CPS 234 مقابل ISO 27001: ما الذي تضيفه APRA إلى نظام ISMS الخاص بك

معيار CPS 234 موجز ويستند إلى المبادئ، لذا يؤدي نظام الإدارة وفق ISO 27001 دوراً كبيراً في تغطيته. أما الأعمال التي لا يغطيها فتتعلق في معظمها بمجلس الإدارة والأطراف الثالثة والإبلاغ لدى APRA.

ينطبق المعيار الاحترازي CPS 234 لأمن المعلومات الصادر عن APRA على البنوك وشركات التأمين وأمناء صناديق التقاعد الأسترالية منذ 1 يوليو 2019. وهو موجز: إذ يمكن احتواء المتطلبات التشغيلية في 24 الفقرات، وهي تصف النتائج بدلاً من الضوابط. ولهذا يتلاءم بشكل طبيعي مع المؤسسة التي تطبق بالفعل نظام إدارة أمن المعلومات وفق ISO 27001، وأكثر الأسئلة شيوعاً هو مدى ما يغطيه نظام ISMS من متطلبات CPS 234 بالفعل.

الرقم الرئيسي

من أصل 24 الفقرات في CPS 234، يُطابق 23 (96%) شيئًا في ISO 27001، وترتبط 0 بشكل فضفاض فقط، ولا يوجد ربط لـ 1 في بياناتنا. افتح تقرير الفجوات →

لا تنشر APRA جدول مطابقة رسمياً، لذا فإن كل ربط هنا من إعداد ControlMapping التحريري، وقد أُجري فقرة بفقرة مقابل المواضيع الأمنية نفسها الواردة في ISO 27001. القائمة الكاملة:

CPS 234	المتطلب	تطابق	ISO 27001
Para 13	Board ultimately responsible for information security	تحريري	A.5.2 A.5.4 Clause 6.1.1 Clause 6.1.3
Para 14	Define information security roles and responsibilities	تحريري	A.5.2 A.5.4
Para 15	Maintain a capability commensurate with threats	تحريري	Clause 6.1.1 Clause 6.1.3
Para 16	Assess third parties' information security capability	تحريري	A.5.19 A.5.20 A.5.21 A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	تحريري	A.5.7 A.8.8 Clause 6.1.2 Clause 6.1.3
Para 18	Maintain an information security policy framework	تحريري	A.5.1 A.5.37 Clause 5.2
Para 19	Policies direct everyone with security obligations	تحريري	A.5.1 A.5.37 Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	تحريري	A.5.9 A.5.11 A.5.12 A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	تحريري	A.5.14 A.8.10 A.8.11 Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	تحريري	A.5.19 A.5.20 A.5.21 A.5.22
Para 23	Detect and respond to incidents in a timely manner	تحريري	A.5.24 A.5.25 A.5.26 A.8.16
Para 24	Maintain information security response plans	تحريري	A.5.24 A.5.25 A.5.26
Para 25	Response plans cover all stages and escalation	تحريري	A.5.6 A.5.24 A.5.25 A.5.26
Para 26	Review and test response plans annually	تحريري	A.5.24 A.5.25 A.5.26
Para 27	Systematic testing programme for control effectiveness	تحريري	A.8.8 Clause 6.1.1 Clause 6.1.3
Para 28	Check third parties' control testing is adequate	تحريري	A.5.19 A.5.20 A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	لا يوجد ربط في بياناتنا	—
Para 30	Testing by skilled, functionally independent specialists	تحريري	A.8.8
Para 31	Review the testing programme at least annually	تحريري	Clause 6.1.1 Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	تحريري	A.5.31 A.5.36 Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	تحريري	A.5.31 A.5.36 Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	تحريري	A.5.19 A.5.20 A.5.22 A.5.31
Para 35	Notify APRA of material incidents within 72 hours	تحريري	A.5.5 A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	تحريري	A.5.5 A.6.8

التطابق وثيق لأن CPS 234 وISO 27001 يشتركان في البنية نفسها: إطار للسياسات، وتصنيف لأصول المعلومات، وضوابط تُختار وفق المخاطر، وإدارة للحوادث، واختبار ومراجعة داخلية.

صورة فوتوغرافية لقاعة اجتماعات خالية لمجلس الإدارة، مع ملفات مغلقة موضوعة على كل مقعد على طول طاولة طويلة — يبدأ CPS 234 بمسؤولية مجلس الإدارة.

ما الذي يضيفه CPS 234

توضح الروابط أين ينبغي النظر، أما التفاصيل فهي حيث يتجاوز CPS 234 ذلك.

يتحمل مجلس الإدارة المسؤولية النهائية عن أمن المعلومات (الفقرة 13)، ويجب تحديد الأدوار بدءاً من مجلس الإدارة نزولاً (الفقرة 14). يطلب ISO 27001 من الإدارة العليا إظهار القيادة والالتزام، أما CPS 234 فيضع المسؤولية على مجلس الإدارة بالاسم، وتشرف APRA على كيفية ممارستها.
الأطراف الثالثة ضمن الحدود الأمنية. يجب تقييم القدرة الأمنية لأي طرف ذي صلة أو طرف ثالث يدير أصول معلوماتك (الفقرة 16)، وتقييم تصميم ضوابطه (الفقرة 22)، والتحقق من أن اختبار ضوابطه يلبي معيارك الخاص إذا كنت تعتمد عليه (الفقرة 28)، وأن تقيّم المراجعة الداخلية التأكيد الذي يقدمه لك (الفقرة 34). تغطي ضوابط الموردين في ISO 27001 (من A.5.19 إلى A.5.22) المجال نفسه، غير أن CPS 234 يحدد بوضوح ضرورة التحقق من ضوابط الأطراف الثالثة، لا الاكتفاء بالتعاقد معها.
الاختبار من قبل متخصصين مستقلين. يجب أن يكون اختبار الضوابط منهجياً، بتكرار تحدده التهديدات والأهمية والتغيير (الفقرة 27)، ويُنفذ من قبل متخصصين مؤهلين ومستقلين وظيفياً (الفقرة 30). وتُرفع العيوب التي يتعذر إصلاحها في الوقت المناسب إلى مجلس الإدارة أو الإدارة العليا (الفقرة 29).
خطط الاستجابة تُختبر كل عام (الفقرة 26). يتطلب ISO 27001 التخطيط للحوادث لكنه لا يحدد تكراراً لذلك.
الإبلاغ لدى APRA. أبلغ APRA خلال 72 ساعة من علمك بحادث أمني جوهري في المعلومات (الفقرة 35)، وخلال 10 أيام عمل من ضعف جوهري في الضوابط لا يمكنك معالجته في الوقت المناسب (الفقرة 36). ليس لنظام ISMS مهلة تنظيمية كهذه.

الاتجاه الآخر

من أصل 123 ضوابط الملحق A وبنود نظام إدارة أمن المعلومات في ISO 27001، يُطابق 35 (28%) شيئًا في CPS 234، وترتبط 40 بشكل فضفاض فقط، ولا يوجد ربط لـ 48 في بياناتنا. افتح تقرير الفجوات →

لا يرتبط معظم ISO 27001 بأي ربط مع CPS 234 في بياناتنا. ولا يعني ذلك أن CPS 234 لا يهتم بالتحكم في الوصول أو التشفير أو الأمن المادي، فهو يطلب ضوابط تتناسب مع تهديداتك دون أن يسميها. إذا كنت تبني الامتثال لـ CPS 234 بدون نظام ISMS، فإن الملحق A كتالوج مناسب لاختيار تلك الضوابط منه، ويصف الدليل CPG 234 الصادر عن APRA ما تعتبره الهيئة أفضل الممارسات.

خطة عملية

اربط بيان قابلية التطبيق (Statement of Applicability) بفقرات CPS 234 أعلاه؛ ويصدّر تحليل الفجوات ذلك كجدول متابعة.
أضف تقارير لمجلس الإدارة تُظهر ممارسة المجلس لمسؤوليته، لا مجرد تلقي التقارير.
عزّز ضمان الأطراف الثالثة لكل جهة تدير أصول معلوماتك، وليس فقط الأنشطة التجارية الجوهرية المُسندة إلى جهات خارجية.
تحقق من استقلالية المختبِرين وقواعد تكرار برنامج الاختبار لديك.
اكتب إجراء الإبلاغ لدى APRA متضمناً المهلتين، واختبره مع خطط الاستجابة كل عام.
اقرأ CPS 230 إلى جانبه. منذ 1 يوليو 2025، يغطي معيار APRA للمخاطر التشغيلية استمرارية الأعمال ومقدمي الخدمات، وهو ما لا يغطيه CPS 234.

الخلاصات الرئيسية

يغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة في CPS 234.
الأعمال الإضافية في CPS 234 هي مسؤولية مجلس الإدارة، وضمان الأطراف الثالثة، والاختبار المستقل، والإبلاغ لدى APRA.
لا يحدد CPS 234 الضوابط بالاسم، لذا فإن الملحق A في ISO 27001 مكان جيد للاختيار منه.

إلى أين تذهب بعد ذلك

تعرض صفحة إطار CPS 234 كل فقرة مع نص APRA، ويعرض مقارنة ISO 27001 مع CPS 234 الاتجاهين. ويغطي دليل ISO 27001 الخاص بنا الحصول على الشهادة.

الأسئلة

هل تحقق شهادة ISO 27001 متطلبات APRA CPS 234؟

ليس بمفرده. يغطي نظام ISMS وفق ISO 27001 تقريباً كل فقرة في CPS 234، لكن APRA تشرف على CPS 234 مباشرة، ويفرض المعيار التزامات محددة: المسؤولية النهائية لمجلس الإدارة، وتقييم ضوابط الأطراف الثالثة واختبارها، والاختبار من قبل متخصصين مستقلين وظيفياً، والإبلاغ لدى APRA خلال 72 ساعة من حادث جوهري، وخلال 10 أيام عمل من ضعف جوهري في الضوابط.

هل يوجد جدول مطابقة رسمي بين CPS 234 وISO 27001؟

لا تنشر APRA جدولاً كهذا. الروابط على ControlMapping تحريرية، أُعدّت فقرة بفقرة، ويُظهر كل منها سببه.

ما هو CPG 234؟

يصف دليل الممارسات الاحترازية CPG 234 الصادر عن APRA أفضل الممارسات لتطبيق CPS 234. يسمي ممارسات محددة، لكنه غير ملزم، ولا يربط ControlMapping به.

البيانات حتى تاريخ 2026-10-27: الأرقام الواردة في هذه المقالة محسوبة من جدول المطابقة الحالي وتُحدَّث عند تغييره. جدول المطابقة جدول مطابقة منشور (NIST، ENISA، CIS، PCI SSC) هو ما ينشئ الربط · تحريري حكم ControlMapping في الحالات التي لا يوجد فيها جدول مطابقة، مع عرض السبب · يشترك فقط في نتيجة CSF 2.0 واحدة: يستحق المراجعة، وليس ربطاً · لا يوجد ربط في بياناتنا لا يوجد ربط في بياناتنا؛ غالباً عمل جديد، لكن راجع ملاحظات التغطية. ليست نصيحة امتثال.

APRA CPS 234 وISO 27001: ما الذي يغطيه ISMS وما الذي تضيفه APRA