Einhaltung der PDPA in Singapur
Singapore's PDPA requires organisations to make reasonable security arrangements for personal data. Learn how ImmuniWeb helps you meet the Section 24 Protection Obligation.
Einhaltung der PDPA in Singapur und Cybersicherheit
Was ist Singapurs PDPA?
Das PDPA regelt die Erhebung, Nutzung und Weitergabe personenbezogener Daten durch Organisationen. Es legt eine Reihe von Datenschutzpflichten fest – darunter Einwilligung, Zweckbindung, Benachrichtigung, Auskunft und Berichtigung – und verpflichtet Organisationen, einen Data Protection Officer zu ernennen.
Er gilt für Organisationen, die personenbezogene Daten in Singapur verarbeiten, einschließlich solcher mit Sitz im Ausland. Die PDPC setzt das Gesetz aktiv durch und veröffentlicht ihre Durchsetzungsentscheidungen.
Erfahren Sie, wie ImmuniWeb Ihnen hilft, die Schutzpflicht gemäß Section 24 des PDPA zu erfüllen – angemessene Sicherheitsvorkehrungen für die Apps, die personenbezogene Daten enthalten. Request a demo· or run a free Community Edition test.
Who Must Comply with PDPA?
Die PDPA gilt für:
- Organisations(including foreign organisations) that collect, use or disclose personal data in Singapore.
- Datenvermittler, die personenbezogene Daten im Auftrag einer anderen Organisation verarbeiten.
- Jeder Sektor und jede Größe: Die Schutzpflicht gilt unabhängig von der Branche.
Jede Organisation, die Web- und mobile Anwendungen betreibt, die personenbezogene Daten enthalten, muss angemessene Sicherheitsvorkehrungen treffen und diese testen.
Key PDPA Requirements for Application Security
Die Anwendungssicherheit fällt unter die Schutzpflicht:
- Abschnitt 24 – Schutzpflicht: Treffen Sie angemessene Sicherheitsvorkehrungen, um personenbezogene Daten, die sich in Ihrem Besitz oder unter Ihrer Kontrolle befinden, vor unbefugtem Zugriff, unbefugter Erhebung, Nutzung, Offenlegung, Vervielfältigung, Änderung, Vernichtung oder ähnlichen Risiken zu schützen.
- Meldepflicht bei Datenschutzverletzungen: Benachrichtigung der PDPC (und gegebenenfalls betroffener Personen) über meldepflichtige Datenschutzverletzungen.
- Accountability: put in place policies and practices, including a Data Protection Officer, to meet the obligations.
PDPA Security Requirements in Depth
Section 24 - Protection Obligation
Abschnitt 24 verlangt „angemessene Sicherheitsvorkehrungen“ zum Schutz personenbezogener Daten. Für internetzugängliche Systeme bedeutet dies, die Web- und Mobilanwendungen sowie APIs, die personenbezogene Daten speichern, zu sichern und regelmäßig zu testen sowie die gefundenen Schwachstellen zu beheben – sowohl vor als auch nach wesentlichen Änderungen.
Benachrichtigung bei Datenschutzverletzungen
Seit 2021 müssen Organisationen meldepflichtige Vorfälle bewerten und der PDPC melden, in der Regel innerhalb festgelegter Fristen. Die Verringerung der Eintrittswahrscheinlichkeit von Vorfällen durch regelmäßige Anwendungstests ist der effektivste Weg, um diese Meldepflicht zu vermeiden.
Gängige Risiken in Web- und mobilen Anwendungen, die zu beheben sind
Datenschutzverletzungen beginnen oft mit verwundbaren Web- und mobilen Anwendungen. Die Risiken, die Sie gemäß Abschnitt 24 adressieren müssen, entsprechen weitgehend den OWASP Top 10:
- Zugriffsfehlsteuerung — Nutzer erreichen Daten oder Aktionen, auf die sie keinen Zugriff haben sollten.
- Kryptografische Ausfälle – schwache oder fehlende Verschlüsselung, die sensible Daten exponiert.
- Injektion — SQL-, Befehls- oder sonstige Injektionen durch nicht validierte Eingaben.
- Insecure Design — — fehlende Security Controls durch Design, nicht nur durch Bugs.
- Security Misconfiguration — Standard-, unvollständige oder unsichere Konfiguration.
- Vulnerable & Outdated Components — nicht gepatchte Bibliotheken und Frameworks.
- Identification & Authentication Failures — schwache Login-, Session- oder Credential-Handhabung.
- Software- und Datenintegritätsfehler — unvertrauenswürdige Updates, unsichere CI/CD-Pipelines.
- Mängel in der Sicherheitsprotokollierung und -überwachung — Angriffe, die unentdeckt bleiben.
- Server-Side Request Forgery (SSRF) – Der Server wird dazu verleitet, bösartige Anfragen zu stellen.
