CPS 234 vs ISO 27001: ISMS에 APRA가 추가로 요구하는 사항

CPS 234는 분량이 짧고 원칙 중심이므로, ISO 27001 경영시스템이 상당 부분을 충족합니다. 이 기준이 다루지 않는 부분은 주로 이사회, 제3자, 그리고 APRA에 대한 통보와 관련됩니다.

APRA의 건전성 기준 CPS 234 정보보안은 2019년 7월 1일부터 호주 은행, 보험사, 연금 신탁사에 적용되고 있습니다. 분량이 짧으며, 핵심 요구사항은 24 항에 담겨 있고, 통제 방식이 아니라 달성해야 할 결과를 기술합니다. 이 때문에 이미 ISO 27001 정보보안 경영시스템(ISMS)을 운영하는 조직에게 자연스럽게 맞는 기준이며, 가장 흔한 질문은 ISMS가 CPS 234의 요구사항을 얼마나 이미 충족하는가입니다.

핵심 수치

CPS 234의 항 24개 중 23개(96%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

APRA는 대응표를 발행하지 않으므로, 이 사이트의 모든 연결은 ControlMapping 편집 콘텐츠이며 ISO 27001과 동일한 보안 주제를 기준으로 문단 단위로 작성했습니다. 전체 목록은 다음과 같습니다:

CPS 234	요구사항	일치	ISO 27001
Para 13	Board ultimately responsible for information security	편집 콘텐츠	A.5.2 A.5.4 Clause 6.1.1 Clause 6.1.3
Para 14	Define information security roles and responsibilities	편집 콘텐츠	A.5.2 A.5.4
Para 15	Maintain a capability commensurate with threats	편집 콘텐츠	Clause 6.1.1 Clause 6.1.3
Para 16	Assess third parties' information security capability	편집 콘텐츠	A.5.19 A.5.20 A.5.21 A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	편집 콘텐츠	A.5.7 A.8.8 Clause 6.1.2 Clause 6.1.3
Para 18	Maintain an information security policy framework	편집 콘텐츠	A.5.1 A.5.37 Clause 5.2
Para 19	Policies direct everyone with security obligations	편집 콘텐츠	A.5.1 A.5.37 Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	편집 콘텐츠	A.5.9 A.5.11 A.5.12 A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	편집 콘텐츠	A.5.14 A.8.10 A.8.11 Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	편집 콘텐츠	A.5.19 A.5.20 A.5.21 A.5.22
Para 23	Detect and respond to incidents in a timely manner	편집 콘텐츠	A.5.24 A.5.25 A.5.26 A.8.16
Para 24	Maintain information security response plans	편집 콘텐츠	A.5.24 A.5.25 A.5.26
Para 25	Response plans cover all stages and escalation	편집 콘텐츠	A.5.6 A.5.24 A.5.25 A.5.26
Para 26	Review and test response plans annually	편집 콘텐츠	A.5.24 A.5.25 A.5.26
Para 27	Systematic testing programme for control effectiveness	편집 콘텐츠	A.8.8 Clause 6.1.1 Clause 6.1.3
Para 28	Check third parties' control testing is adequate	편집 콘텐츠	A.5.19 A.5.20 A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	보유 데이터에 매핑 없음	—
Para 30	Testing by skilled, functionally independent specialists	편집 콘텐츠	A.8.8
Para 31	Review the testing programme at least annually	편집 콘텐츠	Clause 6.1.1 Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	편집 콘텐츠	A.5.31 A.5.36 Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	편집 콘텐츠	A.5.31 A.5.36 Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	편집 콘텐츠	A.5.19 A.5.20 A.5.22 A.5.31
Para 35	Notify APRA of material incidents within 72 hours	편집 콘텐츠	A.5.5 A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	편집 콘텐츠	A.5.5 A.6.8

매칭이 촘촘한 이유는 CPS 234와 ISO 27001이 구조를 공유하기 때문입니다. 즉 정책 체계, 정보자산 분류, 위험에 기반한 통제 선택, 사고 관리, 테스트, 내부감사가 모두 포함됩니다.

빈 이사회 회의실 사진. 긴 테이블의 각 좌석에 닫힌 바인더가 놓여 있음 — CPS 234는 이사회의 책임에서 시작합니다.

CPS 234가 추가하는 사항

연결 항목은 어디를 살펴볼지 알려 주며, 세부 내용에서 CPS 234는 한 걸음 더 나아갑니다.

