APRA CPS 234 Information Security
De quoi il s'agit
Une norme prudentielle juridiquement contraignante émise par l'Autorité de régulation prudentielle australienne (APRA), en vigueur depuis le 1er juillet 2019. Elle repose sur des principes : 24 paragraphes opérationnels couvrant la responsabilité du conseil d'administration, la capacité de sécurité de l'information, la politique, la classification des actifs, les contrôles, la gestion des incidents, le test des contrôles, l'audit interne et la notification à l'APRA. Le guide CPG 234 de l'APRA décrit les bonnes pratiques, mais n'est pas contraignant.
À qui il s'adresse
Toutes les entités réglementées par l'APRA : les établissements de dépôt agréés (banques, coopératives de crédit et sociétés de construction et d'épargne), les assureurs généraux, vie et santé privée, ainsi que les titulaires de licence RSE (administrateurs de fonds de retraite). Ses exigences s'étendent aux parties liées et aux tiers qui gèrent leurs actifs informationnels.
Comment l'évaluation est réalisée
Il n'existe pas de certification ; l'APRA supervise la conformité. Les entités doivent notifier l'APRA dans un délai de 72 heures après avoir pris connaissance d'un incident significatif de sécurité de l'information, et dans un délai de 10 jours ouvrables après avoir constaté une faiblesse significative d'un contrôle qu'elles ne peuvent pas corriger à temps. La continuité d'activité et les prestataires de services sont couverts séparément par la norme CPS 230 Gestion du risque opérationnel, en vigueur depuis le 1er juillet 2025.
Décomptes : les paragraphes opérationnels 13 à 36.
CPS 234 est fondé sur des principes : il exige des contrôles proportionnés aux menaces sans les nommer, si bien que la plupart des sujets techniques n'affichent aucun lien. Le guide de l'APRA, CPG 234, décrit des pratiques précises mais n'est ni contraignant ni mis en correspondance. Tous les liens sont éditoriaux.
Exigences
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
| ID | Exigence | Sujets | Mis en correspondance dans |
|---|---|---|---|
| Roles and responsibilities · 2 | |||
| Para 13 | Board ultimately responsible for information security | Gestion des risques, Rôles et responsabilités | 10 sur 13 |
| Para 14 | Define information security roles and responsibilities | Rôles et responsabilités | 9 sur 13 |
| Information security capability · 3 | |||
| Para 15 | Maintain a capability commensurate with threats | Gestion des risques | 10 sur 13 |
| Para 16 | Assess third parties' information security capability | Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs | 10 sur 13 |
| Para 17 | Keep capability current as threats and vulnerabilities change | Évaluation des risques, Gestion des vulnérabilités, Renseignement sur les menaces | 13 sur 13 |
| Policy framework · 2 | |||
| Para 18 | Maintain an information security policy framework | Politique de gouvernance | 9 sur 13 |
| Para 19 | Policies direct everyone with security obligations | Politique de gouvernance | 9 sur 13 |
| Information asset identification and classification · 1 | |||
| Para 20 | Classify information assets by criticality and sensitivity | Gestion des actifs, Classification des données | 13 sur 13 |
| Implementation of controls · 2 | |||
| Para 21 | Timely controls commensurate with risk and asset life-cycle | Évaluation des risques, Protection des données | 11 sur 13 |
| Para 22 | Evaluate the design of third parties' controls | Risque lié à la chaîne d'approvisionnement, Gestion des risques fournisseurs | 10 sur 13 |
| Incident management · 4 | |||
| Para 23 | Detect and respond to incidents in a timely manner | Détection d'intrusion, Réponse aux incidents | 12 sur 13 |
| Para 24 | Maintain information security response plans | Réponse aux incidents | 12 sur 13 |
| Para 25 | Response plans cover all stages and escalation | Réponse aux incidents, Communication, Enseignements tirés | 12 sur 13 |
| Para 26 | Review and test response plans annually | Réponse aux incidents | 12 sur 13 |
| Testing control effectiveness · 5 | |||
| Para 27 | Systematic testing programme for control effectiveness | Gestion des risques, Gestion des vulnérabilités | 13 sur 13 |
| Para 28 | Check third parties' control testing is adequate | Gestion des risques fournisseurs | 10 sur 13 |
| Para 29 | Escalate deficiencies that can't be fixed quickly | — | aucun |
| Para 30 | Testing by skilled, functionally independent specialists | Gestion des vulnérabilités | 13 sur 13 |
| Para 31 | Review the testing programme at least annually | Gestion des risques | 10 sur 13 |
| Internal audit · 3 | |||
| Para 32 | Internal audit reviews control design and effectiveness | Conformité | 10 sur 13 |
| Para 33 | Assurance provided by appropriately skilled personnel | Conformité | 10 sur 13 |
| Para 34 | Internal audit assesses third-party assurance relied on | Conformité, Gestion des risques fournisseurs | 11 sur 13 |
| APRA notification · 2 | |||
| Para 35 | Notify APRA of material incidents within 72 hours | Notification | 12 sur 13 |
| Para 36 | Notify APRA of material control weaknesses within 10 business days | Notification | 12 sur 13 |
Couverture du sujet
Thèmes avec des exigences CPS 234 mappées (17) :
Aucune correspondance dans nos données Aucune exigence CPS 234 (33) :