La Autoridad Australiana de Regulación Prudencial (APRA) publicó la Norma Prudencial CPS 230 en marzo de 2017. A primera vista, la norma tiene por objeto reforzar la resistencia de la ciberseguridad y la gestión del riesgo operativo del sector financiero en Australia mediante el establecimiento de normas y requisitos para las mejores prácticas de ciberseguridad. Pero bajo la superficie, hay matices en la CPS 230 que todas las entidades reguladas por la APRA tendrán que entender, o arriesgarse a sanciones reglamentarias y daños a la reputación.

Sumerjámonos de lleno en el cumplimiento de la normativa CPS 230.

CPS 230, también conocida como Norma Prudencial CPS 230, es una normativa establecida por la Autoridad Australiana de Regulación Prudencial (APRA) para abordar la resistencia de la ciberseguridad en el sector financiero.

El reglamento establece requisitos para las entidades reguladas, como las instituciones de depósito autorizadas, las aseguradoras y los titulares de licencias de jubilación, garantizando que posean las capacidades adecuadas para detectar, responder y recuperarse de los incidentes cibernéticos.

Aunque las entidades reguladas tienen hasta el 1 de julio de 2025 para cumplir, la APRA deja claro que espera una preparación proactiva en 2024.

Requisito: Las instituciones financieras deben desarrollar y aplicar planes integrales de gestión de incidentes cibernéticos, detallando los procedimientos de detección, respuesta, contención, recuperación y notificación de incidentes. También se exigen pruebas y ensayos periódicos de las capacidades de respuesta a incidentes para garantizar su preparación.

Objetivo: Garantizar la seguridad de la GFT y la preparación de la respuesta a incidentes. La norma CPS 230 obliga a las entidades financieras a desarrollar planes integrales de respuesta a incidentes para abordar y mitigar rápidamente los incidentes cibernéticos, minimizando su impacto en las operaciones y los clientes.

Requisito: El consejo de administración y la alta dirección de las entidades financieras son los máximos responsables de la resistencia de la ciberseguridad. Deben supervisar activamente y garantizar la eficacia de las medidas de ciberseguridad. Esto incluye la asignación de recursos adecuados y el fomento de una cultura de concienciación sobre la ciberseguridad. Las instituciones financieras también están obligadas a evaluar y supervisar la postura de ciberseguridad de los proveedores de servicios de terceros, incluidos los proveedores de servicios en la nube y los vendedores, para mitigar las posibles vulnerabilidades y garantizar la resistencia en toda la cadena de suministro.

• Mantener un inventario exhaustivo de todos los datos, procesos, sistemas y controles pertinentes: Un inventario ayuda a identificar posibles áreas de incumplimiento, lagunas en los controles y dependencias que pueden afectar al cumplimiento de la normativa. Mediante la actualización y revisión periódicas del inventario, las organizaciones pueden asegurarse de que tienen una comprensión clara de su panorama de cumplimiento y pueden tomar las medidas adecuadas para hacer frente a cualquier deficiencia.

• Elegir a los socios adecuados: Seleccionar a los socios adecuados, como vendedores, proveedores de servicios y entidades de terceros, es vital para el cumplimiento de la norma CPS 230. Las organizaciones deben llevar a cabo una diligencia debida para evaluar la postura de cumplimiento de los socios potenciales y garantizar la alineación con los requisitos reglamentarios. Al elegir socios con un fuerte compromiso con el cumplimiento y la gestión de riesgos, las organizaciones pueden mitigar el riesgo de incumplimiento y fortalecer sus esfuerzos generales de cumplimiento.

• Elegir la tecnología adecuada: Aprovechar las soluciones tecnológicas es fundamental para lograr y mantener el cumplimiento de la norma CPS 230. Las herramientas de automatización, el software de gestión de riesgos y las plataformas de cumplimiento pueden agilizar los procesos, aumentar la transparencia y facilitar las actividades de supervisión y elaboración de informes. Al invertir en soluciones tecnológicas, las organizaciones pueden gestionar eficazmente los requisitos de cumplimiento, identificar los riesgos emergentes y demostrar su adhesión a la normativa CPS 230.