้อมที่อยู่ภายใต้การกำกับดูแลมักต้องการเวลา 3 ถึง 6 เดือนสำหรับงานด้านกระบวนการและเอกสารก่อนที่จะพร้อมสำหรับการตรวจสอบ การนำสิ่งนี้มาเป็นข้อสมมติฐานตั้งแต่ขั้นตอนการว่าจ้างช่วยป้องกันความล่าช้าในช่วงเวลาที่เลวร้ายที่สุด

คำถามที่พบบ่อย: การพัฒนาซอฟต์แวร์ที่สอดคล้องกับ MAS ในสิงคโปร์

การปฏิบัติตาม MAS ต้องการอะไรจากพันธมิตรด้านการพัฒนาซอฟต์แวร์ในสิงคโปร์?

การปฏิบัติตาม MAS ต้องการให้พันธมิตรด้านการพัฒนาซอฟต์แวร์รักษาการควบคุมความปลอดภัยที่บันทึกไว้ซึ่งสอดคล้องกับแนวทางการบริหารความเสี่ยงด้านเทคโนโลยีของ MAS ดำเนินการวงจรชีวิตการพัฒนาซอฟต์แวร์ที่ปลอดภัยพร้อมหลักฐานของการรีวิวโค้ดและการทดสอบช่องโหว่ บริหารความเสี่ยงจากบุคคลที่สามผ่านนโยบายที่บันทึกไว้ซึ่งครอบคลุมการจัดการข้อมูลและการควบคุมการเข้าถึง และจัดเตรียมบันทึกที่พร้อมสำหรับการตรวจสอบเกี่ยวกับการเปลี่ยนแปลงในการผลิตและการตอบสนองต่อเหตุการณ์ พันธมิตรยังต้องแสดงให้เห็นถึงการควบคุมการพำนักของข้อมูลสำหรับข้อมูลทางการเงินในสิงคโปร์ และมีขั้นตอนการแจ้งเตือนเหตุการณ์ที่บันทึกไว้พร้อมกรอบเวลาที่สอดคล้องกับข้อกำหนดการรายงานของ MAS ข้อกำหนดเหล่านี้ใช้กับพันธมิตรที่สร้างหรือดำเนินการระบบการผลิตในนามของหน่วยงานที่อยู่ภายใต้การกำกับดูแลของ MAS ไม่ใช่แค่ทีมเทคโนโลยีภายในเท่านั้น

MAS TRM คืออะไร และมันส่งผลต่อการพัฒนาซอฟต์แวร์ฟินเทคในสิงคโปร์อย่างไร?

MAS TRM หมายถึงแนวทางการบริหารความเสี่ยงด้านเทคโนโลยีที่เผยแพร่โดยธนาคารกลางสิงคโปร์ แนวทางเหล่านี้กำหนดมาตรฐานการบริหารความเสี่ยงที่สถาบันการเงินที่อยู่ภายใต้การกำกับดูแลของ MAS ต้องปฏิบัติตามสำหรับระบบเทคโนโลยี รวมถึงระบบที่พัฒนาและดำเนินการโดยพันธมิตรบุคคลที่สาม สำหรับการพัฒนาซอฟต์แวร์ฟินเทค แนวทาง MAS TRM กำหนดให้มีการควบคุมวงจรชีวิตการพัฒนาที่ปลอดภัย การตรวจสอบวิเคราะห์สถานะผู้จำหน่ายบุคคลที่สาม การบริหารจัดการการเปลี่ยนแปลงที่บันทึกไว้ การทดสอบเจาะระบบ และการวางแผนความต่อเนื่องทางธุรกิจ ฟินเทคที่ว่าจ้างพันธมิตรด้านการพัฒนาที่ไม่สอดคล้องกับแนวทาง MAS TRM กำลังสร้างความเสี่ยงด้านกฎระเบียบที่อาจทำให้การอนุมัติใบอนุญาตล่าช้าหรือกระตุ้นการดำเนินการกำกับดูแลหลังการเปิดตัว

จะดำเนินการตรวจสอบวิเคราะห์สถานะพันธมิตรด้านการพัฒนาซอฟต์แวร์สำหรับงานฟินเทคที่อยู่ภายใต้การกำกับดูแลของ MAS ได้อย่างไร?

การตรวจสอบวิเคราะห์สถานะพันธมิตรด้านการพัฒนาสำหรับงานที่อยู่ภายใต้การกำกับดูแลของ MAS ควรครอบคลุมหกด้าน คือ เอกสาร SDLC ที่แสดงความสอดคล้องกับแนวทาง MAS TRM บันทึกการทดสอบเจาะระบบจากการว่าจ้างที่เทียบเคียงได้ กระบวนการบริหารจัดการการเข้าถึงระบบการผลิตรวมถึงวิธีการบันทึกและทบทวนการเข้าถึงที่มีสิทธิพิเศษ ขั้นตอนการตอบสนองต่อเหตุการณ์พร้อมกรอบเวลาการแจ้งเตือน ข้อมูลอ้างอิงจากหน่วยงานอื่นที่อยู่ภายใต้การกำกับดูแลของ MAS ที่พวกเขาได้พัฒนาระบบการผลิตให้ และการควบคุมการพำนักของข้อมูลที่เกี่ยวข้องกับข้อมูลทางการเงินในสิงคโปร์ เอกสารทั้งหมดควรมีพร้อมก่อนการว่าจ้าง พันธมิตรที่สามารถจัดทำเอกสารได้เฉพาะเพื่อตอบสนองต่อคำร้องขอตามกฎระเบียบไม่พร้อมสำหรับโครงการที่อยู่ภายใต้การกำกับดูแลของ MAS

ความแตกต่างระหว่างการพัฒนาซอฟต์แวร์มาตรฐานกับการพัฒนาซอฟต์แวร์ที่อยู่ภายใต้การกำกับดูแลในสิงคโปร์คืออะไร?

