Стандарт

APRA CPS 234 Information Security

Что это такое

Обязательный для исполнения пруденциальный стандарт Австралийского агентства пруденциального регулирования (APRA), действующий с 1 июля 2019 года. Стандарт построен на принципах: 24 обязательных пункта охватывают ответственность совета директоров, возможности информационной безопасности, политику, классификацию активов, средства контроля, управление инцидентами, тестирование средств контроля, внутренний аудит и уведомление APRA. Руководство APRA CPG 234 описывает передовую практику, но не является обязательным.

Кому это нужно

Все организации, регулируемые APRA: кредитные организации, принимающие депозиты (банки, кредитные союзы и строительные общества), страховщики общего, страхования жизни и частного медицинского страхования, а также лицензиаты RSE (управляющие пенсионными фондами superannuation). Требования распространяются на связанных сторон и третьих лиц, которые управляют их информационными активами.

Как проводится оценка

Сертификация не предусмотрена; соблюдение требований контролирует APRA. Организации обязаны уведомить APRA в течение 72 часов с момента, когда им стало известно о существенном инциденте информационной безопасности, и в течение 10 рабочих дней о существенном недостатке средств контроля, который они не могут устранить в срок. Непрерывность деятельности и поставщики услуг регулируются отдельно стандартом CPS 230 «Управление операционным риском», действующим с 1 июля 2025 года.

Пункты

Сопоставлено с другим фреймворком

34%

Охвачено тем (17/50)

Анализ разрывов → CPS 234 Из CPS 234 →

Подсчеты: операционные пункты с 13 по 36.

CPS 234 построен на принципах: он требует мер, соразмерных угрозам, не называя их, поэтому у большинства технических тем ссылок нет. Руководство APRA CPG 234 перечисляет конкретные практики, но не является обязательным и не сопоставлено с нашими данными. Все ссылки носят редакционный характер.

Требования

Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.

APRA CPS 234 Information Security требований
ID	Требование	Темы	Сопоставлено в
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	Управление рисками, Роли и обязанности	10 из 13
Para 14	Define information security roles and responsibilities	Роли и обязанности	9 из 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	Управление рисками	10 из 13
Para 16	Assess third parties' information security capability	Управление рисками цепочки поставок, Управление рисками поставщиков	10 из 13
Para 17	Keep capability current as threats and vulnerabilities change	Оценка рисков, Управление уязвимостями, Разведка угроз	13 из 13
Policy framework · 2
Para 18	Maintain an information security policy framework	Политика управления	9 из 13
Para 19	Policies direct everyone with security obligations	Политика управления	9 из 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	Управление активами, Классификация данных	13 из 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	Оценка рисков, Защита данных	11 из 13
Para 22	Evaluate the design of third parties' controls	Управление рисками цепочки поставок, Управление рисками поставщиков	10 из 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	Обнаружение вторжений, Реагирование на инциденты	12 из 13
Para 24	Maintain information security response plans	Реагирование на инциденты	12 из 13
Para 25	Response plans cover all stages and escalation	Реагирование на инциденты, Коммуникация, Извлечённые уроки	12 из 13
Para 26	Review and test response plans annually	Реагирование на инциденты	12 из 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	Управление рисками, Управление уязвимостями	13 из 13
Para 28	Check third parties' control testing is adequate	Управление рисками поставщиков	10 из 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	нет
Para 30	Testing by skilled, functionally independent specialists	Управление уязвимостями	13 из 13
Para 31	Review the testing programme at least annually	Управление рисками	10 из 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	Соответствие требованиям	10 из 13
Para 33	Assurance provided by appropriately skilled personnel	Соответствие требованиям	10 из 13
Para 34	Internal audit assesses third-party assurance relied on	Соответствие требованиям, Управление рисками поставщиков	11 из 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	Отчётность	12 из 13
Para 36	Notify APRA of material control weaknesses within 10 business days	Отчётность	12 из 13

Охват темы

Темы с сопоставленными требованиями CPS 234 (17):

Политика управления Управление рисками Управление рисками цепочки поставок Роли и обязанности Соответствие требованиям Управление активами Оценка рисков Классификация данных Управление уязвимостями Разведка угроз Защита данных Обнаружение вторжений Реагирование на инциденты Коммуникация Отчётность Извлечённые уроки Управление рисками поставщиков

Нет сопоставления в наших данных Нет требования CPS 234 (33):

Осведомлённость и обучение Бизнес-среда Контроль доступа Многофакторная аутентификация Шифрование Резервное копирование и восстановление Привилегированный доступ Межсетевой экран / сегментация сети Защита конечных точек Управление исправлениями Безопасная конфигурация Безопасная разработка Безопасность электронной почты Безопасность веб-приложений Нулевое доверие Безопасность мобильных устройств Безопасность облачных сред Безопасность DNS WAF DLP Непрерывный мониторинг Логирование и аудит Обнаружение аномалий SIEM / SOC Криминалистический анализ Митигация Планирование восстановления Непрерывность бизнеса Коммуникации и восстановление Аварийное восстановление Безопасность API Внутренние угрозы Физическая безопасность