框架

APRA CPS 234 Information Security

概述

由澳大利亚审慎监管局（APRA）发布的具有法律约束力的审慎标准，自2019年7月1日起生效。该标准以原则为基础，共有24个具有约束力的条款，涵盖董事会职责、信息安全能力、政策、资产分类、控制措施、事件管理、控制测试、内部审计以及向APRA通报等内容。APRA的指南CPG 234描述了最佳实践，但不具有约束力。

适用人群

所有受APRA监管的机构，包括授权存款类机构（银行、信用合作社和建筑互助协会）、综合、人寿和私人健康保险公司，以及RSE持牌人（退休金受托人）。其要求同样适用于管理其信息资产的关联方和第三方。

评估方式

该标准不设认证；由APRA对合规情况进行监管。机构必须在知悉重大信息安全事件后72小时内通知APRA；对于无法及时整改的重大控制缺陷，须在10个工作日内通知。业务连续性和服务提供商则由CPS 230运营风险管理单独涵盖，该标准自2025年7月1日起生效。

段落

映射到其他框架

34%

已覆盖主题（17/50）

差距分析 → CPS 234 从 CPS 234 出发 →

计数：第 13 至 36 条的操作性段落。

CPS 234 基于原则制定，要求控制措施与威胁相称，但不具体点名威胁，因此大多数技术主题不显示链接。APRA 的指南 CPG 234 列出了具体实践，但不具约束力，也未做映射。所有链接均为编辑性质。

要求

要求编号和标题均按各框架官方发布的英文原文显示。

APRA CPS 234 Information Security 项要求
ID	要求	主题	映射于
Roles and responsibilities · 2
Para 13	Board ultimately responsible for information security	风险管理, 角色与职责	10 / 13
Para 14	Define information security roles and responsibilities	角色与职责	9 / 13
Information security capability · 3
Para 15	Maintain a capability commensurate with threats	风险管理	10 / 13
Para 16	Assess third parties' information security capability	供应链风险, 供应商风险管理	10 / 13
Para 17	Keep capability current as threats and vulnerabilities change	风险评估, 漏洞管理, 威胁情报	13 / 13
Policy framework · 2
Para 18	Maintain an information security policy framework	治理政策	9 / 13
Para 19	Policies direct everyone with security obligations	治理政策	9 / 13
Information asset identification and classification · 1
Para 20	Classify information assets by criticality and sensitivity	资产管理, 数据分类	13 / 13
Implementation of controls · 2
Para 21	Timely controls commensurate with risk and asset life-cycle	风险评估, 数据保护	11 / 13
Para 22	Evaluate the design of third parties' controls	供应链风险, 供应商风险管理	10 / 13
Incident management · 4
Para 23	Detect and respond to incidents in a timely manner	入侵检测, 事件响应	12 / 13
Para 24	Maintain information security response plans	事件响应	12 / 13
Para 25	Response plans cover all stages and escalation	事件响应, 沟通, 经验教训	12 / 13
Para 26	Review and test response plans annually	事件响应	12 / 13
Testing control effectiveness · 5
Para 27	Systematic testing programme for control effectiveness	风险管理, 漏洞管理	13 / 13
Para 28	Check third parties' control testing is adequate	供应商风险管理	10 / 13
Para 29	Escalate deficiencies that can't be fixed quickly	—	无
Para 30	Testing by skilled, functionally independent specialists	漏洞管理	13 / 13
Para 31	Review the testing programme at least annually	风险管理	10 / 13
Internal audit · 3
Para 32	Internal audit reviews control design and effectiveness	合规	10 / 13
Para 33	Assurance provided by appropriately skilled personnel	合规	10 / 13
Para 34	Internal audit assesses third-party assurance relied on	合规, 供应商风险管理	11 / 13
APRA notification · 2
Para 35	Notify APRA of material incidents within 72 hours	报告	12 / 13
Para 36	Notify APRA of material control weaknesses within 10 business days	报告	12 / 13

主题覆盖情况

已映射 CPS 234 要求的主题（17）：

治理政策风险管理供应链风险角色与职责合规资产管理风险评估数据分类漏洞管理威胁情报数据保护入侵检测事件响应沟通报告经验教训供应商风险管理

本站数据中无映射无 CPS 234 要求（33）：