Langkau ke kandungan utama
FromNine
Menu

Kepercayaan dan pematuhan

Kepercayaan dan pematuhan bagi organisasi yang dikawal selia

FromNine diperakui ISO/IEC 27001. Halaman ini menerangkan cara kami melindungi sistem dan data anda sebagai pembekal, sumbangan kami terhadap kewajipan anda di bawah PDPA, Akta Keselamatan Siber 2024, NIS2, DORA dan Akta AI Kesatuan Eropah, serta cara meminta dokumen keselamatan kami.

Bagi institusi awam dan syarikat yang dikawal selia, apabila peraturan Malaysia dan peraturan EU sama-sama menetapkan keperluan.

Minta dokumenKomitmen kami

Komitmen kami

Lima komitmen dalam setiap kerjasama

Institusi awam dan syarikat yang dikawal selia mempercayakan kami dengan data sensitif dan sistem yang menyokong keputusan sebenar. Inilah perkara yang boleh mereka tuntut daripada kami.

  • Pengurusan keselamatan maklumat

    Diperakui

    Sistem pengurusan keselamatan maklumat kami diperakui ISO/IEC 27001, standard antarabangsa bagi pengurusan keselamatan maklumat. Kawalan, pengurusan pembekal dan pengendalian insiden mengikut sistem itu dalam setiap kerjasama.

    Akses kepada sistem dan data anda dipersetujui sebelum kerja bermula, dihadkan kepada apa yang diperlukan oleh kerja itu dan disemak semula apabila pasukan berubah.

    Diperakui ISO/IEC 27001

  • Data peribadi, PDPA dan GDPR

    Cara kami bekerja

    Tujuan, sempadan akses dan tempoh penyimpanan dipersetujui sebelum kami membina. Apabila kami memproses data peribadi bagi pihak anda, kami bertindak sebagai pemproses data di bawah kontrak: di bawah GDPR melalui perjanjian pemprosesan data seperti yang dikehendaki Perkara 28, dan di bawah PDPA, yang sejak 1 April 2025 turut mengikat pemproses data dengan prinsip keselamatan.

    Kami menyokong kewajipan anda sebagai pengawal data, seperti pemberitahuan pelanggaran data kepada Pesuruhjaya Perlindungan Data Peribadi sejak 1 Jun 2025, dan membekalkan input teknikal bagi penilaian impak perlindungan data anda apabila pemprosesan berkemungkinan membawa risiko tinggi.

  • Pengawasan manusia terhadap AI

    Cara kami bekerja

    Setiap kes penggunaan AI diklasifikasikan bersama anda semasa penerokaan. Langkah kelulusan, log dan dokumentasi teknikal dibina ke dalam sistem sejak keluaran pertama, bukan ditambah sebelum audit. Ejen bekerja dengan kebenaran terhad dan meminta kelulusan sebelum langkah yang membawa akibat.

  • Kebolehcapaian

    Cara kami bekerja

    Kami mereka bentuk dan menguji antara muka berdasarkan EN 301 549 dan WCAG 2.2 tahap AA, dengan pemeriksaan automatik dan semakan manual menggunakan teknologi bantuan, dan menyerahkan laporan pematuhan yang menyenaraikan isu yang diketahui.

  • Lokasi data

    Bagi setiap kerjasama

    Rantau pengehosan, kawalan kunci penyulitan dan lokasi akses sokongan diputuskan bersama anda sebelum kami membina dan ditulis ke dalam seni bina, termasuk pilihan berdaulat apabila syarat anda menghendakinya.

Halaman ini menerangkan cara kami bekerja sebagai pembekal. Ia bukan pernyataan pematuhan bagi pihak anda: kewajipan yang terpakai bergantung pada organisasi dan kes penggunaan anda, dan penilaian undang-undang kekal pada penasihat undang-undang anda.

