Ръководство за прилагане на CPS 234

CPS 234 обхваща практически всички аспекти на инфраструктурата за сигурност на предприятието, така че изпълнението може да бъде предизвикателно без насоки. За да ви дам отправна точка, тази статия ще обхване: Смисълът и целта на CPS 234 Преглед на структурата на рамката Действителни стъпки за изпълнение Какво представлява CPS 234? CPS 234 е пруденциален стандарт, издаден от APRA, който налага изисквания за киберустойчивост на регулираните субекти.Той влезе в сила през 2019 г. като отговор на Органа на нарастващия брой и сложността на киберзаплахите. Организациите във финансовия и застрахователния сектор са особено уязвими от такива заплахи, така че APRA налага строги изисквания чрез CPS 234, за да им помогне да подобрят и намаляване на различни рискове, по-специално: Безопасна позиция Външни атаки срещу сигурността Нарушения и изтичане на чувствителни данни Загриженост за сигурността, причинена от небрежността на вътрешните екипи Къде CPS 234 съвпада с другите стандарти на CPS? CPS 230 влезе в сила на 1 юли 2025 г. и замени пет други стандарти, по-специално CPS 231 (Outsourcing), SPS 231 (Outsourcing), HPS 231 (Outsourcing), CPS 232 (Business Continuity Management) и SPS 232 (Business Continuity Management). Кой се нуждае от CPS 234? CPS 234 очертава пет категории предприятия, които трябва да постигнат съответствие със стандарта: Упълномощени институции за депозитиране (ADIs) Общи застрахователи Животните компании Частни здравни застрахователи, регистрирани съгласно Закона за частното здравно осигуряване (пруденциален надзор) PHIPS Регистриращи се суперануарски субекти (RSE), лицензополучатели съгласно Закона за суперануарската промишленост (надзор) Приложимостта е ясно дефинирана, което улеснява разбирането как CPS 234 засяга вашата организация и гарантира, че тя отговаря на всички необходими задължения. които могат да имат достъп до чувствителни данни в обхвата, изискванията на рамката обхващат всички тях, включително организации извън Австралия. Трети страни Как CPS 234 се прилага за трети страни и международни доставчици Трети страни, включително тези извън Австралия, не са пряко обект на CPS 234, но могат да бъдат задължени по договор да демонстрират ефективността на контрола, съобразена с CPS 234, както е определено от регулирания от APRA субект, който обслужват. Примери за такива организации включват: Финтех със седалище в САЩ предлага платформи за кредитиране в облак на австралийски банки Доставчик на анализи на данни, базиран в САЩ, обработва данни за надгодишнината Доставчик на киберсигурност наблюдава инфраструктурата на австралийските застрахователи от разстояние Във всеки от горепосочените случаи (и други сценарии, включващи чуждестранно съхранение на данни), организациите трябва да проверяват и прилагат необходимите контроли в съответствие с CPS 234. Това може да бъде особено предизвикателство за организациите, управлявани от Закона за изясняване на законното използване на данни в чужбина (CLOUD). Законът CLOUD позволява на правоприлагащите органи на САЩ да имат достъп до данни, съхранявани от доставчици, базирани в САЩ, дори когато тези данни се съхраняват в чужбина. По този начин австралийските организации, които използват тези услуги, трябва да гарантират, че изискванията за поверителност и суверенитет на CPS 234 не са компрометирани. Тъй като нямате много контрол върху позициите за сигурност на трети страни, като регулиран субект трябва да налагате спазването на CPS 234 чрез правни споразумения и договорни условия, които уточняват прилагането на стандарта. За да очертаете всички необходими условия, помислете за видовете данни, които ще съхранявате с доставчика. След това трябва да оцените въздействието на потенциалния инцидент върху вашата организация или операциите на продукта, за да информирате сериозността на риска на този доставчик. CPS 234 контрола CPS 234 очертава девет основни области на изискване, всяка от които предполага набор от очаквания за контрол, които организациите трябва да изпълняват въз основа на рисковата им среда: Роли и отговорности Способност за информационна сигурност Политическа рамка Идентификация и класификация на информационните активи Прилагане на контролите за информационна сигурност Управление на инциденти Тестване на ефективността на контрола Вътрешен одит След уведомяване Изискванията са ясни и предписателни и са предназначени да постигнат основните цели на рамката: Ясно определяне на ролите и отговорностите, свързани със сигурността Поддържане на стабилна способност за сигурност на информацията, съответстваща на критичността и чувствителността на данните Прилагане на адекватни проверки за защита на информационните активи на организацията Уведомяване APRA за съответни инциденти в областта на сигурността В допълнение към яснотата, забележимо предимство на изискванията на CPS 234 е тяхната тясна връзка с Ако вече сте приели напълно ISO 27001, трябва да постигнете съответствие с CPS 234 по-ефективно чрез ефективно картографиране на контрола. Изисквания към ISO 27001 CPS 234 Наказания за неспазване Предвид засиленото надзорно внимание на APRA към киберустойчивостта, регулираните