ASEANサイバー規制の比較: BOT vs MAS vs BNM vs BSP
目次
東南アジアへ拡大するフィンテックは、各々が優先順位と時間枠と定義を持つ規制当局のパッチワークに向き合います。シンガポール通貨庁(MAS)を通ったものがフィリピン中央銀行(BSP)監督下で隙間を残すかもしれません。マレーシア国立銀行(BNM)向けに設計された統制環境が、大幅な手直しなしではタイ中央銀行(BOT)検査官を満たさないかもしれません。
学術話ではありません。ある組織が監査途中で自社のログ保持期間が一方のregulatorには足り他方には足りないと発見するのを見ました。MAS期待を満たすDPO機能を築いたコンプライアンスチームがBSPは別資格を要求すると知るのも見ました。"アジアの規制は互換だ"という仮定から生まれる高くつく誤りです。
違います。
四つのRegulator一望 #
| タイ中央銀行(BOT) | シンガポール金管局(MAS) | マレーシア国銀(BNM) | フィリピン中銀(BSP) | |
|---|---|---|---|---|
| 主要指令 | ITリスクガイドライン / デジタルチャネルセキュリティ | テクノロジーリスク管理ガイドライン | 技術内リスク管理(RMiT) | ITリスク管理枠組み |
| 適用範囲 | BOT監督下の銀行、PSP、電子マネー発行、フィンテック | 銀行、保険、資本市場機関、決済サービス | 認可銀行、イスラム銀行、電子マネー発行 | 銀行、非銀行金融機関、電子マネー発行、VASP |
| ログ保持 | 最低1年(ホット90日) | 取引記録5年; システムログはリスク評価次第 | 最低1年、監査跡推奨7年 | セキュリティ関連ログ全般最低3年 |
| 侵害通知 | BOTへ24時間内(重大事象); 影響個人72時間(PDPA) | 深刻事象1時間内; 原因報告14日 | 1時間内にBNMへemail; 7日内書面報告 | 2時間内BSP; 詳細報告14日 |
| 浸透試験 | 年一回、重大変更後も | 年一回; TRMガイドラインで範囲定義 | 年一回; インターネット向き・重要内部システム含む | 年一回; 重要変更後追加 |
要件が衝突する場所 #
ログ保持: 三年の罠 #
最もよくある跨管轄驚きはログ保持です。BOTの一年基準に合わせたロギング基盤を持つ組織は、三年のセキュリティログを期待するBSP審査に落ちます。費用差は線形ではありません。検索可能な三年分を保つのは一年保管後削除とは別の設計です。
逆にBSP三年基準で組んだ組織はシンガポールに過剰かもしれません。 MAS Notice 826が 取引記録五年に注目する一方システムログは固定期間でなくリスクベースに従うからです。
実務助言: 運営する全管轄で最長の保持期間に合わせてlogging pipelineを設計してください。複数regulatorを同時に満たす方が後からの改修より安い。
Data Protection Officer: 有無ではなく誰か #
マレイシアPDPAはDPOが国民か永住者であることを明示的に求めます (2010年個人情報保護法第12条)。 タイPDPAに明文はないものの、実務上BOT検査はタイ語で行われ現地規制知識を見せる回答を期待します。法が国籍を強制しなくてもタイ語話者への間接的選好が生じます。
シンガポールは原則型: MAS TRMガイドラインが 技術リスクの理事会級説明責任を求めるだけでDPO資格を規定しません。フィリピンの BSP Circular 1105は CISOか同等を要求しますが国籍は未指定です。
地域組織にとって:
- シンガポール所在グループDPOがマレーシア要件を満たさない可能性
- タイ国籍DPOがMAS報告に要る英語力を欠く可能性
- フィリピンは地域権限委譲付き任命を受け入れる可能性
実務助言: 地域コンプライアンスチーム構造前にDPO要件を地図化してください。場合により地域長に報告する現地代表任命が中央監視と現地規制期待の両方を満たします。
侵害通知: 速度差は想像以上 #
通知窓は一時間(MAS深刻事象)から七十二時間(タイPDPA、影響個人)まで。小さい差ではありません。BOT二十四時間窓に調整した対応プロセスは業務時間外の深刻事象でMASの一時間締切を逃します。
