APRA Prudential Standard CPS 234 아웃소싱 참고 자료
Australian Prudential Regulation Authority(“APRA”)는 APRA 규제 대상 기관(연금 분야 기관, 은행, 보험 회사 등)이 정보 보안 기능을 개발하고 유지하기 위한 특정 최소 기준을 충족하도록 APRA Prudential Standard CPS 234 정보 보안(“CPS 234")을 발행했습니다. CPS 234는 APRA 규제 대상 기관에 다음을 요구합니다.
- 정보 보안 관련 역할 및 책임 명확하게 정의
- 정보 자산에 대한 위협의 규모와 범위에 상응하는 정보 보안 기능 유지
- 정보 자산을 보호하기 위한 컨트롤을 구현하고 컨트롤의 효과에 대한 정기적인 테스트 수행 및 보증
- 중요한 정보 보안 인시던트 발생 즉시 APRA에 통지.
CPS 234는 APRA 규제 대상 기관이 정보 자산 관리를 제3자에게 아웃소싱하는 경우에 적용되는 특정 실사 의무도 설명합니다. 이 페이지에서는 관련 CPS 234 규제 의무를 각각 설명하고 APRA 규제 대상 기관이 Atlassian Cloud 제품의 컨텍스트에서 각 CPS 234 요구 사항을 고려 및 평가하며 CPS 234에 따른 의무를 준수하는지 확인하도록 돕는 설명을 제공합니다.
| | 참조 프레임워크 | Atlassian 설명 | |
|---|---|---|---|
| 1. | 참조 프레임워크 정보 보안 기능 | ||
| 2. | 참조 프레임워크 15. APRA 규제 대상 기관은 기관이 지속적으로 온전하게 운영될 수 있도록 정보 자산에 대한 위협의 규모와 정도에 상응하는 정보 보안 기능을 유지해야 합니다 | Atlassian 설명 이것은 고객의 고려 사항입니다. Atlassian의 보안 기능 관련 정보는 3행을 참조하세요. | |
| 3. | 참조 프레임워크 16. 관련 당사자 또는 제3자가 정보 자산을 관리하는 경우 APRA 규제 대상 기관은 해당 자산에 영향을 미치는 정보 보안 인시던트의 잠재적 결과에 상응하는 해당 당사자의 정보 보안 기능을 평가해야 합니다. | Atlassian 설명 APRA 규제 대상 기관에 Cloud 제품을 제공하는 Atlassian은 직면한 위협의 규모와 범위에 상응하는 강력한 정보 보안 프로그램을 유지하고 있습니다. Atlassian은 정보 보안 기능의 설계, 구현 및 운영에 관한 세부 정보를 제공하는 여러 리소스를 제공합니다. 궁극적으로 이 정보를 사용하여 Atlassian 제품이 요구 사항을 충족하는지 평가하는 것은 APRA 규제 대상 기관의 소관입니다.
이 아키텍처를 구축한 방법에 대한 자세한 설명은 Atlassian Cloud 아키텍처 및 운영 사례 페이지에서 확인할 수 있습니다. 또한 Atlassian Cloud 보안 공동 책임 백서에 명시된 것과 같이 고객은 CAIQ(Consensus Assessments Initiative Questionnaire)에 포함된 300개 이상의 질문에 대한 답변이 포함된 CSA(Cloud Security Alliance) STAR 설문 조사를 검토할 수 있습니다. 보안 취약성을 감지하고 대응하는 방법에 대한 자세한 설명은 취약성 관리에 대한 Atlassian의 접근 방식에서 확인할 수 있습니다. Atlassian은 ISO 27001 및 CSA(Cloud Security Alliance)에 설명된 취약성 관리 프로세스를 따릅니다. Atlassian은 취약성을 평가할 때 일반 취약성 점수 시스템을 사용하여 고객에게 취약성의 심각도를 전달합니다. 기타 프로세스와 관련하여 Atlassian은 다음을 수행합니다.