NIS2 dan Akta 854

NIS2 dan Akta Keselamatan Siber 2024: keselamatan rantaian bekalan

Arahan NIS2, Arahan (EU) 2022/2555, mewajibkan entiti asasi dan entiti penting di Kesatuan Eropah mengurus risiko keselamatan siber terhadap rangkaian dan sistem maklumat mereka. Keselamatan rantaian bekalan ialah salah satu langkah minimum dalam Perkara 21(2), dan Perkara 21(3) meminta entiti mengambil kira amalan keselamatan pembekal langsung dan penyedia perkhidmatan mereka. Di Malaysia, Akta Keselamatan Siber 2024, yang berkuat kuasa sejak 26 Ogos 2024, menetapkan kewajipan entiti NCII, termasuk pemberitahuan insiden keselamatan siber dalam tempoh enam jam selepas mengetahuinya.

Sebagai pembekal anda, kami memudahkan anda membuktikan bahagian kewajipan ini. Fasal keselamatan, saluran insiden dan pengendalian kerentanan dipersetujui dalam setiap kontrak, dan kawalan yang terpakai pada kerjasama anda didokumenkan supaya proses risiko pembekal anda boleh menilainya. Sama ada dan bagaimana NIS2 atau Akta Keselamatan Siber 2024 terpakai pada organisasi anda kekal sebagai penilaian anda sendiri.

  • Fasal keselamatan dalam kontrak

    Akses, subkontrak, pemberitahuan insiden dan kerjasama dalam audit dipersetujui secara bertulis, bukan diandaikan.

  • Saluran insiden yang berfungsi

    Kenalan yang dinamakan dan tempoh yang dipersetujui, supaya insiden di pihak kami sampai kepada anda tepat pada masanya untuk amaran awal 24 jam di bawah NIS2 (Perkara 23(4)) atau pemberitahuan enam jam bagi entiti NCII.

  • Pengendalian kerentanan

    Imbasan kebergantungan, kod dan infrastruktur berjalan dalam saluran penyampaian, dan dapatan dibaiki atau dilaporkan melalui saluran yang dipersetujui.

  • Bukti atas permintaan

    Sijil ISO/IEC 27001 kami dan penerangan tentang kawalan yang terpakai pada kerjasama anda.

  • Awan dan kejuruteraan platformProses insiden yang turut menyokong kewajipan pelaporan NIS2, DORA dan Akta Keselamatan Siber 2024.
  • Sektor awamPenyampaian yang mengambil kira keperluan keselamatan siber pentadbiran awam.

DORA dan RMiT

DORA dan RMiT: risiko ICT pihak ketiga bagi institusi kewangan

Akta Daya Tahan Operasi Digital (DORA), Peraturan (EU) 2022/2554, terpakai sejak 17 Januari 2025. Bank, syarikat insurans, firma pelaburan, institusi pembayaran dan entiti kewangan lain di EU perlu mengurus risiko ICT pihak ketiga dalam rangka kerja pengurusan risiko ICT mereka, menyimpan daftar maklumat bagi semua perjanjian kontrak perkhidmatan ICT (Perkara 28) dan memasukkan peruntukan kontrak utama dalam kontrak itu (Perkara 30). Keperluan ini sampai kepada penyedia perkhidmatan ICT di Malaysia melalui kontrak dengan entiti kewangan EU.

Apabila kami menyediakan perkhidmatan ICT kepada entiti kewangan, kami bersetuju dengan peruntukan yang disenaraikan dalam Perkara 30: penerangan lengkap tentang perkhidmatan, lokasi perkhidmatan disediakan dan data diproses, bantuan apabila insiden ICT berlaku, kerjasama dengan pihak berkuasa yang berwibawa dan hak penamatan. Bagi perkhidmatan yang menyokong fungsi kritikal atau penting, kontrak turut merangkumi strategi keluar dan penyertaan kami dalam ujian daya tahan anda.

Bagi institusi kewangan di Malaysia, dokumen polisi Risk Management in Technology (RMiT) Bank Negara Malaysia, dengan versi semakan yang berkuat kuasa sejak 28 November 2025, dan garis panduan pengurusan risiko teknologi Suruhanjaya Sekuriti Malaysia bagi entiti pasaran modal, yang berkuat kuasa sejak 19 Ogos 2024, menetapkan jangkaan masing-masing. Kami mereka bentuk dengan mengambil kira rangka kerja ini, membekalkan maklumat yang diperlukan oleh daftar dan penilaian pembekal anda, dan mendokumenkan pelan keluar dari awal supaya pertukaran pembekal kekal sebagai pilihan yang realistik.

