Framework

APRA CPS 234 Information Security

Worum es geht

Eine rechtlich verbindliche Prudential Standard der Australian Prudential Regulation Authority (APRA), in Kraft seit dem 1. Juli 2019. Sie ist prinzipienbasiert: 24 operative Absätze zu Verantwortung des Vorstands, Informationssicherheitsfähigkeit, Richtlinien, Klassifizierung von Assets, Kontrollen, Vorfallmanagement, Kontrolltests, interner Revision und Meldepflichten gegenüber der APRA. Der Leitfaden der APRA, CPG 234, beschreibt bewährte Praktiken, ist jedoch nicht verbindlich.

Für wen es relevant ist

Alle von der APRA beaufsichtigten Unternehmen: Einlagen-taking-Institute mit Banklizenz (Banken, Kreditgenossenschaften und Bausparkassen), Schaden-, Lebens- und private Krankenversicherer sowie RSE-Lizenznehmer (Superannuation-Treuhänder). Ihre Anforderungen erstrecken sich auf verbundene Parteien und Drittanbieter, die Informationswerte für sie verwalten.

So wird geprüft

Eine Zertifizierung gibt es nicht; die APRA überwacht die Einhaltung. Unternehmen müssen die APRA innerhalb von 72 Stunden nach Kenntnis eines wesentlichen Informationssicherheitsvorfalls informieren sowie innerhalb von 10 Geschäftstagen nach einer wesentlichen Kontrollschwäche, die sie nicht rechtzeitig beheben können. Business Continuity und Dienstleister werden separat durch CPS 230 Operational Risk Management geregelt, in Kraft seit dem 1. Juli 2025.

Absätze

Einem anderen Framework zugeordnet

34%

Abgedeckte Themen (17/50)

Lückenanalyse → CPS 234 Von CPS 234 →

Zählungen: die operativen Absätze 13 bis 36.

CPS 234 ist prinzipienbasiert: Die Norm verlangt Kontrollen, die den Bedrohungen angemessen sind, benennt diese Bedrohungen jedoch nicht, daher zeigen die meisten technischen Themen keine Verknüpfung. Der Leitfaden der APRA, CPG 234, benennt konkrete Praktiken, ist aber nicht verbindlich und nicht zugeordnet. Alle Verknüpfungen sind redaktionell.

Anforderungen

Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.

APRA CPS 234 Information Security Anforderungen
ID	Anforderung	Themen	Zugeordnet in
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	Risikomanagement, Rollen und Verantwortlichkeiten	10 von 13
Para 14	Define information security roles and responsibilities	Rollen und Verantwortlichkeiten	9 von 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	Risikomanagement	10 von 13
Para 16	Assess third parties' information security capability	Lieferkettenrisiko, Lieferantenrisikomanagement	10 von 13
Para 17	Keep capability current as threats and vulnerabilities change	Risikobewertung, Schwachstellenmanagement, Threat Intelligence	13 von 13
Policy framework · 2
Para 18	Maintain an information security policy framework	Governance-Richtlinie	9 von 13
Para 19	Policies direct everyone with security obligations	Governance-Richtlinie	9 von 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	Asset-Management, Datenklassifizierung	13 von 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	Risikobewertung, Datenschutz	11 von 13
Para 22	Evaluate the design of third parties' controls	Lieferkettenrisiko, Lieferantenrisikomanagement	10 von 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	Angriffserkennung, Incident Response	12 von 13
Para 24	Maintain information security response plans	Incident Response	12 von 13
Para 25	Response plans cover all stages and escalation	Incident Response, Kommunikation, Erkenntnisse aus Vorfällen	12 von 13
Para 26	Review and test response plans annually	Incident Response	12 von 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	Risikomanagement, Schwachstellenmanagement	13 von 13
Para 28	Check third parties' control testing is adequate	Lieferantenrisikomanagement	10 von 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	keine
Para 30	Testing by skilled, functionally independent specialists	Schwachstellenmanagement	13 von 13
Para 31	Review the testing programme at least annually	Risikomanagement	10 von 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	Compliance	10 von 13
Para 33	Assurance provided by appropriately skilled personnel	Compliance	10 von 13
Para 34	Internal audit assesses third-party assurance relied on	Compliance, Lieferantenrisikomanagement	11 von 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	Meldung	12 von 13
Para 36	Notify APRA of material control weaknesses within 10 business days	Meldung	12 von 13

Themenabdeckung

Themen mit zugeordneten CPS 234-Anforderungen (17):

Governance-Richtlinie Risikomanagement Lieferkettenrisiko Rollen und Verantwortlichkeiten Compliance Asset-Management Risikobewertung Datenklassifizierung Schwachstellenmanagement Threat Intelligence Datenschutz Angriffserkennung Incident Response Kommunikation Meldung Erkenntnisse aus Vorfällen Lieferantenrisikomanagement

Keine Zuordnung in unseren Daten Keine CPS 234-Anforderung (33):