APRA 규제 대상 기관은 Atlassian 제품 및 플랫폼에 저장된 정보 자산에 따라 이러한 정보를 사용하여 Atlassian의 정보 보안 기능을 평가할 수 있습니다. | |
| 4. | 참조 프레임워크 17. APRA 규제 대상 기관은 정보 자산 또는 비즈니스 환경의 변화로 인한 결과를 포함한 취약성과 위협의 변화에 대비하여 정보 보안 기능을 적극적으로 유지해야 합니다. | Atlassian 설명 APRA 규제 대상 기관은 Atlassian 제품 및 플랫폼에 저장된 정보 자산에 따라 이러한 리소스와 3행의 정보를 사용하여 Atlassian의 정보 보안 기능을 평가할 수 있습니다. | |
| 5. | 참조 프레임워크 정책 프레임워크 | ||
| 6. | 참조 프레임워크 18. APRA 규제 대상 기관은 취약성과 위협에 대한 노출에 상응하는 정보 보안 정책 프레임워크를 유지해야 합니다. | Atlassian 설명 이것은 고객의 고려 사항입니다. Atlassian은 ISO27001 표준 및 CSA(Cloud Security Alliance) CCM(Cloud Controls Matrix)에 포함된 도메인을 포괄할 수 있도록 구조화된 정보 보안 프레임워크를 문서화했습니다. | |
| 7. | 참조 프레임워크 19. APRA 규제 대상 기관의 정보 보안 정책 프레임워크는 정보 보안을 유지할 의무가 있는 모든 당사자의 책임에 대한 지침을 제시해야 합니다. | Atlassian 설명 Atlassian 인적 보안 정책은 Atlassian의 인적 보안에 관한 일반 원칙 및 가이드라인을 설명합니다. 보안 책임이 직무 정의에 요약되어 있음을 강조합니다. 또한 보안 정책 모음의 각 정책은 특정 직무 부서 또는 팀에 적용되는 책임의 더 상세한 측면을 다룹니다. | |
| 8. | 참조 프레임워크 정보 자산 식별 및 분류 | ||
| 9. | 참조 프레임워크 20. APRA 규제 대상 기관은 관련 당사자 및 제3자가 관리하는 자산을 포함하여 모든 정보 자산을 중요도와 민감도별로 분류해야 합니다. 이 분류는 정보 자산에 영향을 미치는 정보 보안 인시던트가 금전적 또는 비금전적으로 기관 또는 예금자, 보험 계약자, 수혜자 또는 기타 고객의 이익에 영향을 미칠 수 있는 정도를 반영해야 합니다. | Atlassian 설명 어떤 Atlassian 제품을 어떤 용도로 활용할지 결정할 책임은 고객에게 있으므로 Atlassian에서 관리할 정보 자산을 결정하고 분류하는 것도 고객의 책임입니다. Atlassian은 데이터 분류 표준에 설명된 대로 다음과 같이 정보 분류를 처리합니다.
| |
| 10. | 참조 프레임워크 컨트롤 구현 | ||
| 11. | 참조 프레임워크 21. APRA 규제 대상 기관은 관련 당사자 및 제3자가 관리하는 자산을 포함한 모든 정보 자산을 보호하기 위한 정보 보안 컨트롤을 갖추어야 하며, (a) 정보 자산의 취약성 및 위협, (b) 정보 자산의 중요도 및 민감도, (c) 정보 자산의 수명 주기 단계, (d) 정보 보안 인시던트의 잠재적 결과에 상응하는 시기적절한 방식으로 구현되야 합니다. | Atlassian 설명 Atlassian 보안 관행은 보안에 대한 Atlassian의 접근 방식을 설명합니다. Atlassian의 접근 방식에 대한 세부 정보는 다음과 같습니다.
