作者
Swati Manocha 首席信息安全官办公室区域负责人（亚太区）
Alicia Perez 安全风险与合规项目高级经理
信任是 Confluent 设计、运营和治理其产品的基础。Confluent 的信任原则塑造了从 Confluent Cloud 的工程构建方式到其监控和审计方式的一切。每一项原则都由具体的、经独立验证的控制措施支撑。这一承诺支撑着不断增长的全球认证和鉴证组合，包括 SOC 2 Type II、ISO 27001、ISO 27701 和 CSA STAR Level 2，为客户提供关于 Confluent 安全态势的持续、第三方验证的证据，可通过 Confluent Trust Center 按需获取。正是在这一背景下，Confluent 继续扩大其在特定区域和特定行业框架中的合规足迹，外包服务提供商审计报告（OSPAR）是最新加入的一项。
Confluent 信任之旅的新里程碑
Confluent Cloud 已成功获得 OSPAR 鉴证。这一里程碑扩展了 Confluent 现有的独立审计认证组合，并为新加坡的金融机构提供了一个经过验证的、专为外包技术安排而构建的行业特定保证点。
对于评估 Confluent Cloud 用于实时数据流传输的金融机构而言，这一鉴证不仅仅是一个合规勾选项。它独立确认了 Confluent 的治理、风险管理和技术控制符合新加坡金融行业对处理受监管外包工作负载的提供商所期望的标准。
什么是 OSPAR，为什么它很重要？
OSPAR 是由授权服务审计师根据新加坡银行公会（ABS）制定的《外包服务提供商控制目标与程序指南》出具的第三方鉴证报告。它之所以存在，是因为新加坡的银行监管机构期望金融机构对外包技术提供商保持与对自身内部系统相同的监督标准。
获得 OSPAR 鉴证不是一份自我声明的清单。它需要聘请符合 ABS 资格指南的审计师。这些指南设定了任何外包服务提供商在服务新加坡金融机构之前应具备的最低基线控制措施。该框架的最新版本 OSPAR v2.0 围绕三大控制分组组织，共同涵盖广泛的领域：
实体层面控制，涵盖公司治理、风险管理框架、人力资源安全和整体组织合规。
通用 IT 控制，涵盖逻辑安全、物理安全、变更管理、事件管理、备份与灾难恢复、网络与安全管理、安全事件响应、数据安全、密码学以及软件应用开发与管理。
服务层面控制，涵盖业务连续性管理以及金融机构可依赖其进行自身尽职调查的记录维护。
OSPAR 不是让每家银行对同一供应商进行单独的、定制化的审计，而是为新加坡的金融机构提供了一个共同的、经独立验证的基准。
这很重要，原因有二：
首先，它与 MAS 的外包和技术风险预期保持一致，因此银行自身的风险团队可以将 OSPAR 作为受认可的、针对特定行业的证据，而无需从零开始构建合规论证。
其次，它缩短了尽职调查流程。银行采购和风险团队无需在每笔交易或续约前进行冗长的来回问卷，而是可以引用一份从一开始就围绕新加坡金融行业需求设计的认证报告。
Confluent 如何帮助客户利用 OSPAR 认证
获得认证只有在客户能够真正将其应用于自身风险和采购流程时才有价值。Confluent 的做法是尽可能简化这一过程：
通过 Trust Center 按需获取：OSPAR 报告与 SOC 2 Type II、ISO 27001、ISO 27701 和 CSA STAR 一起，可通过 Confluent 的 Trust Center 申请获取。
与现有框架对齐：由于 OSPAR 的控制域与 MAS 技术风险管理指南和 MAS 外包指南的许多预期相呼应，客户可以利用该认证支持多个内部审查流程，而非将其视为独立的文档。
持续相关性：随着 Confluent 的治理和技术控制不断演进，该认证作为 Confluent 其他认证年度审查周期的一部分得到维护，因此客户所依赖的证据保持最新，而不会成为某个时间点的静态文档。
新加坡的监管格局：为何背景很重要
OSPAR 并非孤立存在——它是新加坡围绕技术基础设施和外包所构建的更广泛、多层次监管环境的一部分。新加坡金融管理局（MAS）、新加坡网络安全局（CSA）和资讯通信媒体发展局（IMDA）等机构各自设定的期望不仅延伸至受监管企业，还涵盖其技术供应商，包括云服务提供商。
对于任何运行 Apache Kafka® 集群或 Apache Flink® 管道并承载订阅者、交易或运营数据的组织而言，这一多层次监管环境是评估部署决策的基准。OSPAR 是该格局中与银行及其他受监管金融机构评估第三方供应商相关的部分，但它与涵盖金融服务、电信、公共部门及其他 CII 行业的更广泛框架体系并存。
为帮助客户将各个框架与其所处的监管格局联系起来，Confluent 发布了一份专门的白皮书，将新加坡的主要框架（如 MAS 技术风险管理指南、MAS 外包指南、CCoP 2.0 和 IM8）直接对应到 Confluent Cloud 当前提供的架构和控制措施。
我们鼓励正在应对新加坡监管要求的团队——无论是在金融服务、电信、公共部门还是其他被指定为 CII 的行业——将这份白皮书作为工作参考，与 OSPAR 认证以及我们通过 Confluent Trust Center 对透明度的承诺结合使用。
信任，经得起验证
OSPAR 认证反映了 Confluent 构建和运营 Confluent Cloud 背后的一项更广泛原则：信任应通过独立审计的架构来证明，而非仅通过政策来宣称。随着新加坡监管预期的持续演进，Confluent 将继续投资于认证、证明和文档，让客户能够自行验证这一承诺。
访问 Confluent 信任中心以请求 OSPAR 报告，并获取 Confluent 的完整认证组合以及新加坡信任白皮书。
Swati Manocha，Confluent 安全官办公室亚太区域负责人，推动信任与安全计划。她的工作涵盖战略性和受监管客户的客户信任事务，包括安全审计、安全合同谈判和尽职调查。通过将不断变化的区域监管要求转化为实用计划和以客户为中心的保证，Swati 帮助建立对可信解决方案的信心。
Alicia Perez 领导 Confluent 的合规团队。她的专业领域涵盖客户信任和信息安全保证、合规框架（ISO 27001、SOC 2、PCI DSS）、安全策略制定、供应商风险管理和安全意识培训。Alicia 致力于帮助 Confluent 实现业务目标，同时保持强大的安全态势并满足法律和监管义务。
转载声明：本文为转载整理，原文版权归原作者及原站点所有。
原文来源：Confluent Blog
原文作者：Swati Manocha；如有侵权，请联系管理员删除。