| シナリオ | BOT | MAS | BNM | BSP |
|---|---|---|---|---|
| 分離済みtest serverでransomware発覚 | 重大なら報告対象 | 分離無関係1時間内 | 1時間内 | 2時間内 |
| 設定誤りstorage経由で顧客データ露出 | はい + PDPA個人通知 | はい + PDPA個人通知 | はい + PDPA個人通知 | はい + NPC通知 |
| 第三者vendor breachが自社データに影響 | 自社責任でBOTへ | 自社責任でMASへ | 自社責任でBNMへ | 自社責任でBSPへ |
上表がなぜインシデント対応計画が画一でなく管轄認識型であるべきか示します。同一ransomwareでも発見主体と監督regulatorにより別の時計が回ります。
整列可能な場所 #
違いはあれど重なりは大きいです。四regulatorとも期待します:
- 文書化されたgovernance構造で証明される技術リスクの理事会級説明責任
- インターネット向き・重要内部システムの定期penetration testing
- severity基準の修正期を置いた脆弱性管理プログラム
- least privilegeと職務分離を実装したアクセス統制枠組み
- 文書化・試験・更新済みのインシデント応答計画
- 機微データやシステムへ触れるvendorを覆う第三者リスク管理
良く設計された統制環境なら複数regulatorを同時に満たせます。鍵は最も厳しい適用要件に対して統制を設計し、各regulator固有の期待充足方法を文書化すること。
例えばcritical脆弱性を72時間内にパッチする脆弱性管理プログラムはどのregulatorの期待も超えます。この時間枠を一度文書化すればBOT、MAS、BNM、BSP全部を無修正で満たします。
主要ソース文書 #
- タイ中央銀行ITリスクガイドライン
- BOTデジタルチャネルセキュリティ通知
- MAS テクノロジーリスク管理ガイドライン
- MAS サイバーハイジーン通知
- MAS Notice 826: 資金洗浄防止・テロ資金対処
- BNM RMiT
- BSP M-2020-022: ITリスク管理枠組み
- BSP Circular 1105: 強化企業統治ガイドライン
- タイPDPA
- シンガポールPDPA
- マレーシアPDPA
- フィリピンData Privacy Act
執行ギャップ #
規制期待と執行強度は別物です。この差理解がcompliance投資の優先付けに役立ちます。
MASは地域で技術的に最も洗練されたregulatorと広く見なされます。検査はポリシー存在でなく実装深さを探ります。技術リスク失敗での罰金・事業制限など公開執行歴があり、 不十分なAML統制による2023年OCBCへの380万SGD制裁もあります。
BOTはデジタルバンキング指針公布以降執行を大きく強めています。検査に技術試験が入り、書類確認だけではありません。ただMASより実装指導が多く解釈の曖昧さが減ります。
BNMはRMiTの規定的要件に裏打ちされた強い執行を維持します。規定的ゆえ解釈は少ないが代替方式の柔軟性も少ないです。
BSPは監督能力を積極的に強化中です。最近の動きは執行強度がMAS水準へ向かうことを示唆し、今日のコンプライアンスgapが未来の検査findingになります。
実務勧告 #
- 最厳格な要件で設計。 フィリピンで運営するなら3年ログ保持。他は自動的に満たします。
- 統制-規定マッピングを文書化。 どの統制がどの要件を満たすかmatrixを維持。多管轄auditで計り知れない価値です。
- 相互承認を想定しない。 Regulator同士の認証受諾はありません。MAS検査合格はBOT検査免除になりません。
- インシデント対応プレイブックを現地化。 管轄別通知テンプレート、連絡先、エスカレーション経路を維持。危機中に通知期限を調べている状態は避けるべきです。
- 新regulatorと早期接触。 新市場参入は配備後にではなく配備前に当局対話開始。公表ガイドラインが捉え搆ねる期待が浮かび上がります。
弊社の規制コンプライアンスサービスが 既存統制を各regulatorの具体要件と照合し、gapとoverlapを特定し、 多管轄検査が求める文書エビデンスを作成します。