CPS 234 sprendžia beveik visus subjekto saugumo infrastruktūros aspektus, todėl įgyvendinimas gali būti sudėtingas be gairių. Norėdami suteikti jums pradžios tašką, šis straipsnis apims: 
 
 
 
 CPS 234 reikšmė ir tikslas Pagrindinė sistemos struktūros apžvalga Veiksmingi įgyvendinimo veiksmai Kas yra CPS 234? CPS 234 yra prudencinis standartas, kurį išleido APRA, įpareigojantis reguliuojamiems subjektams taikyti kibernetinio atsparumo reikalavimus.Jis įsigaliojo 2019 m. Kaip Tarnybos atsakas į didėjantį kibernetinio saugumo grėsmių skaičių ir sudėtingumą. Organizacijos finansų ir draudimo sektoriuose yra ypač jautrios tokioms grėsmėms, todėl APRA įgyvendina griežtus reikalavimus per CPS 234, kad padėtų jiems tobulinti savo veiklą. ir sumažinti įvairias rizikas, visų pirma: Saugumo pozicija 
 
 
 
 Išoriniai saugumo išpuoliai Slaptų duomenų pažeidimai ir nutekėjimai Saugumo rūpesčiai, kuriuos sukelia vidinių komandų aplaidumas Kur CPS 234 atitinka kitus CPS standartus? CPS 230 įsigaliojo 2025 m. liepos 1 d. ir pakeitė penkis kitus standartus, būtent CPS 231 (Outsourcing), SPS 231 (Outsourcing), HPS 231 (Outsourcing), CPS 232 (Business Continuity Management) ir SPS 232 (Business Continuity Management). Kam reikalingas CPS 234 atitikties reikalavimas? CPS 234 apibrėžia penkias subjektų kategorijas, kurios turi atitikti standartą: 
 
 
 
 
 
 Įgaliotos indėlių priėmimo įstaigos (ADIs) Generaliniai draudikai Gyvenimo įmonės Privatūs sveikatos draudikai, registruoti pagal Privatų sveikatos draudimą (prudencinę priežiūrą) PHIPS įstatymą Įregistruojami superannuation subjektai (RSE), licencijos turėtojai pagal superannuation industry (Supervision) SIS Act ‍ Taikymas yra aiškiai apibrėžtas, todėl lengva suprasti, kaip CPS 234 veikia jūsų organizaciją ir užtikrina, kad ji atitiktų visus būtinus įsipareigojimus. kad galėtų susipažinti su apimtimi jautriais duomenimis, sistemos reikalavimai taikomi visiems, įskaitant organizacijas už Australijos ribų. Trečiosios šalys Kaip CPS 234 taikomas trečiosioms šalims ir tarptautiniams pardavėjams Trečiosios šalys, įskaitant trečiąsias šalis už Australijos ribų, nėra tiesiogiai taikomos CPS 234, tačiau gali būti reikalaujama pagal sutartį įrodyti kontrolės veiksmingumą, suderintą su CPS 234, kaip nustato APRA reguliuojamas subjektas, kuriam jie tarnauja. Tokių organizacijų pavyzdžiai yra: 
 
 
 
 JAV įsikūrusi fintech siūlo debesies paskolų platformas Australijos bankams Jungtinėse Amerikos Valstijose įsikūręs duomenų analizės teikėjas, apdorojantis superannuation duomenis Kibernetinio saugumo tiekėjas nuotoliniu būdu stebi Australijos draudikų infrastruktūrą Bet kuriuo iš pirmiau minėtų atvejų (ir kitų scenarijų, susijusių su užsienio duomenų saugojimu), organizacijos turi patikrinti ir įgyvendinti būtiną kontrolę, suderintą su CPS 234. Tai gali būti ypač sudėtinga organizacijoms, kurioms taikomas Įstatymas dėl teisėto duomenų naudojimo užsienyje (angl. Clarifying Lawful Overseas Use of Data (CLOUD) Act).Nors tai tiesiogiai neprieštarauja CPS 234, tai gali sukelti galimą konfliktą Australijos subjektams, naudojantiems debesijos paslaugas iš JAV įsikūrusių paslaugų teikėjų. „CLOUD Act“ leidžia JAV teisėsaugos institucijoms susipažinti su JAV įsikūrusių paslaugų teikėjų turimais duomenimis, net jei tie duomenys saugomi užsienyje.Todėl Australijos organizacijos, naudojančios šias paslaugas, turi užtikrinti, kad nebūtų pažeisti CPS 234 konfidencialumo ir suverenumo reikalavimai. Kadangi jūs neturite didelės kontrolės trečiųjų šalių saugumo pozicijų atžvilgiu, kaip reguliuojamas subjektas turėtumėte užtikrinti CPS 234 laikymąsi per teisinius susitarimus ir sutarčių sąlygas, kurios nurodo standarto įgyvendinimą. Norėdami apibūdinti visus būtinus terminus, apsvarstykite, kokių tipų duomenis turėsite su pardavėju.Tada turėtumėte įvertinti galimo incidento poveikį jūsų organizacijai ar produktų veiklai, kad informuotumėte apie to pardavėjo rizikos sunkumą. CPS 234 kontrolė CPS 234 apibūdina devynias pagrindines reikalavimų sritis, kurių kiekviena reiškia kontrolės lūkesčių rinkinį, kurį organizacijos turi įgyvendinti atsižvelgdamos į savo rizikos aplinką: 
 
