Стандартът за информационна сигурност, който APRA ще провери.

CPS 234 Information Security е пруденциалният стандарт, който APRA въведе, за да гарантира, че всеки субект, регулиран от APRA, е устойчив на инциденти с информационната сигурност, включително кибератаки. Той се прилага за оторизираните институции за приемане на депозити (ADI), включително чуждестранните ADI и оторизираните банкови неоперативни холдингови дружества (NOHC), за общозастрахователните дружества, включително застрахователите от категория C и застрахователните NOHC, за животозастрахователните дружества, включително взаимоспомагателните дружества (friendly societies) и EFLIC, за частните здравни застрахователи, регистрирани по PHIPS Act, и за лицензополучателите на RSE по отношение на стопанската им дейност. Стандартът е в сила от 1 юли 2019 г., а когато вашите информационни активи се управляват от трета страна, той се прилага от по-ранната от двете дати: следващото подновяване на договора или 1 юли 2020 г. Параграфи 1 до 12 уреждат правното основание, приложното поле, тълкуването и определенията; параграфи 13 до 36 са изискванията, които реално трябва да изпълните.

Двадесет и четири номерирани изисквания в девет раздела. Роли и отговорности, като се започне от борда, който носи крайната отговорност за информационната сигурност на субекта. Способности за информационна сигурност, оразмерени спрямо заплахите за вашите информационни активи. Рамка от политики, която дава насоки на всеки, който има задължения, включително изпълнители, консултанти, свързани лица, трети страни и клиенти. Класифициране на информационните активи по критичност и чувствителност. Контроли, внедрени своевременно и оразмерени спрямо четири посочени фактора. Откриване на инциденти, планове за реакция и годишен тест на тези планове. Систематична програма за тестване на контролите, при която тестването се извършва от функционално независими лица. Преглед от вътрешния одит на дизайна и оперативната ефективност на контролите. И уведомяване на APRA до 72 часа при съществен инцидент или до 10 работни дни при съществена слабост в контролите, която не можете да отстраните своевременно.

Думата се появява многократно в стандарта и никъде не е дефинирана, и това е умишлено: APRA отказва да постави една обща летва за кръг от субекти, който стига от малък лицензополучател на RSE до голяма банка. На практика това прехвърля тежестта на доказване върху вас. Не е достатъчно контролите ви да са добри; трябва да можете да покажете разсъжденията, с които сте решили, че са с правилния размер спрямо заплахите за вашите информационни активи. Проверителят иска тази преценка в писмен вид, заедно с входните ѝ данни, като разузнаване за заплахите, сравнение с аналогични субекти и история на инцидентите. Субектът със силни контроли, но без документирана обосновка за оразмеряването, е този, който получава констатация.

Да, и по-широко, отколкото повечето субекти определят обхвата. Параграфи 16, 22, 28 и 34 имат изрична бележка под линия, според която те се прилагат за всички информационни активи, управлявани от свързани лица и трети страни, а не само за тези, обхванати от споразумения за съществени дейности, възложени на външни изпълнители съгласно CPS 231 или SPS 231. Това означава, че оценявате способностите за информационна сигурност на тези страни, оценявате дизайна на техните контроли, преценявате дали тестването, на което разчитате, е съразмерно с петте фактора от параграф 27, и възлагате на вътрешния одит да оцени увереността, на която възнамерявате да разчитате, когато инцидент може съществено да засегне вас или вашите клиенти. Ограничаването на тази работа до регистъра на съществения аутсорсинг е най-честият пропуск по стандарта.

Параграф 30 изисква тестването да се извършва от специалисти с подходяща квалификация, които са функционално независими. Функционалната независимост е въпрос на линии на подчинение, а не на наемане на външна фирма, така че вътрешен екип може да отговаря на изискването, стига да не е собственик на контрола, който тества, и да не го управлява. Честият провал е екип по сигурността, който управлява мрежовите контроли и същевременно извършва тестовете за проникване срещу тях. Параграф 27 отделно изисква програмата да бъде систематична, като естеството и честотата ѝ се определят спрямо пет фактора, един от които е рискът от среди, в които не можете да наложите собствените си политики, а на практика това означава вашата облачна среда и средата на третите страни.

От узнаването. Параграф 35 изисква уведомяване възможно най-скоро и не по-късно от 72 часа, след като сте узнали за инцидент с информационната сигурност, който е засегнал съществено или е можел да засегне съществено субекта или интересите на вложителите, притежателите на застрахователни полици, бенефициерите или другите клиенти. Има и втора част, която хваща субектите неподготвени: трябва да уведомите APRA и за инцидент, за който са уведомени други регулатори, в Австралия или в друга юрисдикция, независимо дали го оценявате като съществен за вас. Параграф 36 е отделен срок, 10 работни дни, за съществена слабост в контролите за информационна сигурност, която очаквате да не можете да отстраните своевременно, и той започва да тече, когато узнаете за слабостта, а не когато заключите, че тя не може да бъде отстранена.

Наред с обичайната си надзорна дейност APRA вече има практика на тристранни прегледи, при които се ангажира независим експерт, който да провери собствените твърдения на субекта спрямо стандарта. Това определя кои доказателства си струва да поддържате: проверителят търси записи, които показват, че дадено задължение е изпълнено, а не документи, които описват намерение. Протоколи от заседания на борда, които показват критично обсъждане, а не просто приемане за сведение, датиран тест на плана за реакция, а не просто прегледан план, записът за ескалацията на недостатък, който не е могъл да бъде отстранен навреме, и оценката, на която се основава доверието ви в тестването на трета страна.

Venvera представя 24-те изисквания като параграфи 13 до 36, групирани в деветте раздела на самия стандарт, всяко с отговорник, статус, собствени доказателства и авторски насоки за това какво проверителят приема като доказателство. Оценка на пропуските с 42 въпроса измерва решенията по преценка, които стандартът оставя отворени, и точно там думата „commensurate“ (съразмерен) наистина има тежест. Повтарящите се задължения попадат в календар за съответствие с отговорници и дати: годишният тест на плана за реакция, годишният преглед на програмата за тестване, прегледът от вътрешния одит, обновяването на класификацията на активите и повторната оценка на третите страни. Отчет за борда обобщава позицията за борда, на който параграф 13 възлага крайната отговорност.

CPS 234 се отнася конкретно до информационната сигурност. CPS 230 Operational Risk Management е по-широкият стандарт за оперативна устойчивост и обхваща в по-голяма степен управлението на доставчиците на услуги и непрекъснатостта на дейността, така че двата стандарта се припокриват в управлението на третите страни, без да се заместват. ISO 27001 е международен стандарт, по който може да се получи сертификация, със собствена система за управление и набор от контроли в Annex A; сертификатът по него е полезно доказателство за няколко параграфа на CPS 234, особено по отношение на рамката от политики и внедряването на контроли, но не е съответствие с CPS 234 и APRA не го третира като такова. Параграфите, на които ISO 27001 не отговаря самостоятелно, са специфичните за пруденциалния контекст: отговорността на борда по параграф 13, измерението на въздействието върху клиентите при класифицирането по параграф 20 и двата срока за уведомяване.