Phát Triển Phần Mềm Tuân Thủ MAS: Các Công Ty Fintech Tại Singapore Cần Gì Từ Đối Tác Kỹ Thuật Của Họ

Phát triển phần mềm tuân thủ MAS tại Singapore đòi hỏi một đối tác kỹ thuật có các kiểm soát bảo mật được ghi chép, quy trình bàn giao sẵn sàng cho kiểm toán, các khung quản lý rủi ro phù hợp với hướng dẫn Quản Lý Rủi Ro Công Nghệ (TRM) của MAS, và khả năng cung cấp bằng chứng cho việc xem xét theo quy định khi được yêu cầu. Các công ty fintech hoạt động dưới giấy phép MAS phải đảm bảo các nhà cung cấp công nghệ của họ đáp ứng các yêu cầu này trước khi hợp tác cho các hệ thống sản xuất.

Tuân Thủ MAS Đòi Hỏi Gì Từ Một Đối Tác Phát Triển Phần Mềm?

Hướng dẫn Quản Lý Rủi Ro Công Nghệ (TRM) của Cơ Quan Tiền Tệ Singapore (MAS) đặt ra những kỳ vọng rõ ràng về cách các tổ chức tài chính quản lý rủi ro công nghệ. Các hướng dẫn này áp dụng không chỉ cho các đội ngũ IT nội bộ, mà còn cho các nhà cung cấp bên thứ ba và đối tác phát triển xây dựng và vận hành hệ thống thay mặt cho các thực thể được MAS quản lý.

Đối với các công ty fintech tại Singapore, điều này có nghĩa là việc lựa chọn một đối tác phát triển phần mềm là một quyết định tuân thủ, không chỉ là một quyết định kỹ thuật. Đối tác sai sẽ tạo ra rủi ro về quy định. Đối tác đúng sẽ giảm thiểu rủi ro đó.

Các Yêu Cầu MAS TRM Chính Ảnh Hưởng Đến Việc Lựa Chọn Đối Tác Kỹ Thuật

Hướng dẫn MAS TRM được công bố vào năm 2021 và cập nhật trong các thông báo sau đó đặt ra các yêu cầu trên ba lĩnh vực liên quan trực tiếp đến các mối quan hệ đối tác phát triển phần mềm:

Quản lý rủi ro bên thứ ba. Các thực thể được MAS quản lý phải thực hiện thẩm định đối với các nhà cung cấp công nghệ, bao gồm đánh giá các kiểm soát bảo mật, thực hành xử lý dữ liệu, và các thỏa thuận về tính liên tục kinh doanh của họ. Việc thẩm định này phải được ghi chép và có thể xem xét được.
Kiểm soát vòng đời phát triển hệ thống. Phần mềm được phát triển cho các hệ thống được quản lý phải tuân theo một vòng đời phát triển an toàn, bao gồm các yêu cầu về code review, kiểm thử lỗ hổng, và quản lý thay đổi. Các đối tác phải cung cấp bằng chứng về các thực hành này.
Quản lý sự cố và thông báo. Các đối tác vận hành hoặc hỗ trợ các hệ thống sản xuất phải có các quy trình ứng phó sự cố được ghi chép và mốc thời gian thông báo phù hợp với các yêu cầu báo cáo của MAS.

Một đối tác phát triển không thể cung cấp tài liệu trên cả ba lĩnh vực này không phù hợp cho các dự án fintech được MAS quản lý, bất kể năng lực kỹ thuật của họ.

Phát Triển Phần Mềm Được Quản Lý Tại Singapore Trông Như Thế Nào Trong Thực Tế

Phát triển phần mềm được quản lý không phải là một phương pháp luận khác biệt. Đó là thực hành kỹ thuật tiêu chuẩn với tài liệu, dấu vết kiểm toán, và cơ cấu quản trị mà các cơ quan quản lý cần để xác minh rằng nó đang được áp dụng nhất quán.

Trong thực tế, một đối tác phát triển tuân thủ MAS nên cung cấp:

Một chính sách vòng đời phát triển phần mềm (SDLC) ánh xạ với các yêu cầu MAS TRM
Các quy trình code review được ghi chép với hồ sơ về các quyết định review
Kết quả kiểm thử xâm nhập và đánh giá lỗ hổng, được thực hiện bởi các bên kiểm thử đủ điều kiện
Nhật ký quản lý thay đổi bao gồm tất cả các lần triển khai vào sản xuất
Các chính sách phân loại dữ liệu bao gồm cách dữ liệu sản xuất và dữ liệu kiểm thử được xử lý
Các kế hoạch liên tục kinh doanh và khôi phục sau thảm họa với các mục tiêu thời gian khôi phục đã được kiểm thử

Mỗi tài liệu này nên có sẵn để xem xét trước khi hợp tác, không phải được tạo ra để đáp ứng một yêu cầu quy định.

Kỹ Thuật Fintech Tại Singapore Khác Với Phát Triển Phần Mềm Tiêu Chuẩn Như Thế Nào

Kỹ thuật fintech tại Singapore hoạt động dưới các ràng buộc mà phát triển phần mềm tiêu chuẩn không có. Những khác biệt chính ảnh hưởng đến cách cấu trúc đội ngũ, cách code được review, cách dữ liệu được xử lý, và cách hệ thống được giám sát.

Những khác biệt quan trọng nhất đối với các đội ngũ kỹ thuật:

Cư trú dữ liệu. Các hướng dẫn MAS và các quy định liên quan hạn chế nơi mà một số loại dữ liệu tài chính và cá nhân có thể được lưu trữ và xử lý. Các đội ngũ kỹ thuật phải thiết kế hệ thống với các kiểm soát cư trú dữ liệu được tích hợp sẵn, không phải trang bị thêm sau này.
Tiêu chuẩn kiểm soát truy cập. Các hệ thống sản xuất phải triển khai quyền truy cập tối thiểu cần thiết, với tất cả quyền truy cập đặc quyền được ghi log và có thể xem xét được. Điều này áp dụng cho các kỹ sư của đối tác cũng như nhân viên nội bộ.
Yêu cầu về dấu vết kiểm toán. Các hệ thống tài chính phải duy trì dấu vết kiểm toán đầy đủ, chống giả mạo cho tất cả các giao dịch và sự kiện hệ thống. Các đối tác phải xây dựng và kiểm thử khả năng này, không phải giả định nó đã có sẵn.
Tiêu chuẩn mật mã học. Các hướng dẫn MAS quy định các tiêu chuẩn mật mã học tối thiểu cho dữ liệu đang truyền và đang lưu trữ. Các đối tác phải chứng minh sự tuân thủ các tiêu chuẩn này trong thiết kế hệ thống của họ.

Cần Hỏi Gì Đối Tác Kỹ Thuật Fintech Tại Singapore Trước Khi Hợp Tác Với Họ

Việc thẩm định một đối tác phát triển cho công việc được MAS quản lý nên tạo ra câu trả lời cho các câu hỏi sau trước khi bất kỳ hợp đồng nào được ký:

Bạn có thể cung cấp tài liệu chính sách SDLC của mình và cho thấy nó ánh xạ với hướng dẫn MAS TRM như thế nào không?
Bạn xử lý kiểm thử xâm nhập như thế nào, và bạn có thể chia sẻ các báo cáo mẫu từ các hợp đồng tương đương không?
Quy trình của bạn để quản lý quyền truy cập sản xuất cho các kỹ sư làm việc trên hệ thống của khách hàng là gì?
Bạn xử lý một sự cố bảo mật ảnh hưởng đến hệ thống của khách hàng như thế nào, và các mốc thời gian thông báo của bạn là gì?
Bạn có thể cung cấp tham chiếu từ các thực thể khác được MAS quản lý mà bạn đã phát triển hệ thống sản xuất cho họ không?
Các kỹ sư của bạn đặt ở đâu, và bạn đảm bảo tuân thủ cư trú dữ liệu cho khách hàng tại Singapore như thế nào?

Một đối tác không thể trả lời cụ thể các câu hỏi này, có kèm tài liệu, không sẵn sàng cho công việc được MAS quản lý.

Fintech Theo Quy Định MAS: Điều Gì Thay Đổi Khi Bạn Mở Rộng Quy Mô

Khi các công ty fintech tại Singapore mở rộng từ MVP sang thực thể được cấp phép, các yêu cầu tuân thủ đối với đối tác kỹ thuật của họ mở rộng theo. Một đối tác phát triển phù hợp cho một nguyên mẫu trước khi cấp phép có thể không phù hợp cho một hệ thống sản xuất hoạt động dưới giấy phép Đạo Luật Dịch Vụ Thanh Toán hay giấy phép Dịch Vụ Thị Trường Vốn.

