Framework

APRA CPS 234 Information Security

O que é

Uma norma prudencial de cumprimento obrigatório da Australian Prudential Regulation Authority (APRA), em vigor desde 1º de julho de 2019. Baseia-se em princípios: 24 parágrafos operacionais sobre responsabilidade do Conselho, capacidade de segurança da informação, política, classificação de ativos, controles, gestão de incidentes, testes de controles, auditoria interna e notificação à APRA. O guia da APRA, CPG 234, descreve boas práticas, mas não é obrigatório.

Quem precisa

Todas as entidades reguladas pela APRA: instituições de depósito autorizadas (bancos, cooperativas de crédito e building societies), seguradoras gerais, de vida e de saúde privada, e licenciados RSE (administradores de fundos de aposentadoria superannuation). Seus requisitos alcançam as partes relacionadas e os terceiros que gerenciam seus ativos de informação.

Como é avaliado

Não há certificação; a APRA supervisiona o cumprimento. As entidades devem notificar a APRA em até 72 horas após tomarem conhecimento de um incidente relevante de segurança da informação e, em até 10 dias úteis, de uma fragilidade relevante de controle que não consigam corrigir a tempo. Continuidade de negócios e prestadores de serviços são tratados separadamente pela CPS 230 Gestão de Risco Operacional, em vigor desde 1º de julho de 2025.

Parágrafos

Mapeado para outro framework

34%

Tópicos cobertos (17/50)

Análise de lacunas → CPS 234 De CPS 234 →

Contagens: os parágrafos operativos 13 a 36.

O CPS 234 é baseado em princípios: exige controles proporcionais às ameaças sem as nomear, por isso a maioria dos temas técnicos não mostra qualquer ligação. O guia da APRA, CPG 234, nomeia práticas específicas, mas não é vinculativo e não está mapeado. Todas as ligações são editoriais.

Requisitos

Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.

APRA CPS 234 Information Security requisitos
ID	Requisito	Tópicos	Mapeado em
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	Gestão de Riscos, Funções e responsabilidades	10 de 13
Para 14	Define information security roles and responsibilities	Funções e responsabilidades	9 de 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	Gestão de Riscos	10 de 13
Para 16	Assess third parties' information security capability	Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores	10 de 13
Para 17	Keep capability current as threats and vulnerabilities change	Avaliação de riscos, Gestão de Vulnerabilidades, Inteligência de Ameaças	13 de 13
Policy framework · 2
Para 18	Maintain an information security policy framework	Política de governança	9 de 13
Para 19	Policies direct everyone with security obligations	Política de governança	9 de 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	Gestão de Ativos, Classificação de Dados	13 de 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	Avaliação de riscos, Proteção de Dados	11 de 13
Para 22	Evaluate the design of third parties' controls	Risco na cadeia de suprimentos, Gestão de Risco de Fornecedores	10 de 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	Detecção de intrusão, Resposta a Incidentes	12 de 13
Para 24	Maintain information security response plans	Resposta a Incidentes	12 de 13
Para 25	Response plans cover all stages and escalation	Resposta a Incidentes, Comunicação, Lições Aprendidas	12 de 13
Para 26	Review and test response plans annually	Resposta a Incidentes	12 de 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	Gestão de Riscos, Gestão de Vulnerabilidades	13 de 13
Para 28	Check third parties' control testing is adequate	Gestão de Risco de Fornecedores	10 de 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	nenhum
Para 30	Testing by skilled, functionally independent specialists	Gestão de Vulnerabilidades	13 de 13
Para 31	Review the testing programme at least annually	Gestão de Riscos	10 de 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	Conformidade	10 de 13
Para 33	Assurance provided by appropriately skilled personnel	Conformidade	10 de 13
Para 34	Internal audit assesses third-party assurance relied on	Conformidade, Gestão de Risco de Fornecedores	11 de 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	Notificação	12 de 13
Para 36	Notify APRA of material control weaknesses within 10 business days	Notificação	12 de 13

Cobertura do tópico

Tópicos com requisitos mapeados de CPS 234 (17):

Política de governança Gestão de Riscos Risco na cadeia de suprimentos Funções e responsabilidades Conformidade Gestão de Ativos Avaliação de riscos Classificação de Dados Gestão de Vulnerabilidades Inteligência de Ameaças Proteção de Dados Detecção de intrusão Resposta a Incidentes Comunicação Notificação Lições Aprendidas Gestão de Risco de Fornecedores

Sem mapeamento em nossos dados Nenhum requisito de CPS 234 (33):