Einhaltung der PDPA in Singapur
Die PDPA in Singapur verpflichtet Organisationen, angemessene Sicherheitsvorkehrungen für personenbezogene Daten zu treffen. Erfahren Sie, wie ImmuniWeb Ihnen dabei hilft, die Schutzpflicht gemäß § 24 zu erfüllen.
Einhaltung der PDPA in Singapur und Cybersicherheit
Was ist Singapurs PDPA?
Das PDPA regelt die Erhebung, Nutzung und Weitergabe personenbezogener Daten durch Organisationen. Es legt eine Reihe von Datenschutzpflichten fest – darunter Einwilligung, Zweckbindung, Benachrichtigung, Auskunft und Berichtigung – und verpflichtet Organisationen, einen Data Protection Officer zu ernennen.
Er gilt für Organisationen, die personenbezogene Daten in Singapur verarbeiten, einschließlich solcher mit Sitz im Ausland. Die PDPC setzt das Gesetz aktiv durch und veröffentlicht ihre Durchsetzungsentscheidungen.
Erfahren Sie, wie ImmuniWeb Ihnen hilft, die Schutzpflicht gemäß Section 24 des PDPA zu erfüllen – angemessene Sicherheitsvorkehrungen für die Apps, die personenbezogene Daten enthalten. Request a demo· or run a free Community Edition test.
Wer muss die PDPA einhalten?
Die PDPA gilt für:
- Organisationen (einschließlich ausländischer Organisationen), die in Singapur personenbezogene Daten erheben, nutzen oder offenlegen.
- Datenvermittler, die personenbezogene Daten im Auftrag einer anderen Organisation verarbeiten.
- Jeder Sektor und jede Größe: Die Schutzpflicht gilt unabhängig von der Branche.
Jede Organisation, die Web- und mobile Anwendungen betreibt, die personenbezogene Daten enthalten, muss angemessene Sicherheitsvorkehrungen treffen und diese testen.
Wichtige PDPA-Anforderungen an die Anwendungssicherheit
Die Anwendungssicherheit fällt unter die Schutzpflicht:
- Abschnitt 24 – Schutzpflicht: Treffen Sie angemessene Sicherheitsvorkehrungen, um personenbezogene Daten, die sich in Ihrem Besitz oder unter Ihrer Kontrolle befinden, vor unbefugtem Zugriff, unbefugter Erhebung, Nutzung, Offenlegung, Vervielfältigung, Änderung, Vernichtung oder ähnlichen Risiken zu schützen.
- Meldepflicht bei Datenschutzverletzungen: Benachrichtigung der PDPC (und gegebenenfalls betroffener Personen) über meldepflichtige Datenschutzverletzungen.
- Rechenschaftspflicht: Einführung von Richtlinien und Verfahren, einschließlich eines Data Protection Officer, zur Erfüllung der Verpflichtungen.
PDPA-Sicherheitsanforderungen im Detail
Abschnitt 24 – Schutzpflicht
Abschnitt 24 verlangt „angemessene Sicherheitsvorkehrungen“ zum Schutz personenbezogener Daten. Für internetzugängliche Systeme bedeutet dies, die Web- und Mobilanwendungen sowie APIs, die personenbezogene Daten speichern, zu sichern und regelmäßig zu testen sowie die gefundenen Schwachstellen zu beheben – sowohl vor als auch nach wesentlichen Änderungen.
Benachrichtigung bei Datenschutzverletzungen
Seit 2021 müssen Organisationen meldepflichtige Vorfälle bewerten und der PDPC melden, in der Regel innerhalb festgelegter Fristen. Die Verringerung der Eintrittswahrscheinlichkeit von Vorfällen durch regelmäßige Anwendungstests ist der effektivste Weg, um diese Meldepflicht zu vermeiden.
Gängige Risiken in Web- und mobilen Anwendungen, die zu beheben sind
Datenschutzverletzungen beginnen oft mit verwundbaren Web- und mobilen Anwendungen. Die Risiken, die Sie gemäß Abschnitt 24 adressieren müssen, entsprechen weitgehend den OWASP Top 10:
- Zugriffsfehlsteuerung — Nutzer erreichen Daten oder Aktionen, auf die sie keinen Zugriff haben sollten.
- Kryptografische Ausfälle – schwache oder fehlende Verschlüsselung, die sensible Daten exponiert.
- Injektion — SQL-, Befehls- oder sonstige Injektionen durch nicht validierte Eingaben.
- Insecure Design — — fehlende Security Controls durch Design, nicht nur durch Bugs.
- Security Misconfiguration — Standard-, unvollständige oder unsichere Konfiguration.
- Vulnerable & Outdated Components — nicht gepatchte Bibliotheken und Frameworks.
- Identification & Authentication Failures — schwache Login-, Session- oder Credential-Handhabung.
- Software- und Datenintegritätsfehler — unvertrauenswürdige Updates, unsichere CI/CD-Pipelines.
- Mängel in der Sicherheitsprotokollierung und -überwachung — Angriffe, die unentdeckt bleiben.