 
 
 
 
 
 
 
 
 vaidmenys ir atsakomybė Informacijos saugumo pajėgumai Politinė sistema Informacinio turto identifikavimas ir klasifikavimas Informacijos saugumo kontrolės įgyvendinimas Incidentų valdymas Kontrolės efektyvumo testas Vidaus auditas Po pranešimo ‍ Reikalavimai yra aiškūs ir reglamentuojantys, ir jie skirti pagrindiniams sistemos tikslams pasiekti: 
 
 
 
 
 Aiškiai apibrėžti su saugumu susijusius vaidmenis ir atsakomybę Išlaikyti tvirtą informacijos saugumo galimybę, atitinkančią duomenų kritiškumą ir jautrumą Įgyvendinti tinkamas kontrolės priemones organizacijos informaciniam turtui apsaugoti Pranešti APRA apie atitinkamus saugumo incidentus ‍ Be aiškumo, reikšmingas CPS 234 reikalavimų privalumas yra jų glaudus ryšys su Jei jau visiškai priėmėte ISO 27001, turėtumėte efektyviau pasiekti CPS 234 atitikimą naudojant veiksmingą kontrolės žemėlapį. ISO 27001 kontrolė ‍ CPS 234 Baudos už nesilaikymą Atsižvelgiant į didesnį APRA priežiūros dėmesį kibernetiniam atsparumui, reguliuojami subjektai turėtų tikėtis didesnio CPS 234 reikalavimų tikrinimo ir aktyvesnio vykdymo užtikrinimo. Bauda už reikalavimų nesilaikymą nėra aiškiai nurodyta pačiame CPS 234 straipsnyje. Vietoj to, baudos nustatomos pagal platesnius teisės aktus, susijusius su subjektu, pvz., Bankininkystės įstatymą, Draudimo įstatymą, Gyvenimo draudimo įstatymą ir Pramonės priežiūros įstatymą. Jūsų verslas taip pat gali patirti papildomų problemų, tokių kaip: 
 
 
 
 Teisinė eskalacija Verslo nuostoliai Reputacijos žala ‍ 7 žingsniai siekiant CPS 234 atitikties Nepriklausomai nuo jūsų organizacijos taikymo kategorijos, galite pasiekti CPS 234 laikymąsi ir valdyti savo verslo riziką, atlikdami šiuos veiksmus: 
 
 
 
 
 
 
 
 Nustatykite vaidmenis ir atsakomybę Plėtoti ir palaikyti informacijos saugumo pajėgumus Sukurti visapusišką politikos sistemą Informacijos turto identifikavimas ir klasifikavimas Įdiegti griežtą kontrolę Incidento valdymo procedūrų kūrimas Reguliarus vidaus auditas ‍ Tolesniuose skyriuose bus aprašyti kiekvienas žingsnis su pagrindiniais veiksmų elementais. 1 žingsnis: nustatyti vaidmenis ir atsakomybę CPS 234 13 skirsnis reikalauja aiškiai apibrėžtų valdybos, vyresniosios vadovybės, IT darbuotojų ir kitų atitinkamų darbuotojų vaidmenų ir atsakomybės. Štai kodėl svarbu gauti aukšto lygio vadovų įsipareigojimus prieš kuriant CPS 234 įgyvendinimo strategiją. Kaip nurodyta 13 skirsnyje, valdyba turi įgyvendinti ir išlaikyti saugumo kontrolę, atitinkančią informacijos saugumo grėsmes.Tai reiškia, kad pirmiausia turite suprasti savo grėsmės kraštovaizdį atlikdami būtinus veiksmus. ir rizikos vertinimus. Saugumo apžvalgos Siekiant supaprastinti procesą, galite sukurti specialius komitetus, pvz., Informacijos saugumo valdymo komitetą ir rizikos valdymo komitetą. 2 žingsnis: Plėtoti ir palaikyti informacijos saugumo pajėgumus Suprasdami savo organizacijos rizikos profilį ir saugumo aplinką, atlikite išsamų esamų saugumo galimybių vertinimą, kad nustatytumėte atitikties spragas. CPS 234 reikalauja, kad organizacijos šį procesą taikytų visoms trečiosioms šalims, valdančioms savo informacijos turtą, įskaitant: 
 