การพัฒนาซอฟต์แวร์ที่อยู่ภายใต้การกำกับดูแลปฏิบัติตามแนวปฏิบัติด้านวิศวกรรมแบบเดียวกับการพัฒนามาตรฐาน ทั้ง sprint การรีวิวโค้ด การทดสอบ การนำไปใช้งาน แต่เพิ่มสามชั้นที่หน่วยงานกำกับดูแลต้องการ ประการแรก การจัดทำเอกสาร: ทุกการตัดสินใจด้านกระบวนการที่สำคัญต้องถูกบันทึกและสามารถเรียกดูได้ ประการที่สอง ธรรมาภิบาล: การเข้าถึงระบบการผลิต การตัดสินใจในการนำไปใช้งาน และการจัดการข้อมูลต้องเป็นไปตามนโยบายที่บันทึกไว้ ไม่ใช่วิจารณญาณเฉพาะกิจ ประการที่สาม ร่องรอยการตรวจสอบ: เหตุการณ์การผลิตทั้งหมดต้องถูกบันทึกในระบบที่ป้องกันการปลอมแปลงซึ่งตรงตามมาตรฐานหลักฐานของบริการทางการเงิน คุณภาพด้านวิศวกรรมเหมือนกัน ความแตกต่างคือทุกอย่างต้องพิสูจน์ได้ต่อหน่วยงานกำกับดูแลเมื่อมีการร้องขอ ไม่ใช่แค่เข้าใจกันภายในทีมเท่านั้น

ทีมวิศวกรรมในต่างประเทศสามารถทำงานบนระบบฟินเทคที่อยู่ภายใต้การกำกับดูแลของ MAS ได้หรือไม่?

ได้ แต่ด้วยการควบคุมที่เฉพาะเจาะจง แนวทาง MAS อนุญาตให้ดำเนินงานด้านเทคโนโลยีจากภายนอกสิงคโปร์ได้ ตราบใดที่หน่วยงานที่อยู่ภายใต้การกำกับดูแลของ MAS ยังคงรักษาการกำกับดูแล และพันธมิตรใช้การควบคุมที่เหมาะสมกับความอ่อนไหวของข้อมูล สำหรับระบบการผลิตที่จัดการข้อมูลที่อยู่ภายใต้การกำกับดูแล โดยทั่วไปต้องการ: การควบคุมการพำนักของข้อมูลที่ป้องกันไม่ให้ข้อมูลทางการเงินของสิงคโปร์ออกจากตำแหน่งจัดเก็บที่กำหนด นโยบายการจัดการการเข้าถึงที่บันทึกไว้ครอบคลุมวิศวกรในทุกสถานที่ การเฝ้าติดตามและบันทึกการเข้าถึงที่มีสิทธิพิเศษทั้งหมดไม่ว่าจะอยู่ที่ใด และข้อกำหนดตามสัญญาที่ครอบคลุมการจัดการข้อมูล การแจ้งเตือนเหตุการณ์ และสิทธิ์ในการตรวจสอบ หน่วยงานที่อยู่ภายใต้การกำกับดูแลยังคงรับผิดชอบในการทำให้แน่ใจว่าการควบคุมเหล่านี้มีอยู่และทำงานได้ การสุ่มตรวจสอบและการทบทวนตามระยะเวลาเป็นส่วนหนึ่งของแนวปฏิบัติการปฏิบัติตามกฎระเบียบมาตรฐาน

CISO ของฟินเทคในสิงคโปร์ควรถามคำถามอะไรบ้างก่อนเริ่มร่วมงานกับพันธมิตรด้านวิศวกรรมรายใหม่?

หกคำถามที่สำคัญที่สุดคือ: คุณสามารถจัดเตรียมเอกสารนโยบาย SDLC ของคุณและแสดงให้เห็นว่ามันเชื่อมโยงกับแนวทาง MAS TRM อย่างไรได้หรือไม่? คุณดำเนินการและบันทึกการทดสอบเจาะระบบอย่างไร และคุณสามารถแบ่งปันผลลัพธ์ตัวอย่างจากโครงการที่เทียบเคียงได้หรือไม่? กระบวนการของคุณในการจัดการและบันทึกการเข้าถึงระบบการผลิตสำหรับวิศวกรที่ทำงานบนระบบของลูกค้าคืออะไร? กรอบเวลาการแจ้งเตือนเหตุการณ์ของคุณคืออะไร และใครคือผู้ติดต่อที่กำหนดไว้สำหรับเหตุการณ์ด้านความปลอดภัย? คุณสามารถให้ข้อมูลอ้างอิงจากหน่วยงานอื่นที่อยู่ภายใต้การกำกับดูแลของ MAS ซึ่งคุณได้สร้างระบบการผลิตให้ได้หรือไม่? และวิศวกรของคุณตั้งอยู่ที่ไหน และคุณบังคับใช้การปฏิบัติตามข้อกำหนดการพำนักของข้อมูลสำหรับข้อมูลทางการเงินของสิงคโปร์อย่างไร? คำถามเหล่านี้ควรได้รับคำตอบด้วยเอกสาร ไม่ใช่คำรับรองด้วยวาจา ก่อนที่จะมีการลงนามในสัญญาใดๆ