이사회가 정보보안에 대한 최종 책임을 집니다(13항). 역할은 이사회에서 시작해 하위로 정의되어야 합니다(14항). ISO 27001은 최고경영진에게 리더십과 의지를 보일 것을 요구하지만, CPS 234는 책임을 이사회에 명시적으로 부여하며 APRA는 그 이행을 감독합니다.
제3자도 보호 범위 안에 있습니다. 정보자산을 관리하는 관계사 또는 제3자의 보안 역량을 평가해야 하고(16항), 그들 통제의 설계를 평가해야 하며(22항), 자사가 의존하는 경우 그들의 통제 테스트가 자사 기준을 충족하는지 확인해야 하고(28항), 내부감사가 그들이 제공하는 보증을 평가하도록 해야 합니다(34항). ISO 27001의 공급자 통제(A.5.19~A.5.22)도 같은 영역을 다루지만, CPS 234는 제3자의 통제를 계약만이 아니라 검증하도록 명시합니다.
독립 전문가에 의한 테스트. 통제 테스트는 체계적으로 수행되어야 하며, 빈도는 위협, 중요도, 변경에 따라 정해야 하고(27항), 적절한 역량을 갖추고 기능적으로 독립된 전문가가 수행해야 합니다(30항). 적시에 해결할 수 없는 결함은 이사회 또는 고위경영진에 보고해야 합니다(29항).
대응 계획은 매년 테스트합니다(26항). ISO 27001은 사고 대응 계획을 요구하지만 테스트 빈도는 정하지 않습니다.
APRA에 대한 통보. 중대한 정보보안 사고를 인지한 시점부터 72시간 이내에 APRA에 통보해야 하며(35항), 제때 시정할 수 없는 중대한 통제 취약점은 영업일 기준 10일 이내에 통보해야 합니다(36항). ISMS에는 규제기관 통보 시한이 없습니다.

반대 방향

ISO 27001의 부속서 A 통제 및 ISMS 조항 123개 중 35개(28%)는 CPS 234의 항목에 대응되고, 40개는 느슨하게만 관련되며, 48개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

ISO 27001의 대부분은 보유 데이터에서 CPS 234와 연결되지 않습니다. 이는 CPS 234가 접근 통제, 암호화, 물리 보안을 중요하게 여기지 않아서가 아닙니다. CPS 234는 위협에 상응하는 통제를 요구하지만 구체적으로 명시하지는 않습니다. ISMS 없이 CPS 234를 준비한다면, 부록 A는 그런 통제를 고르기에 적합한 목록이며, APRA의 지침서 CPG 234는 APRA가 바람직하다고 보는 관행을 설명합니다.

실행 계획

적용성 선언서(SoA)를 위의 CPS 234 항목에 매핑하십시오. 격차 분석에서 이를 추적표로 내보낼 수 있습니다.
이사회 보고를 추가하십시오. 이사회가 보고서를 받기만 하는 것이 아니라 책임을 실제로 이행하는 모습을 보여 주어야 합니다.
정보자산을 관리하는 모든 당사자에 대해 제3자 보증을 강화하십시오. 중요 업무를 아웃소싱하는 곳만이 아닙니다.
테스터의 독립성과 테스트 프로그램의 빈도 규칙을 점검하십시오.
두 개의 통보 기한을 포함한 APRA 통보 절차를 작성하고, 매년 대응 계획과 함께 테스트하십시오.
CPS 230을 함께 검토하십시오. 2025년 7월 1일부터 APRA의 운영 리스크 기준이 적용되어 업무 연속성과 서비스 제공업체를 다루며, 이는 CPS 234에는 없는 내용입니다.

핵심 요약

ISO 27001 ISMS는 CPS 234의 거의 모든 항목을 다룹니다.
CPS 234의 추가 업무는 이사회 책임, 제3자 보증, 독립 테스트, APRA 통보입니다.
CPS 234는 통제를 명시하지 않으므로, 통제를 고를 때 ISO 27001 부록 A가 좋은 출발점입니다.

다음으로 볼 자료

CPS 234 프레임워크 페이지에서 APRA 원문과 함께 모든 항목을 확인할 수 있으며, ISO 27001 vs CPS 234 비교에서 양방향 대응을 볼 수 있습니다. ISO 27001 가이드에서는 인증을 다룹니다.

질문

ISO 27001 인증으로 APRA CPS 234를 충족하나요?

그 자체만으로는 충족되지 않습니다. ISO 27001 ISMS는 CPS 234의 거의 모든 항목을 다루지만, APRA는 CPS 234를 직접 감독하며 이 기준은 특정 의무를 추가로 요구합니다. 이사회의 최종 책임, 제3자 통제의 평가와 테스트, 기능적으로 독립된 전문가에 의한 테스트, 중대한 사고의 72시간 이내 통보, 중대한 통제 취약점의 영업일 기준 10일 이내 통보가 그것입니다.

CPS 234와 ISO 27001 사이에 공식 대응표가 있나요?

APRA는 대응표를 발행하지 않습니다. ControlMapping의 연결은 편집 콘텐츠이며 문단 단위로 작성되었고, 각 연결은 그 이유를 보여 줍니다.

CPG 234란 무엇인가요?

APRA의 건전성 실무 지침서 CPG 234는 CPS 234를 충족하기 위한 바람직한 관행을 설명합니다. 구체적인 실무를 제시하지만 구속력은 없으며, ControlMapping은 이를 매핑하지 않습니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

APRA CPS 234와 ISO 27001: ISMS 적용 범위와 APRA 추가 요건