CPS 234とは何か、誰が遵守する必要があるのか？
CPS 234は、オーストラリアの金融監督機関であるオーストラリア健全性規制庁（APRA）が2019年7月1日から施行している規制で、APRAが規制する企業（銀行、保険、年金基金）のサイバー脅威に対する耐性を強化することを目的としています。この規制は、これらの企業にサイバー攻撃防止策の実施を義務付けています。
CPS 234コンプライアンスとは何か？
CPS 234コンプライアンスとは、オーストラリア健全性規制庁（APRA）が金融機関の情報セキュリティ管理に関して設定した規制要件を指します。CPS 234規格は、APRAが規制する企業のサイバー脅威に対する耐性を向上させ、金融システムの安定性を促進することを目的としています。
なぜCPS 234コンプライアンスが重要なのか？
金融セクターはサイバー犯罪の標的となることが増えており、CPS 234コンプライアンスはサイバー脅威の予防と軽減において不可欠です。CPS 234フレームワークは、APRAが規制する企業が強固で効率的な情報セキュリティと耐性能力を維持し、サイバーリスクから自社と顧客を保護することを保証するよう設計されています。
誰がCPS 234を遵守する必要があるのか？
CPS 234は、銀行、一般保険会社、生命保険会社、年金基金などの認可預金取扱機関（ADI）を含むすべてのAPRAが規制する企業に適用されます。したがって、オーストラリアで営業しており、APRAにライセンスまたは登録が必要な金融機関は、CPS 234を遵守する必要があります。
CPS 234コンプライアンスを維持する上でのAPRAの役割
オーストラリア健全性規制庁（APRA）は、CPS 234コンプライアンスを維持する上で重要な役割を果たしています。オーストラリアの金融機関を監督し規制する任務を負う規制機関として、APRAはこれらの機関がCPS 234の要件を遵守していることを保証する責任を負っています。
APRAがCPS 234コンプライアンスを維持する上での主な役割には以下が含まれます：
基準の設定と施行
APRAは、その規制の範囲内にある金融機関に対するサイバーセキュリティおよび情報セキュリティの基準を設定します。また、CPS 234の要件を含むこれらの基準の遵守を監視し、施行します。
監査と評価の実施
APRAは、金融機関のサイバーセキュリティ基準およびCPS 234の要件への遵守を評価するために定期的な監査と評価を実施します。これらの評価は、非遵守の領域を特定し、是正措置計画を通じて対処します。
ガイダンスとサポートの提供
APRAは、金融機関がCPS 234の要件を理解し、それに準拠するために必要な措置を実施するのを支援するためにガイダンスとサポートを提供します。これには、ベストプラクティス、リスク管理戦略、その他の関連するサイバーセキュリティ関連のトピックに関する情報の提供が含まれます。
意識と教育の促進
APRAは、金融業界全体でサイバーセキュリティおよび情報セキュリティリスク管理に関する意識と教育を促進する上で重要な役割を果たしています。これには、他の規制機関や業界団体と協力して、この分野の知識とベストプラクティスを共有することが含まれます。
CPS 234フレームワークの非遵守の影響
CPS 234の要件を遵守しないことの影響は、組織にとって重大です。以下は、CPS 234の非遵守の影響の一部です：
罰金とペナルティが財務状況に大きな影響を与える可能性
オーストラリア健全性規制庁は、CPS 234の非遵守に対して多額の罰金とペナルティを課す権限を持っています。これらの罰金は最大で2億1,000万ドルまたは会社の売上高の10%に達する可能性があります。
評判の損害が顧客の忠誠心を破壊する可能性
CPS 234の非遵守は、組織の評判に損害を与える可能性があります。これにより、顧客の信頼を失い、ビジネスの衰退につながる可能性があります。
法的措置が数年にわたって続き、数百万ドルの費用がかかる可能性
非遵守は、顧客、規制当局、または他の第三者からの法的措置を引き起こす可能性があります。これにより、法的費用と評判の損害が発生する可能性があります。
ライセンスの喪失がビジネスを破壊する可能性
極端な場合、CPS 234の非遵守は、オーストラリアでの営業許可の取り消しにつながる可能性があります。
CPS 234の要件
CPS 234規格には、APRAが規制する企業がフレームワークを遵守するために満たすべき8つの要件が含まれています。これらの要件は、情報セキュリティ管理、インシデント管理、脆弱性管理、アイデンティティとアクセス管理、データ損失防止、サイバー耐性テスト、サプライヤーリスク管理、他の企業との協力に関連しています。