| |
| 12. | 참조 프레임워크 22. APRA 규제 대상 기관의 정보 자산을 관련 당사자 또는 제3자가 관리하는 경우 APRA 규제 대상 기관은 APRA 규제 대상 기관의 정보 자산을 보호하는 당사자의 정보 보안 컨트롤 설계를 평가해야 합니다. | Atlassian 설명 취약성 관리 프로그램은 고객 정보를 보호하기 위해 마련한 주요 컨트롤을 포함하여 제품의 보안 취약성을 감지하고 처리하는 Atlassian의 접근 방식을 설명합니다. | |
| 13. | 참조 프레임워크 인시던트 관리 | ||
| 14. | 참조 프레임워크 23. APRA 규제 대상 기관은 정보 보안 인시던트를 적시에 감지하고 대응할 수 있는 강력한 메커니즘을 갖추고 있어야 합니다. | Atlassian 설명 보안 인시던트 관리에 관한 CPS 234의 의무는 APRA 규제 대상 기관에 부과되지만 Atlassian은 대상 기관이 정보 자산의 일부 또는 전체와 관련하여 Atlassian 제품을 사용하는 경우 보안 인시던트 관리에 대한 Atlassian의 접근 방식도 중요하게 고려한다는 점을 인식하고 있습니다.
Atlassian은 보안 인시던트를 적시에 능동적으로 알리고 고객과 협업하여 필요한 완화 조치를 취한 확고한 기록을 보유하고 있습니다. DPA에서는 모든 보안 인시던트를 고객에게 지체 없이 알리고 보안 인시던트가 확인되거나 고객이 합리적으로 요청하는 대로 관련 정보를 적시에 제공하여 관련 데이터 보호법(DPA에 정의)에 따른 데이터 침해 보고 의무를 이행할 수 있도록 최선을 다하고 있습니다. 고객이 컴플라이언스 목적으로 이러한 통지가 필요한 경우 여기에 있는 DPA에 서명하여 제출하는 것이 좋습니다. | |
| 15. | 참조 프레임워크 24. APRA 규제 대상 기관은 발생 가능성이 있다고 생각하는 정보 보안 인시던트에 대응하기 위한 계획을 유지해야 합니다(정보 보안 대응 계획). | ||
| 16. | 참조 프레임워크 25. APRA 규제 대상 기관의 정보 보안 대응 계획은 (a) 인시던트 감지부터 인시던트 발생 후 검토까지 인시던트의 모든 관련 단계를 관리하고, (b) 정보 보안 인시던트를 이사회, 기타 관리 기관 및 정보 보안 인시던트 관리 및 감독을 담당하는 개인에게 적절하게 에스컬레이션하고 보고하기 위한 메커니즘을 포함해야 합니다. | ||
| 17. | 참조 프레임워크 26. APRA 규제 대상 기관은 정보 보안 대응 계획이 효과적이고 목적에 적합한지 확인하기 위해 매년 검토 및 테스트해야 합니다. | ||
| 18. | 참조 프레임워크 컨트롤 효과 테스트 및 내부 감사 | ||
| 19. | 참조 프레임워크 27. APRA 규제 대상 기관은 체계적인 테스트 프로그램을 통해 정보 보안 컨트롤의 효과를 테스트해야 합니다. 체계적인 테스트의 특성과 빈도는 (a) 취약성 및 위협의 변화 속도, (b) 정보 자산의 중요도 및 민감도, (c) 정보 보안 인시던트의 결과, (d) APRA 규제 대상 기관이 정보 보안 정책을 시행할 수 없는 환경에 노출될 때 발생하는 위험 및 (e) 정보 자산 변경의 중요성 및 빈도에 상응해야 합니다 | Atlassian 설명 보안 컨트롤의 효과는 Atlassian이 보장하는 여러 외부 감사와 검증을 통해 테스트됩니다. 자체 정보 보안 컨트롤의 효과를 테스트하고 내부 검토를 통해 발견한 보안 컨트롤 결함을 에스컬레이션할 책임은 각 고객에게 있지만, Atlassian은 고객이 CPS 234 의무를 충족하는지 여부를 결정하는 데 도움이 되는 Atlassian 자체 테스트 프로그램 관련 리소스를 제공합니다. | |
