APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRA

Lo Prudential Standard CPS 234 Information Security di APRA si applica alle banche, alle compagnie assicurative e ai fondi pensione australiani dal 1 luglio 2019. È breve: i requisiti operativi stanno in 24 paragrafi e descrivono risultati anziché controlli. Ciò lo rende un naturale complemento per un'organizzazione che già gestisce un sistema di gestione della sicurezza delle informazioni ISO 27001, e la domanda più frequente è quanta parte del CPS 234 l'ISMS già copre.

Il dato principale

Dei 24 paragrafi di CPS 234, 23 (96%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 1 non hanno mappature nei nostri dati. Apri il report sui gap →

APRA non pubblica alcun crosswalk, quindi ogni collegamento qui è a cura della redazione di ControlMapping, realizzato paragrafo per paragrafo sugli stessi argomenti di sicurezza di ISO 27001. L'elenco completo:

CPS 234	Requisito	Corrispondenza	ISO 27001
Para 13	Board ultimately responsible for information security	Redazione	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	Redazione	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	Redazione	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	Redazione	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Redazione	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	Redazione	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	Redazione	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Redazione	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Redazione	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Redazione	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	Redazione	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	Redazione	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	Redazione	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	Redazione	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	Redazione	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Redazione	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Nessuna mappatura nei nostri dati	—
Para 30	Testing by skilled, functionally independent specialists	Redazione	A.8.8
Para 31	Review the testing programme at least annually	Redazione	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Redazione	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Redazione	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Redazione	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Redazione	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Redazione	A.5.5A.6.8

La corrispondenza è stretta perché CPS 234 e ISO 27001 condividono una struttura: un framework di policy, la classificazione degli asset informativi, controlli scelti in base al rischio, gestione degli incidenti, test e audit interno.

Cosa aggiunge il CPS 234

I collegamenti indicano dove guardare; il dettaglio è dove il CPS 234 va oltre.

• Il Consiglio di amministrazione è il responsabile ultimo della sicurezza delle informazioni (paragrafo 13), e i ruoli devono essere definiti a partire dal Consiglio (paragrafo 14). ISO 27001 chiede alla direzione di dimostrare leadership e impegno; il CPS 234 attribuisce espressamente la responsabilità al Consiglio di amministrazione, e APRA vigila su come viene esercitata.
• Le terze parti rientrano nel perimetro. Occorre valutare la capacità di sicurezza di qualsiasi parte correlata o terza che gestisca i tuoi asset informativi (paragrafo 16), valutare la progettazione dei loro controlli (paragrafo 22), verificare che i loro test di controllo soddisfino il tuo stesso standard se ti affidi ad essi (paragrafo 28), e far valutare dall'audit interno le garanzie che ti forniscono (paragrafo 34). I controlli sui fornitori di ISO 27001 (da A.5.19 ad A.5.22) coprono lo stesso ambito; il CPS 234 è esplicito nel richiedere la verifica dei controlli delle terze parti, non solo la contrattualizzazione.
• Test da parte di specialisti indipendenti. I test di controllo devono essere sistematici, con una frequenza determinata da minacce, criticità e modifiche (paragrafo 27), ed eseguiti da specialisti con competenze adeguate e funzionalmente indipendenti (paragrafo 30). Le carenze che non possono essere risolte in tempo vanno sottoposte al Consiglio di amministrazione o all'alta direzione (paragrafo 29).
• Piani di risposta testati ogni anno (paragrafo 26). ISO 27001 richiede la pianificazione della gestione degli incidenti ma non fissa alcuna frequenza.
• Comunicazione ad APRA. Notificare ad APRA entro 72 ore dal momento in cui si ha conoscenza di un incidente rilevante di sicurezza delle informazioni (paragrafo 35), e entro 10 giorni lavorativi da una debolezza rilevante dei controlli che non si riesce a risolvere in tempo (paragrafo 36). Un ISMS non prevede alcuna scadenza regolatoria.

L'altra direzione

Dei 123 Controlli dell'Allegato A e clausole dell'ISMS di ISO 27001, 35 (28%) corrispondono a qualcosa in CPS 234, 40 sono solo debolmente correlati e 48 non hanno mappature nei nostri dati. Apri il report sui gap →

La maggior parte di ISO 27001 non ha alcun collegamento con il CPS 234 nei nostri dati. Non perché il CPS 234 non si occupi di controllo degli accessi, cifratura o sicurezza fisica: richiede controlli commisurati alle minacce senza citarli esplicitamente. Se stai costruendo la conformità al CPS 234 senza un ISMS, l'Allegato A è un catalogo sensato da cui scegliere quei controlli, e la guida di APRA CPG 234 descrive le pratiche migliori che l'Autorità considera tali.

Un piano pratico

1. Mappa la tua Dichiarazione di applicabilità rispetto ai paragrafi del CPS 234 sopra indicati; la gap analysis la esporta come tracker.
2. Aggiungi reportistica al Consiglio di amministrazione che mostri il Consiglio esercitare la sua responsabilità, non solo ricevere report.
3. Rafforza le garanzie delle terze parti per ogni parte che gestisce i tuoi asset informativi, non solo per le attività aziendali esternalizzate di rilievo.
4. Verifica l'indipendenza dei tester e le regole di frequenza del tuo programma di test.
5. Scrivi la procedura di notifica ad APRA con entrambe le scadenze, e testala ogni anno insieme ai piani di risposta.
6. Leggi insieme il CPS 230. Dal 1 luglio 2025, lo standard di APRA sul rischio operativo copre la continuità operativa e i fornitori di servizi, cosa che il CPS 234 non fa.

Punti chiave

• Un ISMS ISO 27001 copre quasi ogni paragrafo del CPS 234.
• Il lavoro aggiuntivo del CPS 234 riguarda la responsabilità del Consiglio di amministrazione, le garanzie delle terze parti, i test indipendenti e la notifica ad APRA.
• Il CPS 234 non nomina i controlli, quindi l'Allegato A di ISO 27001 è un buon punto da cui sceglierli.

Dove andare dopo

La pagina del framework CPS 234 elenca ogni paragrafo con il testo di APRA, e il confronto ISO 27001 vs CPS 234 mostra entrambe le direzioni. La nostra guida a ISO 27001 copre la certificazione.

Domande

La certificazione ISO 27001 soddisfa il CPS 234 di APRA?

Non di per sé. Un ISMS ISO 27001 copre quasi ogni paragrafo del CPS 234, ma APRA vigila direttamente sul CPS 234 e lo standard aggiunge obblighi specifici: la responsabilità ultima del Consiglio di amministrazione, la valutazione e il test dei controlli delle terze parti, i test da parte di specialisti funzionalmente indipendenti e la notifica ad APRA entro 72 ore da un incidente rilevante e entro 10 giorni lavorativi da una debolezza rilevante dei controlli.

Esiste una mappatura ufficiale tra CPS 234 e ISO 27001?

APRA non ne pubblica una. I collegamenti su ControlMapping sono a cura della redazione, realizzati paragrafo per paragrafo, e ciascuno mostra la motivazione.

Cos'è il CPG 234?

La Prudential Practice Guide CPG 234 di APRA descrive le pratiche migliori per soddisfare il CPS 234. Indica pratiche specifiche, ma non è vincolante, e ControlMapping non la mappa.