CPS234は、実質的にエンティティのセキュリティインフラストラクチャのあらゆる側面に対応するため、ガイドなしで実装が困難になる可能性があります。 あなたに出発点を与えるために、この記事は以下をカバーします: 
 
 
 
 CPS234の意義と目的 枠組みの構造の概要 実施可能なステップ CPS234とは? CPS234は、規制対象企業のサイバー抵抗性要件を規定するAPRAが発行した監視基準であり、2019年には、サイバーセキュリティの脅威の増加と複雑化に対する当局の対応として施行されました。 金融・保険業界の組織は、特にそのような脅威に敏感なので、APRAはCPS234を通じて厳格な要件を適用し、彼らの能力を向上させるのに役立ちます。 さまざまなリスクを軽減し、特に: セキュリティポジション 
 
 
 
 外部セキュリティ攻撃 敏感なデータの侵害および漏洩 内部チームの不注意によるセキュリティ上の懸念 CPS 234 は他の CPS 規格とどのように合致しますか? CPS234は、CPS231(アウトソーシング)、SPS231(アウトソーシング)、HPS231(アウトソーシング)、CPS232(ビジネス継続管理)、SPS232(ビジネス継続管理)などの5基準に代わって、2025年7月1日に発効しました。 CPS234に適合する必要があるのは誰ですか? CPS234は、この規格に準拠しなければならない企業の5つのカテゴリを示しています。 
 
 
 
 
 
 認可された預金機関(ADIs) 一般保険者 ライフ企業 プライベートヘルス保険(プライベートヘルス保険(プライベートヘルス保険(プライベートヘルス保険(プライベートヘルス保険)))法(Private Health Insurance (Prudential Supervision) PHIPS Act) 登録可能な超年金事業者(RSE)、超年金業界(監督)SIS法に基づくライセンス取得者 ‍ 適用性は明確に定義されており、CPS 234 が組織にどのように影響するかを理解し、必要なすべての義務を満たすことを保証します。 範囲内で敏感なデータにアクセスできるようになり、この枠組みの要件はオーストラリア以外の組織を含むすべての組織に適用されます。 第三者 CPS234が第三者および国際販売者に適用される方法 オーストラリア以外の第三者を含む第三者は、CPS 234に直接適用されるものではありませんが、CPS 234に準拠した制御効率を、彼らがサービスを提供するAPRA規制団体によって決定されたように、契約上要求される場合があります。 そのような組織の例には、以下が含まれます。 
 
 
 
 米国に拠点を置くFinTechがオーストラリアの銀行にクラウドベースの融資プラットフォームを提供 米国に拠点を置くデータ分析プロバイダーが超年齢データを処理 オーストラリアの保険会社のインフラをリモートで監視するサイバーセキュリティプロバイダー 上記のいずれかのケース(および外国のデータの保管を含む他のシナリオ)においては、組織は、CPS 234に準拠した必要なコントロールを検証し、実施する必要があります。 これは、CLOUD(Clarifying Lawful Overseas Use of Data)法に準拠する組織にとって特に困難である可能性がありますが、CPS234に直接反するものではありませんが、米国に拠点を置くプロバイダーからのクラウドサービスを使用するオーストラリア企業にとって潜在的な紛争を引き起こす可能性があります。 CLOUD Act は、米国に拠点を置くプロバイダーが保有するデータに米国の法執行当局がアクセスできるようにしますが、そのデータが海外に保管されている場合でもあります。 したがって、これらのサービスを使用するオーストラリアの組織は、CPS 234の機密性と主権の要件が損なわれないようにしなければなりません。 第三者のセキュリティポジションをあまりコントロールできないため、規制対象企業として、規格の実施を規定する法的合意と契約条項を通じてCPS234の遵守を強制すべきです。 必要なすべての条件を述べるには、販売者と一緒に保管するデータの種類を考慮し、その後、潜在的な事件が組織または製品の運営に及ぼす影響を評価して、その販売者に対するリスクの重さを把握する必要があります。 CPS 234 コントロール CPS234は、組織がリスク環境に基づいて実施しなければならないコントロール期待のセットを意味する9つのコア要件領域を示しています。 
 
 
 
 
 
 
 
 
 
 役割と責任 情報セキュリティ能力 政策枠組み 情報資産の識別と分類 情報セキュリティ制御の実施 事故管理 コントロール効果の検証 内部監査 通知後 ‍ 要件は明確で規定的なものであり、この枠組みの主要な目標を達成するように設計されています。 
 
 
 
 
 セキュリティ関連の役割と責任を明確に定義する データの重要性と敏感性に対応する強力な情報セキュリティ機能の維持 組織の情報資産を保護するための適切なコントロールを実施 関連するセキュリティ事件についてAPRAに通知する ‍ 明確性に加えて、CPS 234の要件の顕著な利点は、それらとの密接な関係です。 既にISO 27001を完全に採用している場合は、効率的な制御マッピングを通じてCPS 234のコンプライアンスをより効率的に達成する必要があります。 ISO 27001 コントロール ‍ CPS234 不遵守の罰則 APRAがサイバー抵抗性に対する監視上の注意を高めていることを考慮して、規制対象者はCPS234の要求事項をより徹底的に監視し、より積極的に執行することを期待すべきである。 違反の罰金は、CPS 234自体に明示的に規定されていません。代わりに、罰金は、銀行法、保険法、生命保険法、超年金業界(監督)法など、当該企業に関連するより広範な法律に基づいて定められています。 あなたのビジネスはまた、以下のような追加の問題に苦しむ可能性があります: 
 