 
 
 Debesų tiekėjai Mokėjimo procesoriai SaaS platformos su prieiga prie jautrių duomenų ‍ Kai atliksite būtinus vertinimus, naudokite rezultatus, kad nustatytumėte ir prižiūrėtumėte gebėjimus tokiose srityse kaip: 
 
 
 
 
 Pažeidžiamumas ir grėsmių valdymas Situacijos suvokimas Saugus dizainas Atsakymas į incidentą ‍ 3 žingsnis: sukurkite išsamią politikos sistemą CPS 234 reikalauja, kad organizacijos sukurtų ir palaikytų informacijos saugumo politiką, proporcingą atitinkamoms grėsmėms ir rizikos poveikiui jų aplinkoje. ‍ Politika turėtų apimti visas atitinkamas saugumo procedūras ir priemones, pavyzdžiui: 
 
 
 
 
 Prieigos kontrolė Hardware ir programinės įrangos apsauga Konfigūracijos valdymas Trečiosios šalies rizikos valdymas ‍ Kadangi jūsų organizacijos saugumas nuolat vystosi, jūsų įdiegtos CPS 234 kontrolės neturėtų likti statinės. Vietoj to, nustatykite reguliarias dabartinės grėsmių aplinkos peržiūras ir vertinimus, kad atitinkamai pritaikytumėte savo politiką. Organizacijos masto saugumo supratimas yra labai svarbus veiksmingam įgyvendinimui, todėl pranešite apie politiką atitinkamiems komandos nariams visais lygmenimis. 4 žingsnis: identifikuoti ir klasifikuoti informacijos turtą Norėdami efektyviai apsaugoti informacijos turtą, turite inventorizuoti ir klasifikuoti jį pagal jų kritinį ir jautrumą.Tai taikoma vidaus turtui, taip pat tiems, kuriuos valdo trečiosios šalys, į kuriuos turėtumėte atkreipti ypatingą dėmesį dėl padidėjusio grėsmių kraštovaizdžio. CPS 234 20 skirsnis reikalauja, kad organizacijos įgyvendintų kontrolę, pagrįstą turto klasifikavimu pagal galimą incidento finansinį ar nefinansinį poveikį. 
 
 
 
 
 Politikų Depozitoriai naudos gavėjai Kiti klientai ‍ Kadangi jūsų saugumo aplinka keičiasi, prireikus turite peržiūrėti ir perskirstyti turtą. 
 
 
 
 Realios grėsmės saugumui Naujų pardavėjų, turinčių prieigą prie informacijos turto, įdiegimas / išjungimas Svarbūs pokyčiai IT infrastruktūroje ‍ 5 žingsnis: įgyvendinkite tvirtą kontrolę CPS 234 reikalauja, kad organizacijos parengtų ir įgyvendintų saugumo kontrolę, atitinkančią: 
 
 
 
 
 Informacinio turto pažeidžiamumas ir grėsmės Kritika ir jautrumas Informacinio turto gyvavimo ciklo etapas Galimos saugumo incidento pasekmės ‍ Nepriklausomai nuo jūsų konkrečių darbo srautų, rekomenduojama geriausia praktika yra įgyvendinti šias kontrolės priemones visose jūsų kūrimo, testavimo ir gamybos aplinkose, nes kiekvienoje iš jų gali atsirasti grėsmių. Kadangi jūsų trečiųjų šalių saugumo kontrolės priemonės tiesiogiai veikia jūsų saugumo poziciją, CPS 234 reikalauja, kad organizacijos jas peržiūrėtų. Jūsų saugumo kontrolės elementai turi atitikti jūsų rizikos profilio ir saugumo kraštovaizdžio pokyčius, todėl reguliariai peržiūrėkite juos, kad sužinotumėte, ar reikia kokių nors koregavimų. 6 žingsnis: rengti incidentų valdymo procedūras Pagal CPS 234 23-25 skirsnius organizacijos turi parengti veiksmingas procedūras saugumo incidentams aptikti ir reaguoti į juos. 
 
 
 
 
 
 
 Detektavimas Analizė Kontentavimas Išnaikinimas atkūrimo Po incidento apžvalga ‍ Jūsų procedūrų ypatumai priklausys nuo jūsų darbo eigos ir IT infrastruktūros, tačiau jie visi turi tarnauti vienam tikslui – greitai ir su minimalia žala reaguoti į incidentus. Jūs taip pat turite parengti aiškias procedūras, kaip didinti incidentų skaičių ir pranešti apie juos valdybai ir kitiems atitinkamiems suinteresuotiesiems subjektams. Jei įvyksta incidentas, turite pranešti APRA per 72 valandas ir per 10 darbo dienų pranešti apie kontrolės trūkumus, kurie gali sukelti incidentą. 
 