  • Perkhidmatan kewanganAI yang dikawal selia, platform yang berdaya tahan dan operasi yang direka bentuk dengan mengambil kira DORA dan RMiT.

Akta AI Kesatuan Eropah

Akta AI Kesatuan Eropah: pengawasan manusia dan dokumentasi sejak reka bentuk

Akta AI, Peraturan (EU) 2024/1689, terpakai secara berperingkat. Amalan yang dilarang dan literasi AI terpakai sejak Februari 2025, dan kewajipan ketelusan Perkara 50 sejak Ogos 2026. Sebagaimana dipinda pada 2026 oleh Peraturan (EU) 2026/1744, peraturan bagi sistem berisiko tinggi yang disenaraikan dalam Lampiran III terpakai mulai 2 Disember 2027. Akta ini juga terpakai kepada pembekal dan pengguna sistem AI yang ditubuhkan di luar EU, contohnya di Malaysia, apabila output sistem AI digunakan di EU (Perkara 2(1)).

Bagi sistem berisiko tinggi, Akta ini menghendaki dokumentasi teknikal (Perkara 11), pengelogan automatik (Perkara 12) dan reka bentuk yang boleh diawasi dengan berkesan oleh manusia (Perkara 14), dan pengguna sistem perlu menyerahkan pengawasan itu kepada orang yang mempunyai kecekapan dan kuasa untuk bertindak (Perkara 26). Kami membina untuk tujuan ini sejak keluaran pertama: langkah kelulusan dan keupayaan untuk mengatasi keputusan diletakkan di tempat keputusan menjejaskan orang, dan dokumentasi ditulis seiring dengan kod.

Sama ada organisasi anda bertindak sebagai pembekal atau pengguna bergantung pada cara sistem itu digunakan. Soalan itu sebahagian daripada penilaian undang-undang, yang kekal pada penasihat undang-undang anda; kami membekalkan fakta teknikal yang diperlukan.

Dalam penyampaian

Keselamatan dalam setiap peringkat penyampaian

Bukti pematuhan datang daripada cara kerja dilakukan, bukan daripada dokumen yang ditulis pada akhirnya.

  • Akses keistimewaan minimum

    Akses kepada persekitaran dan data anda dihadkan kepada apa yang diperlukan oleh kerja itu, dipersetujui sebelum kerja bermula dan disemak semula setiap kali pasukan berubah.

  • Perubahan yang disemak dan diimbas

    Perubahan disemak oleh rakan sekerja sebelum dihantar. Imbasan kebergantungan, kod dan infrastruktur berjalan secara automatik, dan ujian keselamatan dirancang bagi setiap keluaran.

  • Insiden dikendalikan mengikut proses yang dipersetujui

    Klasifikasi insiden, kenalan pemberitahuan dan pengumpulan bukti dipersetujui pada permulaan, dan dibina ke dalam proses insiden apabila NIS2, DORA, PDPA atau Akta Keselamatan Siber 2024 terpakai pada anda.

  • Penyerahan dan pelan keluar yang didokumenkan

    Buku panduan operasi, keputusan seni bina dan model data diserahkan bersama sistem, dan pelan keluar memastikan pemulangan data dan kos pertukaran kelihatan dari awal.

Usaha wajar

Minta dokumen keselamatan kami

Pasukan perolehan, keselamatan dan undang-undang memerlukan bukti sebelum kontrak ditandatangani. Minta sijil ISO/IEC 27001 kami dan skopnya, jawapan kepada soal selidik keselamatan pembekal anda dan terma pemprosesan data yang akan terpakai pada kerjasama anda.

Hantar permintaan anda melalui halaman Hubungi kami dan nyatakan rangka kerja yang anda gunakan untuk menilai pembekal, seperti NIS2, DORA, RMiT atau Akta Keselamatan Siber 2024. Orang yang tepat akan menghubungi anda, dalam bahasa Inggeris.

