信息來源：安全內(nèi)參

4月11日，新加坡網(wǎng)絡(luò)安全局 (CSA) 宣布根據(jù)網(wǎng)絡(luò)安全法 (CS Act) 第5部分啟動網(wǎng)絡(luò)安全服務(wù)提供商的許可框架。許可框架已于2022年4月11日生效。CS法案第5部分和CS法案第二附表將在同一天生效。據(jù)此，在該國提供兩類網(wǎng)絡(luò)安全服務(wù)的供應(yīng)商必須申請許可證才能繼續(xù)提供此類服務(wù)。如果他們不希望面臨入獄或罰款的可能性，他們最多有六個月的寬限時間。即提供滲透測試和托管安全運營中心 (SOC) 監(jiān)控服務(wù)的公司需要獲得許可證才能在新加坡提供這些服務(wù)。新加坡網(wǎng)絡(luò)安全局 (CSA) 稱，其中包括直接從事此類服務(wù)的公司和個人、支持這些公司的第三方供應(yīng)商以及可許可網(wǎng)絡(luò)安全服務(wù)的經(jīng)銷商。

目前從事其中一種或兩種服務(wù)類別的現(xiàn)有供應(yīng)商必須在2022年10月11日之前申請許可證。未能按時取得許可證者將不得不停止提供服務(wù)，直到獲得許可證為止。

許可證制度的背景

該框架旨在更好地維護(hù)消費者利益，解決消費者與網(wǎng)絡(luò)安全服務(wù)提供商之間的信息不對稱問題。同時，監(jiān)管制度也有望提高服務(wù)提供商的標(biāo)準(zhǔn)和地位。首先，CSA將許可兩類網(wǎng)絡(luò)安全服務(wù)提供商，即提供滲透測試和托管安全運營中心監(jiān)控服務(wù)的提供商。這兩項服務(wù)被優(yōu)先考慮是因為執(zhí)行此類服務(wù)的服務(wù)提供商可以大量訪問其客戶的計算機系統(tǒng)和敏感信息。如果訪問被濫用，客戶的操作可能會中斷。此外，這些服務(wù)已經(jīng)在市場上廣泛使用和采用，因此有可能對整體網(wǎng)絡(luò)安全格局產(chǎn)生重大影響。

CSA通過2021年9月20日至10月18日為期4周的咨詢過程，就擬議的許可條件和附屬立法草案征求行業(yè)反饋。共收到來自本地和外國行業(yè)參與者、行業(yè)協(xié)會、以及公眾成員。在最終確定許可框架時考慮并考慮了反饋。

在六個月內(nèi)提交許可申請的服務(wù)提供商將被允許繼續(xù)提供可許可服務(wù)，直到對申請做出決定為止。

任何在2022年10月11日之后未經(jīng)許可提供許可服務(wù)的人，將面臨不超過 50,000新加坡元（36,673美元）的罰款或最高兩年的監(jiān)禁，或兩者兼施。

個人必須支付500新元才能獲得執(zhí)照，而企業(yè)則必須支付1,000新元。每個許可證有效期為兩年。 CSA表示，對于在2023 年4月11日之前的第一年內(nèi)提交的申請，將一次性免收50%的費用。

已經(jīng)成立了網(wǎng)絡(luò)安全服務(wù)監(jiān)管辦公室 (CSRO)，以管理許可框架并促進(jìn)行業(yè)與更廣泛的公眾之間就所有與許可相關(guān)的問題進(jìn)行溝通。其職責(zé)包括執(zhí)行和管理許可流程，以及與公眾共享可許可網(wǎng)絡(luò)安全服務(wù)的資源，例如提供被許可人名單。

在評論未來可能獲得許可的其他網(wǎng)絡(luò)安全服務(wù)時，CSA表示，它將“繼續(xù)監(jiān)控國際和行業(yè)趨勢”，并在必要時讓該行業(yè)參與評估是否應(yīng)包括新的服務(wù)類別。

CSA 表示，它已收到了來自本地和國際市場參與者以及行業(yè)協(xié)會和公眾的29份回復(fù)。

漏洞賞金計劃是否受影響？

ZDNet詢問參與漏洞賞金的全球社區(qū)的個人是否需要在新加坡獲得許可證。CSA 發(fā)言人表示，這些白帽黑客或道德黑客旨在發(fā)現(xiàn)系統(tǒng)漏洞，這些漏洞是漏洞賞金計劃的一部分。然后將這些情況報告給組織進(jìn)行補救。 發(fā)言人說，組織漏洞賞金計劃的企業(yè)和參與此類計劃的個人白帽黑客被排除在許可框架之外，除非他們還從事提供滲透測試或托管SOC服務(wù)的業(yè)務(wù)。

CSA告訴ZDNet：“漏洞賞金計劃補充了傳統(tǒng)的漏洞評估和滲透測試方法，使參與該計劃的參與者能夠針對全球和當(dāng)?shù)氐难芯咳藛T和白帽社區(qū)對其防御進(jìn)行基準(zhǔn)測試。”

申請者需要提供的信息

其中一項反饋涉及應(yīng)要求提供的信息，以促進(jìn)監(jiān)管機構(gòu)對諸如被許可人的違規(guī)行為或與被許可人的持續(xù)資格相關(guān)的事項進(jìn)行調(diào)查。有人建議收緊提議的許可條件的語言，因此請求不會過于籠統(tǒng)，并且對可能請求的信息類型更加清晰。

CSA表示，它已經(jīng)修改了許可條件的語言，以減少被許可人的不確定性，并且對此類信息的請求將僅限于調(diào)查所需的信息。

當(dāng)被要求提供許可證申請人的信息示例時，CSA發(fā)言人告訴ZDNet，其中包括申請人的資格和經(jīng)驗。

此外，還需要提供“相關(guān)”信息以供發(fā)牌官員考慮申請人是否“合適和適當(dāng)”，例如申請人是否在新加坡或其他地方被定罪涉及欺詐、不誠實或道德敗壞的罪行，發(fā)言人解釋道。

關(guān)于是否會詢問申請人的國籍或與目前受到相關(guān)制裁的國家的業(yè)務(wù)聯(lián)系，CSA發(fā)言人表示，作為許可證申請流程的一部分，申請人將被要求提供其國籍。不過，同樣的要求將適用于所有服務(wù)提供商，只要他們在滲透測試或托管 SOC監(jiān)控服務(wù)中向新加坡客戶提供許可服務(wù)。

發(fā)言人說：“可能還需要許可官員評估申請人是否合適和適當(dāng)所需的其他信息?！?

參考資源

1、https://www.csa.gov.sg/News/Press-Releases/csa-kicks-off-licensing-framework-for-cybersecurity-service-providers

2、https://www.zdnet.com/article/singapore-begins-licensing-cybersecurity-vendors/