La Autoridad Australiana de Regulación Prudencial (APRA) publicó la Norma Prudencial CPS 230 en marzo de 2017. A simple vista, la normativa tiene por objeto reforzar la resiliencia en materia de ciberseguridad y la gestión del riesgo operativo del sector financiero en Australia mediante el establecimiento de normas y requisitos para las mejores prácticas en materia de ciberseguridad. Pero, bajo la superficie, hay matices en la CPS 230 que todas las entidades reguladas por la APRA deberán comprender, so pena de incurrir en sanciones reglamentarias y daños a su reputación.

Profundicemos en el cumplimiento de la norma CPS 230 en Australia.

La CPS 230, también conocida como Norma Prudencial CPS 230, es una normativa establecida por la Autoridad Australiana de Regulación Prudencial (APRA) para abordar la resiliencia de la ciberseguridad en el sector financiero.

El reglamento establece los requisitos que deben cumplir las entidades reguladas, como las entidades de depósito autorizadas (ADI), las aseguradoras y los titulares de licencias de pensiones, garantizando que posean las capacidades adecuadas para detectar, responder y recuperarse de incidentes cibernéticos.

Aunque las entidades reguladas tienen hasta el 1 de julio de 2025 para cumplir con la normativa, la APRA deja claro que espera una preparación proactiva en 2024.

Requisito: Las instituciones financieras deben desarrollar e implementar planes integrales de gestión de incidentes cibernéticos, en los que se detallen los procedimientos para la detección, respuesta, contención, recuperación y notificación de incidentes. También se exige la realización de pruebas y simulacros periódicos de las capacidades de respuesta ante incidentes para garantizar la preparación.

Objetivo: Garantizar la seguridad del TPRM y la preparación para la respuesta ante incidentes. La norma CPS 230 obliga a las instituciones financieras a desarrollar planes integrales de respuesta ante incidentes para abordar y mitigar rápidamente los incidentes cibernéticos, minimizando su impacto en las operaciones y los clientes.

Requisito: El consejo de administración y la alta dirección de las instituciones financieras son los máximos responsables de la resiliencia en materia de ciberseguridad. Deben supervisar activamente y garantizar la eficacia de las medidas de ciberseguridad. Esto incluye asignar los recursos adecuados y fomentar una cultura de concienciación sobre la ciberseguridad. Las instituciones financieras también deben evaluar y supervisar la postura en materia de ciberseguridad de los proveedores de servicios externos, incluidos los proveedores de servicios en la nube y los vendedores, con el fin de mitigar las posibles vulnerabilidades y garantizar la resiliencia en toda la cadena de suministro.

• Mantener un inventario completo de todos los datos, procesos, sistemas y controles relevantes: un inventario ayuda a identificar posibles áreas de incumplimiento, lagunas en los controles y dependencias que pueden afectar al cumplimiento normativo. Al actualizar y revisar periódicamente el inventario, las organizaciones pueden asegurarse de que comprenden claramente su panorama de cumplimiento y pueden tomar las medidas adecuadas para subsanar cualquier deficiencia.

• Elegir los socios adecuados: Seleccionar los socios adecuados, como proveedores, prestadores de servicios y entidades externas, es fundamental para cumplir con la norma CPS 230. Las organizaciones deben llevar a cabo una exhaustiva diligencia debida para evaluar la postura de cumplimiento de los socios potenciales y garantizar la alineación con los requisitos normativos. Al elegir socios con un fuerte compromiso con el cumplimiento y la gestión de riesgos, las organizaciones pueden mitigar el riesgo de incumplimiento y reforzar sus esfuerzos generales de cumplimiento.

• Elegir la tecnología adecuada: Aprovechar las soluciones tecnológicas es fundamental para alcanzar y mantener el cumplimiento de la norma CPS 230. Las herramientas de automatización, el software de gestión de riesgos y las plataformas de cumplimiento pueden agilizar los procesos, mejorar la transparencia y facilitar las actividades de supervisión y presentación de informes. Al invertir en soluciones tecnológicas, las organizaciones pueden gestionar eficazmente los requisitos de cumplimiento, identificar los riesgos emergentes y demostrar el cumplimiento de la normativa CPS 230.