Malaysia

Peraturan Malaysia, peraturan EU

Di Malaysia, PDPA sebagaimana dipinda oleh Akta A1727 berkuat kuasa secara berperingkat pada 1 Januari, 1 April dan 1 Jun 2025: pemproses data kini terikat dengan prinsip keselamatan, dan pegawai perlindungan data serta pemberitahuan pelanggaran data diwajibkan sejak 1 Jun 2025. Akta Keselamatan Siber 2024 menetapkan kewajipan entiti NCII, dan bagi institusi kewangan, dokumen polisi RMiT Bank Negara Malaysia menetapkan jangkaan pengurusan risiko teknologi.

GDPR, DORA dan Akta AI ialah peraturan EU yang terpakai secara langsung di seluruh Kesatuan, manakala NIS2 ialah arahan yang dilaksanakan melalui undang-undang setiap negara anggota. Peraturan ini sampai kepada organisasi di Malaysia dalam kes tertentu, misalnya apabila mereka menawarkan perkhidmatan di EU atau membekalkan perkhidmatan ICT kepada entiti kewangan EU. Bagi program yang merentas beberapa negara, kami bersetuju tentang satu set kawalan dan memetakan setiap saluran insiden kepada pihak berkuasa yang berkaitan.

Soalan daripada pasukan perolehan dan keselamatan

Adakah FromNine diperakui ISO/IEC 27001?

Ya. Sistem pengurusan keselamatan maklumat kami diperakui ISO/IEC 27001. Kami berkongsi sijil dan skopnya atas permintaan, sebagai sebahagian daripada usaha wajar anda.

Bagaimanakah anda menyokong kewajipan keselamatan siber kami sebagai pembekal?

Kami bersetuju tentang fasal keselamatan, saluran pemberitahuan insiden dan pengendalian kerentanan dalam kontrak, mendokumenkan kawalan yang terpakai pada kerjasama anda dan memberikan bukti yang diperlukan oleh penilaian risiko pembekal anda. Sama ada dan bagaimana NIS2 atau Akta Keselamatan Siber 2024 terpakai pada organisasi anda ialah penilaian anda dan penasihat undang-undang anda.

Adakah anda akan bersetuju dengan peruntukan kontrak yang dikehendaki DORA?

Ya. Kami bersetuju dengan peruntukan Perkara 30 DORA, memberitahu insiden melalui saluran yang dipersetujui, mendokumenkan pelan keluar, mengambil bahagian dalam ujian daya tahan dan membekalkan maklumat yang diperlukan oleh daftar maklumat anda.

Siapakah yang bertanggungjawab atas pematuhan Akta AI?

Ia bergantung pada peranan anda, sebagai pembekal atau pengguna, dan pada kelas risiko kes penggunaan itu. Kami mengklasifikasikan setiap kes penggunaan bersama anda semasa penerokaan, membina pengawasan, log dan dokumentasi ke dalam sistem, dan membekalkan fakta teknikal yang diperlukan oleh penasihat undang-undang anda untuk penilaian undang-undang.

Di manakah data kami akan dihoskan dan diproses?

Di lokasi yang dipersetujui bersama anda sebelum kami membina: penyewaan awan anda sendiri, rantau awan awam yang anda tetapkan atau di premis anda bagi beban kerja sensitif. Perkhidmatan pengehosan dan AI dipilih sewajarnya, dan pilihan itu didokumenkan bersama pilihan keluarnya.

Bagaimanakah kami boleh meminta dokumen keselamatan anda?

Melalui halaman Hubungi kami. Nyatakan dokumen yang anda perlukan dan rangka kerja yang anda gunakan untuk menilai pembekal, dan orang yang tepat akan menghubungi anda.

Minta buktinya

Nyatakan rangka kerja yang anda gunakan untuk menilai pembekal dan dokumen yang anda perlukan. Kami akan memberitahu apa yang boleh kami kongsi, dan bagaimana caranya.

Minta dokumenTentang FromNine