APRA CPS 234とISO 27001：ISMSがカバーする範囲とAPRAが追加する要件

APRAの健全性基準CPS 234「情報セキュリティ」は、2019年7月1日以降、オーストラリアの銀行、保険会社、スーパーアニュエーション信託の受託者に適用されています。短い基準で、運用上の要件は24 段落に収まっており、管理策ではなく成果を記述しています。そのため、すでにISO 27001の情報セキュリティマネジメントシステム（ISMS）を運用している組織に自然に適合します。最もよく寄せられる質問は、ISMSがCPS 234のどの程度をすでに満たしているかです。

主要な結果

CPS 234 の 24 件の段落のうち、23 件（96%）は ISO 27001 の何らかの項目にマッピングされ、0 件は緩やかに関連するのみで、1 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

APRAは対応表を公表していないため、ここに示すリンクはすべてControlMappingの編集によるもので、ISO 27001と同じセキュリティトピックに基づき段落ごとに対応付けています。全リストは以下のとおりです。

CPS 234	要件	一致	ISO 27001
Para 13	Board ultimately responsible for information security	編集	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	編集	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	編集	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	編集	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	編集	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	編集	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	編集	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	編集	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	編集	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	編集	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	編集	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	編集	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	編集	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	編集	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	編集	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	編集	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	当サイトのデータにはマッピングがありません	—
Para 30	Testing by skilled, functionally independent specialists	編集	A.8.8
Para 31	Review the testing programme at least annually	編集	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	編集	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	編集	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	編集	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	編集	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	編集	A.5.5A.6.8

両者の対応が密なのは、CPS 234とISO 27001が構造を共有しているためです。方針の枠組み、情報資産の分類、リスクに基づく管理策の選定、インシデント管理、テスト、内部監査という要素が共通しています。

CPS 234が追加する事項

リンクは確認すべき箇所を示していますが、詳細においてCPS 234はさらに踏み込んでいます。

• 取締役会が最終的な責任を負います（第13項）。役割は取締役会から下位へ向けて定義しなければなりません（第14項）。ISO 27001はトップマネジメントにリーダーシップとコミットメントを示すことを求めますが、CPS 234は責任を取締役会に明示的に課し、APRAがその履行を監督します。
• 第三者も対象範囲に含まれます。 情報資産を管理する関連当事者または第三者のセキュリティ能力を評価しなければならず（第16項）、その管理策の設計を評価し（第22項）、依拠する場合は当該者のコントロールテストが自社の基準を満たしているかを確認し（第28項）、第三者が提供する保証を内部監査に評価させる必要があります（第34項）。ISO 27001のサプライヤー管理策（A.5.19〜A.5.22）も同じ領域を扱いますが、CPS 234は契約するだけでなく、第三者の管理策を検証することを明確に求めています。
• 独立した専門家によるテスト。 管理策のテストは体系的に行い、頻度は脅威、重要度、変更に基づいて決定しなければならず（第27項）、適切なスキルを持ち、機能的に独立した専門家が実施する必要があります（第30項）。期限内に是正できない不備は、取締役会または上級管理職に報告しなければなりません（第29項）。
• 対応計画は毎年テスト（第26項）。ISO 27001はインシデント計画を求めていますが、頻度は定めていません。
• APRAへの通知。 重大な情報セキュリティインシデントを認識してから72時間以内にAPRAへ通知し（第35項）、期限内に是正できない重大な管理策の不備については10営業日以内に通知しなければなりません（第36項）。ISMSには規制当局への通知期限はありません。

逆方向の対応

ISO 27001 の 123 件の附属書A の管理策およびISMSの箇条のうち、35 件（28%）は CPS 234 の何らかの項目にマッピングされ、40 件は緩やかに関連するのみで、48 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

当サイトのデータでは、ISO 27001の大部分はCPS 234へのリンクがありません。これは、CPS 234がアクセス制御、暗号化、物理セキュリティを重視していないからではありません。CPS 234は、特定の管理策を名指しすることなく、脅威に見合った管理策を求めています。ISMSなしでCPS 234への対応を構築しようとする場合、Annex Aはそれらの管理策を選ぶための適切なカタログです。また、APRAのガイドCPG 234は、APRAが最善の実践とみなす内容を説明しています。

実践的な計画

1. 適用宣言書（Statement of Applicability）を、上記のCPS 234の各段落にマッピングします。 ギャップ分析では、これをトラッカーとしてエクスポートできます。
2. 取締役会への報告を追加します。 取締役会が報告を受け取るだけでなく、その責任を果たしていることを示す内容にしてください。
3. 情報資産を管理するすべての当事者について第三者保証を強化します。 外部委託された重要な業務活動だけでなく、対象を広げてください。
4. テスト担当者の独立性と、テストプログラムの頻度規則を確認します。
5. APRAへの通知手順を、両方の期限を含めて作成し、毎年、対応計画とあわせてテストします。
6. CPS 230も併せて読んでください。 2025年7月1日以降、APRAのオペレーショナルリスク基準が事業継続とサービスプロバイダーを対象としており、これはCPS 234の対象外です。

主要なポイント

• ISO 27001のISMSは、CPS 234のほぼすべての段落に対応しています。
• CPS 234の追加要件は、取締役会の責任、第三者保証、独立したテスト、APRAへの通知です。
• CPS 234は管理策を明示していないため、ISO 27001のAnnex Aが管理策を選ぶ良い出発点になります。

次に読むページ

CPS 234フレームワークページでは、APRAの本文とともに全段落を掲載しており、ISO 27001とCPS 234の比較では両方向の対応を示しています。ISO 27001ガイドでは認証について扱っています。

よくある質問

ISO 27001の認証があれば、APRA CPS 234を満たしますか？

それだけでは不十分です。ISO 27001のISMSはCPS 234のほぼすべての段落に対応していますが、APRAはCPS 234を直接監督しており、この基準は具体的な義務を追加しています。取締役会の最終的な責任、第三者の管理策の評価とテスト、機能的に独立した専門家によるテスト、そして重大なインシデントについては72時間以内、期限内に是正できない重大な管理策の不備については10営業日以内のAPRAへの通知です。

CPS 234とISO 27001の間に公式な対応表はありますか？

APRAは公表していません。ControlMappingのリンクは段落ごとに編集したもので、それぞれ理由を示しています。

CPG 234とは何ですか？

APRAの実施ガイドCPG 234は、CPS 234を満たすための最善の実践を説明しています。特定の実践を挙げていますが、拘束力はなく、ControlMappingではマッピングしていません。