ASEAN 사이버 규제 비교: BOT vs MAS vs BNM vs BSP

동남아로 확장하는 핀테크는 각자 우선순위와 시한과 정의를 가진 규제기관의 퍼즐을 마주합니다. 싱가포르 금융관리국(MAS)을 통과한 게 필리핀중앙은행(BSP) 감독 아래 빈틈일 수 있습니다. 말레이시아 국립은행(BNM)용으로 설계된 통제 환경이 큰 재작업 없이는 태국중앙은행(BOT) 검사관을 만족 못 할 수 있습니다.

학문적 이야기가 아닙니다. 한 조직이 감사 도중 자신의 로그 보존 기간이 A 규제기관엔 맞지만 B에는 안 맞음을 발견하는 걸 봤습니다. MAS 기대를 충족하는 DPO 조직을 만들어놓고 BSP가 다른 자격을 요구함을 알게 되는 컴플라이언스 팀도 봤습니다. "아시아 규제는 서로 바꿔 쓸 수 있다"는 가정에서 나온 비싼 실수들입니다.

아닙니다.

네 Regulator 한눈에 #

	태국중앙은행(BOT)	싱가포르금융관리국(MAS)	말레이시아국립은행(BNM)	필리핀중앙은행(BSP)
주요 지침	IT 리스크 가이드라인 / 디지털 채널 보안	기술 리스크 관리 지침	기술 내 리스크 관리(RMiT)	IT 리스크 관리 프레임워크
적용 범위	BOT 감독 하 은행, PSP, 전자화폐 발행사, 핀테크	은행, 보험사, 자본시장 기관, 결제서비스	인가 은행, 이슬람 은행, 전자화폐 발행사	은행, 비은행 금융기관, 전자화폐 발행사, VASP
로그 보존	최소 1년(핫 데이터 90일)	거래기록 5년; 시스템 로그는 위험 평가에 따라	최소 1년, audit trail 권장 7년	보안 관련 모든 로그 최소 3년
침해 통보	중대 사건 24시간 내 BOT; 영향받은 개인 72시간(PDPA 기준)	심각 사건 1시간 내; 원인 보고서 14일	1시간 내 BNM 이메일; 7일 내 서면 보고	2시간 내 BSP; 상세 보고 14일
침투 테스트	연 1회 또는 중요 변경 후	연 1회; TRM 지침이 범위 정의	연 1회; 인터넷 노출 및 핵심 내부 시스템 포함	연 1회; 중요 변경 후 추가

요건이 충돌하는 곳 #

로그 보존: 삼 년 함정 #

가장 흔한 다관할 놀람이 로그 보존입니다. BOT의 1년 요건에 맞춘 로깅 인프라는 3년 보안 로그를 기대하는 BSP 심사에서 탈락합니다. 비용 차이는 선형이 아닙니다. 검색 가능한 3년치 로그 저장은 1년 저장 후 삭제와는 다른 아키텍처가 필요합니다.

마찬가지로 BSP 3년 기준으로 세운 조직은 싱가포르에 과잉일 수 있습니다. MAS Notice 826이 거래기록 5년에 집중하는 반면 시스템 로그는 고정 기간이 아니라 위험 기반 접근을 따르니까요.

실무 조언: 운영하는 모든 관할권 중 가장 긴 보존 기준으로 logging pipeline을 설계하세요. 여러 regulator를 동시에 만족시키는 게 나중 개조보다 쌉니다.

Data Protection Officer: 있는가가 아니라 누구인가 #

말레이시아 PDPA는 DPO가 말레이시아 국민이나 영주권자여야 한다고 명시합니다 (2010년 개인정보보호법 제12조). 태국 PDPA엔 명문 요건이 없지만 실무상 BOT 검사는 태국어로 진행되고 현지 규제 지식을 보여주는 답변을 기대합니다. 법이 국적을 강제하지 않아도 태국어 사용자에 대한 간접 선호가 생깁니다.

싱가포르는 원칙 기반입니다: MAS TRM 지침이 기술 리스크의 이사회급 책임을 요구하지만 DPO 자격은 정하지 않습니다. 필리핀의 BSP Circular 1105는 CISO나 동등 직위를 요구하지만 국적은 미정입니다.

지역 조직에게 의미하는 바:

싱가포르 소속 그룹 DPO가 말레이시아 요건을 못 충족할 수 있음
태국 국적 DPO가 MAS 보고에 필요한 영어 역량이 부족할 수 있음
필리핀은 지역 위임 권한을 가진 임명자를 받아들일 수 있음

실무 조언: 지역 컴플라이언스 팀 구조 짜기 전에 DPO 요건을 매핑하세요. 경우에 따라 지역 장에게 보고하는 현지 대표 임명이 중앙 감독과 현지 규제 기대를 동시에 만족합니다.

