CPS 234 frente a ISO 27001: qué añade APRA a su SGSI

La CPS 234 es breve y se basa en principios, por lo que un sistema de gestión ISO 27001 llega muy lejos. El trabajo que no cubre se centra sobre todo en el consejo de administración, los terceros y la notificación a APRA.

La Norma Prudencial CPS 234 Seguridad de la Información de APRA se aplica a los bancos, aseguradoras y fiduciarios de fondos de jubilación australianos desde el 1 de julio de 2019. Es breve: sus requisitos operativos caben en 24 párrafos y describen resultados en lugar de controles. Eso la convierte en una opción natural para una organización que ya dispone de un sistema de gestión de seguridad de la información (SGSI) conforme a ISO 27001, y la pregunta más habitual es cuánto de la CPS 234 ya responde el SGSI.

El dato principal

De los 24 párrafos de CPS 234, 23 (96%) se corresponden con algo en ISO 27001, 0 solo guardan una relación tangencial y 1 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

APRA no publica ninguna correspondencia, así que cada vínculo aquí es un trabajo editorial de ControlMapping, elaborado párrafo a párrafo frente a los mismos temas de seguridad que ISO 27001. La lista completa:

CPS 234	Requisito	Coincidencia	ISO 27001
Para 13	Board ultimately responsible for information security	Editorial	A.5.2 A.5.4 Clause 6.1.1 Clause 6.1.3
Para 14	Define information security roles and responsibilities	Editorial	A.5.2 A.5.4
Para 15	Maintain a capability commensurate with threats	Editorial	Clause 6.1.1 Clause 6.1.3
Para 16	Assess third parties' information security capability	Editorial	A.5.19 A.5.20 A.5.21 A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Editorial	A.5.7 A.8.8 Clause 6.1.2 Clause 6.1.3
Para 18	Maintain an information security policy framework	Editorial	A.5.1 A.5.37 Clause 5.2
Para 19	Policies direct everyone with security obligations	Editorial	A.5.1 A.5.37 Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Editorial	A.5.9 A.5.11 A.5.12 A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Editorial	A.5.14 A.8.10 A.8.11 Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Editorial	A.5.19 A.5.20 A.5.21 A.5.22
Para 23	Detect and respond to incidents in a timely manner	Editorial	A.5.24 A.5.25 A.5.26 A.8.16
Para 24	Maintain information security response plans	Editorial	A.5.24 A.5.25 A.5.26
Para 25	Response plans cover all stages and escalation	Editorial	A.5.6 A.5.24 A.5.25 A.5.26
Para 26	Review and test response plans annually	Editorial	A.5.24 A.5.25 A.5.26
Para 27	Systematic testing programme for control effectiveness	Editorial	A.8.8 Clause 6.1.1 Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Editorial	A.5.19 A.5.20 A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Sin correspondencia en nuestros datos	—
Para 30	Testing by skilled, functionally independent specialists	Editorial	A.8.8
Para 31	Review the testing programme at least annually	Editorial	Clause 6.1.1 Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Editorial	A.5.31 A.5.36 Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Editorial	A.5.31 A.5.36 Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Editorial	A.5.19 A.5.20 A.5.22 A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Editorial	A.5.5 A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Editorial	A.5.5 A.6.8

La coincidencia es estrecha porque la CPS 234 y ISO 27001 comparten una misma estructura: un marco de políticas, clasificación de activos de información, controles elegidos según el riesgo, gestión de incidentes, pruebas y auditoría interna.

Fotografía de una sala de juntas vacía con carpetas cerradas colocadas en cada asiento a lo largo de una mesa larga — La CPS 234 empieza con la responsabilidad del consejo.

Lo que añade la CPS 234

Los vínculos indican dónde mirar; el detalle está en los puntos en los que la CPS 234 va más allá.