 
 
 法的 escalation ビジネスの損失 評判損害 ‍ CPS234コンプライアンスへの7ステップ 組織の適用範囲に関係なく、以下の手順でCPS 234の遵守を達成し、ビジネスリスクを管理できます。 
 
 
 
 
 
 
 
 役割と責任を確立 情報セキュリティ能力の開発と維持 総合的な政策枠組みの確立 情報資産の識別と分類 強力なコントロールを実施 イベント管理手続きの開発 定期的な内部監査を実施 ‍ 次のセクションでは、各ステップに主要なアクション項目を示します。 ステップ1:役割と責任の確立 CPS234第13条では、取締役会、最高経営責任者、IT職員、その他の関連職員の役割と責任が明確に定義される必要があるが、取締役会は最終的に組織の情報セキュリティの責任を負う。 したがって、CPS 234の実施戦略を開発する前に、高レベルの幹部の購買を得ることは極めて重要です。 第13条に基づき、取締役会は、情報セキュリティの脅威に対応するセキュリティコントロールを実施し、維持しなければなりません。 そしてリスク評価。 セキュリティ評価 プロセスを簡素化するために、情報セキュリティ指揮委員会やリスク管理委員会などの専用委員会を構築することができる。 ステップ2:情報セキュリティ能力の開発と維持 組織のリスクプロファイルとセキュリティ環境を理解した後、既存のセキュリティ機能の包括的な評価を行い、コンプライアンスのギャップを特定します。 CPS234は、組織がその情報資産を管理するすべての第三者にこのプロセスを適用することを要求する。 
 
 
 
 クラウドプロバイダー 支払い処理者 SaaS プラットフォームで機密データへのアクセス ‍ 必要な評価を実施したら、以下の分野で能力を確立し、監督するために結果を使用してください。 
 
 
 
 
 脆弱性と脅威管理 状況意識 安全なデザイン 事件の回答 ‍ ステップ3:包括的な政策枠組みの確立 CPS234は、組織がその環境の関連する脅威およびリスク曝露に比例する情報セキュリティポリシーを構築し、維持することを要求する。 ‍ このポリシーは、以下のようなすべての関連するセキュリティ手順および措置を含むべきである。 
 
 
 
 
 アクセスコントロール ハードウェアとソフトウェアの保護 Configuration マネジメント 第三者リスク管理 ‍ 組織のセキュリティが絶え間なく進化するにつれて、実装された CPS 234 コントロールは静的なものではありません。 組織全体のセキュリティ認識は、効果的な実装に不可欠なので、各レベルの関連チームメンバーにポリシーを伝えることもできます。 ステップ4:情報資産の識別と分類 情報資産を効果的に保護するには、情報資産の重要性と敏感性に基づいて、それらをリストアップし、分類する必要があります。 CPS234第20条では、組織は、潜在的な事件の財務的または非財務的影響に基づいて資産の分類に基づいて制御を実施することを義務付けています。 
 
 
 
 
 政治家 保管者 受益者 他の顧客 ‍ セキュリティ環境が変化するにつれて、必要に応じて資産を再確認し、再分類する必要があります。定期的なレビューに加えて、以下のシナリオに従って再評価を行うようにしてください。 
 
 
 
 実現したセキュリティ脅威 Onboarding/offboarding new vendors with access to information assets(情報資産へのアクセスを有する新しいベンダーをオンボード化/offboarding new vendors with access to information assets) ITインフラに大きな変化 ‍ ステップ5:強力なコントロールを実装 CPS234は、組織が以下の点に対応するセキュリティコントロールを開発し、実施することを要求する。 
 
 
 
 
 情報資産の脆弱性と脅威 批判性と敏感性 情報資産のライフサイクル段階 セキュリティ事件の潜在的影響 ‍ 特定のワークフローに関係なく、これらのコントロールを開発、テスト、および生産環境で実装することを推奨する最善の実践は、それぞれに脅威が発生する可能性があるためです。 第三者のセキュリティコントロールがあなたのセキュリティポジションに直接影響を与えるため、CPS 234は組織がそれらをレビューすることを要求します。 セキュリティコントロールは、リスクプロフィールやセキュリティ環境の変更に従わなければなりませんので、調整が必要かどうかを確認するために定期的にチェックしてください。 ステップ6:イベント管理手順の開発 CPS234の第23条から25条に基づき、組織はセキュリティ事件の検出と対応のための効果的な手順を開発しなければならないが、CPS234は特定のプロセスを規定していないが、NISTやSANSなどの業界のベストプラクティスは、以下の6段階をカバーすることを推奨している。 
 
