技术风险与网络卫生

阅读PDF版 (3 页)

DPT持牌机构的反洗钱/打击恐怖主义融资控制措施依托技术运行，而新加坡金融管理局通过两份公告和一套指引对这些技术进行监管，这些规定在实践中与反洗钱计划密不可分。

MAS关于技术风险管理的公告PSN05对支付服务提供商施加了具有法律约束力的要求。机构必须建立识别关键系统的框架。每个关键系统在任何连续十二个月内的计划外停机时间不得超过四小时，且恢复时间目标须为四小时。机构须在发现相关事件后一小时内通知MAS，并在十四天内提交根本原因报告。¹ MAS关于网络卫生的公告PSN06规定了六项基线措施：保护管理员账户、及时安装安全补丁、制定书面安全标准、实施网络边界防御、部署恶意软件防护，以及对管理员访问和客户信息访问采用多因素身份验证。² 2021年1月的《技术风险管理指引》则为其他一切事项设定了虽无法律约束力、但会受到检查的标准，涵盖治理、软件开发、第三方管理、事件响应、访问控制、密钥管理和渗透测试。³

对于DPT机构，《技术风险管理指引》中的密钥管理部分尤为重要，因为机构的私钥就是其客户的资产。MAS期望机构有书面记录的密钥生成仪式，并使用硬件安全模块或同等设备。MAS还期望机构实行职责分离，使任何单独一人都无法转移客户资金；对大部分资产采用冷存储安排；并具备经过测试的恢复程序。这些同时也是第K部分第II章所述的托管要求，MAS将其作为同一主题进行检查。黑客攻击也是一个反洗钱事件。被盗代币经由机构的钱包流出。机构必须能够追踪这些代币，根据PSN03和CDSA第45条进行报告，并与警方及其他交易所合作予以冻结。一份只涵盖技术恢复、而不涵盖监管报告和链上追踪的事件响应计划是不完整的。第Q部分第II章载有一份遭受黑客攻击后最初七十二小时的核对清单。

注释

1. MAS Notice PSN05, Technology Risk Management，根据Payment Services Act 2019发布，关于关键系统识别、最长4小时计划外停机、1小时内通报事件以及14天内提交根本原因报告的各段。 ↩
2. MAS Notice PSN06, Cyber Hygiene，根据Payment Services Act 2019发布，第4–9段，关于六项网络卫生要求。 ↩
3. MAS, Technology Risk Management Guidelines，2021年1月18日，尤其是第10节（密钥管理）和第12节（访问控制）。 ↩

本文仅供一般参考，不构成法律或税务意见，不能替代针对个案的专业咨询，亦不建立律师与客户关系。本文反映截至以下时间的法律状况：十月 2026.