Các điểm bước ngoặt chính là việc phê duyệt cấp phép, ra mắt sản phẩm cho khách hàng bên ngoài, và bất kỳ thay đổi hệ thống đáng kể nào cần thông báo cho MAS. Tại mỗi điểm này, CISO hoặc Trưởng Bộ Phận Công Nghệ của công ty fintech nên xem xét tư thế tuân thủ của đối tác so với các yêu cầu MAS hiện hành.

Các đối tác chưa hoạt động trong môi trường được quản lý thường cần từ 3 đến 6 tháng công việc về quy trình và tài liệu trước khi họ sẵn sàng cho kiểm toán. Việc đưa điều này vào như một giả định ngay từ giai đoạn hợp tác giúp ngăn chặn sự chậm trễ vào thời điểm tồi tệ nhất có thể.

Câu Hỏi Thường Gặp: Phát Triển Phần Mềm Tuân Thủ MAS Tại Singapore

Tuân thủ MAS đòi hỏi gì từ một đối tác phát triển phần mềm tại Singapore?

Tuân thủ MAS đòi hỏi một đối tác phát triển phần mềm duy trì các kiểm soát bảo mật được ghi chép phù hợp với hướng dẫn Quản Lý Rủi Ro Công Nghệ của MAS, vận hành một vòng đời phát triển phần mềm an toàn với bằng chứng về code review và kiểm thử lỗ hổng, quản lý rủi ro bên thứ ba thông qua các chính sách được ghi chép bao gồm xử lý dữ liệu và kiểm soát truy cập, và cung cấp hồ sơ sẵn sàng cho kiểm toán về các thay đổi sản xuất và ứng phó sự cố. Các đối tác cũng phải chứng minh các kiểm soát cư trú dữ liệu cho dữ liệu tài chính tại Singapore và có các quy trình thông báo sự cố được ghi chép với mốc thời gian phù hợp với yêu cầu báo cáo của MAS. Những yêu cầu này áp dụng cho các đối tác xây dựng hoặc vận hành hệ thống sản xuất thay mặt cho các thực thể được MAS quản lý, không chỉ các đội ngũ công nghệ nội bộ.

MAS TRM là gì và nó ảnh hưởng đến việc phát triển phần mềm fintech tại Singapore như thế nào?

MAS TRM đề cập đến hướng dẫn Quản Lý Rủi Ro Công Nghệ do Cơ Quan Tiền Tệ Singapore công bố. Các hướng dẫn này đặt ra các tiêu chuẩn quản lý rủi ro mà các tổ chức tài chính được MAS quản lý phải đáp ứng đối với các hệ thống công nghệ, bao gồm các hệ thống được phát triển và vận hành bởi các đối tác bên thứ ba. Đối với việc phát triển phần mềm fintech, hướng dẫn MAS TRM yêu cầu các kiểm soát vòng đời phát triển an toàn, thẩm định nhà cung cấp bên thứ ba, quản lý thay đổi được ghi chép, kiểm thử xâm nhập, và lập kế hoạch liên tục kinh doanh. Một công ty fintech hợp tác với một đối tác phát triển không phù hợp với hướng dẫn MAS TRM đang tạo ra rủi ro về quy định có thể làm chậm việc phê duyệt cấp phép hoặc kích hoạt hành động giám sát sau khi ra mắt.

Làm thế nào để thực hiện thẩm định đối với một đối tác phát triển phần mềm cho công việc fintech được MAS quản lý?

Việc thẩm định một đối tác phát triển cho công việc được MAS quản lý nên bao gồm sáu lĩnh vực: tài liệu SDLC cho thấy sự phù hợp với hướng dẫn MAS TRM, hồ sơ kiểm thử xâm nhập từ các hợp đồng tương đương, các quy trình quản lý quyền truy cập sản xuất bao gồm cách quyền truy cập đặc quyền được ghi log và xem xét, các quy trình ứng phó sự cố với mốc thời gian thông báo, tham chiếu từ các thực thể khác được MAS quản lý mà họ đã phát triển hệ thống sản xuất cho, và các kiểm soát cư trú dữ liệu liên quan đến dữ liệu tài chính tại Singapore. Tất cả tài liệu nên có sẵn trước khi hợp tác. Các đối tác chỉ có thể tạo ra tài liệu để đáp ứng một yêu cầu quy định không sẵn sàng cho các dự án được MAS quản lý.