APRAが規制する企業は、効果的にサイバーリスクを管理するためのプロセスと手順を確立し、効果的な情報セキュリティ管理システム（ISMS）を維持し、システム、データ、資産を保護するための措置を実施する必要があります。
CPS 234と情報セキュリティ管理システム（ISMS）
ISMSは、ポリシー、手順、コントロールのシステムを通じて機密情報を管理し保護するために設計されたフレームワークです。CPS 234コンプライアンスのために、APRAが規制する企業は、リスクを特定し、コントロールを実施し、継続的な監視と改善を提供する堅牢なISMSを開発し実施する必要があります。
CPS 234コンプライアンスにおけるシステム脆弱性管理の重要性
システム脆弱性管理は、システムの脆弱性を特定、評価、管理することを含みます。APRAが規制する企業は、システムの脆弱性を特定し管理するためのプロセスを確立し、タイムリーなパッチと更新を実施し、定期的な脆弱性評価を実施する必要があります。
CPS 234コンプライアンスにおけるアイデンティティとアクセス管理（IAM）の役割
アイデンティティとアクセス管理（IAM）は、ユーザーのアイデンティティ、アクセスレベル、権限を管理し、機密情報への不正アクセスを防止することを含みます。APRAが規制する企業は、効果的なIAMコントロールを実施し、多要素認証、アクセスレビュー、最小特権アクセスを含む必要があります。
CPS 234コンプライアンスのためのデータ損失防止（DLP）
データ損失防止（DLP）対策は、機密情報の損失、誤用、不正な開示を防止します。APRAが規制する企業は、機密情報への不正アクセスを防止し、適切に保護されていることを保証するためにDLPコントロールを実施する必要があります。
CPS 234コンプライアンスにおけるインシデント管理の重要性
インシデント管理は、セキュリティインシデントの特定、分析、対応を含みます。APRAが規制する企業は、インシデントの管理プロセスを確立し、報告、エスカレーション、調査、解決を含む必要があります。
CPS 234コンプライアンスのためのサイバー耐性テスト
サイバー耐性テストは、サイバー攻撃や障害が発生した場合の企業のサイバー耐性能力の効果をテストすることを含みます。APRAが規制する企業は、サイバー脅威に対してシステムとプロセスが効果的で耐性があることを保証するために、定期的なサイバー耐性テストを実施する必要があります。
CPS 234コンプライアンスの実施
CPS 234コンプライアンスを実施する前に、APRAが規制する企業は、主要な利害関係者を特定し、リソースを割り当て、実施のための明確な計画を立てる必要があります。他にも考慮すべき事項があります。以下のリストは、CPS 234コンプライアンスを計画する際に組織が取るべき、または少なくとも考慮すべきステップの概要を示しています：
ISMSの範囲を決定する
ISMSの範囲は、企業の管理下にあるすべての重要な資産、システム、データをカバーする必要があります。APRAが規制する企業は、ISMSの範囲がビジネス目標、リスク管理戦略、規制要件と一致していることを確認する必要があります。
ISMSを設計する
ISMSは、機密情報とシステムの最大限の保護を確保するように設計されるべきです。APRAが規制する企業は、リスク評価プロセスで特定されたリスクに対処するための適切なポリシー、手順、コントロールを開発し実施する必要があります。
適切なアイデンティティとアクセス管理（IAM）ソリューションを選択する
効果的なアクセス管理を確保するためには、適切なアイデンティティとアクセス管理ソリューションを選択することが重要です。APRAが規制する企業は、IAMソリューションを選択する際に、使いやすさ、スケーラビリティ、既存システムとの統合などの重要な要素を考慮する必要があります。
適切なDLPソリューションを選択する
DLPソリューションは、機密情報を不正アクセス、損失、誤用から保護するために不可欠です。APRAが規制する企業は、ITインフラストラクチャ、データタイプ、コンプライアンス要件に一致する適切なDLPソリューションを選択する必要があります。
システムの脆弱性を特定する
APRAが規制する企業は、定期的にシステムの脆弱性を特定し評価し、定期的な脆弱性スキャンとペネトレーションテストを実施する必要があります。脆弱性は、潜在的な影響と悪用の可能性に基づいて優先順位を付けるべきです。
明確に定義されたインシデント管理計画を作成する
APRAが規制する企業は、セキュリティインシデントの検出、報告、分析、対応の手順を定めたインシデント管理計画を開発し維持する必要があります。この計画には、役割と責任、エスカレーション手順、コミュニケーションプロトコルを定義する必要があります。
サイバー耐性テストを実施する
APRAが規制する企業は、サイバー脅威に対してシステムとプロセスが効果的で耐性があることを保証するために、定期的なサイバー耐性テストを実施する必要があります。テスト結果を使用して改善の領域を特定し、サイバー耐性戦略を適宜調整するべきです。
CPS 234コンプライアンスを維持する方法
APRAが規制する企業は、進化するサイバー脅威に対して効果的であり続けるために、ISMSを継続的に更新する必要があります。定期的なレビューとリスク評価を実施し、IT環境を監視して潜在的なセキュリティリスクを特定する必要があります。
システムの脆弱性を定期的にレビューする
APRAが規制する企業は、定期的な脆弱性評価を実施し、最新のパッチと更新でシステムを最新の状態に保つ必要があります。潜在的な影響と悪用の可能性に基づいて、修正努力を優先するべきです。
アイデンティティとアクセスを効果的に管理する
APRAが規制する企業は、進化するサイバー脅威に対して効果的であり続けるために、IAMポリシー、手順、コントロールを定期的にレビューし更新する必要があります。定期的なアクセスレビューを実施し、アクセスログを監視し、必要に応じてアクセスを取り消すべきです。
DLPの効果を確保する
APRAが規制する企業は、進化するサイバー脅威に対して効果的であり続けるために、DLPポリシー、手順、コントロールを定期的にレビューし更新する必要があります。DLPログを定期的にレビューし、データフローを監視し、必要に応じてポリシーを調整するべきです。
インシデント管理計画を維持する
APRAが規制する企業は、進化するサイバー脅威に対して効果的であり続けるために、インシデント管理計画を定期的にレビューし更新する必要があります。定期的なテーブルトップ演習とシミュレーションを実施して、インシデント対応能力をテストするべきです。
サイバー耐性テストをアップグレードする
APRAが規制する企業は、新たに出現するサイバー脅威に適切に対応するために、サイバー耐性テスト能力を進化させる必要があります。最新の脅威インテリジェンスに基づいて定期的なシミュレーションを実施し、テスト戦略を適宜調整するべきです。
CPS 234コンプライアンスを達成するための課題
オーストラリアで営業する金融機関にとって、CPS 234を遵守することは重要な課題です。しかし、これにはいくつかの課題が伴います。理解の欠如から複雑なシステムインフラストラクチャまで、課題は進化するサイバーセキュリティ脅威の状況と規制の重複にまで及びます。コンプライアンスを効果的に達成し、データセキュリティを維持するためには、企業は必要なリソースと専門知識を持ってこれらの課題に立ち向かい、すべての業務レベルでの責任を確保する必要があります。
CPS 234要件の複雑さ
多くの組織は、CPS 234規格の要件を理解しておらず、適切なセキュリティ対策を実施するための必要な専門知識を持っていない可能性があります。
CPS 234コンプライアンスを達成するために必要な財務的および時間的制約
CPS 234の遵守には、時間、資金、人員を含むリソースの大規模な投資が必要です。これは、限られたリソースを持つ組織にとって課題となる可能性があります。
CPS 234要件の遵守におけるシステム統合の複雑さ
多くの組織は、セキュリティを確保するために大規模な努力を要する複雑なシステムを持っています。これにより、CPS 234の要件を実施することが難しくなる可能性があります。
CPS 234コンプライアンスにおける第三者への依存
多くの組織は、重要なシステムやサービスにおいて第三者ベンダーに依存しています。これらのベンダーがCPS 234を遵守していることを確認することは、課題となる可能性があります。
急速に進化する脅威
サイバー脅威は絶えず進化しており、APRAが規制する企業が最新の脅威と脆弱性に追いつくことは困難です。企業は、サイバー攻撃者に先んじるために、セキュリティコントロールと戦略を継続的に更新する必要があります。
競合するコンプライアンス要件と規制
多くの組織は、複数のサイバーセキュリティ規制と基準に従う必要があり、これが混乱を招き、コンプライアンスの課題を引き起こす可能性があります。
責任の欠如
CPS 234の遵守には、組織のすべてのレベルからのコミットメントが必要であり、全員が自分の役割と責任を理解していることを保証することは難しい場合があります。
APRAが規制する企業にとってのCPS 234コンプライアンスの利点
CPS 234の遵守は、これらの企業にとって、サイバーセキュリティの向上、リスク管理の改善、顧客信頼の強化、規制コンプライアンス、競争優位性、コスト削減など、さまざまな利点をもたらす可能性があります。
サイバーセキュリティの向上：CPS 234コンプライアンスにより、ビジネスはサイバー脅威からより良く保護されます
CPS 234コンプライアンスは、APRAが規制する企業に、サイバーセキュリティの姿勢を開発、実施、維持するための堅牢なフレームワークを提供します。これにより、機密データとシステムがサイバー脅威から適切に保護されることが保証されます。
リスク管理の改善：CPS 234コンプライアンスにより、ビジネスはリスクを軽減し、運用の耐性を強化することができます
CPS 234を遵守することで、APRAが規制する企業は潜在的なサイバーリスクを特定し、それを軽減するための戦略を開発することができます。これにより、データ侵害、財務損失、評判の損害、その他のサイバー攻撃の悪影響を回避することができます。
顧客信頼の強化：CPS 234コンプライアンスにより、ビジネスは顧客のデータセキュリティとプライバシーをより良く保証することができます
CPS 234の遵守は、APRAが規制する企業が顧客のデータと資産を保護することにコミットしていることを示しています。これにより、顧客、投資家、その他の利害関係者の間で信頼と自信を築くことができます。
規制コンプライアンス：CPS 234コンプライアンスにより、ビジネスはAPRAのCPS 234基準をより良く満たすことができます
CPS 234の遵守は、APRAが規制する企業にとって義務です。遵守しない場合、罰金、法的措置、評判の損害が発生する可能性があります。コンプライアンスは、企業がAPRAによって設定された規制要件と基準を満たすことを保証します。
競争優位性：CPS 234コンプライアンスにより、ビジネスは競争の激しい市場でより良く差別化することができます
CPS 234の遵守は、APRAが規制する企業に競争優位性をもたらす可能性があります。サイバーセキュリティへのコミットメントを示すことで、セキュリティとデータ保護を重視する顧客を引き付け、維持することができます。
コスト削減：CPS 234コンプライアンスにより、ビジネスは運用を最適化し、サイバーセキュリティ関連のコストを削減することができます
CPS 234コンプライアンスを実施することで、企業はシステムとプロセスの潜在的な脆弱性を特定し対処することができ、高価なサイバー攻撃のリスクを軽減します。これにより、将来的に高額な是正措置を回避することで、企業にコスト削減をもたらす可能性があります。
Kiteworksはオーストラリア健全性規制庁のCPS 234コンプライアンスをサポートします
オーストラリア健全性規制庁（APRA）は、APRAが規制する企業のサイバー脅威に対する耐性を強化するための規制を実施しました。CPS 234規制は、これらの企業にサイバー攻撃防止策の実施を義務付けています。CPS 234を遵守するためには、組織は取締役会、上級管理職、ガバニングボディ、個人の情報セキュリティ関連の役割と責任を明確に定義する必要があります。Kiteworksは、組織がCPS 234や欧州連合の一般データ保護規則（GDPR）、情報セキュリティ登録評価者プログラム（IRAP）などのデータプライバシー規制に準拠する能力を直接サポートする包括的なソリューションです。
Kiteworks対応のプライベートコンテンツネットワークは、役割と責任に基づいて機密コンテンツを保護するための詳細なコントロールを提供します。アクセス制御は、ジオフェンシング、アプリの有効化、ファイルタイプフィルタリング、メール転送制御に準拠して管理できます。Kiteworksのプラットフォームは、オンプレミス、プライベートクラウド、ハイブリッド、ホスト型、さらにはFedRAMP仮想プライベートクラウドで展開可能です。この展開の柔軟性により、組織はKiteworksを特定のビジネスおよびセキュリティ要件に合わせてカスタマイズできます。プラットフォームのプライバシー、コンプライアンス、スケーラビリティ、コストの完璧なバランスを見つける能力は、セキュリティの脆弱性を最小限に抑え、メンテナンスコストを削減します。
Kiteworksは、組織が機密デジタル資産に対する制御とガバナンスを強化する能力を提供することで、コンプライアンスをサポートします。メール、ファイル共有、モバイル、マネージドファイル転送（MFT）、セキュアファイル転送プロトコル（SFTP）を含む第三者通信のセキュリティを統一することで、Kiteworksは機密デジタル資産の集中管理と保護を提供し、不正アクセス、開示、または変更を防ぐために厳格なセキュリティコントロールを必要とする組織にとって理想的なソリューションです。さらに、Kiteworksは厳格なセキュアソフトウェア開発ライフサイクルを強制し、APRAへのデータ違反の効率的な義務報告のために不変の監査ログを提供します。
Kiteworksのカスタムデモをスケジュールして、CPS 234コンプライアンスをどのようにサポートするかをご覧ください。
