新加坡企业风险评估实践-2024企业信息安全实践.pdfVIP

信息安全合规价值链1.通过监管/客户的尽职调查

2.尽快从速

第三独立认证（证

尽职调查

•监管合规•规章制度明我们确实做了）

•企业内部管理制度•200+问卷覆盖所有信息技•相应控制点建设及合规•三方认证SOC2,ISO27001

•三方风控监控

术风险•外审

•合同内IT和安全相关条款•事故应急处置

•灾备预案设计及演练

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

企业TECHGRC

客户需求

（我们需要做的）

客户的尽职调查内容各家有所不同，但所处行业的相关监管要求是公开信息且高度相关，可提前预判

合规也有成本，有效优先级安排以及针对性流程控制设计落地是关键

SOC2,ISO27001都需要持续审计，要做好IT风险和合规治理常态化

明确客户/监管需求（CISO视角）

•和法务和合规部门确认常见的硬核需求

•确定合规需求中涉及IT和安全的条款

明确受不受1.客户数据保护/隐私合规

直接监管•如不直接受监管要求约束，参考上页2.系统/安全事故应急处置

3.灾备预案定期演练

4.漏洞扫描和修复

5.定期管理层风险评估

2024企业信息安全峰会大会以“直面信息安全挑战，创造最佳实践”为主题，聚焦企业信息安全技术与实践等热点话题，致力于推进企业信息安全体系建设，加强企业信息安全管理，助推企业信息安全生态圈的健康发展。

•确认差距和遗漏

内部需求补•制定补漏计划和措施

漏

•尽早准备外审沟通了解审计流程

•明确合理的审计日程以及覆盖范围

外审需求准

备

常见尽职调查问卷覆盖话题

1.如果不确定潜在尽职调查问卷内容，可以预先准备并参考新加坡金融监管局发布的MASTRMGUIDELINE，覆盖

面全，具备实操性，且不会明显低于大多数其他国家地区的科技安全风险管理要求

2.可以参考同行或者头部科技企业的经验，借鉴利用CloudCompliance-RegulationsCertifications|Google

Cloud

3.和法务确认合同中所有IT和