Der Informationssicherheitsstandard, den die APRA prüfen wird.

CPS 234 Information Security ist der aufsichtsrechtliche Standard, den die APRA erlassen hat, damit APRA-regulierte Unternehmen gegen Informationssicherheitsvorfälle einschließlich Cyberangriffen widerstandsfähig sind. Er gilt für zugelassene Einlageninstitute (ADIs) einschließlich ausländischer ADIs und zugelassener nicht operativer Bank-Holdinggesellschaften (NOHCs), für Schaden- und Unfallversicherer einschließlich Versicherern der Kategorie C und Versicherungs-NOHCs, für Lebensversicherer einschließlich Friendly Societies und EFLICs, für nach dem PHIPS Act registrierte private Krankenversicherer sowie für RSE-Lizenznehmer in Bezug auf ihre Geschäftstätigkeit. Er ist am 1. Juli 2019 in Kraft getreten, und wo Ihre Informationswerte von einer Drittpartei verwaltet werden, galt er ab der nächsten Vertragsverlängerung oder ab dem 1. Juli 2020, je nachdem, was früher eintrat. Die Ziffern 1 bis 12 regeln Befugnis, Anwendungsbereich, Auslegung und Begriffsbestimmungen, die Ziffern 13 bis 36 sind die Anforderungen, die Sie tatsächlich erfüllen müssen.

Vierundzwanzig nummerierte Anforderungen unter neun Überschriften. Rollen und Verantwortlichkeiten, beginnend beim Vorstand, der die letztliche Verantwortung für die Informationssicherheit des Unternehmens trägt. Fähigkeiten in der Informationssicherheit, bemessen an den Bedrohungen für Ihre Informationswerte. Ein Richtlinienrahmen, der allen mit einer Verpflichtung Orientierung gibt, einschließlich Auftragnehmern, Beratern, verbundenen Parteien, Drittparteien und Kunden. Die Klassifizierung von Informationswerten nach Kritikalität und Sensibilität. Kontrollen, die zeitnah umgesetzt und an vier benannten Faktoren bemessen werden. Erkennung von Vorfällen, Reaktionspläne und deren jährlicher Test. Ein systematisches Programm zum Testen der Kontrollen, bei dem funktional unabhängige Personen testen. Die Prüfung von Design und Wirksamkeit der Kontrollen im Betrieb durch die interne Revision. Und die Meldung an die APRA binnen 72 Stunden nach einem wesentlichen Vorfall oder binnen 10 Geschäftstagen bei einer wesentlichen Kontrollschwäche, die Sie nicht zeitnah beheben können.

Das Wort, sinngemäß „im angemessenen Verhältnis“, taucht im Standard immer wieder auf und wird nie definiert, und zwar mit Absicht: Die APRA weigert sich, eine einheitliche Messlatte für einen Kreis von Unternehmen festzulegen, der vom kleinen RSE-Lizenznehmer bis zur Großbank reicht. In der Praxis verlagert das die Beweislast auf Sie. Es reicht nicht, dass Ihre Kontrollen gut sind. Sie müssen die Überlegungen darlegen können, mit denen Sie entschieden haben, dass sie für die Bedrohungen Ihrer Informationswerte richtig bemessen sind. Ein Prüfer verlangt diese Einschätzung schriftlich, samt ihren Grundlagen wie Threat Intelligence, Peer-Vergleich und Vorfallhistorie. Ein Unternehmen mit starken Kontrollen, aber ohne dokumentierte Begründung der Bemessung, ist dasjenige, das eine Feststellung erhält.

Ja, und weiter, als die meisten Unternehmen den Umfang ziehen. Die Ziffern 16, 22, 28 und 34 tragen jeweils eine ausdrückliche Fußnote, nach der sie für alle Informationswerte gelten, die von verbundenen Parteien und Drittparteien verwaltet werden, nicht nur für jene, die unter Vereinbarungen über wesentliche ausgelagerte Geschäftstätigkeiten nach CPS 231 oder SPS 231 fallen. Das heißt: Sie beurteilen die Fähigkeiten dieser Parteien in der Informationssicherheit, bewerten das Design ihrer Kontrollen, beurteilen, ob die Tests, auf die Sie sich stützen, den fünf Faktoren aus Ziffer 27 angemessen sind, und lassen die interne Revision die Zusicherungen beurteilen, auf die Sie sich stützen wollen, wo ein Vorfall Sie oder Ihre Kunden wesentlich beeinträchtigen könnte. Diese Arbeit auf das Register wesentlicher Auslagerungen zu beschränken, ist die mit Abstand häufigste Lücke im Standard.

