APRA CPS 234: Aufsichtsstandard für Informationssicherheit

Laut der Cisco 2018 Asia Pacific Security Capabilities Benchmark Study geben 90 Prozent der australischen Unternehmen an, dass sie täglich bis zu 5.000 Cyberbedrohungen ausgesetzt sind.

Für Cyberkriminelle sind Australiens Pensionskassen, Banken und Versicherer attraktive Ziele. Es ist wichtig, dass diese Institutionen ihre Daten, einschließlich der Daten ihrer Kunden und Klienten, schützen und sichern und schnell und robust reagieren können, wenn ein kritischer Cyberangriff auftritt.

Die Entwicklung von Sicherheitsverletzungen

Kosten von Sicherheitsverletzungen in Australien

Anzahl verschiedener Sicherheitsanbieter in der Umgebung in Australien

Cyberkriminalität ist ein globales Problem, das verheerende finanzielle Auswirkungen haben kann, aber seit das OAIC der australischen Regierung im Februar 2018 das Programm für meldepflichtige Datenschutzverletzungen eingeführt hat, müssen australische Unternehmen eine größere Verantwortung für Risiken und Verstöße übernehmen.

Um Unternehmen dabei zu unterstützen, sich besser zu schützen, hat die Australian Prudential Regulation Authority (APRA) einen neuen Aufsichtsstandard für das Informationssicherheitsmanagement geschaffen.

Der endgültige Standard, bekannt als APRA CPS 234, soll sicherstellen, dass APRA-überwachte Organisationen widerstandsfähiger gegen Cyberangriffe sind und schnell reagieren können, sollte es zu einer Sicherheitsverletzung kommen.

Durch die Einführung von CPS 234 will APRA sicherstellen, dass alle regulierten Unternehmen Informationssicherheitsfähigkeiten entwickeln und aufrechterhalten, die die Bedeutung der von ihnen gespeicherten Daten und die Bedeutung der Bedrohungen, denen sie ausgesetzt sind, widerspiegeln. "

- Geoff Summerhayes (Vorstandsmitglied APRA)

Summerhayes führt weiter aus, dass im Falle des Worst-Case-Szenarios und eines größeren Verstoßes "ein Unternehmen aus dem Geschäft drängen" könnte.

Aufgrund des Risikos von Banken, Kreditgenossenschaften, Lebensversicherungsgesellschaften, Bausparkassen, Krankenversicherern, allgemeinen Versicherern und Mitgliedern der Pensionskassenbranche, die von der APRA beaufsichtigt werden, beschleunigt die APRA (die derzeit Institutionen mit einem Vermögen von 6,5 Billionen US-Dollar beaufsichtigt) die Umsetzung ihres neuen Aufsichtsstandards CPS 234 und erwartet, dass alle regulierten Unternehmen ihre Anforderungen bis zum 1. Juli 2019 erfüllen.

CPS 234 verlangt von APRA-regulierten Organisationen:

• klare Definition von Rollen und Verantwortlichkeiten im Zusammenhang mit der Informationssicherheit;
• Aufrechterhaltung einer Informationssicherheitsfähigkeit, die der Größe und dem Ausmaß der Bedrohungen für ihre Informationsressourcen angemessen ist;
• Kontrollen zum Schutz von Informationsressourcen implementieren und regelmäßige Tests und Sicherstellungen der Wirksamkeit der Kontrollen durchführen; und
• Benachrichtigen Sie die APRA unverzüglich über wesentliche Vorfälle im Bereich der Informationssicherheit.

Die Überwachung der digitalen Assets Ihres Unternehmens und der Schutz kritischer Unternehmens- und Kundendaten ist ein scheinbar endloser und nie endender Kampf - aber einer, den umsichtige und proaktive Unternehmen meistern können.

Was ist CPS 234?

CPS 234 verlangt, dass ein APRA-reguliertes Unternehmen die notwendigen Maßnahmen ergreifen muss, um sich gegen Cyberangriffe und verschiedene andere Informationssicherheitsvorfälle zu verteidigen, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationsressourcen und -daten betreffen - dazu gehören auch Informationen, die von Drittanbietern verwaltet werden, was zeigt, dass sich die Regulierungsbehörde verstärkt auf die Auswirkungen von Risiken durch Dritte konzentriert.

Ein Hauptziel von CPS 234 ist es, die Wahrscheinlichkeit eines Informationssicherheitsvorfalls zu verringern.

Der neue CPS 234 APRA-Standard wurde entwickelt, um sicherzustellen, dass die gesamte Branche ihre Informationssicherheitsmanagementsysteme weiterentwickelt und kontinuierliche Wachsamkeit, Verbesserungen und Investitionen fördert.

