新加坡企业风险评估实践-Alex zhang.pdf

1、安世加安世加安世加安世加安世加安世加个人简介姓名：张恺(Alex)背景：来自中国上海，在新加坡工作17年，MBA毕业工作经历：先后在跨国银行，电商以及初创金融科技公司担任不同管理岗位，涉及：1.银行亚太区信息科技风险监管合规风控负责人2.公司业务持续性管理负责人3.企业智能负责人4.数据安全办公安全负责人5.六西格玛精益管理项目负责人现担任本地一家金融科技公司的科技风险合规一号位，确保通过客户对公司的风险调差评估，以及战略投资者的投资风险评估安世加安世加安世加安世加安世加安世加监管合规企业内部管理制度三方风控客户需求200+问卷覆盖所有信息技术风险合同内IT和安全相关条款尽职调查规章制度相应控

2、制点建设及合规监控事故应急处置灾备预案设计及演练企业TECH GRC（我们需要做的）三方认证SOC2,ISO27001外审第三独立认证（证明我们确实做了）客户的尽职调查内容各家有所不同，但所处行业的相关监管要求是公开信息且高度相关，可提前预判合规也有成本，有效优先级安排以及针对性流程控制设计落地是关键SOC2,ISO27001都需要持续审计，要做好IT 风险和合规治理常态化信息安全合规价值链1.通过监管/客户的尽职调查2.尽快从速安世加安世加安世加安世加安世加安世加明确客户/监管需求（CISO 视角）明确受不受直接监管 和法务和合规部门确认 确定合规需求中涉及IT 和安全的条款 如不直接受监管

3、要求约束，参考上页内部需求补漏 确认差距和遗漏 制定补漏计划和措施外审需求准备 尽早准备外审沟通了解审计流程 明确合理的审计日程以及覆盖范围常见的硬核需求1.客户数据保护/隐私合规2.系统/安全事故应急处置3.灾备预案定期演练4.漏洞扫描和修复5.定期管理层风险评估安世加安世加安世加安世加安世加安世加常见尽职调查问卷覆盖话题1.如果不确定潜在尽职调查问卷内容，可以预先准备并参考新加坡金融监管局发布的MAS TRM GUIDELINE，覆盖面全，具备实操性，且不会明显低于大多数其他国家地区的科技安全风险管理要求2.可以参考同行或者头部科技企业的经验，借鉴利用 Cloud Compliance-R

4、egulations&Certifications|Google Cloud3.和法务确认合同中所有IT 和安全相关条款，做好准备以免违约安世加安世加安世加安世加安世加安世加SOC2和ISO27001 从零开始经验分享从控制点作为抓手切入 和自身系统运行环境契合 和自身组织架构配合 和自身数据处理范畴吻合寻找合适的外审 明确外审品牌需求 审计方式（持续性/一次性）合规制度建设 长期化可持续性设计 文档维护和定期内部审核1.合规有成本，应寻找效益和成本的平衡点2.SOC2和ISO27001不是一锤子买卖，每年都有审计需求，做好内部有针对性的合规监控是核心3.避免控制点设计过于理论化，课本化，导致落地困难4.对于外审的有效沟通以及反向管理安世加安世加安世加安世加安世加安世加关关注注我我们们安 世 加 专 注 于 网 络 安 全 行 业，通 过 互 联 网 平 台、线 上 线 下 沙龙、峰 会、人 才 招 聘 等 多 种 形 式，致 力 于 创 建 亚 太 地 区 最 好的 甲 乙 双 方 交 流 学 习 的 平 台，培 养 安 全 人 才，提 升 行 业 的 整体 素 质，助 推 安 全 生 态 圈 的 健 康 发 展。安世加安世加安世加安世加安世加安世加