Ziffer 30 verlangt Tests durch angemessen qualifizierte und funktional unabhängige Fachleute. Bei funktionaler Unabhängigkeit geht es um Berichtslinien und nicht um die Beauftragung einer externen Firma, daher kann auch ein internes Team infrage kommen, sofern es die getestete Kontrolle weder verantwortet noch betreibt. Der typische Fehler ist ein Sicherheitsteam, das die Netzwerkkontrollen betreibt und zugleich die Penetrationstests dagegen durchführt. Ziffer 27 verlangt zusätzlich, dass das Programm systematisch ist und Art und Häufigkeit an fünf Faktoren ausgerichtet sind, darunter das Risiko aus Umgebungen, in denen Sie Ihre eigenen Richtlinien nicht durchsetzen können, was in der Praxis Ihre Cloud-Umgebung und Ihre Drittparteien meint.

Mit der Kenntnis. Ziffer 35 verlangt eine Meldung so bald wie möglich und spätestens 72 Stunden, nachdem Sie Kenntnis von einem Informationssicherheitsvorfall erlangt haben, der das Unternehmen oder die Interessen von Einlegern, Versicherungsnehmern, Begünstigten oder anderen Kunden wesentlich beeinträchtigt hat oder wesentlich hätte beeinträchtigen können. Es gibt einen zweiten Auslöser, der Unternehmen kalt erwischt: Sie müssen der APRA auch einen Vorfall melden, der anderen Aufsichtsbehörden gemeldet wurde, in Australien oder in einer anderen Rechtsordnung, unabhängig davon, ob Sie ihn für sich selbst als wesentlich einstufen. Ziffer 36 ist eine eigene Uhr von 10 Geschäftstagen für eine wesentliche Kontrollschwäche in der Informationssicherheit, die Sie voraussichtlich nicht zeitnah beheben können, und sie beginnt, wenn Sie von der Schwäche Kenntnis erlangen, nicht erst, wenn Sie zu dem Schluss kommen, dass sie sich nicht beheben lässt.

Neben ihrer regulären Aufsichtstätigkeit hat die APRA dreiseitige Prüfungen (Tripartite Reviews) eingesetzt, bei denen ein unabhängiger Experte beauftragt wird, die eigenen Aussagen des Unternehmens am Standard zu prüfen. Das bestimmt, welche Nachweise sich lohnen: Der Prüfer sucht nach Aufzeichnungen, die belegen, dass eine Pflicht erfüllt wurde, nicht nach Dokumenten, die eine Absicht beschreiben. Vorstandsprotokolle, die kritisches Hinterfragen zeigen statt bloßer Kenntnisnahme, ein datierter Test des Reaktionsplans statt eines lediglich überprüften Plans, der Eskalationsnachweis für einen Mangel, der nicht rechtzeitig behoben werden konnte, und die Bewertung, auf der Ihr Vertrauen in die Tests einer Drittpartei beruht.

Venvera liefert die 24 Anforderungen als Ziffern 13 bis 36, gegliedert unter den neun Überschriften des Standards, jede mit Verantwortlichen, Status, eigenen Nachweisen und eigens verfassten Hinweisen dazu, was ein Prüfer als Beleg akzeptiert. Eine Gap-Analyse mit 42 Fragen bewertet die Ermessensentscheidungen, die der Standard offenlässt, und genau dort greift das Wort „commensurate“ tatsächlich. Die wiederkehrenden Pflichten landen mit Verantwortlichen und Terminen im Compliance-Kalender: der jährliche Test des Reaktionsplans, die jährliche Überprüfung des Testprogramms, die Prüfung durch die interne Revision, die Aktualisierung der Klassifizierung der Informationswerte und die Neubewertung der Drittparteien. Ein Vorstandsbericht fasst die Lage für den Vorstand zusammen, den Ziffer 13 in die letztliche Verantwortung nimmt.

CPS 234 befasst sich speziell mit Informationssicherheit. CPS 230 Operational Risk Management ist der breitere Standard zur operationalen Resilienz und deckt das Management von Dienstleistern und die Betriebskontinuität umfassender ab, sodass sich beide beim Drittparteienmanagement überschneiden, ohne einander zu ersetzen. ISO 27001 ist eine zertifizierbare internationale Norm mit eigenem Managementsystem und eigenem Annex-A-Kontrollsatz. Ein Zertifikat nach ISO 27001 ist ein nützlicher Nachweis für mehrere Ziffern von CPS 234, vor allem zu Richtlinienrahmen und Umsetzung von Kontrollen, aber es bedeutet keine Einhaltung von CPS 234, und die APRA behandelt es auch nicht so. Die Ziffern, die ISO 27001 allein nicht beantwortet, sind die, die dem aufsichtsrechtlichen Kontext eigen sind: die Rechenschaftspflicht des Vorstands nach Ziffer 13, die Dimension der Kundenauswirkung bei der Klassifizierung nach Ziffer 20 und die beiden Meldefristen.