APRA CPS 234 et ISO 27001 : ce que couvre votre SMSI et ce qu'APRA ajoute

La norme prudentielle CPS 234 Information Security de l'APRA s'applique aux banques, aux assureurs et aux gestionnaires de fonds de retraite (superannuation) australiens depuis le 1er juillet 2019. Elle est courte : ses exigences opérationnelles tiennent en 24 paragraphes, et elles décrivent des résultats plutôt que des contrôles. Cela en fait un complément naturel pour une organisation qui exploite déjà un système de management de la sécurité de l'information ISO 27001, et la question la plus fréquente est de savoir dans quelle mesure le SMSI répond déjà à CPS 234.

Le chiffre clé

Sur les 24 paragraphes CPS 234, 23 (96%) correspondent à un élément de ISO 27001, 0 sont seulement faiblement liés et 1 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

L'APRA ne publie aucune correspondance : chaque lien présenté ici relève donc de l'éditorial de ControlMapping, établi paragraphe par paragraphe au regard des mêmes sujets de sécurité que ISO 27001. La liste complète :

CPS 234	Exigence	Correspondance	ISO 27001
Para 13	Board ultimately responsible for information security	Éditorial	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	Éditorial	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	Éditorial	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	Éditorial	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Éditorial	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	Éditorial	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	Éditorial	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Éditorial	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Éditorial	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Éditorial	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	Éditorial	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	Éditorial	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	Éditorial	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	Éditorial	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	Éditorial	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Éditorial	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Aucune correspondance dans nos données	—
Para 30	Testing by skilled, functionally independent specialists	Éditorial	A.8.8
Para 31	Review the testing programme at least annually	Éditorial	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Éditorial	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Éditorial	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Éditorial	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Éditorial	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Éditorial	A.5.5A.6.8

La correspondance est étroite car CPS 234 et ISO 27001 partagent une même structure : un cadre de politiques, la classification des actifs informationnels, des contrôles choisis en fonction des risques, la gestion des incidents, les tests et l'audit interne.

Ce que CPS 234 ajoute

Les liens indiquent où regarder ; le détail, lui, réside dans les points où CPS 234 va plus loin.

• Le conseil d'administration est en dernier ressort responsable de la sécurité de l'information (paragraphe 13), et les rôles doivent être définis à partir du conseil d'administration (paragraphe 14). ISO 27001 demande à la direction générale de démontrer son leadership et son engagement ; CPS 234 attribue nommément la responsabilité au conseil d'administration, et l'APRA contrôle la manière dont elle est exercée.
• Les tiers sont à l'intérieur du périmètre. Vous devez évaluer la capacité de sécurité de toute partie liée ou de tout tiers qui gère vos actifs informationnels (paragraphe 16), évaluer la conception de leurs contrôles (paragraphe 22), vérifier que leurs tests de contrôle satisfont à votre propre niveau d'exigence si vous vous y fiez (paragraphe 28), et faire évaluer par l'audit interne l'assurance qu'ils vous fournissent (paragraphe 34). Les contrôles fournisseurs de l'ISO 27001 (A.5.19 à A.5.22) couvrent le même périmètre ; CPS 234 exige explicitement de vérifier les contrôles des tiers, et pas seulement de les contractualiser.
• Tests réalisés par des spécialistes indépendants. Les tests de contrôle doivent être systématiques, avec une fréquence dictée par les menaces, la criticité et les changements (paragraphe 27), et être menés par des spécialistes possédant les compétences appropriées et indépendants sur le plan fonctionnel (paragraphe 30). Les déficiences qui ne peuvent pas être corrigées à temps sont portées à la connaissance du conseil d'administration ou de la direction générale (paragraphe 29).
• Plans de réponse testés chaque année (paragraphe 26). ISO 27001 exige une planification des incidents mais ne fixe aucune fréquence.
• Notifier l'APRA. Notifiez l'APRA dans les 72 heures suivant la prise de connaissance d'un incident de sécurité de l'information significatif (paragraphe 35), et dans les 10 jours ouvrés suivant la découverte d'une faiblesse significative de contrôle que vous ne pouvez pas corriger à temps (paragraphe 36). Un SMSI ne comporte aucun délai imposé par un régulateur.

