CPS 234 vs ISO 27001: o que a APRA acrescenta ao seu ISMS

A CPS 234 é curta e baseada em princípios, então um sistema de gestão ISO 27001 já cobre muito. O que ele não faz é, principalmente, tratar do Conselho, de terceiros e da comunicação à APRA.

A Norma Prudencial CPS 234 Segurança da Informação, da APRA, se aplica desde 1º de julho de 2019 a bancos, seguradoras e administradores de fundos de previdência superannuation australianos. É uma norma curta: os requisitos operacionais cabem em 24 parágrafos e descrevem resultados, e não controles. Isso a torna um complemento natural para uma organização que já mantém um sistema de gestão de segurança da informação ISO 27001, e a pergunta mais comum é quanto da CPS 234 o ISMS já atende.

O número principal

Dos 24 parágrafos de CPS 234, 23 (96%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 1 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

A APRA não publica nenhuma correspondência, por isso cada vínculo aqui é editorial da ControlMapping, feito parágrafo a parágrafo com base nos mesmos tópicos de segurança da ISO 27001. A lista completa:

CPS 234	Requisito	Correspondência	ISO 27001
Para 13	Board ultimately responsible for information security	Editorial	A.5.2 A.5.4 Clause 6.1.1 Clause 6.1.3
Para 14	Define information security roles and responsibilities	Editorial	A.5.2 A.5.4
Para 15	Maintain a capability commensurate with threats	Editorial	Clause 6.1.1 Clause 6.1.3
Para 16	Assess third parties' information security capability	Editorial	A.5.19 A.5.20 A.5.21 A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Editorial	A.5.7 A.8.8 Clause 6.1.2 Clause 6.1.3
Para 18	Maintain an information security policy framework	Editorial	A.5.1 A.5.37 Clause 5.2
Para 19	Policies direct everyone with security obligations	Editorial	A.5.1 A.5.37 Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Editorial	A.5.9 A.5.11 A.5.12 A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Editorial	A.5.14 A.8.10 A.8.11 Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Editorial	A.5.19 A.5.20 A.5.21 A.5.22
Para 23	Detect and respond to incidents in a timely manner	Editorial	A.5.24 A.5.25 A.5.26 A.8.16
Para 24	Maintain information security response plans	Editorial	A.5.24 A.5.25 A.5.26
Para 25	Response plans cover all stages and escalation	Editorial	A.5.6 A.5.24 A.5.25 A.5.26
Para 26	Review and test response plans annually	Editorial	A.5.24 A.5.25 A.5.26
Para 27	Systematic testing programme for control effectiveness	Editorial	A.8.8 Clause 6.1.1 Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Editorial	A.5.19 A.5.20 A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Sem mapeamento em nossos dados	—
Para 30	Testing by skilled, functionally independent specialists	Editorial	A.8.8
Para 31	Review the testing programme at least annually	Editorial	Clause 6.1.1 Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Editorial	A.5.31 A.5.36 Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Editorial	A.5.31 A.5.36 Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Editorial	A.5.19 A.5.20 A.5.22 A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Editorial	A.5.5 A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Editorial	A.5.5 A.6.8

A correspondência é próxima porque a CPS 234 e a ISO 27001 têm estrutura parecida: uma estrutura de políticas, classificação dos ativos de informação, controles escolhidos com base no risco, gestão de incidentes, testes e auditoria interna.

Fotografia de uma sala de reuniões do conselho vazia, com pastas fechadas posicionadas em cada cadeira ao longo de uma mesa comprida — A CPS 234 começa pela responsabilidade do Conselho.

O que a CPS 234 acrescenta

Os vínculos mostram onde procurar; o detalhe está no ponto em que a CPS 234 vai além.

O Conselho é o responsável final pela segurança da informação (parágrafo 13), e os papéis devem ser definidos a partir do Conselho para baixo (parágrafo 14). A ISO 27001 exige que a alta direção demonstre liderança e comprometimento; a CPS 234 atribui a responsabilidade ao Conselho expressamente, e a APRA supervisiona como ela é exercida.
Terceiros estão dentro do perímetro. Você deve avaliar a capacidade de segurança de qualquer parte relacionada ou terceiro que gerencie seus ativos de informação (parágrafo 16), avaliar o desenho dos controles deles (parágrafo 22), verificar se os testes de controle atendem ao seu próprio padrão caso você dependa deles (parágrafo 28), e pedir à auditoria interna que avalie a garantia que eles oferecem a você (parágrafo 34). Os controles de fornecedores da ISO 27001 (A.5.19 a A.5.22) cobrem o mesmo terreno; a CPS 234 é explícita sobre verificar os controles de terceiros, e não apenas contratá-los.
Testes por especialistas independentes. Os testes de controle devem ser sistemáticos, com frequência definida por ameaças, criticidade e mudanças (parágrafo 27), e realizados por especialistas com qualificação adequada e funcionalmente independentes (parágrafo 30). Deficiências que não puderem ser corrigidas a tempo devem ser levadas ao Conselho ou à alta gestão (parágrafo 29).
Planos de resposta testados todo ano (parágrafo 26). A ISO 27001 exige planejamento de incidentes, mas não define frequência.
Comunicação à APRA. Notifique a APRA em até 72 horas após tomar conhecimento de um incidente relevante de segurança da informação (parágrafo 35), e em até 10 dias úteis após uma deficiência relevante de controle que você não consiga corrigir a tempo (parágrafo 36). Um ISMS não tem prazo regulatório.

A outra direção

Dos 123 Controlos do Anexo A e cláusulas do SGSI de ISO 27001, 35 (28%) mapeiam para algo em CPS 234, 40 são apenas vagamente relacionados e 48 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

A maior parte da ISO 27001 não tem vínculo com a CPS 234 em nossos dados. Isso não significa que a CPS 234 não se importe com controle de acesso, criptografia ou segurança física: ela exige controles compatíveis com suas ameaças sem nomeá-los. Se você está se preparando para a CPS 234 sem um ISMS, o Anexo A é um catálogo sensato para escolher esses controles, e o guia da APRA, CPG 234, descreve o que ela considera boas práticas.

Um plano prático

Mapeie sua Declaração de Aplicabilidade para os parágrafos da CPS 234 acima; a análise de lacunas a exporta como planilha de acompanhamento.
Acrescente relatórios ao Conselho que mostrem o Conselho exercendo sua responsabilidade, e não apenas recebendo relatórios.
Reforce a garantia de terceiros para todas as partes que gerenciam seus ativos de informação, e não apenas para atividades de negócio terceirizadas relevantes.
Verifique a independência dos testadores e as regras de frequência do seu programa de testes.
Redija o procedimento de notificação à APRA com os dois prazos e teste-o com seus planos de resposta todo ano.
Leia a CPS 230 em conjunto. Desde 1º de julho de 2025, a norma de risco operacional da APRA cobre continuidade de negócios e prestadores de serviços, o que a CPS 234 não faz.

Principais conclusões

Um ISMS ISO 27001 atende quase todos os parágrafos da CPS 234.
O trabalho extra da CPS 234 está na responsabilidade do Conselho, na garantia de terceiros, nos testes independentes e na notificação à APRA.
A CPS 234 não nomeia controles, então o Anexo A da ISO 27001 é um bom lugar para escolhê-los.

Próximos passos

A página do framework CPS 234 lista cada parágrafo com o texto da APRA, e a comparação ISO 27001 vs CPS 234 mostra as duas direções. Nosso guia da ISO 27001 trata da certificação.

Perguntas

A certificação ISO 27001 atende à CPS 234 da APRA?

Não por si só. Um ISMS ISO 27001 atende quase todos os parágrafos da CPS 234, mas a APRA supervisiona a CPS 234 diretamente, e a norma acrescenta obrigações específicas: a responsabilidade final do Conselho, a avaliação e o teste dos controles de terceiros, os testes por especialistas funcionalmente independentes e a notificação à APRA em até 72 horas após um incidente relevante e em até 10 dias úteis após uma deficiência relevante de controle.

Existe um mapeamento oficial entre a CPS 234 e a ISO 27001?

A APRA não publica nenhum. Os vínculos na ControlMapping são editoriais, feitos parágrafo a parágrafo, e cada um mostra seu motivo.

O que é a CPG 234?

O Guia Prático Prudencial CPG 234 da APRA descreve boas práticas para atender à CPS 234. Ele cita práticas específicas, mas não é vinculante, e a ControlMapping não o mapeia.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

APRA CPS 234 e ISO 27001: o que seu ISMS cobre e o que a APRA acrescenta