Modul 14Penggal 4 · Operasi production

Pematuhan, Tadbir Urus dan Audit

Log masuk untuk menyimpan kemajuan anda merentas peranti. Sehingga itu, ia disimpan dalam pelayar ini.

Modul ini menerangkan rangka kerja untuk jurutera. Ia bukan nasihat undang-undang; sahkan kewajipan anda dengan peguam yang berkelayakan untuk bidang kuasa dan sektor anda.

Mengapa ini penting

"Enterprise grade" akhirnya bermaksud anda boleh membuktikannya. Bahagian perolehan enterprise menghantar soal selidik keselamatan; pengawal selia meminta rekod; due diligence pelabur bertanya tentang pengendalian data. Semua yang anda bina dalam M01 hingga M13 menjadi bukti di sini.

Hasil pembelajaran

  1. Bina audit trail yang menjawab siapa buat apa, bila, dari mana, dan bagi pihak siapa.
  2. Gunakan prinsip perlindungan data (PDPA Singapura sebagai rujukan; perbandingan dengan GDPR).
  3. Fahami struktur SOC 2 dan ISO/IEC 27001 serta cara mengumpul bukti secara berterusan.
  4. Ketahui peraturan sektor yang terpakai kepada fintech di Singapura (MAS Technology Risk Management Guidelines, jangkaan penyumberan luar).
  5. Tadbir sistem AI menggunakan IMDA Model AI Governance Framework for Agentic AI, dan ketahui di mana EU AI Act mungkin terpakai.
  6. Jawab soal selidik keselamatan vendor dengan bukti.

Pelajaran

14.1 Audit trail

  • Log append-only bagi event yang relevan kepada keselamatan dan perniagaan: log masuk, perubahan kebenaran, eksport data, tindakan admin, pergerakan wang, panggilan alat ejen dan kelulusan.
  • Medan: pelaku (identiti manusia atau ejen), bagi pihak, tindakan, sasaran, sebelum/selepas, timestamp (server), IP/peranti, request ID, hasil.
  • Tamper-evident (storage write-once, hash chaining, atau akaun berasingan), dengan peraturan tempoh simpanan.
  • Diasingkan daripada log debug; akses kepada audit log itu sendiri turut diaudit.

14.2 Perlindungan data: PDPA (Singapura) sebagai rujukan

Kewajipan utama yang dilaksanakan oleh jurutera:

  • Persetujuan dan tujuan: kumpul hanya untuk tujuan yang dinyatakan; rekodkan persetujuan.
  • Akses dan pembetulan: pengguna boleh meminta data mereka dan membetulkannya. Bina laluan eksport dan suntingan.
  • Perlindungan: pengaturan keselamatan yang munasabah (semua dalam M05).
  • Had tempoh simpanan: padam atau anonimkan apabila tidak lagi diperlukan. Bina job tempoh simpanan.
  • Had pemindahan: perlindungan setara apabila data keluar dari Singapura (semak di mana rantau cloud dan penyedia AI anda memproses data).
  • Pemberitahuan pelanggaran data: nilai pelanggaran yang disyaki dengan segera; maklumkan PDPC dalam tempoh 3 hari kalendar selepas menentukan bahawa pelanggaran itu wajib dilaporkan, dan individu yang terjejas jika diwajibkan.
  • NRIC dan nombor pengenalan kebangsaan: pengumpulan terhad; mask dalam UI dan log.
  • Akauntabiliti: lantik Data Protection Officer, dokumenkan polisi. GDPR menambah peraturan asas sah yang lebih ketat, pemberitahuan kepada pengawal selia dalam 72 jam, hak subjek data termasuk pemadaman dan kebolehpindahan, serta DPIA untuk pemprosesan berisiko tinggi.

Corak kejuruteraan: inventori/peta data, klasifikasi (awam, dalaman, sulit, terhad), penyulitan peringkat medan untuk data terhad, redaksi PII dalam log dan dalam prompt yang dihantar kepada penyedia LLM, pemadaman yang disebarkan ke backup mengikut jadual, DPA dengan setiap sub-pemproses (termasuk vendor AI, dengan terma latihan/tempoh simpanan disemak).

