APRA 将会检验的 信息安全标准。

CPS 234《信息安全》是澳大利亚审慎监管局（APRA）制定的审慎标准，旨在确保受 APRA 监管的实体能够抵御包括网络攻击在内的信息安全事件。它适用于：授权存款机构，包括外国 ADI 和获授权的银行业 NOHC；一般保险公司，包括 C 类保险公司和保险业 NOHC；人寿保险公司，包括互助会和 EFLIC；依据 PHIPS Act 注册的私人健康保险公司；以及 RSE 持牌人（就其业务运营而言）。该标准于 2019 年 7 月 1 日开始实施；如果您的信息资产由第三方管理，则自下一次合同续签之日或 2020 年 7 月 1 日（以较早者为准）起适用。第 1 至 12 段涉及授权依据、适用范围、解释和定义；第 13 至 36 段才是您实际必须满足的要求。

共有 24 项编号要求，分列于 9 个标题之下。角色与职责，首先是董事会，它对实体的信息安全负有最终责任。与您信息资产所面临的威胁相称的信息安全能力。一套为所有负有义务者（包括承包商、顾问、关联方、第三方和客户）提供指引的策略框架。按关键性和敏感性对信息资产进行分类。及时实施控制措施，并根据四项明确列出的因素确定其力度。事件检测、响应计划及每年对其进行的测试。系统性的控制措施测试计划，并由职能上独立的人员执行测试。内部审计对控制措施的设计和运行有效性进行审查。以及在发生重大事件后 72 小时内通知 APRA，或者对于无法及时整改的重大控制措施缺陷，在 10 个工作日内通知 APRA。

这个词在标准中反复出现，却从未被定义，这是有意为之：APRA 不愿为从小型 RSE 持牌人到大型银行的整个监管群体设定单一标准。在实践中，这把举证责任转移到了您身上。仅仅控制措施良好还不够，您必须能够说明您是基于怎样的推理，判断这些控制措施的力度与您信息资产所面临的威胁相称。审核人会要求您以书面形式提供这一判断及其依据，例如威胁情报、同业比较和事件历史。控制措施很强却没有书面力度依据的实体，正是会收到审计发现的那一类。

是的，而且适用范围比大多数实体所界定的更广。第 16、22、28 和 34 段各自都附有明确的脚注，说明这些段落适用于由关联方和第三方管理的所有信息资产，而不仅限于依据 CPS 231 或 SPS 231 就重大外包业务活动签订的协议所涵盖的资产。这意味着您需要评估这些相关方的信息安全能力，评价其控制措施的设计，评估您所依赖的测试是否与第 27 段中的五项因素相称，并且在事件可能对您或您的客户造成重大影响时，由内部审计评估您打算依赖的保证。将这项工作的范围仅限于重大外包登记册，是该标准中最常见的一个缺口。

第 30 段要求由具备适当技能且职能上独立的专业人员进行测试。职能独立关乎汇报关系，而不在于是否聘请外部公司，因此只要内部团队不拥有或不运营其所测试的控制措施，同样可以符合要求。常见的失败做法是：安全团队既运营网络控制措施，又针对这些控制措施执行渗透测试。第 27 段另行要求该测试计划具有系统性，其性质和频率须根据五项因素确定，其中一项是来自您无法执行自身策略的环境的风险，在实践中这指的是您的云环境和第三方资产。

自知悉之时开始。第 35 段要求，在知悉某一信息安全事件已对实体或存款人、保单持有人、受益人或其他客户的利益造成重大影响或可能造成重大影响后，应尽快通知，且不得迟于 72 小时。还有第二项要件常常让实体措手不及：对于已通知澳大利亚或其他司法管辖区其他监管机构的事件，无论您是否评估其对自身构成重大影响，都必须同时通知 APRA。第 36 段是另一个时钟，期限为 10 个工作日，适用于您预计无法及时整改的重大信息安全控制措施缺陷；它自您知悉该缺陷之时开始计时，而不是自您认定其无法修复之时开始。

除日常监管活动外，APRA 还采用了三方审查，即聘请独立专家，对照该标准检验实体自身的声明。这决定了哪些证据值得留存：审核人寻找的是能够表明某项职责已经履行的记录，而不是描述某种意图的文件。例如：显示董事会提出了质询而非仅仅接收报告的会议纪要；注明日期的响应计划测试记录，而不是一份经过审阅的计划；未能及时整改的缺陷的上报记录；以及您依赖第三方测试背后的评估。

Venvera 内置以第 13 至 36 段呈现的 24 项要求，并按该标准自身的 9 个标题分组，每项要求都有负责人、状态、专属证据，以及关于审核人认可哪些内容作为证明的编写指引。包含 42 个问题的差距评估会对该标准留待判断的事项进行评分，而这正是“相称”一词真正发挥作用之处。周期性职责会连同负责人和日期一起纳入合规日历：每年的响应计划测试、每年对测试计划的审查、内部审计审查、资产分类更新以及第三方重新评估。董事会报告会为第 13 段规定负有最终责任的董事会汇总当前状况。

CPS 234 专门针对信息安全。CPS 230《运营风险管理》是范围更广的运营韧性标准，更全面地涵盖服务提供商管理和业务连续性，因此两者在第三方管理方面有所重叠，但不能相互替代。ISO 27001 是一项可认证的国际标准，有其自身的管理体系和附录 A 控制措施集；持有该认证可以作为 CPS 234 多个段落的有用证据，尤其是在策略框架和控制措施实施方面，但它并不等同于符合 CPS 234，APRA 也不会这样看待。ISO 27001 本身无法回应的段落，正是审慎监管背景下特有的那些：第 13 段下的董事会问责、第 20 段下分类的客户影响维度，以及两个通知时钟。