Marco

APRA CPS 234 Information Security

Qué es

Una norma prudencial de carácter jurídicamente vinculante, emitida por la Autoridad Australiana de Regulación Prudencial (APRA) y vigente desde el 1 de julio de 2019. Se basa en principios: 24 párrafos operativos que abordan la responsabilidad del Consejo, la capacidad de seguridad de la información, la política, la clasificación de activos, los controles, la gestión de incidentes, la prueba de controles, la auditoría interna y la notificación a APRA. La guía de APRA CPG 234 describe buenas prácticas, pero no es vinculante.

Quién lo necesita

Todas las entidades reguladas por APRA: instituciones autorizadas para captar depósitos (bancos, cooperativas de crédito y sociedades de construcción y ahorro), aseguradoras generales, de vida y de salud privada, y licenciatarios RSE (fiduciarios de fondos de jubilación). Sus requisitos alcanzan también a las partes vinculadas y a los terceros que gestionan sus activos de información.

Cómo se evalúa

No existe certificación; APRA supervisa el cumplimiento. Las entidades deben notificar a APRA en un plazo de 72 horas desde que tengan conocimiento de un incidente significativo de seguridad de la información, y en un plazo de 10 días hábiles desde que detecten una debilidad significativa de control que no puedan subsanar a tiempo. La continuidad del negocio y los proveedores de servicios están cubiertos por separado por la CPS 230 Gestión del Riesgo Operacional, vigente desde el 1 de julio de 2025.

Párrafos

Con correspondencia con otro marco

34%

Temas cubiertos (17/50)

Análisis de brechas → CPS 234 Desde CPS 234 →

Recuentos: los párrafos dispositivos 13 a 36.

CPS 234 se basa en principios: exige controles acordes con las amenazas sin nombrarlas, por lo que la mayoría de los temas técnicos no muestran ningún vínculo. La guía de APRA, CPG 234, detalla prácticas específicas, pero no es vinculante y no está asignada. Todos los vínculos son editoriales.

Requisitos

Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.

APRA CPS 234 Information Security requisitos
ID	Requisito	Temas	Con correspondencia en
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	Gestión de riesgos, Funciones y responsabilidades	10 de 13
Para 14	Define information security roles and responsibilities	Funciones y responsabilidades	9 de 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	Gestión de riesgos	10 de 13
Para 16	Assess third parties' information security capability	Riesgo de la cadena de suministro, Gestión de riesgos de proveedores	10 de 13
Para 17	Keep capability current as threats and vulnerabilities change	Evaluación de riesgos, Gestión de vulnerabilidades, Inteligencia de amenazas	13 de 13
Policy framework · 2
Para 18	Maintain an information security policy framework	Política de gobernanza	9 de 13
Para 19	Policies direct everyone with security obligations	Política de gobernanza	9 de 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	Gestión de activos, Clasificación de datos	13 de 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	Evaluación de riesgos, Protección de datos	11 de 13
Para 22	Evaluate the design of third parties' controls	Riesgo de la cadena de suministro, Gestión de riesgos de proveedores	10 de 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	Detección de intrusiones, Respuesta a incidentes	12 de 13
Para 24	Maintain information security response plans	Respuesta a incidentes	12 de 13
Para 25	Response plans cover all stages and escalation	Respuesta a incidentes, Comunicación, Lecciones aprendidas	12 de 13
Para 26	Review and test response plans annually	Respuesta a incidentes	12 de 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	Gestión de riesgos, Gestión de vulnerabilidades	13 de 13
Para 28	Check third parties' control testing is adequate	Gestión de riesgos de proveedores	10 de 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	ninguno
Para 30	Testing by skilled, functionally independent specialists	Gestión de vulnerabilidades	13 de 13
Para 31	Review the testing programme at least annually	Gestión de riesgos	10 de 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	Cumplimiento	10 de 13
Para 33	Assurance provided by appropriately skilled personnel	Cumplimiento	10 de 13
Para 34	Internal audit assesses third-party assurance relied on	Cumplimiento, Gestión de riesgos de proveedores	11 de 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	Notificación	12 de 13
Para 36	Notify APRA of material control weaknesses within 10 business days	Notificación	12 de 13

Cobertura del tema

Temas con requisitos de CPS 234 asignados (17):

Política de gobernanza Gestión de riesgos Riesgo de la cadena de suministro Funciones y responsabilidades Cumplimiento Gestión de activos Evaluación de riesgos Clasificación de datos Gestión de vulnerabilidades Inteligencia de amenazas Protección de datos Detección de intrusiones Respuesta a incidentes Comunicación Notificación Lecciones aprendidas Gestión de riesgos de proveedores

Sin correspondencia en nuestros datos Ningún requisito de CPS 234 (33):