Für mobile Apps ist die OWASP Mobile Top 10 die entsprechende Referenz (unsichere Datenspeicherung, unsichere Kommunikation, schwache Kryptografie usw.). Das zuverlässige Finden dieser Probleme erfordert das Testen der laufenden Anwendung, nicht nur eine Dokumentenüberprüfung.
How to Approach PDPA Application Security with ImmuniWeb
- Kartieren Sie Ihre Angriffsfläche.Erfassen Sie mit ImmuniWeb Discovery internetzugängliche Apps und Assets.
- Testen Sie Webanwendungen mit On-Demand (Penetrationstests) und Neuron (Scanning).
- Testen Sie mobile Anwendungen mit MobileSuite und Neuron Mobile.
- Remediate and retest with actionable reports evidencing 'reasonable security arrangements'.
- Testen Sie kontinuierlich mit Continuous in CI/CD und periodischen Wiederholungstests.
- Überwachen Sie Datenlecks mit der Dark Web-Überwachung von Discovery für Breach Readiness.
So hilft Ihnen ImmuniWeb bei der Einhaltung der PDPA-Vorschriften
ImmuniWeb hilft Organisationen dabei, die in Abschnitt 24 geforderten „angemessenen Sicherheitsvorkehrungen“ umzusetzen und nachzuweisen.
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| Abschnitt 24 | Angemessene Sicherheitsvorkehrungen zum Schutz personenbezogener Daten. | On-Demand, Neuron, Discovery, Continuous |
| Apps & Daten | Sichere Web-/Mobile-Apps mit personenbezogenen Daten. | On-Demand, Neuron, MobileSuite, Neuron Mobile |
| Bereitschaft auf Datenschutzverletzungen | Erkennen Sie Expositionen und Datenlecks, um meldepflichtige Datenschutzverletzungen zu reduzieren. | Discovery (ASM / Dark Web) |
ImmuniWeb On-Demand und MobileSuite bieten Web- und mobile Penetrationstests; Neuron und Neuron Mobile stellen automatisierte Scans bereit; Continuous integriert Tests in CI/CD; und Discovery kartiert Ihre Angriffsfläche und überwacht das Dark Web auf durchgesickerte personenbezogene Daten.
PDPA gegenüber internationalen Frameworks
Wenn Sie bereits nach internationalen Standards arbeiten, decken dieselben ImmuniWeb-Tests alle diese Standards ab:
| Framework | Aspekt der Anwendungssicherheit | Wie ImmuniWeb abbildet |
|---|---|---|
| Singapur PDPA | § 24 Schutzpflicht | Web-/Mobile-Penetrationstests, Scans, ASM, Dark Web-Monitoring |
| Hong Kong PDPO | DPP4 – Sicherheit personenbezogener Daten | Dieselben Tests decken beide ab |
| EU-DSGVO | Artikel 32 Sicherheit der Verarbeitung | Dieselben Tests decken beide ab |
| ISO/IEC 27001 | Anhang A technische Kontrollen | Tests als Kontrollnachweis |
Penetrationstests vs. Security Scanning
Beides ist erforderlich. Automatisiertes Scannen (DAST) bietet eine breite, häufige Abdeckung und ist ideal für kontinuierliche Tests im CI/CD-Pipeline; manuelle Penetrationstests finden Geschäftslogik- und komplexe Schwachstellen, die Scanner übersehen, und liefern die Tiefe, die Prüfer und Regulierungsbehörden erwarten. Kombinieren Sie kontinuierliches Scannen mit regelmäßigen manuellen Penetrationstests und führen Sie nach wesentlichen Änderungen erneut Tests durch.
Compliance-Checkliste (Anwendungssicherheit)
- Inventarisierung der Internet-exponierten Apps und exponierten Assets
- Webanwendungen, die nach OWASP Top 10 getestet wurden
- Mobile Anwendungen, die gegen die OWASP Mobile Top 10 getestet wurden
- Angemessene Sicherheitsvorkehrungen umgesetzt und überprüft (Abschnitt 24)
- Datenvermittler unterliegen gleichwertigen Sicherheitsstandards
- Mängel behoben und erneut getestet; Aufzeichnungen aufbewahrt.
- Breach-notification process and exposure monitoring in place
Why PDPA Compliance Matters
Since the 2021 amendments, the PDPC can impose financial penalties of up to S$1 million or 10% of an organisation's annual turnover in Singapore, whichever is higher, alongside mandatory breach notification. The PDPC publishes its decisions, so enforcement is visible.
Da Web- und mobile Anwendungen ein führender Angriffsvektor sind, ist ihre nachweisliche Absicherung und Prüfung einer der klarsten Wege, um Section 24 zu erfüllen und eine Marke in einem wichtigen regionalen Zentrum zu schützen.