- Server-Side Request Forgery (SSRF) – Der Server wird dazu verleitet, bösartige Anfragen zu stellen.
Für mobile Apps ist die OWASP Mobile Top 10 die entsprechende Referenz (unsichere Datenspeicherung, unsichere Kommunikation, schwache Kryptografie usw.). Das zuverlässige Finden dieser Probleme erfordert das Testen der laufenden Anwendung, nicht nur eine Dokumentenüberprüfung.
Wie Sie Anwendungssicherheit gemäß PDPA mit ImmuniWeb angehen
- Kartieren Sie Ihre Angriffsfläche.Erfassen Sie mit ImmuniWeb Discovery internetzugängliche Apps und Assets.
- Testen Sie Webanwendungen mit On-Demand (Penetrationstests) und Neuron (Scanning).
- Testen Sie mobile Anwendungen mit MobileSuite und Neuron Mobile.
- Behoben und erneut testen mit handlungsorientierten Berichten, die 'reasonable security arrangements' belegen.
- Testen Sie kontinuierlich mit Continuous in CI/CD und periodischen Wiederholungstests.
- Überwachen Sie Datenlecks mit der Dark Web-Überwachung von Discovery für Breach Readiness.
So hilft Ihnen ImmuniWeb bei der Einhaltung der PDPA-Vorschriften
ImmuniWeb hilft Organisationen dabei, die in Abschnitt 24 geforderten „angemessenen Sicherheitsvorkehrungen“ umzusetzen und nachzuweisen.
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| Abschnitt 24 | Angemessene Sicherheitsvorkehrungen zum Schutz personenbezogener Daten. | On-Demand, Neuron, Discovery, Continuous |
| Apps & Daten | Sichere Web-/Mobile-Apps mit personenbezogenen Daten. | On-Demand, Neuron, MobileSuite, Neuron Mobile |
| Bereitschaft auf Datenschutzverletzungen | Erkennen Sie Expositionen und Datenlecks, um meldepflichtige Datenschutzverletzungen zu reduzieren. | Discovery (ASM / Dark Web) |
ImmuniWeb On-Demand und MobileSuite bieten Web- und mobile Penetrationstests; Neuron und Neuron Mobile stellen automatisierte Scans bereit; Continuous integriert Tests in CI/CD; und Discovery kartiert Ihre Angriffsfläche und überwacht das Dark Web auf durchgesickerte personenbezogene Daten.
PDPA gegenüber internationalen Frameworks
Wenn Sie bereits nach internationalen Standards arbeiten, decken dieselben ImmuniWeb-Tests alle diese Standards ab:
| Framework | Aspekt der Anwendungssicherheit | Wie ImmuniWeb abbildet |
|---|---|---|
| Singapur PDPA | § 24 Schutzpflicht | Web-/Mobile-Penetrationstests, Scans, ASM, Dark Web-Monitoring |
| Hong Kong PDPO | DPP4 – Sicherheit personenbezogener Daten | Dieselben Tests decken beide ab |
| EU-DSGVO | Artikel 32 Sicherheit der Verarbeitung | Dieselben Tests decken beide ab |
| ISO/IEC 27001 | Anhang A technische Kontrollen | Tests als Kontrollnachweis |
Penetrationstests vs. Security Scanning
Beides ist erforderlich. Automatisiertes Scannen (DAST) bietet eine breite, häufige Abdeckung und ist ideal für kontinuierliche Tests im CI/CD-Pipeline; manuelle Penetrationstests finden Geschäftslogik- und komplexe Schwachstellen, die Scanner übersehen, und liefern die Tiefe, die Prüfer und Regulierungsbehörden erwarten. Kombinieren Sie kontinuierliches Scannen mit regelmäßigen manuellen Penetrationstests und führen Sie nach wesentlichen Änderungen erneut Tests durch.
Compliance-Checkliste (Anwendungssicherheit)
- Inventarisierung der Internet-exponierten Apps und exponierten Assets
- Webanwendungen, die nach OWASP Top 10 getestet wurden
- Mobile Anwendungen, die gegen die OWASP Mobile Top 10 getestet wurden
- Angemessene Sicherheitsvorkehrungen umgesetzt und überprüft (Abschnitt 24)
- Datenvermittler unterliegen gleichwertigen Sicherheitsstandards
- Mängel behoben und erneut getestet; Aufzeichnungen aufbewahrt.
- Breach-notification process and exposure monitoring in place
Warum PDPA-Compliance wichtig ist
Seit den Änderungen von 2021 kann die PDPC Geldstrafen von bis zu 1 Million S$ oder 10 % des jährlichen Umsatzes einer Organisation in Singapur verhängen, je nachdem, welcher Betrag höher ist, zusätzlich zur Pflicht zur Meldung von Datenschutzverletzungen. Die PDPC veröffentlicht ihre Entscheidungen, wodurch die Durchsetzung transparent ist.
Da Web- und mobile Anwendungen ein führender Angriffsvektor sind, ist ihre nachweisliche Absicherung und Prüfung einer der klarsten Wege, um Section 24 zu erfüllen und eine Marke in einem wichtigen regionalen Zentrum zu schützen.