Relier la réglementation financière obligatoire de l'Australie à la norme ISO 27001
CPS 234 est une réglementation sur la sécurité de l'information émise par l'Australian Prudential Regulatory Authority (APRA) pour les organismes d'assurance et financiers pour se protéger contre les cyberattaques.
La Autorité australienne de réglementation prudentielle (APRA) a été créée en 1998 par le gouvernement australien.
L'APRA supervise les assureurs maladie privés, les assureurs généraux et vie, les fonds de pension, les sociétés amicales, les compagnies de réassurance et les institutions financières autorisées à accepter des dépôts comme les sociétés de crédit immobilier, les banques et les coopératives de crédit.
CPS 234 est un règlement sur la sécurité des informations publié pour la première fois par l'APRA le 1er juillet 2019. Le règlement est conçu pour aider les organisations à se protéger ainsi que leurs clients contre les cyberattaques en renforçant leur cadre de sécurité des informations.
CPS 234 établit des exigences concernant l'identification et la classification des actifs informationnels, les rôles et responsabilités en matière de sécurité de l'information, la mise en œuvre et les tests des contrôles de sécurité de l'information, la gestion des incidents, l'audit interne et la notification des violations.
La CPS 234 stipule que les entités réglementées doivent maintenir des systèmes et des pratiques de sécurité de l'information adaptés aux menaces auxquelles elles sont confrontées.
Les institutions financières sont une cible privilégiée des cyberattaques car elles détiennent informations personnelles identifiables (PII) et informations de santé protégées (PHI) des résidents australiens.
Les entités réglementées par l'APRA sont tenues de suivre la CPS 234. La norme relève des lois suivantes :
Découvrez à quel point c'est simple
CPS 234 couvre toutes les entités réglementées par l'APRA, telles que :
Les entités mentionnées ci-dessus détiennent des informations personnelles importantes et des informations de santé protégées que les cyberattaques cibleraient lors d'une attaque.
Dans le cadre de la CPS 234, vous devez respecter des exigences en matière de capacité de sécurité des informations.
Cela nécessite:
Pour répondre à ces exigences, les entités réglementées examinent généralement le caractère adéquat des ressources, y compris les ressources en financement et en personnel et l'accès en temps opportun aux compétences nécessaires.
Les entités réglementées par l'APRA doivent maintenir un cadre politique de sécurité de l'information qui reflète leur exposition aux vulnérabilités et aux menaces. Les responsabilités de toutes les parties qui ont l'obligation de maintenir la sécurité des informations et des données doivent être orientées par la politique de votre organisation.
Le cadre est généralement structuré sous forme de hiérarchie avec des politiques de niveau supérieur soutenues par des lignes directrices et des procédures.
De nombreux domaines communs sont abordés dans le cadre politique, tels que :
Ce cadre serait généralement cohérent avec d'autres cadres d'entités, tels que la gestion des risques et la gestion des prestataires de services.
Découvrez à quel point il est simple de gérer votre
conformité aux normes APRA sur ISMS.online
Réservez votre démo
Nous sommes économiques et rapides
Les entités réglementées par l'APRA sont tenues de classer les actifs informationnels, y compris ceux gérés par des parties liées et des tiers.
Cela inclut les infrastructures et les systèmes auxiliaires, tels que les systèmes de contrôle environnemental et les systèmes de contrôle d'accès physique. Cela englobe également les actifs informationnels gérés par des tiers ou des parties liées.
Les relations entre les actifs informationnels sensibles ou critiques et d'autres actifs qui peuvent avoir moins d'importance mais peuvent être utilisés pour violer la sécurité de ces actifs.
En outre, cela doit refléter la mesure dans laquelle les incidents de sécurité de l’information sont susceptibles d’affecter – financièrement ou autrement – une entité ou ses clients.
Les entreprises doivent disposer d'une méthodologie de classification pour étiqueter ce qui constitue un actif informationnel afin de garantir que les parties prenantes sont informées et conscientes. Cette méthode fournit également un contexte sur les considérations de granularité et sur la manière dont les actifs sont notés en fonction de leur criticité ou de leur sensibilité. Notez que les actifs peuvent recevoir différentes notes en termes de criticité et de sensibilité.
Il est courant que les entités exploitent leurs analyses d'impact sur la continuité des activités existantes – qui évaluent généralement la criticité et d'autres processus sensibles – pour effectuer l'analyse de sensibilité.