 
 
 
 
 
 探知 分析 コンテンツ 根絶 回復 事故後のレビュー ‍ プロセスの詳細は、あなたのワークフローとITインフラストラクチャに依存しますが、すべてのプロセスは、1つの目標を達成する必要があります - 事故に迅速かつ最小限の損害で応答します。 また、取締役会およびその他の関連当事者に事件を拡大し報告するための明確な手順を開発する必要があるため、組織全体で効果的なコミュニケーションチャネルと明確に定義された報告責任が必要になります。 事故が発生した場合は、72時間以内にAPRAに通知し、10営業日以内に事故を引き起こす可能性のある制御の弱点について通知する必要があります。 
 
 
 APRAへの報告を含む事件対応プランの構築は、重大な事件を構成するものと、チームの誰が最終的な呼び出しをするべきかを事前に定義するのに役立ちます。 エヴァン・ローズ GRC Subject Matter Expert(GRCトピック・マテル・エキスパート) LinkedIn APRAへの報告を含む事件対応プランの構築は、重大な事件を構成するものと、チームの誰が最終的な呼び出しをするべきかを事前に定義するのに役立ちます。 エヴァン・ローズ GRC Subject Matter Expert、ヴァンタ リンク CPS 234 セクション 26 では、組織は、継続的な効果を確保するために、毎年事故対応手順をレビューすることを要求します。 ステップ7:定期的な内部監査を実施 正式な CPS 234 コンプライアンスプロセスはありませんし、APRA は明示的な認証を授与しません。代わりに、セキュリティ姿勢をその要件に対して自己評価し、いかなるギャップも効果的にブロックする必要があります。 また、再認証はありませんので、継続的なコンプライアンスを確保するために、無期限にコントロールを維持する必要があります。 これにより、情報セキュリティコントロールの設計と運用効率を定期的に監査することができます。 内部監査プロセス これは、適用範囲内の組織にとってCPS 234の遵守の最も困難な側面の1つであることがよくあります. あなたが明確に定義された監査手順を持っていない場合、これはCPS 234の義務を遵守しない可能性があります。 ‍ 
 
 
 「内部監査が既に実施されていない限り、コンプライアンスを効果的に見直し、測定するための1つのプログラムの作成と管理は、組織のより広範な情報セキュリティプログラムに組み込むことが困難になる可能性があります。 ファイサル・カーン GRCソリューション・エキスパート、Vanta G LinkedIn 「内部監査が既に実施されていない限り、コンプライアンスを効果的に見直し、測定するための1つのプログラムの作成と管理は、組織のより広範な情報セキュリティプログラムに組み込むことが困難になる可能性があります。 ファイサル・カーン GRCソリューション・エキスパート、Vanta G LinkedIn 良いニュースは、これらの障害を克服するいくつかの方法があるということです。共通の解決策は、特に専門知識を必要とする分野において、独立したレビューと専門家の意見を内部監査活動と組み合わせることです。 継続的な CPS 234 コンプライアンスを簡素化するもう一つの方法は、専用のソフトウェアソリューションを使用することです。 ヴァンタとの CPS 234 コンプライアンスの達成と維持 Vanta は、コンプライアンス関連のワークフローを自動化する包括的な信頼とコンプライアンス管理プラットフォームです。 CPS234を含む。 35 主要な枠組みと規制 さまざまな機能を通じてコンプライアンスを簡素化する専用のCPS 234製品を提供しています。 
 
 
 
 
 
 
 Pre-configured document templates and policies 
 
 Continuous visibility of your CPS 234 compliance status 
 
 Automation and integration options for evidence collection and controls monitoring through  over [integrations_count] integrations 
 
 Access to a network of accredited auditors for support and remediation throughout the compliance process 第三者によるリスク管理はCPS 234コンプライアンスの重要な部分であるため、Vantaは強力な対応を提供しています。 第三者のセキュリティ姿勢を継続的に監視し、CPS 234の遵守を保証するために ベンダーリスク管理ソリューション CPS234の主要なコンプライアンス側面に専用の製品に加え、Vantaはプロセスのあらゆる段階で継続的な専門家のサポートを提供し、推測を排除し、違反のリスクを最小限に抑える。 ヴァンタのCPS 234製品から、コンプライアンスを達成し維持するのに役立つ方法を学ぶことができます。 スケジュール custom demo

このオーディオは、ストーリーの元の言語で制作されています。

CPS234実装ガイド

About Author

コメント

ラベル

この記事は

Related Stories

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

AI の力を解き放つ。最先端技術の体系的レビュー: 概要と序論

HackerNoon ライティングコンテストで優勝したいですか? #crypto-api コンテスト優勝者のおすすめはこちら

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

AI/ML データレイクのリファレンスアーキテクチャを構築するためのアーキテクトガイド

AI の力を解き放つ。最先端技術の体系的レビュー: 概要と序論

HackerNoon ライティングコンテストで優勝したいですか? #crypto-api コンテスト優勝者のおすすめはこちら

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps