フレームワーク

APRA CPS 234 Information Security

概要

オーストラリア健全性規制庁（APRA）が定める法的拘束力のある健全性基準で、2019年7月1日から施行されています。原則ベースの基準であり、取締役会の責任、情報セキュリティ能力、方針、資産分類、管理策、インシデント管理、管理策のテスト、内部監査、APRAへの通知を扱う24の運用上の条項から成ります。APRAのガイドCPG 234はベストプラクティスを示していますが、拘束力はありません。

対象となる読者

APRAの規制対象となるすべての事業体が対象です。具体的には、認可預金取扱機関（銀行、信用組合、住宅金融組合）、一般保険、生命保険、民間医療保険の各事業者、およびRSEライセンシー（スーパーアニュエーション受託者）です。その要件は、情報資産を管理する関連当事者および第三者にも及びます。

評価方法

認証制度はなく、APRAがコンプライアンスを監督します。事業体は、重大な情報セキュリティインシデントを認識してから72時間以内に、また、期限内に是正できない重大な管理上の不備を認識してから10営業日以内にAPRAへ通知しなければなりません。事業継続およびサービスプロバイダーについては、2025年7月1日から施行されているCPS 230「オペレーショナルリスク管理」で別途定められています。

段落

他のフレームワークにマッピング済み

34%

カバーしているトピック（17/50）

ギャップ分析 → CPS 234 CPS 234 から →

件数：運用に関する段落13～36。

CPS 234は原則ベースの規格で、脅威を明示せずに脅威に見合った統制を求めるため、ほとんどの技術トピックにはリンクが表示されません。APRAのガイドCPG 234は具体的な実践を示していますが、拘束力はなく、マッピングもしていません。すべてのリンクは編集上の判断によるものです。

要件

要件 ID とタイトルは、各フレームワークが公開している英語の表記のまま表示しています。

APRA CPS 234 Information Security 要件
ID	要件	トピック	マッピング先:
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	リスクマネジメント, 役割と責任	13 件中 10 件
Para 14	Define information security roles and responsibilities	役割と責任	13 件中 9 件
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	リスクマネジメント	13 件中 10 件
Para 16	Assess third parties' information security capability	サプライチェーンリスク, ベンダーリスク管理	13 件中 10 件
Para 17	Keep capability current as threats and vulnerabilities change	リスクアセスメント, 脆弱性管理, 脅威インテリジェンス	13 件中 13 件
Policy framework · 2
Para 18	Maintain an information security policy framework	ガバナンスポリシー	13 件中 9 件
Para 19	Policies direct everyone with security obligations	ガバナンスポリシー	13 件中 9 件
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	資産管理, データ分類	13 件中 13 件
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	リスクアセスメント, データ保護	13 件中 11 件
Para 22	Evaluate the design of third parties' controls	サプライチェーンリスク, ベンダーリスク管理	13 件中 10 件
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	侵入検知, インシデント対応	13 件中 12 件
Para 24	Maintain information security response plans	インシデント対応	13 件中 12 件
Para 25	Response plans cover all stages and escalation	インシデント対応, コミュニケーション, 教訓の反映	13 件中 12 件
Para 26	Review and test response plans annually	インシデント対応	13 件中 12 件
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	リスクマネジメント, 脆弱性管理	13 件中 13 件
Para 28	Check third parties' control testing is adequate	ベンダーリスク管理	13 件中 10 件
Para 29	Escalate deficiencies that can't be fixed quickly	—	なし
Para 30	Testing by skilled, functionally independent specialists	脆弱性管理	13 件中 13 件
Para 31	Review the testing programme at least annually	リスクマネジメント	13 件中 10 件
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	コンプライアンス	13 件中 10 件
Para 33	Assurance provided by appropriately skilled personnel	コンプライアンス	13 件中 10 件
Para 34	Internal audit assesses third-party assurance relied on	コンプライアンス, ベンダーリスク管理	13 件中 11 件
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	報告	13 件中 12 件
Para 36	Notify APRA of material control weaknesses within 10 business days	報告	13 件中 12 件

トピックのカバレッジ

CPS 234のマッピング済み要件を持つトピック（17件）:

ガバナンスポリシーリスクマネジメントサプライチェーンリスク役割と責任コンプライアンス資産管理リスクアセスメントデータ分類脆弱性管理脅威インテリジェンスデータ保護侵入検知インシデント対応コミュニケーション報告教訓の反映ベンダーリスク管理

当サイトのデータにはマッピングがありません CPS 234 の要件なし（33）: