프레임워크

APRA CPS 234 Information Security

개요

호주건전성규제청(APRA)이 발표한 법적 구속력이 있는 건전성 기준으로, 2019년 7월 1일부터 시행되고 있습니다. 원칙 기반 기준으로, 이사회의 책임, 정보보안 역량, 정책, 자산 분류, 통제, 사고 관리, 통제 테스트, 내부 감사, APRA 통지에 관한 24개의 운영 조항으로 구성됩니다. APRA의 지침서인 CPG 234는 모범 실무를 설명하지만 구속력은 없습니다.

필요한 대상

APRA의 규제를 받는 모든 기관으로, 인가 예금수취기관(은행, 신용협동조합, 상호금융조합), 일반보험, 생명보험 및 민간 건강보험 회사, RSE 라이선스 보유자(퇴직연금 수탁자)를 포함합니다. 이 기준의 요구사항은 정보자산을 관리하는 관계사 및 제3자에게도 적용됩니다.

평가 방식

인증 제도는 없으며, APRA가 규정 준수 여부를 감독합니다. 기관은 중대한 정보보안 사고를 인지한 시점부터 72시간 이내에 APRA에 통지해야 하며, 기한 내 개선할 수 없는 중대한 통제 취약점은 발견 후 영업일 기준 10일 이내에 통지해야 합니다. 사업 연속성과 서비스 제공업체는 2025년 7월 1일부터 시행된 CPS 230 운영 리스크 관리에서 별도로 다룹니다.

항

다른 프레임워크에 매핑됨

34%

다루는 주제 (17/50)

격차 분석 → CPS 234 CPS 234에서 →

집계 기준: 운영 관련 항 13~36.

CPS 234는 원칙 기반 규정으로, 위협을 명시하지 않고 위협에 상응하는 통제를 요구하므로 대부분의 기술 주제에는 연결이 표시되지 않습니다. APRA의 가이드인 CPG 234는 구체적인 실무를 명시하지만 구속력이 없으며 매핑되지 않았습니다. 모든 연결은 편집상의 판단에 따른 것입니다.

요구사항

요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.

APRA CPS 234 Information Security 요구사항
ID	요구사항	주제	매핑 위치:
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	위험 관리, 역할 및 책임	10 / 13
Para 14	Define information security roles and responsibilities	역할 및 책임	9 / 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	위험 관리	10 / 13
Para 16	Assess third parties' information security capability	공급망 위험, 벤더 리스크 관리	10 / 13
Para 17	Keep capability current as threats and vulnerabilities change	위험 평가, 취약점 관리, 위협 인텔리전스	13 / 13
Policy framework · 2
Para 18	Maintain an information security policy framework	거버넌스 정책	9 / 13
Para 19	Policies direct everyone with security obligations	거버넌스 정책	9 / 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	자산 관리, 데이터 분류	13 / 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	위험 평가, 데이터 보호	11 / 13
Para 22	Evaluate the design of third parties' controls	공급망 위험, 벤더 리스크 관리	10 / 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	침입 탐지, 사고 대응	12 / 13
Para 24	Maintain information security response plans	사고 대응	12 / 13
Para 25	Response plans cover all stages and escalation	사고 대응, 커뮤니케이션, 교훈 도출	12 / 13
Para 26	Review and test response plans annually	사고 대응	12 / 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	위험 관리, 취약점 관리	13 / 13
Para 28	Check third parties' control testing is adequate	벤더 리스크 관리	10 / 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	없음
Para 30	Testing by skilled, functionally independent specialists	취약점 관리	13 / 13
Para 31	Review the testing programme at least annually	위험 관리	10 / 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	컴플라이언스	10 / 13
Para 33	Assurance provided by appropriately skilled personnel	컴플라이언스	10 / 13
Para 34	Internal audit assesses third-party assurance relied on	컴플라이언스, 벤더 리스크 관리	11 / 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	보고	12 / 13
Para 36	Notify APRA of material control weaknesses within 10 business days	보고	12 / 13

주제 커버리지

CPS 234 요구사항과 매핑된 주제 (17개):

거버넌스 정책 위험 관리 공급망 위험 역할 및 책임 컴플라이언스 자산 관리 위험 평가 데이터 분류 취약점 관리 위협 인텔리전스 데이터 보호 침입 탐지 사고 대응 커뮤니케이션 보고 교훈 도출 벤더 리스크 관리

보유 데이터에 매핑 없음 CPS 234 요구사항 없음 (33):