L'autre sens

Sur les 123 Mesures de l'Annexe A et clauses du SMSI ISO 27001, 35 (28%) correspondent à un élément de CPS 234, 40 sont seulement faiblement liés et 48 n'ont aucune correspondance dans nos données. Ouvrir le rapport d'écarts →

La plupart des exigences de l'ISO 27001 n'ont aucun lien avec CPS 234 dans nos données. Ce n'est pas parce que CPS 234 ne se soucie pas du contrôle d'accès, du chiffrement ou de la sécurité physique : il exige des contrôles proportionnés à vos menaces sans les nommer. Si vous construisez votre conformité à CPS 234 sans SMSI, l'Annexe A est un catalogue judicieux dans lequel choisir ces contrôles, et le guide de l'APRA, CPG 234, décrit les pratiques qu'elle considère comme les meilleures.

Un plan pratique

1. Cartographiez votre déclaration d'applicabilité au regard des paragraphes CPS 234 ci-dessus ; l'analyse d'écarts l'exporte sous forme de tableau de suivi.
2. Ajoutez un reporting au conseil d'administration qui montre que le conseil exerce sa responsabilité, et pas seulement qu'il reçoit des rapports.
3. Renforcez l'assurance des tiers pour chaque partie qui gère vos actifs informationnels, et pas seulement pour les activités commerciales externalisées significatives.
4. Vérifiez l'indépendance des testeurs et les règles de fréquence de votre programme de tests.
5. Rédigez la procédure de notification à l'APRA avec les deux délais, et testez-la chaque année avec vos plans de réponse.
6. Lisez CPS 230 en parallèle. Depuis le 1er juillet 2025, la norme de l'APRA sur le risque opérationnel couvre la continuité d'activité et les prestataires de services, ce que CPS 234 ne fait pas.

Points clés à retenir

• Un SMSI ISO 27001 couvre presque chaque paragraphe de CPS 234.
• Le travail supplémentaire de CPS 234 porte sur la responsabilité du conseil d'administration, l'assurance des tiers, les tests indépendants et la notification à l'APRA.
• CPS 234 ne nomme pas de contrôles ; l'Annexe A de l'ISO 27001 est donc un bon endroit où les choisir.

Où aller ensuite

La page du référentiel CPS 234 répertorie chaque paragraphe avec le texte de l'APRA, et la comparaison ISO 27001 vs CPS 234 présente les deux sens. Notre guide ISO 27001 traite de la certification.

Questions

La certification ISO 27001 satisfait-elle à CPS 234 de l'APRA ?

Pas à elle seule. Un SMSI ISO 27001 couvre presque chaque paragraphe de CPS 234, mais l'APRA contrôle directement CPS 234, et la norme ajoute des obligations précises : la responsabilité ultime du conseil d'administration, l'évaluation et le test des contrôles des tiers, les tests menés par des spécialistes fonctionnellement indépendants, et la notification à l'APRA dans les 72 heures suivant un incident significatif et dans les 10 jours ouvrés suivant une faiblesse significative de contrôle.

Existe-t-il une correspondance officielle entre CPS 234 et ISO 27001 ?

L'APRA n'en publie pas. Les liens présentés sur ControlMapping relèvent de notre éditorial, établis paragraphe par paragraphe, et chacun indique sa justification.

Qu'est-ce que CPG 234 ?

Le guide de pratique prudentielle CPG 234 de l'APRA décrit les pratiques recommandées pour satisfaire à CPS 234. Il énonce des pratiques précises, mais n'est pas contraignant, et ControlMapping ne le met pas en correspondance.