APRA CPS 234 और ISO 27001: आपका ISMS क्या कवर करता है और APRA क्या जोड़ता है

APRA का प्रूडेंशियल स्टैंडर्ड CPS 234 Information Security 1 जुलाई 2019 से ऑस्ट्रेलियाई बैंकों, बीमाकर्ताओं और सुपरएनुएशन ट्रस्टियों पर लागू है। यह छोटा है: इसकी परिचालन आवश्यकताएँ 24 पैराग्राफ़ में समा जाती हैं, और ये नियंत्रणों के बजाय परिणामों का वर्णन करती हैं। इसलिए यह उस संगठन के लिए स्वाभाविक रूप से उपयुक्त है जो पहले से ISO 27001 सूचना सुरक्षा प्रबंधन प्रणाली चलाता है, और सबसे आम सवाल यह होता है कि CPS 234 का कितना हिस्सा ISMS पहले से पूरा करता है।

सबसे अहम आँकड़ा

24 CPS 234 पैराग्राफ़ में से 23 (96%) ISO 27001 में किसी चीज़ से मैप होते हैं, 0 केवल ढीले तौर पर संबंधित हैं और 1 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

APRA कोई क्रॉसवॉक प्रकाशित नहीं करता, इसलिए यहाँ का हर लिंक ControlMapping का संपादकीय है, जो अनुच्छेद-दर-अनुच्छेद उन्हीं सुरक्षा विषयों के आधार पर बनाया गया है जो ISO 27001 में हैं। पूरी सूची:

CPS 234	आवश्यकता	मिलान	ISO 27001
Para 13	Board ultimately responsible for information security	संपादकीय	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	संपादकीय	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	संपादकीय	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	संपादकीय	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	संपादकीय	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	संपादकीय	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	संपादकीय	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	संपादकीय	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	संपादकीय	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	संपादकीय	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	संपादकीय	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	संपादकीय	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	संपादकीय	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	संपादकीय	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	संपादकीय	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	संपादकीय	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	हमारे डेटा में कोई मैपिंग नहीं	—
Para 30	Testing by skilled, functionally independent specialists	संपादकीय	A.8.8
Para 31	Review the testing programme at least annually	संपादकीय	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	संपादकीय	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	संपादकीय	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	संपादकीय	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	संपादकीय	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	संपादकीय	A.5.5A.6.8

यह मिलान करीब इसलिए है क्योंकि CPS 234 और ISO 27001 का ढाँचा एक जैसा है: नीति फ़्रेमवर्क, सूचना परिसंपत्तियों का वर्गीकरण, जोखिम के आधार पर चुने गए नियंत्रण, घटना प्रबंधन, परीक्षण और आंतरिक ऑडिट।

CPS 234 क्या जोड़ता है

लिंक बताते हैं कि कहाँ देखना है; विस्तार वहाँ है जहाँ CPS 234 आगे जाता है।

• सूचना सुरक्षा की अंतिम जिम्मेदारी बोर्ड की है (अनुच्छेद 13), और भूमिकाएँ बोर्ड से नीचे तक परिभाषित होनी चाहिए (अनुच्छेद 14)। ISO 27001 में शीर्ष प्रबंधन से नेतृत्व और प्रतिबद्धता दिखाने की अपेक्षा है; CPS 234 बोर्ड का नाम लेकर जिम्मेदारी सीधे उस पर डालता है, और APRA इस बात की निगरानी करता है कि यह जिम्मेदारी कैसे निभाई जाती है।
• तृतीय पक्ष सुरक्षा घेरे के भीतर हैं। जो कोई संबंधित पक्ष या तृतीय पक्ष आपकी सूचना परिसंपत्तियों का प्रबंधन करता है, उसकी सुरक्षा क्षमता का आकलन करना होगा (अनुच्छेद 16), उनके नियंत्रणों के डिज़ाइन का मूल्यांकन करना होगा (अनुच्छेद 22), यदि आप उनके नियंत्रण परीक्षण पर भरोसा करते हैं तो जाँचना होगा कि वह आपके अपने मानक के अनुरूप है (अनुच्छेद 28), और आंतरिक ऑडिट से उनके द्वारा दिए गए आश्वासन का मूल्यांकन करवाना होगा (अनुच्छेद 34)। ISO 27001 के आपूर्तिकर्ता नियंत्रण (A.5.19 से A.5.22) यही क्षेत्र कवर करते हैं; CPS 234 स्पष्ट रूप से तृतीय पक्षों के नियंत्रणों की पुष्टि करने को कहता है, केवल अनुबंध करने को नहीं।
• स्वतंत्र विशेषज्ञों द्वारा परीक्षण। नियंत्रण परीक्षण व्यवस्थित होना चाहिए, जिसकी आवृत्ति खतरों, महत्त्व और बदलावों से तय हो (अनुच्छेद 27), और उसे उपयुक्त रूप से कुशल तथा कार्यात्मक रूप से स्वतंत्र विशेषज्ञों द्वारा किया जाना चाहिए (अनुच्छेद 30)। जो कमियाँ समय पर ठीक नहीं की जा सकतीं, उन्हें बोर्ड या वरिष्ठ प्रबंधन के समक्ष रखना होगा (अनुच्छेद 29)।
• प्रतिक्रिया योजनाओं का हर साल परीक्षण (अनुच्छेद 26)। ISO 27001 घटना नियोजन की आवश्यकता बताता है, पर उसकी कोई आवृत्ति तय नहीं करता।
• APRA को सूचित करना। किसी भारी सूचना सुरक्षा घटना की जानकारी होने के 72 घंटे के भीतर APRA को सूचित करें (अनुच्छेद 35), और किसी भारी नियंत्रण कमज़ोरी की, जिसे समय पर ठीक नहीं किया जा सकता, 10 कार्य दिवस के भीतर सूचना दें (अनुच्छेद 36)। ISMS में कोई नियामक घड़ी नहीं होती।

दूसरी दिशा

123 ISO 27001 Annex A नियंत्रण और ISMS खंड में से 35 (28%) CPS 234 में किसी चीज़ से मैप होते हैं, 40 केवल ढीले तौर पर संबंधित हैं और 48 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

हमारे डेटा में ISO 27001 के अधिकांश नियंत्रणों का CPS 234 से कोई लिंक नहीं है। इसका यह मतलब नहीं कि CPS 234 को पहुँच नियंत्रण, एन्क्रिप्शन या भौतिक सुरक्षा की परवाह नहीं: वह आपके खतरों के अनुरूप नियंत्रण माँगता है, पर उन्हें नाम नहीं देता। यदि आप ISMS के बिना CPS 234 के लिए तैयारी कर रहे हैं, तो Annex A उन नियंत्रणों को चुनने के लिए एक उपयोगी सूची है, और APRA का मार्गदर्शन CPG 234 बताता है कि वह किन प्रथाओं को बेहतर मानता है।

एक व्यावहारिक योजना

1. अपने प्रयोज्यता विवरण (Statement of Applicability) को ऊपर दिए CPS 234 अनुच्छेदों से मैप करें; गैप विश्लेषण इसे एक ट्रैकर के रूप में निर्यात करता है।
2. बोर्ड रिपोर्टिंग जोड़ें जो दिखाए कि बोर्ड अपनी जिम्मेदारी निभा रहा है, केवल रिपोर्टें प्राप्त नहीं कर रहा।
3. हर उस पक्ष के लिए तृतीय पक्ष आश्वासन मज़बूत करें जो आपकी सूचना परिसंपत्तियों का प्रबंधन करता है, केवल आउटसोर्स की गई भौतिक व्यावसायिक गतिविधियों के लिए नहीं।
4. परीक्षकों की स्वतंत्रता और अपने परीक्षण कार्यक्रम के आवृत्ति नियम जाँचें।
5. APRA सूचना प्रक्रिया लिखें जिसमें दोनों समय-सीमाएँ हों, और उसे हर साल अपनी प्रतिक्रिया योजनाओं के साथ परखें।
6. साथ में CPS 230 पढ़ें। 1 जुलाई 2025 से APRA का परिचालन जोखिम मानक व्यवसाय निरंतरता और सेवा प्रदाताओं को कवर करता है, जिन्हें CPS 234 कवर नहीं करता।

मुख्य बातें

• एक ISO 27001 ISMS लगभग हर CPS 234 अनुच्छेद को संबोधित करता है।
• CPS 234 का अतिरिक्त काम है बोर्ड की जिम्मेदारी, तृतीय पक्ष आश्वासन, स्वतंत्र परीक्षण और APRA को सूचना देना।
• CPS 234 नियंत्रणों के नाम नहीं बताता, इसलिए उन्हें चुनने के लिए ISO 27001 का Annex A एक अच्छा स्रोत है।

आगे कहाँ जाएँ

CPS 234 फ़्रेमवर्क पेज APRA के पाठ के साथ हर अनुच्छेद सूचीबद्ध करता है, और ISO 27001 बनाम CPS 234 तुलना दोनों दिशाएँ दिखाती है। हमारी ISO 27001 गाइड प्रमाणन को कवर करती है।

प्रश्न

क्या ISO 27001 प्रमाणन APRA CPS 234 को पूरा करता है?

अकेले नहीं। ISO 27001 ISMS लगभग हर CPS 234 अनुच्छेद को संबोधित करता है, but APRA CPS 234 की सीधी निगरानी करता है, और यह मानक विशिष्ट दायित्व जोड़ता है: बोर्ड की अंतिम जिम्मेदारी, तृतीय पक्षों के नियंत्रणों का आकलन और परीक्षण, कार्यात्मक रूप से स्वतंत्र विशेषज्ञों द्वारा परीक्षण, तथा किसी भारी घटना के 72 घंटे के भीतर और किसी भारी नियंत्रण कमज़ोरी के 10 कार्य दिवस के भीतर APRA को सूचित करना।

क्या CPS 234 और ISO 27001 के बीच कोई आधिकारिक मैपिंग है?

APRA ऐसी कोई मैपिंग प्रकाशित नहीं करता। ControlMapping पर दिए लिंक संपादकीय हैं, जो अनुच्छेद-दर-अनुच्छेद बनाए गए हैं, और हर लिंक अपना कारण दिखाता है।

CPG 234 क्या है?

APRA का प्रूडेंशियल प्रैक्टिस गाइड CPG 234 CPS 234 के पालन के लिए बेहतर प्रथाओं का वर्णन करता है। यह विशिष्ट प्रथाओं के नाम बताता है, पर यह बाध्यकारी नहीं है, और ControlMapping इसकी मैपिंग नहीं करता।