In dem Maße, wie Cyberkriminelle und ihre Programme immer fortschrittlicher werden, sollten dies auch die australischen Cybersicherheitssysteme tun - und CPS 234 stellt sicher, dass diese Unternehmen ihre Online-Abwehr weiterentwickeln und pflegen.

- Geoff Summerhayes (Vorstandsmitglied APRA)

APRA-regulierte Institute müssen über die bloße Befolgung der neuen Standards hinausgehen, sie müssen die Einhaltung des neuen CPS 234-Standards für alle ihre Dienstleistungen nachweisen.

Lesen Sie unseren vollständigen Leitfaden zur Einhaltung von CPS 234.

Warum hat die APRA CPS234 eingeführt, mit besonderem Fokus auf das Risiko von Drittanbietern und die Meldung von Datenschutzverletzungen?

UpGuard unterstützt die von der APRA eingeschlagene Richtung, und es ist wahrscheinlich, dass Regulierungsbehörden auf der ganzen Welt eine ähnliche Position einnehmen werden. Wir haben eine Studie zu den Ergebnissen unseres BreachSight-Scanners durchgeführt, die die folgenden Ergebnisse zeigte, die den regulatorischen Fokus auf Risiken und Datenschutzverletzungen durch Dritte unterstützen:

24 % der Unternehmen in den ASX200 (insgesamt 48) haben derzeit eine offene Datenschutzverletzung, die auf einem einzigen Vektor (d. h. der Art der Datenschutzverletzung) basiert. Unserer Erfahrung nach finden wir bei der Suche nach mehreren Vektoren (mehreren Arten von Verstößen) viel mehr Schwachstellen. Dies sollte also als Mindestrisikoniveau interpretiert werden.

Die meisten dieser offenen Verstöße sind das Ergebnis schlecht gesicherter Softwareentwicklungspraktiken, auch von Drittentwicklern.

Das durchschnittliche UpGuard Cyber Security Rating der ASX200-Finanzdienstleistungsunternehmen, die von APRA beaufsichtigt werden, liegt bei nur 775 (von maximal 950). Dies ist ein Indikator dafür, dass die Sicherheitshygiene in vielen dieser Unternehmen durchschnittlich ist. Zum Kontext:

• Eine Bewertung von 800+ gilt als recht gut.
• Eine Bewertung von 900+ gilt als sehr gut.

8 % der Unternehmen im ASX200 werden von der APRA beaufsichtigt, entweder im Bankwesen, in der Versicherung oder in der Altersvorsorge.

11,5 % der Unternehmen in den ASX200 sind von der ASIC für den Verkauf von Finanzdienstleistungen lizenziert.

Die Zeitleiste

Die neuen CPS 234-Standards sollen bis zum 1. Juli 2019 von allen APRA-regulierten Instituten erfüllt werden. In Bezug auf eine Übergangsfrist wurde ein Zeitplan für die Aspekte des neuen Standards festgelegt, die für Informationsressourcen gelten, die von Dritten verwaltet werden.

Beaufsichtigte Unternehmen haben bis zum nächsten Vertragsverlängerungsdatum oder bis zum 1. Juli 2020 Zeit, um sicherzustellen, dass Vereinbarungen mit Dritten den neuen Anforderungen entsprechen, je nachdem, was früher eintritt.

Lesen Sie unseren vollständigen Leitfaden zur Einhaltung von CPS 234.

Die APRA beschleunigt die Implementierung dieses neuen Standards aufgrund des hohen Risikos eines größeren Verstoßes und der schwerwiegenden Folgen, die aufgrund von Untätigkeit und Selbstgefälligkeit auftreten könnten.

Was sind die neuen Anforderungen von CPS 234?

Wie bereits beschrieben, müssen APRA-regulierte Institute die Anforderungen von CPS 234 einhalten und deren Einhaltung nachweisen.

Zu den APRA-regulierten Institutionen gehören:

• Banken
• Kreditgenossenschaften
• Bausparkassen
• Versicherungs- und Rückversicherungsgesellschaften
• Private Krankenversicherer
• Lebensversicherung
• Mitglieder der Pensionskassenbranche

Die neuen Anforderungen von APRA CPS 234 ähneln im Allgemeinen denen des zuvor veröffentlichten CPG 234. CPG 234 ist etwas, das den meisten Menschen in der australischen Finanzdienstleistungsbranche bekannt sein wird. Es enthält einen Leitfaden dafür, was die APRA als Best Practice für bestimmte Bereiche ansieht.

