APRA CPS 234 与 ISO 27001：ISMS 涵盖什么，APRA 又增加了什么

APRA 的审慎标准 CPS 234《信息安全》自 2019 年 7 月 1 日起适用于澳大利亚的银行、保险公司和退休金受托人。该标准篇幅简短：其可执行要求可以放进24 段落之中，并且它描述的是结果，而非具体控制措施。因此，对于已经运行 ISO 27001 信息安全管理体系的组织来说，它是很自然的契合，而最常见的问题是：ISMS 已经回应了 CPS 234 的多少内容。

核心数字

在 CPS 234 的 24 个段落中，23（96%）可映射到 ISO 27001 中的内容，0 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →

APRA 不发布对照映射，因此这里的每一条关联都是 ControlMapping 编辑说明，依据与 ISO 27001 相同的安全主题，逐段做出。完整列表如下：

CPS 234	要求	匹配	ISO 27001
Para 13	Board ultimately responsible for information security	编辑说明	A.5.2A.5.4Clause 6.1.1Clause 6.1.3
Para 14	Define information security roles and responsibilities	编辑说明	A.5.2A.5.4
Para 15	Maintain a capability commensurate with threats	编辑说明	Clause 6.1.1Clause 6.1.3
Para 16	Assess third parties' information security capability	编辑说明	A.5.19A.5.20A.5.21A.5.22
Para 17	Keep capability current as threats and vulnerabilities change	编辑说明	A.5.7A.8.8Clause 6.1.2Clause 6.1.3
Para 18	Maintain an information security policy framework	编辑说明	A.5.1A.5.37Clause 5.2
Para 19	Policies direct everyone with security obligations	编辑说明	A.5.1A.5.37Clause 5.2
Para 20	Classify information assets by criticality and sensitivity	编辑说明	A.5.9A.5.11A.5.12A.5.13
Para 21	Timely controls commensurate with risk and asset life-cycle	编辑说明	A.5.14A.8.10A.8.11Clause 6.1.2
Para 22	Evaluate the design of third parties' controls	编辑说明	A.5.19A.5.20A.5.21A.5.22
Para 23	Detect and respond to incidents in a timely manner	编辑说明	A.5.24A.5.25A.5.26A.8.16
Para 24	Maintain information security response plans	编辑说明	A.5.24A.5.25A.5.26
Para 25	Response plans cover all stages and escalation	编辑说明	A.5.6A.5.24A.5.25A.5.26
Para 26	Review and test response plans annually	编辑说明	A.5.24A.5.25A.5.26
Para 27	Systematic testing programme for control effectiveness	编辑说明	A.8.8Clause 6.1.1Clause 6.1.3
Para 28	Check third parties' control testing is adequate	编辑说明	A.5.19A.5.20A.5.22
Para 29	Escalate deficiencies that can't be fixed quickly	本站数据中无映射	—
Para 30	Testing by skilled, functionally independent specialists	编辑说明	A.8.8
Para 31	Review the testing programme at least annually	编辑说明	Clause 6.1.1Clause 6.1.3
Para 32	Internal audit reviews control design and effectiveness	编辑说明	A.5.31A.5.36Clause 9.1
Para 33	Assurance provided by appropriately skilled personnel	编辑说明	A.5.31A.5.36Clause 9.1
Para 34	Internal audit assesses third-party assurance relied on	编辑说明	A.5.19A.5.20A.5.22A.5.31
Para 35	Notify APRA of material incidents within 72 hours	编辑说明	A.5.5A.6.8
Para 36	Notify APRA of material control weaknesses within 10 business days	编辑说明	A.5.5A.6.8