Sự khác biệt giữa phát triển phần mềm tiêu chuẩn và phát triển phần mềm được quản lý tại Singapore là gì?

Phát triển phần mềm được quản lý tuân theo cùng các thực hành kỹ thuật như phát triển tiêu chuẩn, sprint, code review, kiểm thử, triển khai, nhưng bổ sung ba lớp mà các cơ quan quản lý yêu cầu. Thứ nhất, tài liệu hóa: mọi quyết định quy trình quan trọng phải được ghi lại và có thể truy xuất được. Thứ hai, quản trị: quyền truy cập vào các hệ thống sản xuất, các quyết định triển khai, và xử lý dữ liệu phải tuân theo các chính sách được ghi chép, không phải phán đoán tùy tiện. Thứ ba, dấu vết kiểm toán: tất cả các sự kiện sản xuất phải được ghi log trong các hệ thống chống giả mạo đáp ứng các tiêu chuẩn chứng cứ của dịch vụ tài chính. Chất lượng kỹ thuật là như nhau. Sự khác biệt là mọi thứ phải có thể chứng minh được cho một cơ quan quản lý khi được yêu cầu, không chỉ được hiểu nội bộ bởi đội ngũ.

Một đội ngũ kỹ thuật ở nước ngoài có thể làm việc trên các hệ thống fintech được MAS quản lý không?

Có, nhưng với các kiểm soát cụ thể. Hướng dẫn MAS cho phép công việc công nghệ được thực hiện từ bên ngoài Singapore, miễn là thực thể được MAS quản lý duy trì sự giám sát và đối tác triển khai các kiểm soát phù hợp với độ nhạy cảm của dữ liệu. Đối với các hệ thống sản xuất xử lý dữ liệu được quản lý, điều này thường đòi hỏi: các kiểm soát cư trú dữ liệu ngăn dữ liệu tài chính Singapore rời khỏi các vị trí lưu trữ được chỉ định, các chính sách quản lý truy cập được ghi chép bao gồm các kỹ sư ở mọi địa điểm, giám sát và ghi log tất cả quyền truy cập đặc quyền bất kể địa điểm, và các điều khoản hợp đồng bao gồm xử lý dữ liệu, thông báo sự cố, và quyền kiểm toán. Thực thể được quản lý vẫn chịu trách nhiệm đảm bảo các kiểm soát này được thực hiện và hoạt động. Kiểm tra đột xuất và xem xét định kỳ là một phần của thực hành tuân thủ tiêu chuẩn.

CISO của một công ty fintech tại Singapore nên hỏi những câu hỏi gì trước khi bắt đầu hợp tác với một đối tác kỹ thuật mới?

Sáu câu hỏi quan trọng nhất là: Bạn có thể cung cấp tài liệu chính sách SDLC của mình và chứng minh nó ánh xạ với hướng dẫn MAS TRM như thế nào không? Bạn thực hiện và ghi chép kiểm thử xâm nhập như thế nào, và bạn có thể chia sẻ các kết quả mẫu từ các dự án tương đương không? Quy trình của bạn để quản lý và ghi log quyền truy cập sản xuất cho các kỹ sư làm việc trên hệ thống của khách hàng là gì? Mốc thời gian thông báo sự cố của bạn là gì và ai là đầu mối liên hệ được chỉ định cho một sự kiện bảo mật? Bạn có thể cung cấp tham chiếu từ các thực thể khác được MAS quản lý mà bạn đã xây dựng hệ thống sản xuất của họ không? Và các kỹ sư của bạn đặt ở đâu, và bạn thực thi việc tuân thủ cư trú dữ liệu cho dữ liệu tài chính Singapore như thế nào? Những câu hỏi này nên được trả lời bằng tài liệu, không phải bằng lời đảm bảo miệng, trước khi bất kỳ hợp đồng nào được ký.