Framework

APRA CPS 234 Information Security

Di cosa si tratta

Un standard prudenziale giuridicamente vincolante dell'Australian Prudential Regulation Authority (APRA), in vigore dal 1° luglio 2019. Ha un approccio basato su principi: 24 paragrafi operativi su responsabilità del Consiglio di amministrazione, capacità di sicurezza delle informazioni, politica, classificazione degli asset, controlli, gestione degli incidenti, test dei controlli, audit interno e notifica ad APRA. La guida CPG 234 di APRA descrive le buone pratiche ma non è vincolante.

Chi ne ha bisogno

Tutti i soggetti vigilati da APRA: istituti di deposito autorizzati (banche, cooperative di credito e società di mutuo risparmio edilizio), assicuratori generali, vita e assicuratori sanitari privati, e licenziatari RSE (fiduciari di fondi pensione). I suoi requisiti si estendono alle parti correlate e ai terzi che gestiscono i loro asset informativi.

Come viene valutato

Non è prevista alcuna certificazione; la conformità è verificata da APRA in sede di vigilanza. I soggetti devono notificare ad APRA entro 72 ore dal momento in cui vengono a conoscenza di un incidente rilevante di sicurezza delle informazioni, e entro 10 giorni lavorativi da una debolezza rilevante dei controlli che non riescono a rimediare in tempo. La continuità operativa e i fornitori di servizi sono disciplinati separatamente dal CPS 230 Gestione del rischio operativo, in vigore dal 1° luglio 2025.

Paragrafi

Mappato su un altro framework

34%

Argomenti coperti (17/50)

Gap analysis → CPS 234 Da CPS 234 →

Conteggi: i paragrafi operativi da 13 a 36.

CPS 234 è basato su principi: richiede controlli commisurati alle minacce senza nominarle, quindi la maggior parte degli argomenti tecnici non mostra alcun collegamento. La guida di APRA, CPG 234, indica pratiche specifiche ma non è vincolante e non è mappata. Tutti i collegamenti sono editoriali.

Requisiti

ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.

APRA CPS 234 Information Security requisiti
ID	Requisito	Argomenti	Mappato in
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	Gestione del rischio, Ruoli e responsabilità	10 di 13
Para 14	Define information security roles and responsibilities	Ruoli e responsabilità	9 di 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	Gestione del rischio	10 di 13
Para 16	Assess third parties' information security capability	Gestione del rischio della supply chain, Gestione del rischio dei fornitori	10 di 13
Para 17	Keep capability current as threats and vulnerabilities change	Risk Assessment, Gestione delle vulnerabilità, Threat Intelligence	13 di 13
Policy framework · 2
Para 18	Maintain an information security policy framework	Politica di governance	9 di 13
Para 19	Policies direct everyone with security obligations	Politica di governance	9 di 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	Gestione degli asset, Classificazione dei dati	13 di 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	Risk Assessment, Protezione dei dati	11 di 13
Para 22	Evaluate the design of third parties' controls	Gestione del rischio della supply chain, Gestione del rischio dei fornitori	10 di 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	Intrusion Detection, Gestione degli incidenti	12 di 13
Para 24	Maintain information security response plans	Gestione degli incidenti	12 di 13
Para 25	Response plans cover all stages and escalation	Gestione degli incidenti, Comunicazione, Lezioni apprese	12 di 13
Para 26	Review and test response plans annually	Gestione degli incidenti	12 di 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	Gestione del rischio, Gestione delle vulnerabilità	13 di 13
Para 28	Check third parties' control testing is adequate	Gestione del rischio dei fornitori	10 di 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	nessuno
Para 30	Testing by skilled, functionally independent specialists	Gestione delle vulnerabilità	13 di 13
Para 31	Review the testing programme at least annually	Gestione del rischio	10 di 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	Conformità	10 di 13
Para 33	Assurance provided by appropriately skilled personnel	Conformità	10 di 13
Para 34	Internal audit assesses third-party assurance relied on	Conformità, Gestione del rischio dei fornitori	11 di 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	Segnalazione	12 di 13
Para 36	Notify APRA of material control weaknesses within 10 business days	Segnalazione	12 di 13

Copertura dell'argomento

Argomenti con requisiti CPS 234 mappati (17):

Politica di governance Gestione del rischio Gestione del rischio della supply chain Ruoli e responsabilità Conformità Gestione degli asset Risk Assessment Classificazione dei dati Gestione delle vulnerabilità Threat Intelligence Protezione dei dati Intrusion Detection Gestione degli incidenti Comunicazione Segnalazione Lezioni apprese Gestione del rischio dei fornitori

Nessuna mappatura nei nostri dati Nessun requisito di CPS 234 (33):