CPS 234 zeigt jedoch deutlich eine Evolution des Denkens bei APRA, die sich in einigen Bereichen unterscheidet und die neuen Anforderungen sind:

1. Die Verantwortung des Vorstandes

Die APRA legt fest, dass die Vorstände ihre Verantwortung beim Umgang mit Informationssicherheitsrisiken gründlich verstehen müssen.

- Die australische Prudential Regulation Authority

In dem Dokument heißt es weiter, dass das Unternehmen auch klar definierte Rollen und Verantwortlichkeiten des Vorstands im Bereich der Informationssicherheit haben muss, und für diejenigen, die

Der Rahmen für die Informationssicherheitspolitik eines APRA-regulierten Unternehmens muss die Verantwortlichkeiten aller Parteien festlegen, die zur Aufrechterhaltung der Informationssicherheit verpflichtet sind. "

- Die australische Prudential Regulation Authority

2. Fähigkeit zur Informationssicherheit

Besonderes Augenmerk wird auch auf Unternehmen gelegt, die möglicherweise Dritte für die Verwaltung von Informationsbeständen einsetzen. Gemäß der Aktualisierung von CPS 234 müssen APRA-regulierte Unternehmen die Sicherheitsfähigkeiten des Drittanbieters bewerten.

- Die australische Prudential Regulation Authority

In dem endgültigen Dokument heißt es weiter, dass das Unternehmen

- Die australische Prudential Regulation Authority

Die APRA hat auch Fragen von beaufsichtigten Unternehmen zum Risiko von vierten Parteien - d. h. Subunternehmern für Dritte - erhalten. Ihre Antwort lautet, dass die Überwachung durch die vierte und fünfte Partei in der Verantwortung des beaufsichtigten Unternehmens verbleibt.

3. Identifizierung und Klassifizierung von Informations-Assets

"Ein APRA-reguliertes Unternehmen muss seine Informationsbestände, einschließlich derjenigen, die von verbundenen Parteien und Dritten verwaltet werden, nach Kritikalität und Sensibilität klassifizieren.

- Die australische Prudential Regulation Authority

4. Durchführung von Kontrollen

Mit dieser Anforderung rücken wieder Dritte in den Fokus. In dem endgültigen Dokument heißt es, dass ein APRA-reguliertes Unternehmen über "Informationssicherheitskontrollen zum Schutz seiner Informationsbestände verfügen muss, einschließlich derjenigen, die von verbundenen Parteien und Dritten verwaltet werden, die rechtzeitig implementiert werden und die folgenden Anforderungen entsprechen:

• Schwachstellen und Bedrohungen für die Informationsbestände;
• die Kritikalität und Sensibilität der Informationsressourcen;
• die Phase, in der sich die Informationsgüter innerhalb ihres Lebenszyklus befinden; und
• die möglichen Folgen eines Vorfalls im Bereich der Informationssicherheit. ”

Wenn die Informationsbestände eines APRA-regulierten Unternehmens von einem Dritten oder einer verbundenen Partei verwaltet werden, heißt es in CPS 234, dass das Unternehmen "das Design der Informationssicherheitskontrollen dieser Partei bewerten muss, die die Informationsressourcen des APRA-regulierten Unternehmens schützen. "

5. Management von Vorfällen

Die schnelle Reaktion auf Informationssicherheitsrisiken spielt eine weitere wichtige Rolle im endgültigen CPS 234-Dokument. Die Information der APRA über potenzielle Risiken, die eines ihrer beaufsichtigten Unternehmen erlebt hat, ist ein wichtiger Schwerpunkt.

- Die australische Prudential Regulation Authority

Diese "Pläne" werden als "Reaktionspläne für die Informationssicherheit" bezeichnet und müssen die "vorhandenen Mechanismen für Folgendes enthalten:

1. Verwaltung aller relevanten Phasen eines Vorfalls, von der Erkennung bis zur Überprüfung nach dem Vorfall;
2. und gegebenenfalls Eskalation und Meldung von Informationssicherheitsvorfällen an den Vorstand, andere Leitungsgremien und Personen, die für das Management und die Aufsicht über Informationssicherheitsvorfälle verantwortlich sind. ”

Kommunikation und Reaktionsfähigkeit sind hier der Schlüssel. Darüber hinaus muss ein APRA-bezogenes Unternehmen seine Reaktionspläne für die Informationssicherheit jährlich überprüfen und testen, um sicherzustellen, dass sie wirksam bleiben.

