.jpg)
El estándar de seguridad de la información de la APRA ya cubre las API en las que operan sus agentes. La mayoría de las instituciones aún no pueden demostrarlo.
Todas las instituciones reguladas por la APRA en Australia están obligadas a cumplir con CPS 234. Este es el Estándar Prudencial de Seguridad de la Información. Ya sea un banco, una aseguradora o un fondo de pensiones, todos están sujetos a la CPS 234, al igual que sus proveedores externos. En conjunto, estas instituciones poseen billones de dólares en activos. La CPS 234 existe desde hace tiempo y muchos equipos de seguridad de la información la conocen.
Lo que ha cambiado son las cargas de trabajo que ejecutan estas instituciones. Los agentes ahora resumen, investigan y actualizan sistemas. Todas estas tareas implican el uso de una API. Esto no exime a los agentes de la CPS 234. Pero sí significa que una gran parte de lo que hacen estas instituciones estará bajo la CPS 234, y no es casualidad que esta norma se haya diseñado para cubrir esto.
Desde entonces, han entrado en juego otros estándares de la APRA que siguen ampliando el caso de uso. La Gestión de Riesgos Operativos, CPS 230, entró en vigor el 1 de julio de 2025. Las expectativas en torno a los proveedores de servicios externos han crecido y seguirán creciendo a medida que más sistemas dependan de estos agentes y API.
Las API están cubiertas por la CPS 234
Como se mencionó anteriormente, la CPS 234 espera que una entidad regulada mantenga una capacidad de seguridad de la información que sea proporcional a la escala y naturaleza de las amenazas a los activos de información. Los activos de información pueden incluir software y hardware utilizados dentro de la empresa. Una API calificaría como un activo de información. Los datos fluirán a través de una API, y cada vez más mediante agentes en lugar de usuarios.
Existen muchos requisitos establecidos por la CPS 234 que se aplican directamente a las API. Los activos de información deben clasificarse según su criticidad y sensibilidad. Se deben implementar y probar controles. También debe existir un plan de respuesta para incidentes de seguridad de la información, y usted debe ser capaz de demostrarlo. Todo esto depende de saber qué activos de información posee.
Donde la mayoría de las instituciones fallan
Muchas instituciones no podrán demostrar que tienen los controles adecuados para sus API. La CPS 234 requiere que usted demuestre que sus controles funcionan. Deberá poder proporcionar evidencia de ello a sus auditores y, si es necesario, a la APRA. Estas son algunas de las razones por las que esto es difícil de lograr con las API.
Es posible que no tenga un inventario completo de sus API. Los desarrolladores están creando y exponiendo API a un ritmo más rápido del que usted puede seguir. Esto significa que hay activos de información que debería estar clasificando pero que ni siquiera conoce. Puede que tenga documentación y revisiones realizadas antes de que su API entre en funcionamiento, pero una vez que está en producción, puede comportarse de manera muy diferente. Como hemos aprendido con el uso de agentes de IA, ahora existen consumidores de su API que pueden no estar bajo su control.
Sin saber qué API tiene, no puede clasificarlas. No puede asegurarse de tener controles que protejan su API si no sabe que existe. No puede demostrar que sus controles funcionan si no sabe lo que está sucediendo en esa API.
Así es como puede cumplir con el requisito:
- Mantenga una lista actualizada de todas sus API y asegúrese de que todo esté clasificado,
- Sepa qué agentes y servicios están consumiendo sus API y qué permisos tienen,
- Valide que sus controles realmente funcionen en producción, y
- tenga un registro de toda la información a la que se accede para poder demostrar que sus controles funcionan.
Estos pasos no son nada fuera de lo común. Es simplemente lo que esperamos de todos nuestros activos de información. No es diferente cuando los agentes de IA consumen esos activos.
La norma CPS 234 se aplica a sus API y agentes.
Con los agentes de IA, hemos abierto otra capa en la CPS 234 que debe tenerse en cuenta. Si desea asegurarse de cumplir con los requisitos de la CPS 234, necesita saber qué tiene. Salt puede ayudarle con eso. Al descubrir todas sus API y comprender qué las está consumiendo, puede comenzar a proporcionar evidencia de que tiene controles implementados y que están funcionando. Esto no le hará cumplir con la normativa automáticamente, pero puede ayudarle con algunos de los desafíos que puede enfrentar al intentar cumplir con los requisitos de la CPS 234.
Si desea obtener más información sobre Salt y cómo podemos ayudarle, por favor contáctenos, programe una demostración, o visite nuestro sitio web.