MAS 技术风险管理指引（TRM）要求什么？它是 MAS 于 2021 年 1 月 18 日发布的技术风险管理实务指引，覆盖董事会监督、第三方服务、系统测试、灾难恢复、访问控制和密钥管理等方面。指引本身不具法律约束力，但对提供数字支付代币服务的持牌机构，MAS 另有具约束力的通告设定系统可用性和事件报告等硬性要求。
TRM 指引适用于哪些机构？
TRM 指引适用于各类受 MAS 监管的金融机构，包括大型支付机构和标准支付机构。指引第 2.2 段说明，机构落实指引的程度应与其金融服务的风险和复杂程度相匹配，而机构是否遵循指引精神是 MAS 的考量因素之一。
具有约束力的是两份通告。《技术风险管理通告》（FSM-N13）自 2024 年 11 月 6 日起适用于提供数字支付代币服务的支付服务牌照持有人：每个关键系统在任何 12 个月内的非计划停机时间合计不得超过 4 小时，恢复时间目标不超过 4 小时；发现相关事件后须尽快、最迟 1 小时内通知 MAS，并在 14 天内提交根本原因和影响分析报告。《网络卫生通告》（FSM-N14）则适用于所有支付服务牌照持有人，覆盖管理员账户、安全补丁、网络边界防护、恶意软件防护和多重身份验证。
TRM 对治理和第三方风险有什么要求？
指引第 3 节要求董事会和高管确保内部控制和风险管理有效落实，并建立技术风险管理策略。对第三方服务，指引指出并非所有第三方服务都构成外包，但机构仍要评估和管理第三方处 IT 系统和数据的保密性、完整性和可用性风险。构成外包的部分，则要同时按 MAS 外包指引处理。
访问控制方面，指引第 9 节要求应用“绝不单独操作”、“职责分离”和“最小权限”原则，特权访问只在必要时授予。MAS 对数字支付代币服务商的消费者保护指引（PS-G03）也引用了这三项原则，并要求限制任何个人单独授权和执行客户资产的转移或提取，这与转账审批流程的设计思路一致。
TRM 对密钥管理有什么要求？
指引第 10 节要求建立覆盖密钥生成、分发、安装、更新、吊销、恢复和到期的密钥管理政策、标准和程序。具体包括：密钥应存放在经过加固、防篡改的系统中，例如硬件安全模块；每把密钥只用于单一用途；密钥泄露时要吊销并更换它以及所有可能受影响的密钥；销毁密钥时要确保无法恢复；同时要保留密钥备份以便恢复，并给予高度保护。
对客户资产的保管，PS-G03 还要求数字支付代币服务商把至少 90% 客户资产的相关凭证始终存放在不联网的系统中，并鼓励考虑更高的比例。冷热钱包如何分配，可以结合企业如何分配热钱包和冷钱包的资金。
TRM 对系统测试和灾备有什么要求？
指引第 5.7 节要求测试前制定并批准测试计划，测试范围覆盖业务逻辑、系统功能、安全控制和系统性能；单元测试、系统集成测试和用户验收测试要在相互隔离的环境中进行，变更后要做回归测试。第 13.2.4 段还要求对系统至少每年一次或在重大变更时进行渗透测试。
灾备方面，第 8.3.1 段要求定期测试灾难恢复计划以验证其有效性，而 FSM-N13 对关键系统 4 小时的恢复时间目标是硬性要求。对钱包系统来说，这意味着要演练服务中断、密钥或密钥分片丢失时如何恢复，企业如何制定加密资产安全事件响应计划介绍了响应流程的设计。
结语
MAS TRM 指引提供技术风险管理的整体框架，FSM-N13 和 FSM-N14 则为支付服务牌照持有人设定了具约束力的可用性、事件报告和网络卫生要求。对数字支付代币服务商来说，密钥管理、职责分离、冷存储比例和灾备演练是重点，新加坡 DPT 牌照介绍了牌照本身的要求。