两者的匹配度很高，是因为 CPS 234 与 ISO 27001 结构相似：都包括方针框架、信息资产分类、基于风险选择的控制措施、事件管理、测试和内部审计。

CPS 234 新增的内容

这些关联指明了查看方向；而具体细节正是 CPS 234 走得更远之处。

• 董事会承担最终责任，对信息安全负责（第 13 段），并且角色必须自董事会起逐级定义（第 14 段）。ISO 27001 要求最高管理层展示领导力与承诺；CPS 234 则明确将责任落在董事会身上，APRA 监督其履职情况。
• 第三方纳入安全边界之内。 你必须评估任何管理你的信息资产的关联方或第三方的安全能力（第 16 段），评估其控制措施的设计（第 22 段），在你依赖其控制测试时检查这些测试是否达到你自身的标准（第 28 段），并由内部审计评估其向你提供的保证（第 34 段）。ISO 27001 的供应商控制（A.5.19 至 A.5.22）覆盖了相同领域；CPS 234 则明确要求验证第三方的控制措施，而不仅仅是签订合同。
• 由独立专家进行测试。 控制测试必须系统化，其频率由威胁、关键性和变更驱动（第 27 段），并由具备适当技能且在职能上独立的专家执行（第 30 段）。无法及时修复的缺陷必须上报董事会或高级管理层（第 29 段）。
• 每年测试响应计划（第 26 段）。ISO 27001 要求制定事件规划，但未设定频率。
• 向 APRA 报告。 在知悉重大信息安全事件后 72 小时内通知 APRA（第 35 段），在无法及时整改的重大控制缺陷发现后 10 个工作日内通知 APRA（第 36 段）。ISMS 没有监管机构的时限。

反向对照

在 ISO 27001 的 123 个附录 A 控制措施及 ISMS 条款中，35（28%）可映射到 CPS 234 中的内容，40 个仅弱相关，48 个在本站数据中无映射。 打开差距报告 →

在我们的数据中，ISO 27001 的大部分条款与 CPS 234 都没有关联。这并不是因为 CPS 234 不关心访问控制、加密或物理安全：它要求控制措施与你的威胁相匹配，只是没有具体列举这些措施。如果你是在没有 ISMS 的情况下为 CPS 234 做准备，附录 A 是一个合理的控制目录，可从中选择这些措施；APRA 的指南 CPG 234 则说明了其认为的较佳实践。

实用计划

1. 将你的适用性声明映射到上述 CPS 234 段落；差距分析可将其导出为跟踪表。
2. 增加董事会报告，展示董事会正在履行其职责，而不仅仅是接收报告。
3. 加强第三方保证，覆盖所有管理你信息资产的一方，而不仅限于外包的重要业务活动。
4. 检查测试人员的独立性以及测试计划的频率规则。
5. 编写 APRA 通知流程，包含两个时限，并每年与响应计划一同测试。
6. 同时阅读 CPS 230。 自 2025 年 7 月 1 日起，APRA 的运营风险标准涵盖业务连续性和服务提供商，而 CPS 234 并未涉及这些内容。

关键要点

• ISO 27001 ISMS 几乎涵盖了每一段 CPS 234 的内容。
• CPS 234 额外的工作包括董事会责任、第三方保证、独立测试和 APRA 通知。
• CPS 234 没有列举控制措施，因此可以从 ISO 27001 的附录 A 中选择。

下一步

CPS 234 框架页面列出了每一段的 APRA 原文，ISO 27001 与 CPS 234 对比则展示了两个方向的关联。我们的ISO 27001 指南涵盖认证相关内容。

常见问题

ISO 27001 认证能否满足 APRA CPS 234 的要求？

不能仅凭它。ISO 27001 ISMS 几乎涵盖了 CPS 234 的每一段内容，但 APRA 会直接监管 CPS 234，且该标准还增加了具体义务：董事会承担最终责任；评估并测试第三方的控制措施；由职能上独立的专家进行测试；以及在发生重大事件后 72 小时内、发现重大控制缺陷后 10 个工作日内通知 APRA。

CPS 234 与 ISO 27001 之间是否存在官方对照映射？

APRA 不发布此类映射。ControlMapping 上的关联均为编辑说明，逐段制定，并且每条都会说明其理由。

CPG 234 是什么？

APRA 的审慎实务指南 CPG 234 描述了满足 CPS 234 的较佳实践。它列举了具体做法，但并不具有约束力，ControlMapping 也未对其进行映射。