CPS 234 и ISO 27001: что APRA добавляет к вашей СУИБ

CPS 234 короткий и построен на принципах, поэтому система управления по ISO 27001 покрывает многое. Чего в ней нет, так это в основном того, что касается совета директоров, третьих сторон и уведомления APRA.

Стандарт APRA Prudential Standard CPS 234 Information Security применяется к австралийским банкам, страховщикам и попечителям суперannuation-фондов с 1 июля 2019 года. Он короткий: его обязательные требования умещаются в 24 пункты, и описывают они результаты, а не конкретные меры контроля. Поэтому он хорошо сочетается с организацией, которая уже ведёт СУИБ по ISO 27001, а самый частый вопрос — насколько CPS 234 уже закрывается этой СУИБ.

Главный показатель

Из 24 пункты CPS 234 23 (96%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →

APRA не публикует соответствий, поэтому все связи здесь — редакционные материалы ControlMapping, составленные пункт за пунктом по тем же темам безопасности, что и ISO 27001. Полный список:

CPS 234	Требование	Совпадение	ISO 27001
Para 13	Board ultimately responsible for information security	Редакционные материалы	A.5.2 A.5.4 Clause 6.1.1 Clause 6.1.3
Para 14	Define information security roles and responsibilities	Редакционные материалы	A.5.2 A.5.4
Para 15	Maintain a capability commensurate with threats	Редакционные материалы	Clause 6.1.1 Clause 6.1.3
Para 16	Assess third parties' information security capability	Редакционные материалы	A.5.19 A.5.20 A.5.21 A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	Редакционные материалы	A.5.7 A.8.8 Clause 6.1.2 Clause 6.1.3
Para 18	Maintain an information security policy framework	Редакционные материалы	A.5.1 A.5.37 Clause 5.2
Para 19	Policies direct everyone with security obligations	Редакционные материалы	A.5.1 A.5.37 Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	Редакционные материалы	A.5.9 A.5.11 A.5.12 A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	Редакционные материалы	A.5.14 A.8.10 A.8.11 Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	Редакционные материалы	A.5.19 A.5.20 A.5.21 A.5.22
Para 23	Detect and respond to incidents in a timely manner	Редакционные материалы	A.5.24 A.5.25 A.5.26 A.8.16
Para 24	Maintain information security response plans	Редакционные материалы	A.5.24 A.5.25 A.5.26
Para 25	Response plans cover all stages and escalation	Редакционные материалы	A.5.6 A.5.24 A.5.25 A.5.26
Para 26	Review and test response plans annually	Редакционные материалы	A.5.24 A.5.25 A.5.26
Para 27	Systematic testing programme for control effectiveness	Редакционные материалы	A.8.8 Clause 6.1.1 Clause 6.1.3
Para 28	Check third parties' control testing is adequate	Редакционные материалы	A.5.19 A.5.20 A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	Нет сопоставления в наших данных	—
Para 30	Testing by skilled, functionally independent specialists	Редакционные материалы	A.8.8
Para 31	Review the testing programme at least annually	Редакционные материалы	Clause 6.1.1 Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	Редакционные материалы	A.5.31 A.5.36 Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	Редакционные материалы	A.5.31 A.5.36 Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	Редакционные материалы	A.5.19 A.5.20 A.5.22 A.5.31
Para 35	Notify APRA of material incidents within 72 hours	Редакционные материалы	A.5.5 A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	Редакционные материалы	A.5.5 A.6.8

Совпадение получилось плотным, потому что CPS 234 и ISO 27001 имеют схожую структуру: политика, классификация информационных активов, меры контроля, выбираемые по риску, управление инцидентами, тестирование и внутренний аудит.

Фотография пустого зала заседаний совета с закрытыми папками, положенными на каждое место вдоль длинного стола — CPS 234 начинается с ответственности совета директоров.

Что добавляет CPS 234

Связи показывают, где искать; детали — там, где CPS 234 идёт дальше.