El consejo de administración es el responsable último de la seguridad de la información (párrafo 13), y los roles deben definirse desde el consejo hacia abajo (párrafo 14). ISO 27001 pide a la alta dirección que demuestre liderazgo y compromiso; la CPS 234 atribuye la responsabilidad al consejo de forma explícita, y APRA supervisa cómo se ejerce.
Los terceros están dentro del perímetro. Debe evaluar la capacidad de seguridad de cualquier parte vinculada o tercero que gestione sus activos de información (párrafo 16), evaluar el diseño de sus controles (párrafo 22), comprobar que sus pruebas de control cumplen su propio estándar si usted confía en ellas (párrafo 28), y hacer que la auditoría interna evalúe las garantías que le ofrecen (párrafo 34). Los controles de proveedores de ISO 27001 (A.5.19 a A.5.22) cubren el mismo terreno; la CPS 234 es explícita en cuanto a verificar los controles de los terceros, no solo en contratarlos.
Pruebas por especialistas independientes. Las pruebas de control deben ser sistemáticas, con una frecuencia determinada por las amenazas, la criticidad y los cambios (párrafo 27), y realizarse por especialistas con la competencia adecuada y funcionalmente independientes (párrafo 30). Las deficiencias que no puedan corregirse a tiempo se elevan al consejo o a la alta dirección (párrafo 29).
Planes de respuesta probados cada año (párrafo 26). ISO 27001 exige planificar la gestión de incidentes, pero no fija una frecuencia.
Notificar a APRA. Notifique a APRA en un plazo de 72 horas desde que tenga conocimiento de un incidente material de seguridad de la información (párrafo 35), y en un plazo de 10 días hábiles ante una debilidad material de control que no pueda subsanar a tiempo (párrafo 36). Un SGSI no tiene un plazo regulatorio.

La otra dirección

De los 123 Controles del Anexo A y cláusulas del SGSI de ISO 27001, 35 (28%) se corresponden con algo en CPS 234, 40 solo guardan una relación tangencial y 48 no tienen correspondencia en nuestros datos. Abrir el informe de brechas →

La mayor parte de ISO 27001 no tiene ningún vínculo con la CPS 234 en nuestros datos. Eso no se debe a que la CPS 234 no se preocupe por el control de acceso, el cifrado o la seguridad física: exige controles proporcionales a sus amenazas sin nombrarlos. Si está construyendo su cumplimiento de la CPS 234 sin un SGSI, el Anexo A es un catálogo sensato del que elegir esos controles, y la guía CPG 234 de APRA describe lo que considera buenas prácticas.

Un plan práctico

Relacione su Declaración de Aplicabilidad con los párrafos de la CPS 234 indicados arriba; el análisis de brechas lo exporta como un registro de seguimiento.
Añada informes al consejo que muestren que el consejo ejerce su responsabilidad, y no solo que recibe informes.
Refuerce las garantías de terceros para cada parte que gestione sus activos de información, y no solo para las actividades empresariales materiales externalizadas.
Verifique la independencia de los evaluadores y las reglas de frecuencia de su programa de pruebas.
Redacte el procedimiento de notificación a APRA con ambos plazos y pruébelo cada año junto con sus planes de respuesta.
Lea la CPS 230 junto con esta norma. Desde el 1 de julio de 2025, la norma de riesgo operacional de APRA cubre la continuidad del negocio y los proveedores de servicios, algo que la CPS 234 no hace.

Puntos clave

Un SGSI conforme a ISO 27001 aborda casi todos los párrafos de la CPS 234.
El trabajo adicional de la CPS 234 consiste en la responsabilidad del consejo, las garantías de terceros, las pruebas independientes y la notificación a APRA.
La CPS 234 no nombra controles, por lo que el Anexo A de ISO 27001 es un buen lugar del que elegirlos.

Próximos pasos

La página del marco CPS 234 enumera cada párrafo con el texto de APRA, y la comparación ISO 27001 vs CPS 234 muestra ambas direcciones. Nuestra guía de ISO 27001 cubre la certificación.

Preguntas

¿La certificación ISO 27001 satisface la CPS 234 de APRA?

No por sí sola. Un SGSI conforme a ISO 27001 aborda casi todos los párrafos de la CPS 234, pero APRA supervisa la CPS 234 directamente, y la norma añade obligaciones específicas: la responsabilidad última del consejo, la evaluación y las pruebas de los controles de terceros, las pruebas por especialistas funcionalmente independientes, y la notificación a APRA en un plazo de 72 horas desde un incidente material y de 10 días hábiles ante una debilidad material de control.

¿Existe una correspondencia oficial entre la CPS 234 y ISO 27001?

APRA no publica ninguna. Los vínculos en ControlMapping son editoriales, elaborados párrafo a párrafo, y cada uno muestra su motivo.

¿Qué es la CPG 234?

La Guía de Práctica Prudencial CPG 234 de APRA describe las buenas prácticas para cumplir la CPS 234. Nombra prácticas específicas, pero no es vinculante, y ControlMapping no la correlaciona.

Datos a fecha de 2026-10-27: las cifras de esta entrada se calculan a partir de la correspondencia vigente y se actualizan cuando esta cambia. Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. No es asesoramiento de cumplimiento.

APRA CPS 234 y ISO 27001: qué cubre su SGSI y qué añade APRA