 
 Incidentų reagavimo plano sukūrimas, kuris apima pranešimą APRA, padės jums iš anksto apibrėžti, kas sudaro esminį incidentą ir kas jūsų komandoje turėtų atlikti galutinį skambutį. Evanas Rojus GRC temų ekspertas, Vanta Átha LinkedIn Incidentų reagavimo plano sukūrimas, kuris apima pranešimą APRA, padės jums iš anksto apibrėžti, kas sudaro esminį incidentą ir kas jūsų komandoje turėtų atlikti galutinį skambutį. Evanas Rojus GRC temų ekspertas, Vanta Átha LinkedIn CPS 234 26 skirsnis reikalauja, kad organizacijos kasmet peržiūrėtų savo incidentų reagavimo procedūras, kad užtikrintų nuolatinį veiksmingumą. 7 žingsnis: Reguliariai atlikti vidaus auditą Nėra oficialaus CPS 234 atitikties proceso, o APRA nesuteikia jokių aiškių sertifikatų. Vietoj to, jūs turite savarankiškai įvertinti savo saugumo požiūrį į jo reikalavimus ir veiksmingai pašalinti bet kokias spragas. Kadangi taip pat nėra pakartotinio sertifikavimo, turite išlaikyti savo kontrolę neribotą laiką, kad užtikrintumėte nuolatinį atitikimą. Tai leidžia jums reguliariai tikrinti informacijos saugumo kontrolės priemonių projektavimą ir veikimą. Vidaus audito procesas Tai dažnai yra vienas iš sudėtingiausių aspektų, susijusių su CPS 234 reikalavimų laikymusi.Jei neturite aiškiai apibrėžtų audito procedūrų, tai gali lemti CPS 234 įsipareigojimų nesilaikymą. ‍ 
 
 
 „Jeigu vidaus auditas jau nėra, sukurti ir valdyti vieną programą, kad būtų galima veiksmingai peržiūrėti ir išmatuoti atitikties reikalavimus, gali būti sudėtinga integruoti į platesnę organizacijos informacijos saugumo programą.“ Faisalas Khanas GRC sprendimų ekspertas, Vanta E LinkedIn „Jeigu vidaus auditas jau nėra, sukurti ir valdyti vieną programą, kad būtų galima veiksmingai peržiūrėti ir išmatuoti atitikties reikalavimus, gali būti sudėtinga integruoti į platesnę organizacijos informacijos saugumo programą.“ Faisalas Khanas GRC sprendimų ekspertas, Vanta E LinkedIn Geros naujienos yra tai, kad yra keletas būdų, kaip įveikti šias kliūtis.Bendras sprendimas yra derinti nepriklausomas apžvalgas ir ekspertų nuomones su vidaus audito veikla, ypač tose srityse, kuriose reikia specialių žinių. Kitas būdas supaprastinti vykdomą CPS 234 atitikimą yra naudojant specialų programinės įrangos sprendimą.Su tinkama platforma, galite pašalinti rankinį darbą iš proceso ir efektyviau išlaikyti savo kontrolę. Pasiekti ir išlaikyti CPS 234 atitikimą su „Vanta“ Vanta yra išsami pasitikėjimo ir atitikties valdymo platforma, kuri automatizuoja atitikties darbo eigą, susijusią su Įskaitant CPS 234. 35 pagrindinės sistemos ir reglamentai Ji siūlo specialų CPS 234 produktą, kuris supaprastina atitikimą įvairiomis funkcijomis, visų pirma: 
 
 
 
 
 
 
 Pre-configured document templates and policies 
 
 Continuous visibility of your CPS 234 compliance status 
 
 Automation and integration options for evidence collection and controls monitoring through  over [integrations_count] integrations 
 
 Access to a network of accredited auditors for support and remediation throughout the compliance process Kadangi trečiosios šalies rizikos valdymas yra svarbi CPS 234 atitikties dalis, „Vanta“ taip pat siūlo tvirtą padėti jums nuolat prižiūrėti savo trečiųjų šalių saugumo požiūrį ir užtikrinti CPS 234 laikymąsi. Rizikos valdymo sprendimai Be specialių produktų, skirtų pagrindiniams CPS 234 atitikties aspektams, „Vanta“ teikia nuolatinę ekspertų paramą bet kuriame proceso etape, kad būtų pašalinta spėjama ir sumažinta pažeidimų rizika. iš „Vanta“ CPS 234 produkto, kad sužinotumėte, kaip jis padeda jums pasiekti ir išlaikyti atitikties reikalavimus. Parsisiųsti custom demo

Šis garso įrašas sukurtas originalia istorijos kalba!

CPS 234 įgyvendinimo vadovas

About Author

KOMENTARAI

PABAIGTI ŽYMES

ŠIS STRAIPSNIS BUVO PRISTATYMAS

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps