APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRA

Standar Prudensial CPS 234 Keamanan Informasi milik APRA telah berlaku bagi bank, perusahaan asuransi, dan pengelola dana pensiun (superannuation trustees) di Australia sejak 1 Juli 2019. Standar ini singkat: persyaratan operatifnya muat dalam 24 paragraf, dan persyaratannya menjelaskan hasil yang harus dicapai, bukan kontrol tertentu. Hal ini membuat CPS 234 cocok secara alami bagi organisasi yang sudah menjalankan sistem manajemen keamanan informasi ISO 27001 (ISMS), dan pertanyaan yang paling sering muncul adalah seberapa besar bagian CPS 234 yang sudah dijawab oleh ISMS tersebut.

Angka utama

Dari 24 paragraf CPS 234, 23 (96%) dipetakan ke sesuatu dalam ISO 27001, 0 hanya terkait secara longgar, dan 1 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

APRA tidak menerbitkan Crosswalk, sehingga setiap tautan di sini merupakan Editorial ControlMapping, dibuat paragraf demi paragraf terhadap topik keamanan yang sama dengan ISO 27001. Daftar lengkapnya:

CPS 234	Persyaratan	Kecocokan	ISO 27001
Para 13	Board ultimately responsible for information security	Editorial	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	Editorial	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	Editorial	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	Editorial	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Editorial	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	Editorial	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	Editorial	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Editorial	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Editorial	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Editorial	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	Editorial	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	Editorial	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	Editorial	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	Editorial	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	Editorial	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Editorial	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Tidak ada pemetaan dalam data kami	—
Para 30	Testing by skilled, functionally independent specialists	Editorial	A.8.8
Para 31	Review the testing programme at least annually	Editorial	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Editorial	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Editorial	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Editorial	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Editorial	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Editorial	A.5.5A.6.8

Kecocokannya cukup rapat karena CPS 234 dan ISO 27001 memiliki struktur yang serupa: kerangka kebijakan, klasifikasi aset informasi, kontrol yang dipilih berdasarkan risiko, manajemen insiden, pengujian, dan audit internal.

Apa yang ditambahkan CPS 234

Tautan menunjukkan di mana harus mencari; detailnya ada di bagian di mana CPS 234 melangkah lebih jauh.

• Dewan Direksi bertanggung jawab utama atas keamanan informasi (paragraf 13), dan peran harus ditetapkan mulai dari Dewan Direksi ke bawah (paragraf 14). ISO 27001 meminta manajemen puncak menunjukkan kepemimpinan dan komitmen; CPS 234 secara eksplisit membebankan tanggung jawab itu kepada Dewan Direksi, dan APRA mengawasi pelaksanaannya.
• Pihak ketiga berada dalam perimeter. Anda harus menilai kapabilitas keamanan setiap pihak terkait atau pihak ketiga yang mengelola aset informasi Anda (paragraf 16), mengevaluasi desain kontrol mereka (paragraf 22), memastikan pengujian kontrol mereka memenuhi standar Anda sendiri jika Anda mengandalkannya (paragraf 28), dan meminta audit internal menilai jaminan yang mereka berikan kepada Anda (paragraf 34). Kontrol pemasok ISO 27001 (A.5.19 sampai A.5.22) mencakup wilayah yang sama; CPS 234 secara eksplisit menuntut verifikasi kontrol pihak ketiga, bukan hanya kontrak.
• Pengujian oleh spesialis independen. Pengujian kontrol harus dilakukan secara sistematis, dengan frekuensi yang didorong oleh ancaman, tingkat kekritisan, dan perubahan (paragraf 27), serta dilaksanakan oleh spesialis yang berkualifikasi memadai dan independen secara fungsional (paragraf 30). Kekurangan yang tidak dapat diperbaiki tepat waktu harus dilaporkan kepada Dewan Direksi atau manajemen senior (paragraf 29).
• Rencana respons diuji setiap tahun (paragraf 26). ISO 27001 mensyaratkan perencanaan insiden tetapi tidak menetapkan frekuensinya.
• Memberi tahu APRA. Beri tahu APRA dalam 72 jam sejak Anda mengetahui adanya insiden keamanan informasi yang material (paragraf 35), dan dalam 10 hari kerja sejak Anda mengetahui adanya kelemahan kontrol yang material dan tidak dapat diperbaiki tepat waktu (paragraf 36). ISMS tidak memiliki tenggat waktu dari regulator.

Arah sebaliknya

Dari 123 Kontrol Lampiran A dan klausul SMKI ISO 27001, 35 (28%) dipetakan ke sesuatu dalam CPS 234, 40 hanya terkait secara longgar, dan 48 tidak memiliki pemetaan dalam data kami. Buka laporan kesenjangan →

Sebagian besar ISO 27001 tidak memiliki tautan ke CPS 234 dalam data kami. Hal itu bukan berarti CPS 234 tidak peduli pada kontrol akses, enkripsi, atau keamanan fisik: standar ini mewajibkan kontrol yang sepadan dengan ancaman Anda tanpa menyebutkannya secara spesifik. Jika Anda membangun kepatuhan CPS 234 tanpa ISMS, Annex A adalah katalog yang tepat untuk memilih kontrol tersebut, dan panduan APRA CPG 234 menjelaskan praktik yang menurut APRA lebih baik.

Rencana praktis

1. Petakan Statement of Applicability Anda ke paragraf CPS 234 di atas; analisis kesenjangan mengekspornya sebagai pelacak.
2. Tambahkan pelaporan kepada Dewan Direksi yang menunjukkan Dewan Direksi menjalankan tanggung jawabnya, bukan sekadar menerima laporan.
3. Perkuat jaminan pihak ketiga untuk setiap pihak yang mengelola aset informasi Anda, tidak hanya kegiatan usaha material yang dialihdayakan.
4. Periksa independensi penguji dan aturan frekuensi untuk program pengujian Anda.
5. Susun prosedur notifikasi APRA dengan kedua tenggat waktu, dan uji bersama rencana respons Anda setiap tahun.
6. Baca CPS 230 bersamaan. Sejak 1 Juli 2025, standar risiko operasional APRA mencakup kesinambungan usaha dan penyedia layanan, yang tidak tercakup dalam CPS 234.

Poin utama

• ISMS ISO 27001 mencakup hampir setiap paragraf CPS 234.
• Pekerjaan tambahan CPS 234 meliputi tanggung jawab Dewan Direksi, jaminan pihak ketiga, pengujian independen, dan notifikasi kepada APRA.
• CPS 234 tidak menyebutkan kontrol secara spesifik, sehingga Annex A ISO 27001 adalah tempat yang baik untuk memilihnya.

Langkah selanjutnya

Halaman kerangka kerja CPS 234 mencantumkan setiap paragraf beserta teks APRA, dan perbandingan ISO 27001 vs CPS 234 menunjukkan kedua arah. Panduan ISO 27001 kami membahas sertifikasi.

Pertanyaan

Apakah sertifikasi ISO 27001 memenuhi CPS 234 APRA?

Tidak dengan sendirinya. ISMS ISO 27001 mencakup hampir setiap paragraf CPS 234, tetapi APRA mengawasi CPS 234 secara langsung, dan standar tersebut menambahkan kewajiban spesifik: tanggung jawab utama Dewan Direksi, penilaian dan pengujian kontrol pihak ketiga, pengujian oleh spesialis yang independen secara fungsional, serta pemberitahuan kepada APRA dalam 72 jam sejak insiden material dan dalam 10 hari kerja sejak kelemahan kontrol material ditemukan.

Apakah ada pemetaan resmi antara CPS 234 dan ISO 27001?

APRA tidak menerbitkannya. Tautan di ControlMapping bersifat Editorial, dibuat paragraf demi paragraf, dan setiap tautan menampilkan alasannya.

Apa itu CPG 234?

Panduan Praktik Prudensial CPG 234 milik APRA menjelaskan praktik terbaik untuk memenuhi CPS 234. Panduan ini menyebutkan praktik-praktik tertentu, tetapi tidak mengikat, dan ControlMapping tidak memetakannya.