субекти трябва да очакват по-голям контрол и по-проактивно изпълнение на изискванията на CPS 234. Вместо това санкциите се определят съгласно по-широките актове, отнасящи се до предприятието, като например Закона за банките, Закона за застраховането, Закона за животозастраховането и Закона за надградната промишленост (надзор). Вашият бизнес също може да страда от допълнителни проблеми като: Правна ескалация Загуба на бизнес Увреждане на репутацията 7 стъпки към спазване на CPS 234 Независимо от категорията на приложимост, в която попада вашата организация, можете да постигнете съответствие с CPS 234 и да управлявате бизнес риска си, като предприемете следните стъпки: Определяне на роли и отговорности Развиване и поддържане на капацитет за информационна сигурност Създаване на всеобхватна политическа рамка Идентифициране и класифициране на информационните активи Използване на стабилни контролни системи Разработване на процедури за управление на инциденти Редовни вътрешни одити Следващите раздели ще очертаят всяка стъпка с ключовите елементи на действие. Стъпка 1: Установяване на роли и отговорности Раздел 13 от CPS 234 изисква ясно определени роли и отговорности на Управителния съвет, висшето ръководство, ИТ персонала и други съответни служители. Ето защо е от решаващо значение да се получи привличането на висши ръководители, преди да се разработи стратегията за изпълнение на CPS 234. Както е посочено в раздел 13, Управителният съвет трябва да прилага и поддържа проверки за сигурност, съответстващи на заплахите за информационната сигурност. и оценка на риска. Оценка на сигурността За да рационализирате процеса, можете да създадете специални комитети като Комитета за управление на информационната сигурност и Комитета за управление на риска. Стъпка 2: Разработване и поддържане на възможности за информационна сигурност След като разберете рисковия профил и ландшафта за сигурност на вашата организация, извършете цялостна оценка на съществуващите възможности за сигурност, за да идентифицирате пропуските в съответствието. CPS 234 изисква от организациите да разширят този процес до всички трети страни, които управляват своите информационни активи, включително: облачни доставчици Платежни процесори SaaS платформи с достъп до чувствителни данни След като извършите необходимите оценки, използвайте резултатите, за да установите и наблюдавате способности в области като: Уязвимост и управление на заплахите Ситуационно осъзнаване Безопасен дизайн Отговор на инцидента Стъпка 3: Създаване на всеобхватна политическа рамка CPS 234 изисква от организациите да разработват и поддържат политика за сигурност на информацията, пропорционална на съответните заплахи и рисковата експозиция на тяхната среда.Подобно на контрола на сигурността, тази политика (раздел 18) трябва да бъде съобразена с степента на заплахите за сигурността и тяхното въздействие върху оперативната стабилност на организацията. Политиката следва да включва всички съответни процедури и мерки за сигурност, като например: Контрол на достъпа Защита на хардуера и софтуера Управление на конфигурацията Управление на риска от трети страни Тъй като сигурността на вашата организация непрекъснато се развива, въведените от вас CPS 234 контроли не трябва да остават статични. Осъзнаването на сигурността в цялата организация е от решаващо значение за ефективното изпълнение, така че съобщавайте правилата на съответните членове на екипа на всички нива. Стъпка 4: Идентифициране и класифициране на информационните активи За да защитите ефективно информационните активи, трябва да ги инвентаризирате и да ги класифицирате според тяхната критичност и чувствителност.Това важи както за вътрешните активи, така и за тези, управлявани от трети страни, на които трябва да обърнете специално внимание поради разширения пейзаж на заплахите. CPS 234 Раздел 20 изисква от организациите да прилагат контрол въз основа на класификацията на активите според финансовото или нефинансовото въздействие на потенциалния инцидент. Политици Депозитори бенефициерите Други клиенти Тъй като пейзажът на вашата сигурност се променя, трябва да прегледате и прекласифицирате активите, ако е необходимо.В допълнение към редовните прегледи, уверете се, че извършвате преоценки след следните сценарии: Реализирани заплахи за сигурността Включване/изключване на нови доставчици с достъп до информационни активи Значителни промени в ИТ инфраструктурата Стъпка 5: Прилагане на стабилни контроли CPS 234 изисква от организациите да разработват и прилагат проверки за сигурност, които съответстват на: Уязвимости и заплахи на информационни активи Критичност и чувствителност Етап от жизнения цикъл на информационния актив Възможни последици от инцидент със сигурността Независимо от конкретните ви работни потоци, препоръчителна най-добра практика е прилагането на тези контроли във вашата среда за разработване, тестване и производство, тъй като във всяка от тях могат да възникнат заплахи. Тъй като контролите за сигурност на вашите трети страни пряко засягат вашата позиция за сигурност, CPS 234 изисква от организациите да ги преразгледат. Вашите контроли за сигурност трябва да са в крак с промените в профила на риска и ландшафта на сигурността, така че ги преглеждайте редовно, за да видите дали са необходими корекции. Стъпка 6: Разработване на процедури за управление на инциденти Според раздели 23-25 от CPS 234 организациите трябва да разработят ефективни процедури за откриване и реагиране на инциденти, свързани със сигурността.