Совет директоров несёт итоговую ответственность за информационную безопасность (пункт 13), а роли должны быть определены сверху вниз, начиная с совета (пункт 14). ISO 27001 требует от высшего руководства демонстрировать лидерство и приверженность; CPS 234 прямо возлагает ответственность на совет директоров, а APRA контролирует, как она исполняется.
Третьи стороны входят в периметр. Вы должны оценивать возможности безопасности любой связанной или третьей стороны, которая управляет вашими информационными активами (пункт 16), оценивать дизайн их мер контроля (пункт 22), проверять, соответствует ли их тестирование контролей вашим собственным стандартам, если вы на него полагаетесь (пункт 28), и поручать внутреннему аудиту оценку гарантий, которые они вам предоставляют (пункт 34). Меры по поставщикам в ISO 27001 (A.5.19 по A.5.22) покрывают ту же область; CPS 234 прямо требует проверять меры контроля третьих сторон, а не только заключать с ними договоры.
Тестирование независимыми специалистами. Тестирование мер контроля должно быть систематическим, с периодичностью, определяемой угрозами, критичностью и изменениями (пункт 27), и выполняться специалистами надлежащей квалификации, функционально независимыми (пункт 30). Недостатки, которые нельзя устранить вовремя, передаются совету директоров или высшему руководству (пункт 29).
Планы реагирования проверяются ежегодно (пункт 26). ISO 27001 требует планирования реагирования на инциденты, но не задаёт периодичности.
Уведомление APRA. Уведомите APRA в течение 72 часов с момента, когда вы узнали о существенном инциденте информационной безопасности (пункт 35), и в течение 10 рабочих дней о существенном недостатке мер контроля, который не можете устранить вовремя (пункт 36). У СУИБ нет регуляторных сроков.

Мнение Пола: Гарантии третьих сторон — то, куда я бы вложил больше всего усилий. Опросник показывает, что, по словам поставщика, он делает; он не оценивает дизайн его мер контроля, а именно этого требует пункт 22. Мой совет: распределите поставщиков по уровням в зависимости от информационных активов, которыми они управляют; принимайте независимый отчёт, например SOC 2 Type II или сертификат ISO 27001, только после проверки, что его область охватывает услугу, которую вы реально используете, и тестируйте меры контроля сами или поручайте это, где инцидент стал бы существенным.

Обратное направление

Из 123 Контроли приложения A и разделы ISMS ISO 27001 35 (28%) сопоставлены с чем-либо в CPS 234, 40 связаны лишь косвенно, а для 48 в наших данных нет сопоставления. Открыть отчёт о разрывах →

Большая часть ISO 27001 не имеет связи с CPS 234 в наших данных. Это не означает, что CPS 234 не касается управления доступом, шифрования или физической безопасности: он требует мер контроля, соразмерных вашим угрозам, но не называет их. Если вы выстраиваете соответствие CPS 234 без СУИБ, Приложение A — разумный каталог, из которого можно выбрать эти меры, а руководство APRA CPG 234 описывает, что APRA считает передовой практикой.

Практический план

Сопоставьте свою Декларацию о применимости с пунктами CPS 234 выше; анализ разрывов экспортирует её в виде трекера.
Добавьте отчётность для совета директоров, которая показывает, что совет исполняет свою ответственность, а не только получает отчёты.
Усильте гарантии от третьих сторон для каждой стороны, которая управляет вашими информационными активами, а не только для существенных аутсорсинговых видов деятельности.
Проверьте независимость тестировщиков и правила периодичности в вашей программе тестирования.
Напишите процедуру уведомления APRA с обоими сроками и проверяйте её вместе с планами реагирования ежегодно.
Читайте CPS 230 вместе с ним. С 1 июля 2025 года стандарт APRA по операционному риску охватывает непрерывность деятельности и поставщиков услуг, чего CPS 234 не делает.

Ключевые выводы

СУИБ по ISO 27001 покрывает почти каждый пункт CPS 234.
Дополнительная работа по CPS 234 — ответственность совета директоров, гарантии от третьих сторон, независимое тестирование и уведомление APRA.
CPS 234 не называет мер контроля, поэтому Приложение A ISO 27001 — хорошее место, откуда их можно выбрать.

Куда двигаться дальше

Страница стандарта CPS 234 перечисляет каждый пункт с текстом APRA, а сравнение ISO 27001 и CPS 234 показывает оба направления. Наше руководство по ISO 27001 охватывает сертификацию.

Вопросы

Достаточно ли сертификата ISO 27001 для соответствия APRA CPS 234?

Сам по себе — нет. СУИБ по ISO 27001 покрывает почти каждый пункт CPS 234, но APRA контролирует CPS 234 напрямую, и стандарт добавляет конкретные обязательства: окончательная ответственность совета директоров, оценка и тестирование мер контроля третьих сторон, тестирование функционально независимыми специалистами и уведомление APRA в течение 72 часов о существенном инциденте и в течение 10 рабочих дней о существенном недостатке мер контроля.

Существует ли официальное сопоставление между CPS 234 и ISO 27001?

APRA его не публикует. Связи на ControlMapping — редакционные материалы, составленные пункт за пунктом, и каждая показывает своё обоснование.

Что такое CPG 234?

Руководство по практике APRA CPG 234 описывает передовую практику выполнения CPS 234. В нём перечислены конкретные практики, но оно не является обязательным, и ControlMapping его не сопоставляет.

Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.

APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRA