Guia de conformidade APRA CPS 230 com lista de verificação

A APRA CPS 230 exige que as instituições regulamentadas pela APRA gerenciem o risco operacional, controlem fornecedores terceirizados, definam a tolerância ao impacto, testem a continuidade dos negócios e mantenham a resiliência para serviços críticos. Você deve documentar, monitorar, testar e comprovar a conformidade antes do prazo final da CPS 230 para evitar problemas regulatórios.

Se você se enquadrar na regulamentação APRA, o CPS 230 mudará a forma como você gerencia o risco operacional, a terceirização e a continuidade dos negócios. Não se pode mais confiar em políticas gerais ou em estruturas desatualizadas. Você deve provar que sua organização pode continuar fornecendo serviços críticos durante interrupções, falhas do fornecedor,incidentes cibernéticosou interrupções do sistema.

Muitas instituições subestimam quanto trabalho a CPS 230 exige. A norma substitui a CPS 231 e a CPS 232, mas também introduz regras mais rigorosas para resiliência operacional, tolerância ao impacto, risco de terceiros e responsabilidade do conselho. Você deve mapear cada operação crítica, definir limites mensuráveis, monitorar provedores de serviços e testar regularmente cenários de recuperação.

Você não está preparando documentos para auditores. Você está construindo um sistema que deve funcionar durante incidentes reais.

Este guia explica a CPS 230 detalhadamente, incluindo requisitos, prazos, uma lista de verificação, exemplos, etapas de implementação e preparação para auditoria. Se você seguir este guia, poderá criar um programa de conformidade que resista à revisão da APRA e reduza o risco operacional em toda a sua organização.

Use nossoCalculadora de risco de segurança cibernética

O que é APRA CPS 230?

APRA CPS 230 é uma norma prudencial que exige que bancos, seguradoras e fundos de pensões mantenham uma forte resiliência operacional. Você deve garantir que os serviços críticos continuem mesmo quando a tecnologia falhar, os fornecedores pararem de funcionar ou ocorrerem eventos inesperados.

A norma concentra-se no risco operacional, na terceirização e na continuidade dos negócios como uma estrutura combinada.

A APRA introduziu a CPS 230 depois de vários incidentes terem mostrado que as instituições financeiras muitas vezes falham devido a problemas operacionais e não a fraquezas financeiras.Nuveminterrupções, falhas de fornecedores, incidentes cibernéticos e planejamento de recuperação inadequado causaram sérias interrupções em todo o setor.

De acordo com a CPS 230, você deve compreender exatamente como sua organização opera e onde uma falha pode causar danos.

Leia mais em:O que é uma chave de segurança de rede?

Principais objetivos da DPC 230

• Proteger os clientes da interrupção do serviço
• Reduzir o risco sistémico no setor financeiro
• Reforçar a gestão do risco operacional
• Melhorar os controles de terceirização
• Garantir uma forte continuidade das atividades
• Aumentar a responsabilização do conselho
• Exigir limites de tolerância mensuráveis ​​

Você deve apresentar evidências de que sua organização pode continuar operando dentro dos limites definidos.

O que o CPS 230 cobre

Área	Incluído
Risco operacional	Sim
Terceirização	Sim
Risco de terceiros	Sim
Continuidade das atividades	Sim
Recuperação de desastres	Sim
Tolerância ao impacto	Sim
Governança do conselho	Sim
Cadastro de fornecedores	Sim

Isto torna o CPS 230 mais amplo que os padrões anteriores.

Leia mais emComo a IA generativa pode ser usada na segurança cibernética

Por que a CPS 230 é mais rígida do que as regras antigas?

Os padrões mais antigos permitiam políticas de alto nível. CPS 230 exige prova.

Você deve mostrar:

• operações críticas documentadas
• níveis de tolerância definidos
• planos de recuperação testados
• prestadores de serviços aprovados
• monitoramento ativo
• relatórios do conselho
• provas de auditoria

Se você não puder apresentar evidências, a APRA considerará você não conforme.

Se você quiser melhorar sua configuração de segurança, leia nosso guia emcibersegurança para escritórios de advocaciapara ver as melhores estratégias de proteção para profissionais do direito.

Confira nosso blog mais recente emComo corrigir falha na verificação de segurança do kernel e verificar se há malware

Por que o CPS 230 foi introduzido

A APRA introduziu a CPS 230 porque as falhas operacionais se tornaram um dos maiores riscos no sector financeiro. Muitas instituições tinham fortes posições de capital, mas ainda assim sofreram interrupções, impacto nos clientes e violações regulamentares devido a controlos operacionais fracos.

A maioria das falhas foi causada por supervisão deficiente do fornecedor, responsabilidades pouco claras ou planos de recuperação não testados. Muitas vezes, as instituições presumiam que os seus sistemas funcionariam durante uma crise, sem o provarem através de testes.

A CPS 230 obriga você a passar da suposição à verificação.

Problemas comuns observados antes da CPS 230

• serviços críticos não documentados
• fornecedores não monitorados
• Contratos sem cláusulas de risco
• planos de recuperação não testados
• responsabilização pouco clara
• resposta lenta a incidentes
• supervisão fraca do conselho

Estas fraquezas criaram um sério risco para os clientes e para o sistema financeiro.

Metas APRA com CPS 230

Meta	Explicação
Melhorar a resiliência	Os fornecedores devem atender aos mesmos padrões
Reforçar o controlo da externalização	O conselho deve compreender o risco
Aumentar a responsabilização	O conselho deve compreender o risco
Exigir testes	Os planos devem funcionar na prática
Definir tolerância	Os limites devem ser mensuráveis ​​
Reduzir o risco sistémico	O fracasso não deve se espalhar

Agora você deve tratar o risco operacional tão seriamente quanto o risco de crédito ou o risco de liquidez.

Como a CPS 230 altera as suas responsabilidades

Antes da CPS 230:

• focado em políticas
• testes limitados
• terceirização separada
• continuidade separada

Após CPS 230:

• quadro integrado
• limites mensuráveis ​​
• É necessário controle do fornecedor
• testes obrigatórios
• diretoria responsável

Essa mudança afeta riscos, TI, conformidade, compras, jurídico e gerenciamento sênior ao mesmo tempo.

Se começar tarde, a implementação torna-se difícil porque é necessário rever contratos, sistemas, processos e governação em conjunto.

Quem deve cumprir a CPS 230?

A CPS 230 aplica-se a todas as entidades regulamentadas pela APRA. Se a APRA supervisiona a sua organização, você deve cumprir mesmo que as suas operações sejam pequenas ou terceirizadas.

Muitas empresas presumem que a regra se aplica apenas aos bancos. Isso está incorreto.

A norma se aplica a qualquer entidade regulamentada pela APRA, incluindo seguradoras e administradores de aposentadoria.

Entidades obrigadas a cumprir

Tipo de entidade	Deve cumprir
Instituições autorizadas a receber depósitos	Sim
Bancos	Sim
Cooperativas de crédito	Sim
Construindo sociedades	Sim
Seguradoras gerais	Sim
Seguradoras de vida	Sim
Seguradoras de saúde privadas	Sim
Administradores de aposentadoria	Sim
Grupos regulamentados pela APRA	Sim

Se seus serviços críticos oferecerem suporte a uma entidade APRA, você também poderá ser afetado pelos requisitos do fornecedor.

Grupos e filiais

Se você opera em uma estrutura de grupo, a CPS 230 pode ser aplicada no nível do grupo e no nível da entidade.

Você deve garantir:

• quadro de risco consistente
• supervisão de serviços partilhados
• visibilidade do fornecedor
• relatórios de grupo

Muitas organizações falham aqui porque os serviços partilhados não são claramente controlados.

Fornecedores terceirizados também foram impactados

Mesmo que não seja regulamentado, poderá ter de cumprir os requisitos da CPS 230 se prestar serviços a uma entidade regulamentada.

Exemplos:

• provedor de nuvem
• fornecedor de software
• processador de pagamentos
• Suporte de TI
• centro de dados
• parceiro de terceirização

Os clientes podem exigir:

• controles de segurança
• comunicação de incidentes
• direitos de auditoria
• testes de resiliência
• atualizações de contratos

Isso torna o CPS 230 importante também para os fornecedores.

Você deve atender aos requisitos do CPS 230 antes da data oficial de início, não depois. Muitas organizações não entendem isso e presumem que podem começar a implementação assim que o padrão se tornar ativo. A APRA espera que você esteja totalmente em conformidade até a data de vigência, incluindo documentação, testes, revisão do fornecedor e aprovação do conselho.

O prazo é rigoroso e a preparação tardia cria sérios riscos de auditoria.

Data de entrada em vigor da DPC 230

Artigo	Data
CPS 230 publicada	2023
Período de preparação	2023–2025
Data efetiva	1 de julho de 2025
Espera-se total conformidade	1 de julho de 2025

Você deve estar pronto antes do prazo, não trabalhando para alcançá-lo.

O que significa conformidade total

A APRA espera mais do que políticas atualizadas. Você deve mostrar evidências de que a estrutura funciona.

Você deveria ter concluído:

• operações críticas identificadas
• tolerância ao impacto definida
• Cadastro de fornecedor criado
• contratos revisados ​​
• Quadro de risco operacional aprovado
• Continuidade das atividades testada
• relatórios do conselho em vigor
• processo de incidente funcionando

Se estes estiverem incompletos, você não está em conformidade.

Por que a implementação demora mais do que o esperado

A CPS 230 afeta vários departamentos ao mesmo tempo.

Área afetada	Por que demora
Risco	Atualizações do quadro
TI	Mapeamento do sistema
Aquisições	Contratos de fornecedores
Jurídico	Cláusulas contratuais
Conformidade	Documentação
Operações	Mapeamento de serviços críticos
Conselho	Processo de aprovação

A maioria dos atrasos acontece na revisão do fornecedor e no mapeamento de serviços críticos.

Cronograma de preparação recomendado

Fase	Tarefa
Fase 1	Avaliação de lacunas
Fase 2	Identificar operações críticas
Fase 3	Definir tolerância
Fase 4	Avaliar fornecedores
Fase 5	Estrutura de atualização
Fase 6	Continuidade do teste
Fase 7	Aprovação do conselho
Fase 8	Preparação para auditoria

Você deve começar cedo porque só as atualizações do contrato podem levar meses.

Requisito de operações críticas explicado em detalhes

Uma das partes mais importantes da CPS 230 é a identificação de operações críticas. Você deve saber quais serviços são essenciais para sua organização e o que acontece se eles pararem de funcionar.

Uma operação crítica é qualquer atividade que possa causar danos graves se for interrompida.

Os danos podem incluir:

• impacto no cliente
• perda financeira
• violação regulatória
• perturbação do mercado
• danos à reputação
• incapacidade de operar

Você deve documentar todas as operações críticas e manter a lista atualizada.

Exemplos de operações críticas

Operação	Por que crítico
Sistema bancário central	Os clientes não conseguem acessar o dinheiro
Processamento de pagamentos	As transações param
Sistema de reclamações	Clientes não pagos
Plataforma de negociação	Risco de mercado
Portal do cliente	Serviço indisponível
Sistema de identidade	Não é possível verificar usuários
Armazenamento de dados	Perda de registros
Hospedagem em nuvem	Interrupção do sistema

Você não pode decidir com base apenas na importância da TI. Você deve considerar o impacto nos negócios.

Informações necessárias para cada operação crítica

Campo	Descrição
Nome	Nome da operação
Proprietário	Gerente responsável
Sistema	Tecnologia utilizada
Fornecedor	Terceiros envolvidos
Impacto	O que acontece se falhar
Tolerância	Tempo de inatividade permitido
Tempo de recuperação	Alvo
Limite de perda de dados	Perda permitida

A APRA espera que esta informação seja precisa.

Como identificar operações críticas

Você deveria perguntar:

• Os clientes seriam prejudicados?
• A APRA ficaria preocupada?
• Ocorreriam perdas financeiras?
• Pararíamos de operar?
• A reputação seria prejudicada?

Se a resposta for sim, é crítico.

Erros comuns

• listando apenas sistemas de TI
• ignorando fornecedores
• serviços partilhados em falta
• Nenhum proprietário atribuído
• Nenhuma tolerância definida

Esses erros causam descobertas de auditoria.

Exigência de tolerância ao impacto explicada

O CPS 230 exige que você defina a tolerância ao impacto para cada operação crítica. Isso significa que você deve decidir quanta interrupção pode permitir antes que ocorram danos graves.

Você deve usar limites mensuráveis. Declarações gerais não são suficientes.

A tolerância ao impacto informa à APRA o quão resiliente é a sua organização.

O que a tolerância deve incluir

• tempo de inatividade máximo
• perda máxima de dados
• impacto máximo no cliente
• impacto financeiro máximo
• objetivo de tempo de recuperação
• objetivo do ponto de recuperação

Esses limites devem ser realistas e aprovados pela alta administração.

Exemplo de tabela de tolerância ao impacto

Operação	Tempo máximo de inatividade	Perda máxima de dados	Clientes afetados	Risco
Pagamentos	2 horas	5 minutos	Alto	Alto
Banco on-line	4 horas	15 minutos	Alto	Alto
Reivindicações	8 horas	30 minutos	Médio	Médio
Sistema de RH	24 horas	1 hora	Baixo	Baixo

Você deve justificar cada limite.

Como definir a tolerância corretamente

Você deve considerar:

• impacto no cliente
• obrigações legais
• perda financeira
• dependência operacional
• dependência de fornecedor
• capacidade de recuperação

A tolerância deve corresponder à capacidade real de recuperação.

Requisito de aprovação

A tolerância deve ser aprovada por:

• alta administração
• função de risco
• conselho ou comitê

Não é possível definir limites sem governança.

Requisito de revisão

Você deve revisar a tolerância regularmente.

Gatilhos para revisão:

• mudança de sistema
• mudança de fornecedor
• incidente
• constatação da auditoria
• mudança de negócios

A tolerância desatualizada é um problema de conformidade.

Explicação do requisito da estrutura de risco operacional

A CPS 230 exige uma estrutura formal de gestão de risco operacional que cubra toda a organização. Você deve mostrar como os riscos são identificados, controlados, monitorados e relatados.

O quadro deve existir na prática e não apenas no papel.

O que o quadro deve incluir

Componente	Obrigatório
Política	Sim
Procedimentos	Sim
Registo de riscos	Sim
Controles	Sim
Gestão de incidentes	Sim
Monitoramento	Sim
Relatórios	Sim
Revisão	Sim
Auditoria	Sim

Você também deve mostrar quem é o responsável.

Exemplo de estrutura de estrutura

Seção	Conteúdo
Política	Regras
Padrão	Requisitos
Procedimento	Passos
Controle	Prevenção
Monitoramento	Verificações
Relatórios	Gestão
Revisão	Melhoria

A APRA espera consistência em toda a organização.

Requisito de gestão de incidentes

Você deve registrar incidentes operacionais.

Exemplos:

• interrupção do sistema
• falha do fornecedor
• ataque cibernético
• perda de dados
• erro de processamento

Os registros de incidentes devem mostrar:

• data
• impacto
• causa
• medidas tomadas
• correção implementada

Se os incidentes não forem registados, a APRA assume um controlo fraco.

Requisito de monitorização

Você deve monitorar os controles regularmente.

Exemplos:

• disponibilidade do sistema
• desempenho do fornecedor
• frequência de incidentes
• tempo de recuperação
• falhas de controle

O monitoramento deve ser reportado à administração.

Relatórios do Conselho

O conselho deve receber relatórios de risco operacional.

Os relatórios devem incluir:

• incidentes
• risco do fornecedor
• violações de tolerância
• resultados dos testes
• resultados da auditoria

A supervisão do conselho é obrigatória nos termos da DPC 230.

A CPS 230 impõe requisitos muito rigorosos ao risco de terceiros e de terceirização. Você deve gerenciar os provedores de serviços como se eles fizessem parte da sua pr��pria organização. Se um fornecedor falhar e seu serviço crítico for interrompido, a APRA considerará a falha sua, não do fornecedor.

Muitas instituições subestimam esta secção, mas a maior parte do trabalho de remediação da CPS 230 acontece aqui porque os contratos, registos de fornecedores e processos de monitorização estão frequentemente incompletos.

Um terceiro é qualquer fornecedor externo que oferece suporte às suas operações.

Os exemplos incluem:

• provedores de nuvem
• Fornecedores de TI
• fornecedores de software
• processadores de pagamento
• serviços gerenciados
• consultores
• equipes offshore
• centros de dados
• serviços de grupo partilhados

Se o serviço suportar uma operação crítica, o nível de risco será mais elevado.

O que a CPS 230 exige dos fornecedores

Requisito	Descrição
Devida diligência	Antes da integração
Contrato escrito	Com cláusulas de risco
Monitorização do desempenho	Em andamento
Comunicação de incidentes	Obrigatório
Plano de saída	Deve existir
Visibilidade do subcontratante	Preciso saber
Avaliação de risco	Obrigatório
Cadastre-se	Deve manter

Você deve ser capaz de mostrar à APRA que todos os fornecedores críticos são controlados.

Due diligence antes da integração

Antes de usar um fornecedor, você deve avaliar o risco.

Você deve revisar:

• controles de segurança
• estabilidade financeira
• resiliência operacional
• proteção de dados
• histórico regulatório
• subcontratantes
• risco de localização

Exemplo de lista de verificação de due diligence:

Verifique	Obrigatório
Revisão de segurança	Sim
Análise financeira	Sim
Revisão do contrato	Sim
Classificação de risco	Sim
Aprovação	Sim

Você deve manter registros.

Requisitos contratuais

Os contratos devem incluir cláusulas de risco.

As cláusulas obrigatórias podem incluir:

• níveis de serviço
• requisitos de segurança
• notificação de incidente
• direitos de auditoria
• direitos de rescisão
• proteção de dados
• aprovação do subcontratante
• obrigações de continuidade de negócios

Se os contratos estiverem faltando, você deverá atualizá-los.

Monitorização contínua

Você deve monitorar os fornecedores regularmente.

Exemplos:

• relatórios de desempenho
• incidentes
• interrupções
• resultados da auditoria
• revisões de controle

O monitoramento deve ser documentado.

Requisito de estratégia de saída

Você deve ser capaz de substituir um fornecedor, se necessário.

Seu plano de saída deve incluir:

• fornecedor alternativo
• migração de dados
• rescisão do contrato
• processo de transição

Se você não conseguir sair com segurança, o risco é muito alto.

Requisito de registro do provedor de serviços

A CPS 230 exige que você mantenha um registro dos prestadores de serviços, especialmente aqueles que dão suporte a operações críticas. Este registro deve ser preciso, completo e disponível para revisão.

Muitas organizações são reprovadas nas auditorias porque sua lista de fornecedores está incompleta.

O que o registo deve incluir

Campo	Obrigatório
Nome do fornecedor	Sim
Serviço prestado	Sim
Crítico ou não	Sim
Classificação de risco	Sim
Data do contrato	Sim
Data de renovação	Sim
Plano de saída	Sim
Proprietário	Sim

Você deve manter isso atualizado.

Exemplo de registro de provedor de serviços

Fornecedor	Serviço	Crítico	Risco	Plano de saída
AWS	Hospedagem	Sim	Alto	Sim
Fornecedor A	Sistema de reclamações	Sim	Alto	Sim
Fornecedor B	Sistema de RH	Não	Baixo	Sim
Fornecedor C	Folha de pagamento	Não	Médio	Sim

Você também deve vincular fornecedores a operações críticas.

Por que a APRA exige isso

A APRA quer visibilidade da dependência operacional.

Se um fornecedor crítico falhar, a APRA deve saber:

• Qual serviço para
• Quanto tempo leva a recuperação?
• Qual backup existe

Sem um registro você não pode responder.

Erros comuns

• fornecedores desaparecidos
• dados desatualizados
• sem classificação de risco
• sem dono
• nenhum plano de saída

Estas são descobertas comuns de auditoria.

Requisitos de continuidade de negócios e testes de cenário

A CPS 230 exige que você teste sua capacidade de continuar as operações durante interrupções. Planos escritos não são suficientes. Você deve provar que eles funcionam.

Os testes devem ser realistas e documentados.

Você deve testar cenários que possam afetar operações críticas.

Áreas de teste obrigatórias

Cenário	Deve testar
Falha no sistema	Sim
Ataque cibernético	Sim
Interrupção do fornecedor	Sim
Perda de dados	Sim
Interrupção na nuvem	Sim
Interrupção de edifício	Sim
Pessoal indisponível	Sim
Falha de energia	Sim

Os testes devem envolver equipes reais.

O que as evidências de testes devem mostrar

Artigo	Obrigatório
Cenário	Sim
Data	Sim
Participantes	Sim
Resultado	Sim
Problemas encontrados	Sim
Correção aplicada	Sim
Reteste	Sim

Se o teste não estiver documentado, a APRA assume que não aconteceu.

Testes de recuperação de desastres

Você deve testar a recuperação do sistema.

Exemplos:

• restaurar backup
• mudar data center
• nuvem de failover
• recuperar banco de dados

Você deve mostrar que o tempo de recuperação corresponde à tolerância.

Testes de continuidade das atividades

Você deve testar os processos de negócios.

Exemplos:

• processamento manual
• trabalho remoto
• sistema alternativo
• falha do fornecedor

Você deve mostrar que as operações continuam.

Frequência dos testes

Os testes devem ser regulares.

Expectativa típica:

Teste	Frequência
Sistemas críticos	anualmente
Fornecedores	anualmente
Cenário completo	anualmente
Teste de DR	anualmente
Mesa	várias vezes

Testes mais frequentes podem ser necessários para indivíduos de alto risco.

Responsabilidades do Conselho e da Alta Administração

A CPS 230 aumenta a responsabilização ao nível sénior. O conselho deve compreender o risco operacional e não apenas o risco financeiro.

Você deve mostrar que a liderança está envolvida.

Responsabilidades do conselho

Dever	Obrigatório
Aprovar quadro	Sim
Analisar relatórios	Sim
Monitorizar incidentes	Sim
Teste de revisão	Sim
Aprovar tolerância	Sim
Gestão de desafios	Sim

As atas do conselho devem mostrar a discussão.

Responsabilidades da gestão superior

Dever	Obrigatório
Implementar quadro	Sim
Manter controles	Sim
Comunicar incidentes	Sim
Gerenciar fornecedores	Sim
Preparar relatórios	Sim
Corrigir problemas	Sim

A responsabilidade não pode ser delegada completamente.

Reporte à diretoria

Os relatórios devem incluir:

• resumo do incidente
• risco do fornecedor
• violações de tolerância
• resultados dos testes
• resultados da auditoria
• estado de reparação

Os relatórios devem ser regulares.

Problemas comuns de governação

• diretoria não envolvida
• sem relatórios
• papéis pouco claros
• sem registro de aprovação
• sem discussão de risco

Isso causa problemas de conformidade.

CPS 230 vs CPS 231 vs CPS 232 vs CPS 234

Muitas organizações ainda usam padrões antigos. O CPS 230 substitui alguns deles e funciona em conjunto com outros.

Você deve entender a diferença.