Докато CPS 234 не предписва конкретен процес, най-добрите практики в индустрията, като тези от NIST и SANS, препоръчват да се обхванат следните шест етапа: детекция Анализ контейнер Ерадикация Възстановяване Преглед на инцидента Спецификите на вашите процедури ще зависят от вашите работни потоци и ИТ инфраструктура, но всички те трябва да служат на една и съща цел – реагиране на инциденти бързо и с минимални щети. Трябва също така да разработите ясни процедури за ескалиране и докладване на инциденти на Управителния съвет и други съответни заинтересовани страни. Това ще изисква да имате ефективни канали за комуникация в цялата организация и ясно определени отговорности за докладване. Ако възникне инцидент, трябва да уведомите APRA в рамките на 72 часа и да предоставите уведомления за слабости в контрола, които могат да доведат до инцидент в рамките на 10 работни дни. Изграждането на план за реагиране при инциденти, който включва докладване на APRA, ще ви помогне да определите предварително какво представлява съществен инцидент и кой в екипа ви трябва да направи окончателното обаждане. Еван Роуз Експерт по теми на GRC, Vanta Átha LinkedIn Изграждането на план за реагиране при инциденти, който включва докладване на APRA, ще ви помогне да определите предварително какво представлява съществен инцидент и кой в екипа ви трябва да направи окончателното обаждане. Еван Роуз Експерт по въпросите на ГРЦ, Вантава Линкън CPS 234 Раздел 26 изисква организациите да преразглеждат своите процедури за реагиране на инциденти ежегодно, за да гарантират постоянна ефективност. Стъпка 7: Редовно извършване на вътрешни одити Няма официален процес за съответствие с CPS 234, а APRA не предоставя никакви изрични сертификати. Вместо това трябва да оцените позицията си за сигурност спрямо нейните изисквания и ефективно да преодолеете всякакви пропуски. Тъй като също така няма пресертификации, трябва да поддържате контрола си за неопределено време, за да гарантирате непрекъснато спазване. Това ви позволява редовно да извършвате одит на проектирането и оперативната ефективност на контролите за информационна сигурност. Процес на вътрешен одит Това често е един от най-трудните аспекти на спазването на CPS 234 за организациите в обхвата.Ако нямате добре дефинирани процедури за одит, това може да доведе до неспазване на задълженията на CPS 234. „Ако вътрешният одит вече не е на място, създаването и управлението на една програма за ефективно преразглеждане и измерване на съответствието може да бъде предизвикателство да се включи в по-широката програма за информационна сигурност на организацията.“ Файсал Хан Експерт по решения на GRC, Vanta, LinkedIn „Ако вътрешният одит вече не е на място, създаването и управлението на една програма за ефективно преразглеждане и измерване на съответствието може да бъде предизвикателство да се включи в по-широката програма за информационна сигурност на организацията.“ Файсал Хан Експерт по решения на GRC, Vanta.bg Линкън Добрата новина е, че има няколко начина за преодоляване на тези пречки.Едно общо решение е да се комбинират независимите прегледи и експертните становища с дейностите по вътрешен одит, особено в области, изискващи специализирани познания. Друг начин за рационализиране на текущото спазване на CPS 234 е чрез използване на специално софтуерно решение.С правилната платформа можете да премахнете ръчната работа от процеса и да поддържате контролите си по-ефективно. Постигане и поддържане на съответствие с CPS 234 с Vanta Vanta е всеобхватна платформа за управление на доверието и съответствието, която автоматизира работните потоци за съответствие, свързани с Включително CPS 234. 35 основни рамки и регламенти Той предлага специален продукт CPS 234, който опростява съответствието чрез различни функции, най-вече: Pre-configured document templates and policies Continuous visibility of your CPS 234 compliance status Automation and integration options for evidence collection and controls monitoring through over [integrations_count] integrations Access to a network of accredited auditors for support and remediation throughout the compliance process Тъй като управлението на риска от трети страни е важна част от спазването на CPS 234, Vanta също така предлага стабилна система за управление на риска. за да Ви помогнем непрекъснато да наблюдавате позицията за сигурност на Вашите трети страни и да гарантирате спазването на CPS 234. Решение за управление на риска на доставчика В допълнение към специалните продукти за основните аспекти на съответствието с CPS 234, Vanta предоставя постоянна експертна поддръжка на всеки етап от процеса, за да елиминира доводи и да сведе до минимум риска от нарушения. от продукта CPS 234 на Vanta, за да научите как ви помага да постигнете и поддържате съответствието. Създаване на custom demo