6. Testen der Wirksamkeit der Kontrolle

Die sich ständig weiterentwickelnde Natur der Cyberkriminalität und die verwendeten Methoden bedeuten, dass Unternehmen es sich nicht leisten können, selbstgefällig zu werden. Was vielleicht so lange funktioniert hat, funktioniert morgen vielleicht nicht mehr.

Um sicherzustellen, dass APRA-bezogene Unternehmen wachsam sind, verlangt CPS 234 von den Unternehmen, die Wirksamkeit ihrer Informationssicherheitskontrollen regelmäßig durch ein "systematisches Testprogramm" zu testen.

Die Häufigkeit und Art dieser systematischen Tests müssen "in einem angemessenen Verhältnis stehen auf:

1. die Geschwindigkeit, mit der sich die Schwachstellen und Bedrohungen ändern;
2. die Kritikalität und Sensibilität des Informationsguts;
3. die Folgen eines Vorfalls im Bereich der Informationssicherheit;
4. die Risiken, die mit der Exposition gegenüber Umgebungen verbunden sind, in denen das APRA-regulierte Unternehmen nicht in der Lage ist, seine Informationssicherheitsrichtlinien durchzusetzen;
5. und die Wesentlichkeit und Häufigkeit von Änderungen an Informationsvermögenswerten.

Auch hier werden Dritte unter die Lupe genommen,

- Die australische Prudential Regulation Authority

Zusätzlich zu den oben genannten Bestimmungen heißt es in diesem Abschnitt von CPS234 auch, dass der Vorstand oder die Geschäftsleitung über alle Testergebnisse informiert werden muss, die "Mängel bei der Informationssicherheitskontrolle identifizieren, die nicht rechtzeitig behoben werden können".

Es ist auch erforderlich, dass diese Prüfungen von "angemessen qualifizierten und funktionsunabhängigen Fachleuten" durchgeführt werden. Das Unternehmen ist auch verpflichtet, die Angemessenheit des Testprogramms jährlich (mindestens) zu überprüfen oder wenn "es eine wesentliche Änderung an den Informationsressourcen oder dem Geschäftsumfeld gibt".

Weitere Einzelheiten zu den neuen Anforderungen finden Sie im vollständigen Dokument CPS 234.

Benachrichtigungen über Sicherheitsverletzungen

Unternehmen sind verpflichtet, APRA innerhalb von 72 Stunden nach Bekanntwerden von Cybersicherheitsvorfällen über Cybersicherheitsvorfälle zu informieren. CPS 234 verlangt von Unternehmen, die APRA innerhalb dieser Frist zu benachrichtigen, wenn eine Bedrohung:

1. "das Unternehmen oder die Interessen von Einlegern, Versicherungsnehmern, Begünstigten oder anderen Kunden finanziell oder nichtfinanziell wesentlich beeinträchtigt haben oder potenziell beeinträchtigen könnten;
2. wurde anderen Aufsichtsbehörden in Australien oder anderen Rechtsordnungen mitgeteilt. ”

Ursprünglich schlug die APRA vor, dass die Meldefrist 24 Stunden betragen würde. Die APRA merkt an, dass der 72-Stunden-Zeitrahmen "den regulierten Unternehmen angemessene Zeit geben wird, um einen Informationssicherheitsvorfall ordnungsgemäß zu bewerten und zu bestimmen, wie mit dem Problem umgegangen werden soll", und sich auch an die Meldesysteme anderer Regulierungsbehörden für Verstöße anpassen wird.

CPS 234 verlangt auch, dass Unternehmen die APRA innerhalb von 10 Tagen nach Bekanntwerden einer Schwachstelle bei der Informationssicherheitskontrolle benachrichtigen, von der das Unternehmen erwartet, dass sie nicht in der Lage sein wird, "rechtzeitig zu beheben".

Was kommt nun?

Der 1. Juli 2019 ist der Tag, an dem die endgültige CPS 234-Gesetzgebung in Kraft tritt. Es wird auch erwartet, dass die APRA die aktuelle PPG (Prudential Practice Guide) CPG 234 Management of Security Risk in Information & Information Technology-Gesetzgebung aktualisieren wird, die seit Mai 2013 nicht mehr aktualisiert wurde.

Was sollten Unternehmen tun?

Das von der EAPRA regulierte Unternehmen sollte damit beginnen, seine Informationsbestände im Hinblick auf ihre Sensibilität und Kritikalität zu klassifizieren. Bei diesem Klassifizierungsprozess sollten die Auswirkungen berücksichtigt werden, die eine Sicherheitsverletzung auf das Unternehmen, die Kunden, die wichtigsten Stakeholder und andere Personen oder Gruppen haben könnte, die betroffen sein könnten.

Wie wir bereits erwähnt haben, müssen Unternehmen, die einen Dritten mit der Verwaltung ihrer Informationsbestände beauftragen, ihre Sorgfaltspflicht erfüllen, um deren Sicherheit zu gewährleisten.

Die Anforderungen von CPS 234 werden bald verbindlich werden, aber der neue Aufsichtsstandard mag für viele Organisationen, die Schwierigkeiten haben, ihn einzuhalten, überwältigend erscheinen. UpGuard kann Ihrem APRA-regulierten Unternehmen dabei helfen, sicherzustellen, dass es den neuen, sich schnell nähernden Sicherheitsstandard CPS 234 erfüllt.

Lesen Sie unseren vollständigen Leitfaden zur Einhaltung von CPS 234.

Kurze Zusammenfassung: Die wichtigsten Erkenntnisse

CPS 234 wichtige Anforderungen und Erkenntnisse:

• Die Verantwortung des Vorstands - Der Vorstand eines APRA-regulierten Unternehmens ist letztendlich dafür verantwortlich, dass das Unternehmen die Informationssicherheit seiner Informationsressourcen aufrechterhält. Die APRA hat erkannt, dass die Vorstände ihrer regulierten Unternehmen ihr Verständnis und ihr Management von Cyberrisiken verbessern müssen. Dies wird sich in vielerlei Hinsicht auswirken, einschließlich Änderungen bei der Bewertung der Fähigkeiten des Vorstands und der Verfahren zur Ernennung neuer Direktoren bei APRA-regulierten Unternehmen.
• Informationssicherheitsfähigkeit - Wenn Informationsressourcen von einer nahestehenden Partei oder einem Dritten verwaltet werden, muss das APRA-regulierte Unternehmen die Informationssicherheitsfähigkeit dieser Partei bewerten. Unternehmen müssen ihre Informationssicherheitsfähigkeit aktiv aufrechterhalten und ihre Systeme auf dem neuesten Stand halten, um auf neue Bedrohungen reagieren zu können.
• Identifizierung und Klassifizierung von Informationsressourcen - Informationsressourcen sind nach ihrer Kritikalität und Sensitivität zu klassifizieren. Die Überlegung, wie das Unternehmen, Kunden und andere Personen im Falle eines Verstoßes betroffen sein könnten, sollte den Klassifizierungsprozess leiten.
• Implementierung von Kontrollen - Unternehmen müssen über Informationssicherheitskontrollen verfügen, um Informationsressourcen zu schützen, einschließlich solcher, die von nahestehenden Parteien und Dritten verwaltet werden.
• Incident Management - Anstatt auf einen PR-Albtraum oder schlimmer noch, den Verlust kritischer Kundeninformationen zu warten, signalisiert APRA, dass Finanzdienstleistungsunternehmen aufgrund ihrer aufsichtsrechtlichen Verpflichtungen noch achtsamer sein müssen. Unternehmen müssen über Reaktionspläne für die Informationssicherheit verfügen, um robust auf Sicherheitsbedrohungen reagieren zu können. Diese Pläne müssen die Mechanismen für den Umgang mit relevanten Phasen eines Vorfalls sowie die Eskalation und Meldung von Informationssicherheitsvorfällen an den Vorstand, andere Leitungsgremien und andere für die Informationssicherheit verantwortliche Personen enthalten.
• Testen der Wirksamkeit von Kontrollen - Unternehmen müssen die Wirksamkeit ihrer Informationssicherheitskontrollen regelmäßig durch ein systematisches Testprogramm testen. Diese Tests müssen ebenfalls von "angemessen qualifizierten und funktional unabhängigen Spezialisten" durchgeführt werden und mindestens einmal jährlich durchgeführt werden, wenn sich die Informationsbestände oder das Geschäftsumfeld wesentlich ändern.
• 72-Stunden-Vorankündigungsfrist - Unternehmen müssen die APRA innerhalb von 72 Stunden, nachdem sie davon Kenntnis erlangt haben, über Cybersicherheitsvorfälle informieren. Die Unternehmen sind außerdem verpflichtet, die APRA innerhalb von 10 Tagen nach Bekanntwerden einer wesentlichen Schwachstelle bei der Informationssicherheitskontrolle zu benachrichtigen, von der das Unternehmen erwartet, dass sie nicht in der Lage sein wird, "rechtzeitig zu beheben".
• 1. Juli 2019 — CPS 234 tritt am 1. Juli 2019 in Kraft.