| 20. | 참조 프레임워크 28. APRA 규제 대상 기관의 정보 자산을 관련 당사자 또는 제3자가 관리하고 APRA 규제 대상 기관이 해당 당사자의 정보 보안 컨트롤 테스트에 의존하는 경우, APRA 규제 대상 기관은 정보 자산에 대한 컨트롤 테스트의 특성 및 빈도가 본 Prudential Standard의 27(a)~27(e)항에 상응하는지 평가해야 합니다. | ||
| 21. | 참조 프레임워크 29. APRA 규제 대상 기관은 적시에 해결할 수 없는 정보 보안 컨트롤 결함을 식별하는 모든 테스트 결과를 에스컬레이션하여 이사회 또는 고위 경영진에게 보고해야 합니다. | ||
| 22. | 참조 프레임워크 30. APRA 규제 대상 기관은 적절하게 숙련되고 기능적으로 독립적인 전문가가 테스트를 수행하도록 해야 합니다. | ||
| 23. | 참조 프레임워크 31. APRA 규제 대상 기관은 최소한 매년 또는 정보 자산이나 비즈니스 환경에 중요한 변화가 있을 때 테스트 프로그램의 적합성을 검토해야 합니다. | ||
| 24. | 참조 프레임워크 32. APRA 규제 대상 기관의 내부 감사 활동은 관련 당사자 및 제3자가 유지 관리하는 정보 보안 컨트롤의 설계 및 운영 효과에 대한 검토를 포함해야 합니다(정보 보안 컨트롤 보증). | ||
| 25. | 참조 프레임워크 33. APRA 규제 대상 기관은 정보 보안 컨트롤 보증을 제공하는 데 적절한 기술을 갖춘 직원이 보증을 제공하도록 해야 합니다. | ||
| 26. | 참조 프레임워크 34. APRA 규제 대상 기관의 내부 감사 기능은 (a) 금전적 또는 비금전적으로 기관 또는 예금자, 보험 계약자, 수혜자 또는 기타 고객의 이익에 중대한 영향을 미치거나 잠재적으로 영향을 미칠 가능성이 있는 경우 및 (b) 관련 당사자 또는 제3자가 제공하는 정보 보안 컨트롤 보증에 내부 감사를 의존하려는 경우 관련 당사자 또는 제3자가 제공하는 정보 보안 컨트롤 보증을 평가해야 합니다. | ||
| 27. | 참조 프레임워크 APRA 알림 | ||
| 28. | 참조 프레임워크 35. APRA 규제 대상 기관은 (a) 금전적 또는 비금전적으로 기관 또는 예금자, 보험 계약자, 수혜자 또는 기타 고객의 이익에 중대한 영향을 미치거나 잠재적으로 영향을 미칠 가능성이 있거나 (b) 오스트레일리아 또는 기타 관할권의 다른 규제 기관에 통지한 정보 보안 인시던트를 인지한 후 가능한 한 빨리 그리고 어떤 경우에도 72시간 이내에 APRA에 알려야 합니다. | Atlassian 설명 Atlassian은 데이터 침해 발생 시 즉시 통지를 받는 것이 얼마나 중요한지 잘 알고 있습니다. 따라서 Atlassian은 보안 인시던트 관리 페이지에 설명된 대로 보안 인시던트를 처리하기 위한 광범위한 교차 기능 팀과 프로세스를 구축했습니다. | |
| 29. | 참조 프레임워크 36. APRA 규제 대상 기관은 가능한 한 빨리 APRA에 알려야 하며, 어떤 경우라도 적시에 해결하지 못할 것으로 예상되는 중요한 정보 보안 컨트롤 취약점을 알게 된 후 영업일 기준 10일 이내에 APRA에 알려야 합니다. | ||