침해 통보: 속도 차이가 생각보다 큽니다 #

통보 창은 한 시간(MAS, 중대 사건)부터 일흔두 시간(태국 PDPA, 영향받은 개인)까지입니다. 작은 차이가 아니습니다. BOT 24시간 창에 맞춘 대응 프로세스는 업무 시간 외 중대 사건 시 MAS 1시간 데드라인을 놓칩니다.

시나리오	BOT	MAS	BNM	BSP
격리된 테스트 서버에서 ransomware 발견	중대하면 통보 대상	격리 무관 1시간 내	1시간 내	2시간 내
설정 잘못된 스토리지로 고객 데이터 노출	예 + PDPA 개인 통지	예 + PDPA 개인 통지	예 + PDPA 개인 통지	예 + NPC 통지
제3자 vendor breach가 우리 데이터에 영향	우리가 BOT에 통보	우리가 MAS에 통보	우리가 BNM에 통보	우리가 BSP에 통보

위 표가 왜 사고대응 계획이 일률이 아니라 관할 인식형이어야 하는지 보여줍니다. 같은 ransomware도 어느 entity가 발견하고 어느 regulator가 해당 시스템을 감독하느냐에 따라 다른 시계가 돕니다.

정렬 가능한 곳 #

차이에도 큰 겹침이 있습니다. 네 regulator 모두 기대합니다:

문서화된 거버넌스 구조로 증명되는 기술 리스크의 이사회급 책임
인터넷 노출 및 핵심 내부 시스템의 정기 penetration testing
severity 기반 수정 기한을 둔 vulnerability management
least privilege와 직무 분리를 실현하는 access control 프레임워크
문서화·시험·갱신된 사고대응 계획
민감 데이터나 시스템 접근 vendor를 포괄하는 제3자 리스크 관리

잘 설계된 통제 환경은 여러 regulator를 동시에 만족할 수 있습니다. 핵심은 적용되는 가장 엄격한 요건으로 통제를 설계하고 각 regulator의 구체 기대 충족 방식을 문서화하는 것.

예컨대 critical 취약점을 72시간 내 패치하는 프로그램은 모든 regulator 기대를 넘섭니다. 이 타임라인을 한 번 문서화하면 BOT, MAS, BNM, BSP 전부 수정 없이 충족됩니다.

핵심 원문 #

집행 격차 #

규제 기대와 집행 강도는 별개입니다. 이 격차 이해가 compliance 투자 우선순위를 돕습니다.

MAS는 지역에서 기술적으로 가장 정교한 regulator로 널리 평가받습니다. 검사는 정책 존재가 아니라 구현 깊이를 파고듭니다. 기술 리스크 실패로 벌금과 사업 제한을 포함한 공개 집행 기록이 있으며, 2023년 OCBC에 380만 SGD 벌금도 부실한 자금세탁 방지 통제 때문이었습니다.

BOT는 디지털뱅킹 지침 발표 후 집행을 크게 강화했습니다. 검사에 기술 시험이 들어갑니다. 다만 MAS보다 구현 가이드가 많아 해석 모호성이 줄어듭니다.

BNM은 RMiT의 규정형 요건에 뒷받침된 강한 집행을 유지합니다. 규정형이라 해석이 덜 필요하지만 대안 접근의 유연성도 덜합니다.

BSP는 감독 능력을 적극 강화 중입니다. 최근 움직임은 집행 강도가 MAS 수준으로 갈 것임을 시사하며, 오늘의 gap이 미래 검사 finding이 됩니다.

실무 권고 #

가장 엄격한 요건으로 설계하세요. 필리핀에서 운영한다면 3년 로그 보존. 나머지는 자동 충족.
통제-규정 매핑을 문서화하세요. 어떤 통제가 어떤 요건을 충족하는지 matrix를 유지하세요. 다관할 감사에서 값진 자원입니다.
호혜성을 가정하지 마세요. Regulator들은 서로 인증을 받아들이지 않습니다. MAS 검사 통과가 BOT 검사를 면제하지 않습니다.
사고대응 플레이북을 현지화하세요. 관할별 통보 템플릿, 연락처, 에스컬레이션 경로를 유지하세요. 위기 중 통보 기한을 검색하고 있으면 안 됩니다.
새 regulator와 조기 접촉하세요. 새 시장 진입 시 배포 후가 아니라 배포 전 대화 시작. 공개 가이드가 못 담은 기대가 드러납니다.

여러 ASEAN 관할권에서 운영 중이신가요? 통제를 각 regulator 기대에 매핑하는 일로 부담 없는 대화를 나눠요. LINE(@PureSecurity) 또는 이메일(hello@puresecurity.com).

저희 규제 준수 서비스가 기존 통제를 각 regulator 요건과 대조하고, gap과 overlap을 파악하며, 다관할 검사가 요구하는 문서 증거를 만들어냅니다.