Padrão	Tópico	Estado
CPS 231	Terceirização	Substituído
CPS 232	Continuidade das atividades	Substituído
CPS 234	Segurança da informação	Ativo
CPS 220	Gestão de riscos	Ativo
CPS 230	Resiliência operacional	Novo

O que mudou com o CPS 230

Antes:

• terceirização separada
• continuidade separada
• risco separado

Agora:

• uma estrutura
• tolerância mensurável
• O controle do fornecedor requer
• testando e requer um
• conselho será responsável

Isso aumenta o trabalho, mas melhora o controle.

Relacionamento com a CPS 234

CPS 234 cobre segurança.

CPS 230 cobre operações.

Você deve alinhar ambos.

Exemplo:

Área	CPS 230	CPS 234
Risco do fornecedor	Sim	Sim
Segurança	Não	Sim
Continuidade	Sim	Não
Quadro de risco	Sim	Sim

Você deve integrar controles.

Você deve usar uma lista de verificação para confirmar que sua organização está pronta antes do prazo final da CPS 230. Muitas instituições acreditam que estão em conformidade porque existem políticas, mas as auditorias muitas vezes mostram falta de provas, registos de fornecedores incompletos ou níveis de tolerância indefinidos.

Use a lista de verificação abaixo para revisar seu status atual.

Lista de verificação da governação

Artigo	Obrigatório	Feito
Quadro de risco operacional aprovado	Sim
Operações críticas identificadas	Sim
Tolerância ao impacto definida	Sim
Aprovação do conselho registrada	Sim
Funções e responsabilidades definidas	Sim
Relatórios regulares ao conselho de administração	Sim

Lista de verificação de operações críticas

Artigo	Obrigatório	Feito
Todos os serviços críticos listados	Sim
Proprietário atribuído	Sim
Sistemas mapeados	Sim
Fornecedores vinculados	Sim
Metas de recuperação definidas	Sim
Tolerância aprovada	Sim

Lista de verificação de riscos de terceiros

Artigo	Obrigatório	Feito
Cadastro de fornecedor criado	Sim
Fornecedores críticos identificados	Sim
Classificações de risco atribuídas	Sim
Contratos atualizados	Sim
Planos de saída definidos	Sim
Processo de monitoramento ativo	Sim

Lista de verificação da continuidade das atividades

Artigo	Obrigatório	Feito
PCN atualizado	Sim
Plano de DR testado	Sim
Teste de cenário realizado	Sim
Resultados documentados	Sim
Problemas corrigidos	Sim
Novo teste concluído	Sim

Lista de verificação do risco operacional

Artigo	Obrigatório	Feito
Registo de riscos atualizado	Sim
Processo de incidente funcionando	Sim
Controles testados	Sim
Relatórios de acompanhamento	Sim
Revisão da auditoria interna	Sim

Se algum item estiver faltando, você não está totalmente em conformidade.

Guia passo a passo de implementação do CPS 230

Você deve tratar o CPS 230 como um projeto estruturado. Tentar atualizar tudo de uma vez geralmente falha porque o padrão afeta vários departamentos ao mesmo tempo.

Siga uma abordagem em fases.

Passo 1 – Realizar avaliação de lacunas

Rever os controlos atuais em relação à CPS 230.

Verifique:

• políticas
• gestão de fornecedores
• planos de continuidade
• quadro de risco
• registros de testes
• relatórios do conselho

Crie uma lista de lacunas.

Passo 2 – Identificar operações críticas

Trabalhe com equipes de negócios.

Você deve:

• listar serviços
• identificar dependências
• linkar fornecedores
• atribuir proprietários
• definir impacto

Não se limite aos sistemas de TI.

Passo 3 – Definir tolerância ao impacto

Para cada operação crítica, defina:

• limite de tempo de inatividade
• limite de perda de dados
• impacto no cliente
• meta de recuperação

A tolerância deve ser realista.

Passo 4 – Construir cadastro de prestador de serviços

Liste todos os fornecedores.

Incluir:

• serviço
• nível de risco
• sinalizador crítico
• data do contrato
• plano de saída

Vincule fornecedores às operações.

Passo 5 – Analisar contratos

Atualizar acordos.

Adicionar:

• cláusulas de segurança
• comunicação de incidentes
• direitos de auditoria
• requisitos de resiliência
• direitos de rescisão

A revisão do contrato geralmente leva mais tempo.

Passo 6 – Atualizar o quadro de risco operacional

Atualizar documentos.

Incluir:

• política de risco
• processo de incidente
• monitoramento
• relatórios
• testando
• governança

Garanta consistência.

Passo 7 – Teste de continuidade e recuperação

Execute cenários realistas.

Exemplos:

• interrupção da nuvem
• ataque cibernético
• falha do fornecedor
• perda de dados
• falha no sistema

Registre os resultados.

Passo 8 – Aprovação do Conselho

Presente:

• quadro
• tolerância
• risco do fornecedor
• resultados dos testes
• plano de reparação

Aprovação de registro.

Passo 9 – Preparar provas de auditoria

Armazenar documentos:

• registros
• relatórios
• testes
• aprovações
• contratos

Você deve estar pronto para apresentar provas a qualquer momento.

Como se preparar para a auditoria CPS 230

A APRA analisa as evidências, não as intenções. Você deve ser capaz de mostrar que sua estrutura funciona na prática.

Os auditores geralmente verificam primeiro as seguintes áreas.

Documentos solicitados pelos auditores

Documento	Obrigatório
Política de risco operacional	Sim
Lista de operações críticas	Sim
Tabela de tolerância ao impacto	Sim
Cadastro de fornecedores	Sim
Contratos	Sim
Relatórios de teste	Sim
Registro de incidentes	Sim
Relatórios do Conselho	Sim

Se algum estiver faltando, o risco de auditoria aumenta.

Perguntas que os auditores podem fazer

• Como você define operações críticas?
• Como você define a tolerância?
• Quais fornecedores oferecem suporte a este serviço?
• O que acontece se o fornecedor falhar?
• Mostrar o último resultado do teste
• Mostrar aprovação do conselho
• Mostrar registros de incidentes

Você deve responder com evidências.

Dicas de preparação para auditoria

• Manter os documentos atualizados
• manter o registro preciso
• teste regularmente
• registrar aprovações
• armazenar provas centralmente

Não se prepare apenas quando a auditoria começar.

Erros comuns da CPS 230

Muitas organizações não cumprem devido aos mesmos problemas.

Lista de erros comuns

Erro	Resultado
Nenhuma lista de operações críticas	Não conforme
Nenhuma tolerância definida	Não conforme
Lista de fornecedores incompleta	Constatação da auditoria
Contratos desatualizados	Alto risco
Sem testes	Não conforme
Conselho não envolvido	Questão de governação
Nenhuma evidência	Falha na auditoria
Somente TI envolvida	Risco comercial ausente

A CPS 230 exige um esforço de toda a organização.

Maiores áreas de risco

• terceirização
• serviços partilhados
• provedores de nuvem
• testes de recuperação
• documentação
• governança

Concentre-se neles primeiro.

Considerações Finais

O CPS 230 obriga você a entender detalhadamente sua organização. Você deve saber o que é crítico, por quanto tempo pode falhar, quem o apoia e como você se recupera. Este padrão não trata apenas de conformidade. Trata-se de resiliência operacional.

Se você começar cedo, a implementação ficará estruturada. Se você atrasar, as revisões do fornecedor, a definição de tolerância e os testes criarão uma grande carga de trabalho perto do prazo.

Você deve tratar a CPS 230 como um programa de resiliência, e não apenas como um requisito regulatório. As organizações que criam controles sólidos não apenas passarão nas auditorias, mas também reduzirão as interrupções, o risco do fornecedor e o impacto no cliente.

Não sabe por onde começar na segurança cibernética? Leia nosso completohackthebox vs tryhackmeguia para entender qual plataforma oferece melhores caminhos de aprendizagem, laboratórios realistas e valor profissional.