14.3 Rangka kerja keselamatan: SOC 2 dan ISO/IEC 27001

  • SOC 2 (AICPA): laporan juruaudit tentang kawalan berbanding Trust Services Criteria (Security, serta pilihan Availability, Processing Integrity, Confidentiality, Privacy). Type I = reka bentuk pada satu titik masa; Type II = keberkesanan operasi sepanjang satu tempoh (selalunya 3 hingga 12 bulan).
  • ISO/IEC 27001:2022: sistem pengurusan keselamatan maklumat yang boleh diperakui dengan kawalan Annex A (93 dalam versi 2022).
  • Apa yang dicari juruaudit dipetakan terus kepada kursus ini: semakan akses, MFA, pengurusan perubahan melalui PR dan CI, pengurusan kerentanan, logging dan pemantauan, tindak balas insiden, backup dan ujian pemulihan, pengurusan vendor, latihan keselamatan, polisi.
  • Gunakan automasi pematuhan (Vanta, Drata, Secureframe, atau alternatif sumber terbuka) untuk mengumpul bukti secara berterusan daripada GitHub, cloud dan penyedia identiti.

14.4 Fintech di Singapura: jangkaan MAS

Bagi entiti yang dikawal selia MAS dan penyedia teknologi mereka, MAS Technology Risk Management (TRM) Guidelines menetapkan jangkaan tentang tadbir urus risiko teknologi, pembangunan perisian yang selamat, ketahanan IT, kawalan akses, kriptografi, pengawasan siber dan pengurusan insiden, serta risiko penyumberan luar dan cloud. Garis masa pemberitahuan untuk insiden yang berkaitan adalah singkat; ketahuinya sebelum anda memerlukannya. Jika anda membina untuk institusi berlesen, jangkakan penilaian vendor mereka akan menguji berbanding TRM.

14.5 Tadbir urus AI

  • IMDA Model AI Governance Framework for Agentic AI (dilancarkan Jan 2026, dikemas kini Mei 2026): hadkan risiko dari awal; jadikan manusia benar-benar bertanggungjawab dengan checkpoint kelulusan; kawalan teknikal sepanjang kitar hayat; ketelusan dan latihan untuk pengguna akhir. Bukti M06 anda dipetakan di sini.
  • AI Verify dan kit permulaan ujian LLM IMDA untuk amalan pengujian.
  • EU AI Act: kewajipan mengikut peringkat risiko, terpakai kepada penyedia dan pengguna sistem yang melayani pasaran EU; penskoran kredit dan sesetengah kegunaan pekerjaan dianggap berisiko tinggi. Semak garis masa semasa, kerana tarikh pelaksanaan berperingkat pernah berubah.
  • ISO/IEC 42001 (sistem pengurusan AI) dan NIST AI RMF ialah rangka kerja rujukan enterprise untuk tadbir urus AI.
  • Selenggara daftar model/AI: setiap ciri AI, tujuannya, model dan vendor, data yang digunakan, kelas risiko, kawalan, pemilik, hasil eval.

14.6 Pakej kepercayaan

Apa yang diserahkan oleh penjual B2B yang serius kepada pembeli: halaman gambaran keselamatan, rajah seni bina dan aliran data, senarai sub-pemproses, DPA, ringkasan pen-test, laporan SOC 2 atau sijil ISO (atau peta jalan ke arahnya), ringkasan tindak balas insiden dan BCP, kenyataan penggunaan dan tadbir urus AI, soal selidik standard yang lengkap (SIG Lite atau CAIQ).

Makmal 14: Lulus soal selidik

  1. Bina peta data untuk aplikasi anda: setiap medan data peribadi, tujuan, lokasi, tempoh simpanan, siapa boleh mengakses, sub-pemproses mana yang menerimanya.
  2. Laksanakan audit log untuk tindakan admin dan panggilan alat ejen.
  3. Laksanakan eksport dan pemadaman data pengguna.
  4. Lengkapkan soal selidik keselamatan vendor 100 soalan untuk aplikasi anda, dengan pautan bukti bagi setiap "ya."
  5. Tulis kenyataan tadbir urus AI satu halaman yang dipetakan kepada IMDA MGF.

Definition of Done

Pek prompt AI

  • "Imbas schema dan kod; hasilkan peta data bagi setiap medan data peribadi, ke mana ia mengalir, dan pihak ketiga mana yang menerimanya."
  • "Draf jawapan kepada soal selidik keselamatan ini menggunakan hanya bukti yang ada dalam repo dan konfigurasi; tandakan apa-apa yang tidak disokong sebagai jurang."