对比东盟网络安全监管：BOT vs MAS vs BNM vs BSP

在东南亚扩张的金融科技公司面对的是一堆拼图式的监管机构，各有各的重点、时限和定义。能过新加坡金管局（MAS）这一关的控制环境，放到菲律宾央行（BSP）的监管下可能满是缺口。为马来西亚国家银行（BNM）设计的控制体系，不经过大改也未必能让泰国央行（BOT）的审查员满意。

这不是纸上谈兵。我们见过机构在审计中途才发现，自己的日志留存周期满足一家监管机构却满足不了另一家；也见过合规团队搭好了符合 MAS 预期的 DPO 职能，才得知 BSP 要求不同的任职资格。这些昂贵的错误，都源于假设"亚洲的法规"可以互相通用。

它们不能。

四大监管机构一览 #

	泰国央行（BOT）	新加坡金管局（MAS）	马来西亚国家银行（BNM）	菲律宾央行（BSP）
主要指令	IT 风险指引 / 数字渠道安全	科技风险管理指引	科技风险管理框架（RMiT）	IT 风险管理框架
适用范围	受 BOT 监管的银行、PSP、电子货币发行方、金融科技公司	银行、保险公司、资本市场机构、支付服务	持牌银行、伊斯兰银行、电子货币发行方	银行、非银金融机构、电子货币发行方、VASP
日志留存	至少 1 年（热数据 90 天）	交易记录 5 年；系统日志按风险评估确定	至少 1 年，审计轨迹建议 7 年	所有安全相关日志至少 3 年
泄露通报	重大事件 24 小时内报 BOT；受影响个人 72 小时内，依据PDPA	严重事件 1 小时内；14 天内提交根因报告	1 小时内 email 报 BNM；7 天内书面报告	2 小时内报 BSP；14 天内详细报告
渗透测试	每年一次，或重大变更后	每年一次；范围按 TRM 指引界定	每年一次；覆盖面向互联网及关键内部系统	每年一次；重大系统变更后追加

最常见的跨辖区意外就是日志留存。按 BOT 一年要求搭建日志基础设施的组织，会栽在期望三年安全日志的 BSP 审查上。成本差异不是线性的：可检索地存三年日志，需要的架构和"存一年然后删"完全不同。

反过来，围绕 BSP 三年标准建设的组织，在新加坡可能过度配置：MAS Notice 826 关注的是交易记录留五年，而系统日志走的是基于风险的方法，不是固定年限。

实操建议： 按你经营的所有辖区中最长的留存要求设计日志管道。一次性同时满足多个监管机构，比事后改造便宜。

马来西亚 PDPA 明确要求数据保护官是马来西亚公民或永久居民（2010 年个人数据保护法第 12 条）。泰国 PDPA 没有这条明文规定，但实践中 BOT 的检查以泰语进行，并期待体现本地监管知识的回答：即使法律不强制国籍，这也形成了对泰语人才的间接偏好。

新加坡走原则导向：MAS TRM 指引要董事会层面对技术风险负责，但不规定 DPO 的任职资格。菲律宾的 BSP Circular 1105 要求设首席信息安全官或同等角色，但未限定国籍。

对区域化组织来说，这意味着：

实操建议： 在搭建区域合规团队之前先映射各辖区的 DPO 要求。有些情况下，任命向区域负责人汇报的本地代表，可以同时满足集中管控和本地监管预期。

通报窗口从一小时（MAS 严重事件）到七十二小时不等（泰国 PDPA 对受影响个人）。这不是小差别：一套按 BOT 二十四小时窗口校准的响应流程，如果严重事件发生在下班时间，就会错过 MAS 的一小时死线。

上表说明了为什么事件响应预案必须分辖区，而不能一刀切。同一场勒索软件事件，触发的是哪口时钟，取决于哪个主体发现了它、哪家监管机构管辖受影响的系统。

尽管差异不少，重叠面同样很大。四家监管机构都期望：

一个设计良好的控制环境可以同时满足多家监管。关键在于按最严格的适用要求设计控制项，再逐一记录如何满足每家监管的具体预期。

例如，一个 72 小时内修复 critical 漏洞的漏洞管理项目，超出每家监管机构的预期。把这条时限记录一次，就同时满足了 BOT、MAS、BNM 和 BSP，无需任何修改。

监管预期是一回事，执法强度是另一回事。理解这个落差有助于排定合规投入的优先级。

MAS 公认是区域内技术上最老练的监管者。检查探的是落地深度，不只是政策存在与否。MAS 有过公开执法记录，包括针对技术风险失职的罚款和业务限制，例如 2023 年对 OCBC 处以 380 万新元罚款，理由是反洗钱控制不到位。

BOT 自数字银行指引发布以来明显加强了执法。现在的检查包含技术测试，不只是文件审阅。不过相比 MAS，它提供了更多落地指导，解释歧义更少。

BNM 凭借 RMiT 框架的规范性要求维持强势执法。规范性强意味着解读空间小，但选择替代方案的灵活性也小。

BSP 正在积极补强监督能力。近期动向显示其执法强度将向 MAS 看齐：今天的合规缺口，就是未来检查中的发现项。

正在跨多个东盟辖区运营？ 欢迎聊聊如何把你的控制映射到每家监管的预期上。通过 LINE（@PureSecurity）或电子邮件（hello@puresecurity.com）联系我们。

我们的合规咨询服务会把你的现有控制对照每家监管的具体要求，识别缺口与重叠，产出多辖区检查所要求的文档证据。