Pour se conformer à la CPS 234, les entités réglementées par l'APRA doivent mettre en œuvre des contrôles de sécurité des informations pour protéger leurs actifs de données rapidement et proportionnellement à la menace à laquelle elles sont confrontées, correspondant à :
Selon le CPS 234, toutes les entités réglementées par l'APRA doivent disposer de mécanismes robustes pour détecter et répondre aux incidents de sécurité des informations dans les plus brefs délais.
Il existe de nombreux mécanismes de détection pour la sécurité des informations, notamment des solutions d'analyse, de détection, de surveillance et de journalisation. Ces contrôles de sécurité seront plus robustes et plus variés en fonction de l'impact d'un incident de sécurité potentiel, couvrant généralement ces grandes catégories :
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
La CPS 234 exige que les entités réglementées effectuent des tests systématiques sur les contrôles de sécurité de l'information d'une nature et d'une fréquence correspondant à :
Les contrôles de sécurité doivent être testés au moins une fois par an ou chaque fois qu'il y a un changement important dans les actifs informationnels ou dans l'environnement commercial afin que vous puissiez savoir s'ils sont toujours efficaces et valides. Pour garantir la réussite des tests, il est essentiel de définir clairement les critères de réussite et le moment où de nouveaux tests seront nécessaires.
Les tests doivent être effectués par des spécialistes indépendants et dûment qualifiés, qui n'ont aucun conflit d'intérêts et peuvent fournir une évaluation équitable.
Une assurance fiable du contrôle de la sécurité des informations doit être fournie par un personnel qualifié. En outre, la fonction d'audit interne doit évaluer l'assurance du contrôle de la sécurité de l'information fournie par des parties liées ou des tiers dans les cas où :
Si l'évaluation révèle une lacune ou s'il n'y a aucune garantie de respecter les exigences, la question est généralement soumise au Conseil pour examen.
L'APRA doit être informée le plus tôt possible et au plus tard 72 heures après que l'entité a eu connaissance d'un incident de sécurité.
Il s'agit d'incidents qui :
Lors de la notification à l'APRA, ils s'attendent à ce que des informations soient fournies, telles que :
L'APRA doit être informée le plus tôt possible et au plus tard dix jours ouvrables après que vous ayez pris connaissance d'une faiblesse du contrôle de la sécurité de l'information que l'entreprise ne peut pas corriger à temps.
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
Une différence essentielle entre les deux normes réside dans la manière dont elles sont appliquées. Les organisations obtenant la certification ISO 27001 doivent renouveler leur certification tous les trois ans, avec des audits de surveillance réguliers pendant cette période. Le CPS 234 n'a pas de certificat ; au lieu de cela, l’APRA dispose de nombreux outils d’application formels et informels.
Les approches non formelles consistent notamment à travailler avec les entreprises pour identifier et résoudre les problèmes avant qu’ils ne menacent leur capacité à tenir leurs promesses.
Néanmoins, l'APRA est prête à prendre des mesures coercitives lorsque cela est approprié – cela peut inclure une action en justice ou demander aux entreprises de prendre ou d'arrêter des actions particulières.
Alors que la norme ISO 27001 est reconnue mondialement, l'APRA a créé la norme CPS 234 pour répondre au besoin croissant de cybersécurité des entités du secteur des services financiers. ISO 27001 est une norme de sécurité de l’information beaucoup plus complète et s’applique aux entreprises de divers secteurs, quels que soient leur taille, leur type ou leur emplacement.
La CPS 234 a été créée pour fonctionner à l'unisson avec la norme ISO/IEC 27001, avec des exigences alignées sur les clauses et les contrôles de sécurité décrits dans la norme ISO 27001. Les deux normes sont conçues pour renforcer la sécurité des informations d'une organisation. Toute entreprise ou organisation accréditée ISO 27001 devrait avoir plus de facilité à répondre aux exigences de la CPS 234.
Comme vous pouvez le constater, il y a beaucoup à faire pour garantir la conformité. L’exigence la plus facile à remplir est de s’assurer que tout le personnel de cybersécurité ait des responsabilités clairement définies, articulées et communiquées au sein de l’organisation.
L'un des plus grands défis en matière de conformité à la CPS 234 peut potentiellement être le manque de lignes directrices et d'application pratique lorsqu'il s'agit de tiers.
Notre plateforme est livrée avec divers cadres prédéfinis que vous pouvez adopter, adapter ou compléter, en fonction des besoins uniques de votre organisation. Ou vous pouvez facilement créer le vôtre pour des projets de conformité sur mesure.
Réservez une séance pratique sur mesure
en fonction de vos besoins et de vos objectifs
Réservez votre démo
